Datenschutzvorfall bei Amadeus IT Group S.A.

die Sicherheit unserer IT-Infrastruktur und der Schutz von Daten haben für uns höchste Priorität. Obwohl die Maritim Hotelgesellschaft mbH einen hohen Aufwand betreibt, ihre Systeme durch den Einsatz modernster Technologien zu schützen, gibt es in der digitalen Welt leider keine 100-prozentige Sicherheit.

Immer wieder werden selbst die bestgesicherten Unternehmen Opfer krimineller Cyberangriffe. Auch die modernsten Sicherheitsmaßnahmen, besten Strategien und die aktuellste Software können keinen umfassenden Schutz garantieren.

Die Maritim Hotelgesellschaft mbH nutzt für die Gästebuchungen ihrer Hotels die Buchungsanwendung iHotelier des Anbieters Amadeus IT Group S.A. Mit diesem Schreiben informieren wir Sie über einen Datenschutzvorfall, der sich leider bei diesem Dienstleister ereignet hat. Unbekannte Angreifer haben sich offensichtlich Zugang zu diesem System verschafft. Es ist derzeit noch unklar, wie sich die Angreifer konkret Zugang verschafft haben.

Nach Entdeckung der Angriffe konnte unser Dienstleister glücklicherweise zeitnah reagieren und das System sichern. Trotz der vorgenommenen Sicherheitsmaßnahmen und der unverzüglichen Reaktion auf den Angriff, konnte leider nicht verhindert werden, dass Reservierungslisten mit Gästeinformationen entwendet wurden. Voraussichtlich sind Reservierungen in unseren Hotels betroffen, die einen Aufenthaltszeitraum vom 01.08.2026 bis zum 30.09.2027 abdecken. Betroffen sind hierbei die folgenden Reservierungsinformationen, die Gäste bei ihrer Buchung angegeben haben:

Vorname, Nachname
Kontaktdaten: Postadresse, E-Mail-Adresse, Telefonnummer
Reservierungsnummer und iHotelier Property ID (Angabe zum betreffenden Hotel)
Buchungs- und Aufenthaltsinformationen (z.B. Reservierungskosten, Zimmerkategorie und Zimmerpreis, Ankunfts- und Abreisedatum, Reiseagentur, Anzahl mitreisender Personen (Erwachsene/Kinder)

Zahlungs-/Finanz-, Passwort- oder Passdaten sind nicht betroffen.

Wir haben nach Konsultation unseres Datenschutzbeauftragten bei der für uns zuständigen Datenschutzaufsichtsbehörde eine Meldung gemäß Artikel 33 Datenschutzgrundverordnung (DSGVO) veranlasst.

Wir bedauern diesen Vorfall, der uns und damit leider auch Sie trotz der bestehenden technischen und operativen Schutzmaßnahmen ereilt hat. Selbst mit aktuellen Sicherheitsmaßnahmen, die den Stand der Technik abbilden, und einem unverzüglichen sowie umfassenden Handeln, konnte der Vorfall von uns leider nicht verhindert werden.

Mögliche Folgen dieser Datenschutzverletzung:

Durch die möglicherweise betroffenen Kontakt- und Buchungsdaten können Dritte betrügerische Nachrichten gezielter und glaubwürdiger gestalten. Es kann daher zu vermehrten Phishing- oder Betrugsversuchen kommen, beispielsweise per E-Mail, SMS oder WhatsApp. Solche Nachrichten können sich auf Ihre Reservierung beziehen und Sie dazu auffordern, Zahlungen vorzunehmen, Zahlungs- oder Kartendaten zu bestätigen oder einem Link zu folgen.

Wir empfehlen Ihnen, die folgenden Schutzmaßnahmen zu beachten:

Seien Sie vorsichtig bei unaufgeforderten Nachrichten, die sich auf Ihre Buchung beziehen – insbesondere, wenn Sie zur Zahlung, zur Bestätigung von Kartendaten oder zum Anklicken eines Links aufgefordert werden.
Geben Sie niemals vollständige Zahlungskartennummern, Einmalcodes oder Zugangsdaten als Reaktion auf eine unerwartete Nachricht oder einen Anruf weiter.
Wenn Sie Zweifel haben, überprüfen Sie Mitteilungen zu Ihrer Reservierung, indem Sie uns direkt über die in Ihrer Reservierung stehenden Kontaktdaten oder über unsere offizielle Website kontaktieren.
Informieren Sie uns, wenn Ihnen etwas Verdächtiges im Zusammenhang mit Ihrer Buchung auffällt.

Bitte beachten Sie: Wir werden Sie niemals auffordern, Zahlungs- oder Kartendaten über einen Link, per SMS, WhatsApp oder E-Mail mitzuteilen oder Zahlungen außerhalb unserer offiziellen Buchungs- und Zahlungswege zu leisten.

Sollten Sie irgendwo Angaben zu Ihren Zahlungsinformationen im Kontext einer Hotelbuchung gemacht haben, prüfen Sie bitte vorsorglich Ihre Kontoauszüge auf verdächtige Kontobewegungen, insbesondere Abbuchungen. Bei verdächtigen oder merkwürdigen Kontobewegungen kontaktieren Sie bitte sofort Ihre Bank, um den Vorgang aufzuklären und gegebenenfalls unterbinden zu lassen.

Wenn Sie glauben, Opfer eines Identitätsdiebstahls zu sein, nachdem Informationen über Sie offengelegt wurden, können Sie Folgendes tun:

Erstatten Sie umgehend Anzeige bei der Polizei und erweitern Sie die Anzeige um jede unberechtigte Forderung, die später noch bei Ihnen eintrifft.
Widersprechen Sie Mahnungen schriftlich und bitten Sie den Rechnungssteller um den Nachweis eines wirksam geschlossenen Vertrages.
Informieren Sie die Betrugsabteilung der Schufa oder anderer Kreditauskunfteien.
Informieren Sie Ihre Bank.
Ändern Sie Ihre Zugangscodes und Passwörter.
Prüfen Sie regelmäßig die Transaktionen bei Zahlungsdienstleistern und auf Ihren Konten.
Ziehen Sie bei Bedarf einen Rechtsanwalt hinzu als Unterstützung im Umgang mit Mahnungen und Inkassoforderungen.

Weitergehende Sicherheitshinweise können Sie auf der Homepage des Bundesamtes für Sicherheit in der Informationstechnik unter folgendem Link erhalten: https://www.bsi.bund.de/SharedDocs/Videos/DE/BSI/VerbraucherInnen/E-Mail_Sicherheitscheck.html

Bei Zweifeln oder Unklarheiten bezüglich Ihrer Buchung wenden Sie sich bitte direkt an das Hotel, bei welchem Sie die Reservierung getätigt haben. Verwenden Sie dabei unbedingt die in Ihrer Reservierung stehenden Kontaktdaten oder die Kontaktdaten, die Sie auf unserer offiziellen Website finden können.

Bezüglich des Datenschutzvorfalls können Sie sich gerne an die Datenschutzadresse unserer Verkaufsdirektion unter datenschutz.vkd@maritim.de wenden. Alternativ können Sie sich auch an unseren externen Datenschutzbeauftragten wenden. Dieser ist:

Sebastian von der Au
EDV-Unternehmensberatung Floß GmbH
Hopfengarten 10
33775 Versmold
Erreichbar unter der E-Mail: datenschutz@floss-consult.de
Telefon: +49 (0) 5423 96490-0

Mit freundlichen Grüßen

Roland Elter (Geschäftsführer)

Gesetzlicher Pflichthinweis nach Art.13, 14 DSGVO zur Verarbeitung der personenbezogenen Daten:
Wir verarbeiten Ihren Namen und Ihre Anschrift zur Zusendung dieser Information (Art.6 Abs. 1 lit. c) in Verbindung mit Art. 34 DSVO). Wir speichern dieses Schreiben, bis die mit dieser Information beschriebene Datenschutzverletzung privat-, straf- und öffentlich-rechtlich abgewickelt ist. Zur Aufbereitung der Daten, der Erstellung und Versendung der Schreiben unterstützen uns hierauf spezialisierte Dienstleister als Auftragsverarbeiter. Die Hinweise zu Ihren Rechten als betroffene Person finden Sie im Abschnitt „Rechte der betroffenen Person“ in der Datenschutzerklärung auf unserer Internetseite unter: https://www.maritim.de/de/datenschutz.
Sollten Sie über keinen Internetzugang verfügen, schicken wir Ihnen gerne auf Nachfrage unsere Datenschutzerklärung zu.