Am 8. November 2026 verschafft sich ein Angreifer nach den Untersuchungsergebnissen, die betroffene Restaurants an ihre Gäste weitergeben, über ein Kundenkonto Zugang zum Reservierungssystem der RESERViSiON GmbH in Reinheim. Eine Sicherheitslücke erlaubt ihm, auch Reservierungsdaten anderer Betriebe abzurufen. Am 8. und 9. November werden auf diesem Weg Gästedaten in großem Umfang kopiert. Seit dem 9. November sind Phishing-Mails im Umlauf, die echte Buchungsangaben verwenden – und in mehreren Fällen sogar von echten Restaurant-Adressen zu kommen scheinen.
Das Berliner Promi-Lokal Borchardt warnt auf seiner Website vor Zahlungsaufforderungen. Das Café Madrid in Leipzig verschickt eine ausführliche Datenschutzmitteilung. Das Fürstenfelder in Fürstenfeldbruck berichtet von hunderten Anrufen und Mails verunsicherter Gäste. Eine öffentliche, ausführliche Stellungnahme von RESERViSiON selbst lag am 12. November nicht in gleicher Form vor; die präziseste Beschreibung des Ablaufs stammt aus den Gästeschreiben der Betriebe, die sich ausdrücklich auf Angaben und Untersuchungsergebnisse des Dienstleisters stützen.
Der Fall ist ein Lehrstück für jede Firma, die Kundendaten einem SaaS-Dienstleister überlässt. Ein einziges Konto und eine fehlende Mandantentrennung reichen, und die Daten vieler Kunden der Kunden liegen offen. Danach folgt der Schaden nicht zuerst im System, sondern im Postfach der Gäste. Genau das solltest du dir merken, bevor du einem externen Tool deine Reservierungen, Termine oder Kundendaten anvertraust.
Der Weg der Angreifer: ein Konto, alle Mandanten
Die klarste Beschreibung des Angriffswegs steht in der Datenschutzmitteilung des Café Madrid. Das Restaurant nutzt das System der RESERViSiON GmbH und stützt sich auf „die bisherigen Untersuchungsergebnisse“. Demnach verschafft sich ein Angreifer am 8. November über ein Kundenkonto Zugang. Eine Sicherheitslücke ermöglicht ihm, auch Reservierungsdaten anderer Betriebe abzurufen. Am 8. und 9. November werden Gästedaten in großem Umfang kopiert.
Das ist, in einem Satz, ein Fehler der Mandantentrennung: Ein Konto eines Kunden darf nicht die Daten anderer Kunden sehen. Ob die Lücke in der Anwendung, in den Berechtigungen oder in einer Schnittstelle lag, ist öffentlich nicht genauer beschrieben. Ebenso offen bleibt, wessen Kundenkonto übernommen wurde und auf welchem Weg – Phishing, schwaches Passwort oder ein anderer Zugang.
Unmittelbar danach beginnt der zweite Teil des Schadens. Seit dem 9. November sind Mails bekannt, die echte Reservierungsangaben verwenden und zu Zahlungen oder zur Eingabe von Kreditkartendaten auf gefälschten Seiten auffordern. Teilweise wird behauptet, die Reservierung müsse noch bestätigt werden oder werde sonst storniert. Bei mehreren Betrieben wurden außerdem Zugangsdaten für den E-Mail-Versand missbraucht. Deshalb können solche Nachrichten von echten Adressen der Restaurants stammen.
„Eine bekannte Absenderadresse und zutreffende Reservierungsangaben sind daher kein sicherer Beleg für die Echtheit einer Nachricht.“
Dieser Satz ist die wichtigste praktische Warnung des Falls. Er richtet sich an Gäste – und an jeden Betrieb, der glaubt, seine Absenderadresse allein reiche als Vertrauensanker.
Das Café Madrid betont außerdem: Der unbefugte Datenabruf sei festgestellt, die einzelnen kopierten Datensätze aber nicht abschließend zu ermitteln. Deshalb werden alle im System gespeicherten Reservierungsdaten als potenziell betroffen behandelt, einschließlich vergangener und zukünftiger Buchungen, nicht nur Online-Reservierungen. Soweit Allergieangaben hinterlegt waren, können Informationen zur Gesundheit unbefugt bekannt geworden sein.
Was die Restaurants tun – und was offen bleibt
Das Borchardt trennt auf seiner Website klar zwischen dem externen Anbieter und dem eigenen System: RESERViSiON sei Opfer eines Cyberangriffs, die Daten im internen Reservierungssystem des Restaurants seien weiterhin sicher. Chef Roland Mary sagt der B.Z., wiedergegeben von der Berliner Morgenpost: „Unser System ist davon nicht berührt.“ Das ist eine Aussage über das hauseigene System, keine Entwarnung für die Daten bei RESERViSiON. Mary bestätigt zugleich, zahlreiche weitere Betriebe seien betroffen: „Ein Haufen Restaurants sind nun davon betroffen.“ Die Verbindung zum externen Reservierungssystem sei zunächst abgeschaltet worden. Gäste sollen keine Zahlungen leisten, keine Links anklicken und verdächtige Nachrichten löschen. Reservierungen sind vorübergehend über Telefon und E-Mail möglich.
Das Fürstenfelder schildert dem Merkur die Lage aus der Sicht eines betroffenen Betriebs: Das Telefon habe alle 30 Sekunden geklingelt, hunderte E-Mails seien eingegangen, Gäste seien stark verunsichert. Inhaber Gerhard Kohlfürst lässt die Passwörter des Mailservers ändern, sperrt den Zugriff des Reservierungsdienstleisters und meldet den Vorfall der bayerischen Datenschutzaufsicht. An seine Gäste richtet er dieselbe Kernbitte wie das Café Madrid: keine Links, keine Zahlungen, keine Stornierungsdrohung als Druckmittel, im Zweifel direkt beim Restaurant nachfragen.
RESERViSiON selbst hat nach den vorliegenden Schreiben ab dem 9. November Warn-Mails an zahlreiche Gäste verschickt und technische Gegenmaßnahmen ergriffen. Eine vollständige, öffentlich nachlesbare Darstellung des Unternehmens – mit genauer Schwachstelle, Zahl der betroffenen Betriebe und Datensätze – lag am 12. November nicht vor. Die Untersuchung war nach dem Stand des Café-Madrid-Schreibens nicht abgeschlossen; weitere Maßnahmen beträfen die Absicherung der Anwendung und den Austausch gefährdeter Zugangsdaten.
Ob die Lücke geschlossen ist, wird unterschiedlich dargestellt. Das solltest du nicht zu einer Entwarnung verkürzen. Selbst wenn der Zugang inzwischen dicht ist, bleiben die kopierten Daten und die laufenden Phishing-Mails das eigentliche Risiko.
Zeitstrahl des Ablaufs
8. November 2026:
Nach den Untersuchungsergebnissen, die das Café Madrid wiedergibt, verschafft sich ein Angreifer über ein Kundenkonto Zugang zum Reservierungssystem. Eine Sicherheitslücke erlaubt den Zugriff auf Daten anderer Betriebe. Quelle: Café Madrid.8. und 9. November 2026:
Gästedaten werden in großem Umfang kopiert. Quelle: Café Madrid.Ab 9. November 2026:
Betrügerische E-Mails mit echten Reservierungsangaben. RESERViSiON versendet eine erste Warn-Mail an zahlreiche Gäste. Technisch: Angreiferadressen gesperrt, Konten deaktiviert, Massenabrufe begrenzt. Quelle: Café Madrid.10. November 2026:
Das Café Madrid meldet den Vorfall der zuständigen Datenschutzaufsicht. TAG24 berichtet über die Mitteilung des Leipziger Restaurants. Quelle: Café Madrid; TAG24.Um den 10. und 11. November 2026:
Stand 12. November 2026:
Eine unabhängige, vollständige technische Darstellung von RESERViSiON ist öffentlich nicht nachlesbar. Phishing-Mails mit echten Buchungsdaten bleiben das unmittelbare Risiko für Gäste.
Was heißt das für dein Unternehmen?
Der Fall betrifft sichtbar die Gastronomie. Das Muster gilt für jeden SaaS-Dienst, der Daten vieler Mandanten in einem System hält: Buchhaltung, Termin-Tools, CRM, Shop-Systeme, Patienten- oder Mitgliedersoftware.
- 1.
Mandantentrennung nicht voraussetzen, sondern prüfen.
Ein Kundenkonto, das Reservierungsdaten anderer Betriebe lesen kann, ist der Kern dieses Vorfalls. Frag deine Dienstleister konkret: Wie ist die Trennung technisch umgesetzt, wurde sie getestet, was passiert bei einem Massenabruf aus einem einzelnen Konto? Ein Versprechen in der Auftragsverarbeitung reicht nicht. - 2.
Zugänge zum Dienstleister härten.
MFA für alle Admin- und Kundenportale, eigene starke Passwörter, keine geteilten Kennungen. Wenn ein Konto übernommen wird, darf der Schaden auf dieses Konto begrenzt bleiben – genau das ist hier nach der vorliegenden Darstellung nicht gelungen. - 3.
Massenabrufe müssen Alarm auslösen.
Am 8. und 9. November wurden Daten „in großem Umfang“ kopiert. Ungewöhnlich viele Abfragen aus einem Konto, zur ungewöhnlichen Zeit, über ungewöhnliche Adressen gehören zu den Dingen, die ein Dienstleister bemerken und ein Kunde vertraglich verlangen sollte. RESERViSiON hat Massenabrufe nach eigenen, wiedergegebenen Angaben erst nach dem Vorfall begrenzt. - 4.
E-Mail-Versand und Integrationen getrennt absichern.
Dass echte Restaurant-Adressen für Betrugsmails missbraucht wurden, macht den Phishing-Teil so gefährlich. SMTP-Zugänge, API-Keys und eingebundene Postfächer gehören nicht in dasselbe Risiko wie das Alltags-Passwort. Nach einem Vorfall: alle Versandzugänge rotieren, SPF, DKIM und DMARC prüfen, das eigene Personal briefen. - 5.
Eine Gäste- oder Kundenwarnung vorbereiten, bevor du sie brauchst.
Café Madrid und Fürstenfelder zeigen, wie eine klare Information aussieht: Was bekannt ist, welche Daten möglich sind, was offen bleibt, was Gäste tun sollen, wohin sie sich wenden, und dass eine echte Absenderadresse nicht mehr reicht. Wer das erst formuliert, wenn das Telefon alle 30 Sekunden klingelt, verliert Zeit und Vertrauen. - 6.
Allergie- und Gesundheitsangaben als besondere Kategorie behandeln.
Wenn dein System optionale Hinweise zur Gesundheit speichert, sind das im Zweifel besondere Kategorien personenbezogener Daten. Frag, ob sie wirklich im selben Mandantenbereich liegen müssen und wie sie im Ernstfall gegenüber Betroffenen erklärt werden.
Wenn du prüfen willst, wie gut deine Dienstleister Mandanten trennen, Zugänge härten und im Ernstfall informieren, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall RESERViSiON zeigt vor allem eines: Das Risiko sitzt oft nicht in deinem eigenen Lokal, sondern in dem System, das viele Lokale gleichzeitig bedient.
Häufige Fragen
Quellen
- Café Madrid, Leipzig: Datenschutzmitteilung zum Vorfall bei RESERViSiON. Ausführlichste vorliegende Darstellung des Ablaufs, gestützt auf Untersuchungsergebnisse und Angaben von RESERViSiON; Meldung an die Aufsicht am 10.11.2026.
- Restaurant Borchardt, Berlin: Warnhinweis auf der Website.
- Berliner Morgenpost: Borchardt: Hackerangriff auf Reservierungssystem – Gäste sollen vorsichtig sein. Aussagen von Roland Mary gegenüber der B.Z.
- Münchner Merkur, Tobias Gehre: Cyber-Attacke auf Gastro-Reservierung: Hacker erbeuten tausende Kunden-Daten, 11.11.2026, 16:16 Uhr. Gespräch mit Gerhard Kohlfürst, Inhaber des Fürstenfelder.
- TAG24: Mails und Telefonnummern betroffen: Leipziger Restaurant von Hackerangriff betroffen.
- RESERViSiON GmbH, Seestr. 29, 64354 Reinheim: Angaben gegenüber Kunden, wiedergegeben in den Schreiben der Restaurants (Quellen 1 und 3). Eine eigenständige, am 12.11.2026 öffentlich nachlesbare technische Analyse des Unternehmens wurde für diesen Artikel nicht gefunden.
