IT-Sicherheit · Analyse
Früh erkannt, später erpresst: Der Ransomware-Angriff auf die SEETELHOTELS
Am Samstag, dem 10. Oktober 2026, stellt die IT-Abteilung der Seetel Hotel GmbH & Co. Betriebs-KG einen unerlaubten Zugriff auf interne IT-Systeme fest. Die SEETELHOTELS auf Usedom sind nach eigenen Worten Opfer eines Ransomware-Angriffs geworden. Das Unternehmen isoliert betroffene Systeme und nimmt sie vom Netz, holt einen vom Bundesamt für Sicherheit in der Informationstechnik empfohlenen Dienstleister hinzu und erstattet Anzeige beim Landeskriminalamt. Der Hotelbetrieb läuft ohne größere Einschränkungen weiter; betroffen sind nach der ersten öffentlichen Darstellung vor allem Kommunikationskanäle und Verwaltungsprozesse.
Vier Tage später, am 14. Oktober, informiert die Gruppe ihre Gäste auf der eigenen Website. Am 20. Oktober folgt ein Update, das die Lage verschärft. Im Zusammenhang mit dem Vorfall liege inzwischen ein Erpressungsversuch vor. Die Angreifer drohen damit, erlangte Daten zu veröffentlichen. Ob und in welchem Umfang Daten tatsächlich ausgeleitet wurden, kann das Unternehmen zu diesem Zeitpunkt weder bestätigen noch vollends ausschließen. Nach derzeitigem Kenntnisstand scheinen insbesondere interne Vermerke zu Buchungsvorgängen betroffen zu sein – und in solchen Vermerken können unter Umständen Kreditkartennummern stehen.
Der Fall ist ein Lehrstück über die zweite Stufe der Erpressung. Der laufende Angriff wurde nach Darstellung der Gruppe früh erkannt und weitestgehend unterbunden. Das Geschäft in den Häusern ging weiter. Zehn Tage später zählt nicht mehr in erster Linie die Verschlüsselung, sondern die Drohung, Daten zu veröffentlichen. Genau das solltest du dir merken, wenn deine Sicherungskopien den Betrieb retten: Sie schützen dich nicht vor der zweiten Forderung.
Der frühe Fund – und warum der Betrieb weiterlief
Die erste öffentliche Darstellung datiert vom 14. Oktober und ist in der Sache eindeutig. Die SEETELHOTELS sind Opfer eines Ransomware-Angriffs. Die eigene IT hat den unerlaubten Zugriff am Samstag, dem 10. Oktober, festgestellt. Weil der Angriff früh entdeckt und weitestgehend unterbunden werden konnte, seien „aktuell lediglich einige Kommunikationskanäle und Administrations-Prozesse betroffen“. Der Geschäftsbetrieb laufe ohne größere Einschränkungen weiter. Wer per E-Mail längere Antwortzeiten erlebt, wird um Geduld gebeten; im Zweifel bleibt die Adresse [email protected].
Das ist ein anderer Auftakt als bei vielen Ransomware-Fällen, in denen zuerst der Betrieb zusammenbricht. Die Gruppe beschreibt sich als in der Lage, den laufenden Angriff zu stoppen, die Systeme zu isolieren und den Hotelalltag aufrechtzuerhalten. Im FAQ vom 20. Oktober ergänzt sie, die betroffenen IT-Systeme würden „komplett neu aufgesetzt und installiert“, alle Daten forensisch auf Schadsoftware geprüft. Sicherheit gehe vor Schnelligkeit, der Betrieb laufe bis dahin über Ausweichprozesse. Eine hundertprozentige Sicherheit gebe es trotz bestehender Schutzmaßnahmen nie; der Vorfall werde zum Anlass genommen, die Vorkehrungen zu erweitern.
Eine kleine Datumsabweichung verdient eine genaue Lesart. Die Erstinformation spricht von „Samstag, 10. Oktober 2026“. Der 10. Oktober 2026 war ein Samstag. Das FAQ mit Stand 20. Oktober schreibt an einer Stelle „Samstag, den 11. Oktober 2026“ – ein Tag, der ein Sonntag war. Für den Ablauf dieser Darstellung gilt das Datum der Erstinformation, also der 10. Oktober. Der Tracker auf wasacon.com führt den Fall unter dem 19. Oktober; das ist nicht der Tag der Entdeckung, sondern ein späteres Datum in der öffentlichen Spur, nicht die Angabe des Unternehmens.
Die Sofortmaßnahmen sind detailliert und nachvollziehbar. Systeme werden isoliert und offline genommen, „jegliche Internet- und Netzwerkverbindungen“ getrennt. Ein externer, vom BSI empfohlener Dienstleister übernimmt die forensische Analyse. Die Datenschutzbehörde des Landes erhält eine fristgerechte Vorabmeldung, das LKA eine Anzeige. Diese Kette – Isolation, Forensik, Aufsicht, Strafanzeige – ist das, was ein Notfallplan in den ersten Stunden leisten soll.
Die Vermerke, die virtuellen Karten und die zweite Forderung
Am 20. Oktober verschiebt sich der Schwerpunkt. Der Angriff ist nach Darstellung der Gruppe nicht mehr nur ein unterbundener Einbruch, sondern mit einem Erpressungsversuch verbunden. Die Angreifer drohen, erlangte Daten zu veröffentlichen. Das Unternehmen kann zu diesem Zeitpunkt weder bestätigen noch vollends ausschließen, dass Daten tatsächlich unbefugt ausgeleitet wurden und in welchem Umfang eine Veröffentlichung erfolgen könnte. Es beobachtet mögliche Veröffentlichungen und verspricht, Betroffene „proaktiv und zeitnah“ zu informieren, falls personenbezogene Daten erscheinen.
Zugleich wird die mögliche Beute konkreter – und vorsichtiger eingeordnet als manche Berichte nahelegen. Nach aktuellem Kenntnisstand scheinen „insbesondere interne Vermerke zu Buchungsvorgängen“ betroffen zu sein. In solchen Vermerken können unter Umständen Kreditkartennummern stehen. Die entscheidende Klarstellung folgt unmittelbar: Nach bisheriger Einschätzung handelt es sich bei diesen Nummern „nahezu ausschließlich um einmalig verwendbare virtuelle Kreditkartennummern“, die nur der internen Abrechnung zwischen Vermittlungsdiensten und den Hotels dienten und danach ihre Gültigkeit verloren. Es handele sich „grundsätzlich nicht um die persönlichen Kreditkartendaten, mit denen unsere Gäste ihre privaten Zahlungen tätigen“.
Diese Unterscheidung ist für Gäste zentral, und sie ist keine vollständige Entwarnung. Die Gruppe schließt nicht aus, dass in „einzelnen sehr seltenen Ausnahmefällen“ auch persönliche Kreditkartendaten in den Vermerken notiert wurden, etwa bei technischen Störungen im Zahlungsvorgang. Ob und in welchem Umfang das vorkommt, werde geprüft. „Selbstverständlich sind Pin und CCV-Nummern nicht vermerkt gewesen“, schreibt das Unternehmen – mit der Schreibweise „CCV“, die üblicherweise CVV meint. Wer Unregelmäßigkeiten auf der Abrechnung feststellt, solle widersprechen und die Polizei einschalten.
Im FAQ vom selben Tag listet die Gruppe weitere Kategorien, die potenziell betroffen sein können: Kunden- und Buchungsdaten, interne Verwaltungsdaten, Unternehmens- und Kontaktdaten von Geschäftspartnern sowie Dokumente aus der Zusammenarbeit. Ein Abfluss ist damit weiterhin möglich, nicht nachgewiesen. Das FAQ hält fest, eine Lösegeldforderung liege „bisher nicht vor“. Das steht nicht im Widerspruch zum Update: Ein Erpressungsversuch mit der Drohung, Daten zu veröffentlichen, ist die zweite Stufe; eine bezifferte Lösegeldforderung muss damit nicht bereits ausgesprochen sein. Die angekündigte Linie ist klar: keinen Kontakt zu den Angreifern, Empfehlungen des BKA.
„Im Zusammenhang mit dem Cybervorfall liegt inzwischen ein Erpressungsversuch vor. Die Angreifer drohen damit, erlangte Daten zu veröffentlichen.“
Die tagesschau greift beide Stufen auf: am 15. Oktober den Angriff und die frühe Isolation, am 24. Oktober den Erpressungsversuch, den die Geschäftsführung auf ihrer Website und in einer Mail an alle Gäste bestätigt. Unter den Daten können nach dieser Berichterstattung auch Kreditkarteninformationen sein – eine Aussage, die sich mit den Vermerken des Unternehmens deckt, ohne die Unterscheidung zwischen virtuellen und persönlichen Karten aufzuheben. Das LKA ermittelt weiter.
Behauptungen über eine Nennung der SEETELHOTELS auf einer Leak-Seite und über dort aufgeführte Datenarten – etwa Ausweise oder vollständige Kartendaten einschließlich Prüfnummern – stammen nicht vom Unternehmen. Die SEETELHOTELS nennen öffentlich keine Tätergruppe und widersprechen gerade der Annahme, persönliche Kartendaten und Prüfnummern seien der Regelfall. Für diese Darstellung gelten die Angaben der Gruppe, nicht die Ansprüche Dritter.
Zeitstrahl des Ablaufs
10. Oktober 2026:
Die IT-Abteilung stellt einen unerlaubten Zugriff fest. Betroffene Systeme werden isoliert und offline genommen, ein vom BSI empfohlener Dienstleister hinzugezogen, die Datenschutzaufsicht und das LKA informiert. Quelle: Erstinformation vom 14.10.2026.14. Oktober 2026:
Die SEETELHOTELS veröffentlichen die Erstinformation für Gäste. Der Angriff sei früh erkannt, der Betrieb laufe ohne größere Einschränkungen, ein Abfluss personenbezogener Daten könne nicht vollends ausgeschlossen werden. Warnung vor Phishing. Quelle: dieselbe Seite; tagesschau, 15.10.2026.20. Oktober 2026:
Update und FAQ. Ein Erpressungsversuch liegt vor, die Angreifer drohen mit Veröffentlichung. Im Vordergrund stehen interne Buchungsvermerke, nahezu ausschließlich mit virtuellen Kartennummern; Ausnahmen persönlicher Kartendaten werden geprüft. Systeme werden neu aufgesetzt. Eine Lösegeldforderung liegt nach dem FAQ bisher nicht vor. Quelle: Update und FAQ, Stand 20.10.2026.24. Oktober 2026:
Die tagesschau berichtet über den Erpressungsversuch und die Gästeinformation per Website und E-Mail. Das LKA ermittelt weiter. Quelle: tagesschau, 24.10.2026.Stand 12. November 2026:
Eine neuere öffentliche Lagebewertung der SEETELHOTELS als die Texte vom 20. Oktober liegt dieser Recherche nicht vor. Ob Daten veröffentlicht wurden, ist aus den ausgewerteten Quellen nicht ersichtlich.
Was heißt das für dein Unternehmen?
Der Fall der SEETELHOTELS ist ein Fall über schnelle Isolation – und über das, was nach einer gelungenen Isolation trotzdem bleibt. Du kannst den Betrieb retten und trotzdem erpresst werden.
- 1.
Früh erkennen reicht nicht, wenn Daten schon kopiert sind.
Die Gruppe sagt, der Angriff sei früh entdeckt und weitestgehend unterbunden worden. Trotzdem muss sie zehn Tage später über einen Erpressungsversuch sprechen. In deinem Unternehmen solltest du die Frage „Haben die Angreifer Daten mitgenommen?“ parallel zur Isolation stellen, nicht erst, wenn eine Drohung eintrifft. Dafür brauchst du Protokolle, die einen Abfluss belegen oder eingrenzen können. - 2.
Notizen sind Daten, nicht harmlose Randbemerkungen.
Die mögliche Beute sind hier keine klassischen Kartenterminal-Speicher, sondern interne Vermerke zu Buchungen. Genau dort können Nummern landen, die niemand in diesem Feld erwartet hätte. Verbiete in deinen Prozessen, Zahlungsdaten in Freitextfeldern, Tickets oder E-Mails festzuhalten. Was nicht notiert wird, kann nicht mit den Vermerken abfließen. - 3.
Virtuelle und persönliche Kartendaten klar trennen – und das auch erklären.
Die SEETELHOTELS unterscheiden öffentlich zwischen einmaligen virtuellen Karten der Vermittler und den privaten Karten der Gäste. Diese Unterscheidung nimmt Angst, ohne zu beschönigen, weil Ausnahmen geprüft werden. In deiner Kommunikation nach einem Vorfall solltest du denselben Unterschied machen: Was lag wirklich in dem System, welche Daten sind abgelaufen, welche nicht – und was schließt du ausdrücklich aus, etwa Prüfnummern. - 4.
Die zweite Erpressungsstufe in den Notfallplan schreiben.
Ein Plan, der nur die Verschlüsselung kennt, endet, sobald die Systeme wiederlaufen. Die SEETELHOTELS stehen danach vor der Drohung einer Veröffentlichung. Lege vorher fest, dass du nicht verhandelst, wen du informierst und wie du mögliche Leaks beobachtest. Die Gruppe sagt genau das: keinen Kontakt, Empfehlungen des BKA, aktive Überwachung. - 5.
Gäste vor Phishing warnen, bevor die erste gefälschte Mail ankommt.
Schon die Erstinformation vom 14. Oktober beschreibt das Muster: Nachrichten im Namen der Hotels, geänderte Kontoverbindungen, WhatsApp, Links und Anhänge. Das gehört in deine erste öffentliche Meldung, nicht in ein späteres FAQ. Nenne einen prüfbaren Kanal – hier eine E-Mail-Adresse und eine Telefonnummer –, über den ihr jemals Zahlungsänderungen mitteilt. - 6.
Den Betrieb und die Datenfrage getrennt berichten.
„Die Häuser laufen weiter“ ist für Gäste eine wichtige Nachricht. Sie beantwortet nicht, ob Buchungsdaten betroffen sind. Die SEETELHOTELS halten beides auseinander: operative Normalität auf der einen Seite, vorsichtige, nachgezogene Angaben zu Vermerken und Karten auf der anderen. Übernimm diese Trennung. Eine offene Rezeption ersetzt keine Auskunft über personenbezogene Daten.
Wenn du prüfen willst, wie gut in deinem Unternehmen Isolation, Freitext-Zahlungsdaten und die Kommunikation nach einer Erpressung aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall der SEETELHOTELS zeigt vor allem eines: Ein früh erkannter Angriff kann den Hotelbetrieb retten – und trotzdem in einer Drohung enden, Daten zu veröffentlichen.
Häufige Fragen
Quellen
- SEETELHOTELS: Wichtige Gästeinformation zum Cyber-Vorfall. Erstinformation vom 14.10.2026 (Entdeckung am 10.10., Ransomware, Isolation, Behörden, Phishing-Warnung) und Update vom 20.10.2026 (Erpressungsversuch, Buchungsvermerke, virtuelle Kartennummern).
- SEETELHOTELS: FAQ auf derselben Seite, Stand 20.10.2026. Neuaufsetzen der Systeme, bisher keine Lösegeldforderung, kein Kontakt zu den Angreifern, mögliche Datenkategorien, Hinweise zu Kreditkarten und Passwörtern.
- tagesschau / NDR: Cyberangriff auf Usedomer Hotelkette, 15.10.2026. Frühe Erkennung, Isolation, offene Datenfrage, LKA.
- tagesschau / NDR: Nach Hacker-Angriff auf Usedom Erpressungsversuch, 24.10.2026. Bestätigung des Erpressungsversuchs durch die Geschäftsführung, Mail an Gäste, mögliche Kreditkarteninformationen.
- NDR: Cyberangriff auf Usedomer Hotelkette, 15.10.2026. Parallelbericht zur tagesschau-Meldung.
- derimeter: Usedom: Erpresser drohen Seetelhotels mit Datenleck, 27.10.2026. Einordnung der Unternehmensangaben und der zweiten Erpressungsstufe.
