IT-Sicherheit · Analyse
Zugangscodes im Datenabfluss: Der Cyberangriff auf SECRA Bookings
Am Freitag, dem 23. Oktober 2026, stellt das Team der SECRA Bookings GmbH fest, dass die technische Infrastruktur des Unternehmens angegriffen worden ist. Während des unbefugten Zugriffs exportieren die Angreifer Daten aus den Systemen – darunter auch Angaben, die SECRA im Auftrag von Partnern und Kunden verarbeitet. Das Unternehmen sichert die Systeme, holt Sicherheitsexperten hinzu und informiert die Datenschutzaufsicht.
Gut 24 Stunden später, am Samstag um 23:44 Uhr, folgt eine Ad-hoc-Mitteilung der HomeToGo SE nach Artikel 17 der Marktmissbrauchsverordnung. SECRA ist eine Tochter der in Luxemburg ansässigen, in Frankfurt im Prime Standard notierten Gesellschaft und bietet Software für das Channel-Management von Ferienunterkünften. Der Konzern stuft den Vorfall als kursrelevant ein, grenzt ihn nach aktuellem Kenntnisstand auf SECRA ein und erklärt, Hinweise auf einen Abfluss aus Systemen der HomeToGo SE oder anderer Konzerngesellschaften gebe es nicht. Die finanziellen Folgen für die Gruppe ließen sich noch nicht verlässlich beziffern.
Was den Fall über einen gewöhnlichen Datendiebstahl hinaushebt, steht im Sicherheitsupdate des Unternehmens selbst, Stand 12. November 2026: Für Eigentümer von Unterkünften können auch Zugangscodes betroffen sein, etwa Kombinationen für Schlüsselsafes oder Tresore, ebenso PIN-Codes elektronischer Schlösser. Aus einem Datenschutzvorfall wird eine Frage der physischen Sicherheit. Genau das solltest du dir merken, wenn dein Unternehmen nicht nur Namen und Buchungsdaten speichert, sondern auch das, was Türen öffnet.
Der Dienstleister an der Ostsee – und der Sprung an die Börse
SECRA Bookings GmbH sitzt am Wagrienring 2 in Sierksdorf, direkt an der Lübecker Bucht. Das Unternehmen beschreibt sich als spezialisierten Softwareanbieter für Channel-Management: Es verteilt und verwaltet Buchungen von Ferienunterkünften über Partner und Portale. Damit liegen in seinen Systemen nicht nur eigene Kundendaten, sondern Angaben, die Vermieter, Agenturen und Gäste dem Dienstleister anvertraut haben.
Die Gesellschaft gehört zur HomeToGo SE. Die Mutter hat ihren Sitz in Luxemburg, ist unter anderem im regulierten Markt in Frankfurt (Prime Standard) notiert und stufte den Angriff auf die deutsche Tochter als Insiderinformation ein. Diese Einordnung sagt etwas über die Bewertung des Vorfalls, nicht über dessen technischen Ablauf. Der Konzern betont in der Ad-hoc-Mitteilung, der Vorfall sei nach aktuellem Kenntnisstand auf SECRA begrenzt und die ersten Eindämmungsschritte abgeschlossen. Eine verlässliche Bezifferung der finanziellen Folgen für die Gruppe sei noch nicht möglich.
Für Gäste und Vermieter zählt eine andere Grenze: nicht die zwischen Konzerngesellschaften, sondern die zwischen einer gebuchten Unterkunft und einem Angreifer, der möglicherweise denselben Code kennt wie der Schlüsselkasten an der Tür. Genau diese Grenze macht SECRA in seinem Sicherheitsupdate ausdrücklich zum Thema.
Was betroffen sein kann – von der Anschrift bis zum Safe
SECRA listet die möglichen Datenarten offen und differenziert. Zuerst die Stammdaten, von denen das Unternehmen ausgehen muss, dass sie in den entwendeten Daten enthalten sein können: Name, E-Mail, Telefon, Anschrift, Geburtsdatum, Staatsangehörigkeit. Dann die Fälle, die nicht bei jeder Buchung vorkommen: IBAN und BIC, Kontonummern, Ausweisnummern, Angaben zur Barrierefreiheit und weitere selbst bereitgestellte Details. Welche Kombination im Einzelfall vorliegt, hängt davon ab, was für die Buchung erfasst wurde. Eine Bestätigung, welche Personen genau betroffen sind, gibt SECRA am 12. November noch nicht; die Forensik dauere an.
Schon diese Liste reicht für überzeugendes Phishing. Das Unternehmen selbst beschreibt das Risiko: Kriminelle könnten echte Namen, Anreisedaten und den Namen der gebuchten Unterkunft nutzen, um Nachrichten ein authentisches Erscheinungsbild zu geben. SECRA betont, es werde niemanden auffordern, Kreditkartendaten über WhatsApp, SMS oder private E-Mails zu übermitteln. Es gelten ausschließlich die Zahlungskonditionen der Buchungsbestätigung. Druck und dringende Zahlungsaufforderungen sollen Gäste mit dieser Bestätigung abgleichen, Links in unerwarteten Nachrichten nicht öffnen und Kontoauszüge prüfen.
Brisanter als jede Adresse sind die Zugangscodes. Im allgemeinen Teil des Updates heißt es, für Eigentümer können Kombinationen für Schlüsselsafes oder Tresore betroffen sein. In den Fragen für Gäste spricht SECRA außerdem PIN-Codes elektronischer Schlösser an und fordert die Gastgeber auf, beide Arten von Codes für betroffene Unterkünfte schnellstmöglich zurückzusetzen. Gäste mit bevorstehendem Aufenthalt sollen den Zugang vor der Anreise direkt mit dem offiziellen Ansprechpartner der Unterkunft abstimmen. Wer bereits vor Ort ist, solle von seinem Gastgeber einen neuen Code oder einen physischen Schlüssel erhalten. Gastgeber seien verpflichtet, leerstehende Unterkünfte vor der Anreise persönlich zu prüfen, und die alte PIN solle bei der Anreise nicht mehr gelten.
Das ist eine ungewöhnliche Offenheit – und eine praktische Anleitung, die weiter reicht als eine klassische Datenschutzerklärung. SECRA sagt damit zugleich, was der Vorfall bedeuten kann, und was das Unternehmen von seinen Partnern erwartet. Ob und bei wie vielen Objekten Codes tatsächlich entwendet wurden, bleibt in der öffentlichen Darstellung offen. Die Anweisung zum Zurücksetzen gilt trotzdem.
„Für Eigentümer von Unterkünften ist besonders zu beachten, dass auch Informationen wie Zugangscodes (beispielsweise Kombinationen für Schlüsselsafes oder Tresore) betroffen sein können.“
Was das Unternehmen getan hat – und was offen bleibt
Nach der Entdeckung am 23. Oktober hat SECRA nach eigenen Angaben unverzüglich Maßnahmen ergriffen, die Systeme gesichert, Sicherheitsexperten hinzugezogen und die zuständigen Behörden formell benachrichtigt. Die Ad-hoc-Mitteilung der Mutter vom Folgetag bestätigt, dass die ersten Eindämmungsschritte in Zusammenarbeit mit der HomeToGo SE und der HomeToGo GmbH abgeschlossen seien. Den unberechtigten Zugriff auf die Systeme bezeichnet SECRA später als unterbunden. Buchungen sollen deshalb nicht storniert werden müssen; zuständig für Stornierungen bleibt der jeweilige Vertragspartner der Unterkunft.
Die Meldekette ist öffentlich nachvollziehbar. Am 24. Oktober kündigte HomeToGo an, die zuständige Datenschutzaufsicht werde in Kürze unterrichtet, Benachrichtigungen an Betroffene würden vorbereitet und unverzüglich versandt. Im Update vom 12. November erklärt SECRA, der Vorfall sei dem ULD Schleswig-Holstein ordnungsgemäß und innerhalb der Frist von 72 Stunden nach Artikel 33 der DSGVO gemeldet, außerdem Strafanzeige bei der Landespolizei Schleswig-Holstein erstattet worden. Eine veröffentlichte Zahl, wie viele Personen individuell benachrichtigt wurden, enthält das Update nicht.
Offen bleibt auch am 12. November einiges, das für Betroffene zählt. Die Forensik läuft. SECRA kann noch nicht bestätigen, welche Personen im Detail betroffen sind, und nennt keine Gesamtzahl. Hinweise auf einen missbräuchlichen Einsatz oder ein Angebot der Daten im Darknet liegen dem Unternehmen eigenen Angaben zufolge bisher nicht vor; das schließt einen späteren Missbrauch nicht aus. Eine pauschale finanzielle Entschädigung sei „derzeit nicht vorgesehen“; nachweisbaren Schaden wolle SECRA im Einzelfall prüfen. Der Einfallsweg und die genaue Täterschaft werden nicht genannt.
Zur IBAN, die in einigen Fällen betroffen sein kann, gibt SECRA eine sachliche Einordnung: Eine IBAN allein berechtige in der Regel nicht zu Abhebungen, Betrüger könnten jedoch versuchen, unberechtigte Lastschriften einzureichen. Bei rechtzeitiger Meldung könnten nicht autorisierte SEPA-Lastschriften in der Regel zurückgebucht werden. Das ist keine Entwarnung, sondern eine Handlungsanweisung – und sie gehört zu dem Bild, das das Unternehmen von den möglichen Folgen zeichnet.
Zeitstrahl des Ablaufs
23. Oktober 2026:
Das Team von SECRA Bookings stellt fest, dass die technische Infrastruktur angegriffen worden ist. Die Angreifer haben nach Unternehmensangaben Daten exportiert, auch solche, die SECRA im Auftrag von Partnern und Kunden verarbeitet. SECRA leitet Eindämmungsmaßnahmen ein. Quelle: SECRA-Sicherheitsupdate, Stand 12.11.2026.24. Oktober 2026, 23:44 Uhr:
Die HomeToGo SE veröffentlicht eine Ad-hoc-Mitteilung. Der Vorfall sei nach aktuellem Stand auf SECRA begrenzt, die ersten Eindämmungsschritte abgeschlossen, Hinweise auf einen Abfluss aus anderen Konzerngesellschaften gebe es nicht. Die finanziellen Folgen ließen sich noch nicht verlässlich beziffern. Die Meldung an die Aufsicht und die Benachrichtigung Betroffener werden angekündigt. Quelle: Ad-hoc-Mitteilung der HomeToGo SE.Innerhalb von 72 Stunden nach Bekanntwerden:
SECRA meldet den Vorfall nach eigenen Angaben dem ULD Schleswig-Holstein gemäß Artikel 33 der DSGVO und erstattet Strafanzeige bei der Landespolizei Schleswig-Holstein. Quelle: SECRA-Sicherheitsupdate.12. November 2026:
SECRA aktualisiert das öffentliche Sicherheitsupdate. Die Forensik läuft weiter. Das Unternehmen wiederholt die möglichen Datenarten einschließlich der Zugangscodes, sieht weiterhin keine Hinweise auf einen missbräuchlichen Einsatz der Daten und gibt keine Zahl betroffener Personen bekannt. Quelle: SECRA-Sicherheitsupdate, Stand 12.11.2026.
Was heißt das für dein Unternehmen?
Der Fall SECRA ist zuerst ein Lieferkettenfall: Ein spezialisierter Softwareanbieter verarbeitet die Daten vieler Partner und ihrer Gäste. Er ist zugleich ein Fall über physische Sicherheit. Beides solltest du in deiner eigenen IT zusammen denken, nicht nacheinander.
- 1.
Zugangscodes wie Geheimnisse behandeln, nicht wie Stammdaten.
Wer Kombinationen von Schlüsselsafes oder PIN-Codes elektronischer Schlösser speichert, speichert etwas, das eine Tür öffnet. Diese Werte gehören getrennt, eng begrenzt und so, dass du sie nach einem Vorfall gezielt ungültig machen kannst. Wenn dein System nach einem Angriff nicht weiß, welche Objekte einen neuen Code brauchen, bleibt nur das pauschale Zurücksetzen aller Schlösser – genau das, wozu SECRA seine Partner auffordert. - 2.
Den Ernstfall der physischen Sicherheit vorbereiten.
SECRA verlangt von Gastgebern nicht nur neue Codes, sondern auch, dass leerstehende Unterkünfte vor der Anreise persönlich geprüft werden und Gäste, die schon vor Ort sind, einen neuen Code oder einen Schlüssel erhalten. In deinem Unternehmen brauchst du denselben Plan, sobald du Zutrittsdaten verarbeitest: Wer setzt zurück, wer informiert Menschen vor Ort, und was passiert, wenn der Ansprechpartner nicht erreichbar ist? - 3.
Dienstleister danach befragen, was sie außer Namen noch halten.
SECRA verarbeitet Daten im Auftrag. Das ist der Alltag vieler SaaS-Anbieter in Tourismus, Handel und Verwaltung. Frag deine Dienstleister konkret: Liegen bei euch Zugangscodes, Ausweisnummern, IBANs oder Gesundheits- und Barrierefreiheitsangaben? Wie sind sie getrennt? Wie schnell könnt ihr uns nach einem Vorfall sagen, welche unserer Kunden betroffen sind? Ein Vertrag ohne diese Antworten ist in einem Fall wie diesem zu wenig. - 4.
Mit Phishing rechnen, das echte Buchungsdaten verwendet.
Namen, Anreisedaten und der Name der Unterkunft reichen für täuschend echte Nachrichten. Lege öffentlich fest, über welche Kanäle ihr jemals Zahlungsdaten entgegennehmt – und über welche niemals. SECRA sagt das klar: nicht per WhatsApp, SMS oder privater E-Mail, sondern nach den Konditionen der Buchungsbestätigung. - 5.
Meldeketten und Börsenpflicht nicht miteinander verwechseln.
Die Ad-hoc-Mitteilung der Mutter war am 24. Oktober da, die Aufsichtsmeldung nach Artikel 33 kündigte sie noch an; zwei Wochen später beschreibt SECRA sie als erfolgt. Für dich zählen beide Spuren: die Information von Aufsicht und Betroffenen innerhalb der gesetzlichen Fristen – und, falls du oder deine Muttergesellschaft börsennotiert ist, die Frage, ob der Vorfall kursrelevant ist. Das eine ersetzt das andere nicht. - 6.
Keine Entwarnung aus einem leeren Darknet ableiten.
SECRA lässt relevante Kanäle überwachen und sieht bisher keine Hinweise auf ein Datenangebot. Das ist eine Momentaufnahme, keine Garantie. Plane die Kommunikation mit Betroffenen so, dass du nachlegen kannst, wenn später doch etwas auftaucht – und nimm eine IBAN oder einen Ausweis auch dann ernst, wenn noch niemand sie missbraucht hat.
Wenn du prüfen willst, wie gut in deinem Unternehmen Dienstleister, Zutrittsdaten und die Kommunikation nach einem Datendiebstahl aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall SECRA zeigt vor allem eines: Ein Angriff auf einen Buchungsdienstleister kann nicht nur Adressen entwenden, sondern den Code, der die Tür zur Unterkunft öffnet.
Häufige Fragen
Quellen
- SECRA Bookings GmbH: Informationen zum Sicherheitsvorfall und häufig gestellte Fragen, Stand 12.11.2026. Entdeckung am 23.10.2026, exportierte Daten, mögliche Datenarten einschließlich Zugangscodes, Meldung an das ULD und Strafanzeige, Hinweise für Gäste und Gastgeber.
- HomeToGo SE: Unauthorized data exfiltration at subsidiary SECRA Bookings GmbH, Ad-hoc-Mitteilung nach Artikel 17 der Marktmissbrauchsverordnung, 24.10.2026, 23:44 Uhr (EQS News ID 2421656). Begrenzung auf SECRA, abgeschlossene erste Eindämmung, offene finanzielle Bewertung, angekündigte Meldung an die Aufsicht.
- SECRA Bookings GmbH: News-Seite mit Sicherheitshinweis. Verweis auf das vollständige Sicherheitsupdate und auf das SECRA-Informationsportal für Agenturen und Partner.
- derimeter: Angriff auf SECRA: Gästedaten weg, Safe-Codes müssen neu. Einordnung der Ad-hoc-Mitteilung und des SECRA-Updates, unter anderem zur Bedeutung der Zugangscodes.
- HomeToGo SE: Angaben zum Emittenten in derselben EQS-Meldung (Sitz in Luxemburg, Notierung unter anderem im Prime Standard in Frankfurt, ISIN LU2290523658).
- SECRA Bookings GmbH: Impressum und Kontakt auf secra.de, Sitz Wagrienring 2, 23730 Sierksdorf.
