Die Secra Bookings GmbH aus Sierksdorf an der Ostsee hat am 23. Oktober 2026 einen Cyberangriff auf ihre technische Infrastruktur festgestellt. Die Angreifer haben Daten exportiert, auch solche, die Secra im Auftrag von Partnern und Kunden verarbeitet. Das schreibt das Unternehmen auf seiner Infoseite zum Vorfall. Secra liefert Buchungs- und Vertriebssoftware für Ferienunterkünfte und stellt laut aviation.direct Schnittstellen zwischen regionalen Tourismusorganisationen, Vermietern und großen Buchungsportalen bereit. Die Firma gehört zur börsennotierten HomeToGo-Gruppe, die den Vorfall Ende Oktober per Ad-hoc-Mitteilung öffentlich gemacht hat.
Welche Daten betroffen sein können
Laut Secra können bei Gästen Name, E-Mail-Adresse, Telefonnummer, Anschrift, Geburtsdatum und Nationalität abgeflossen sein, in einzelnen Fällen auch IBAN und BIC, Kontonummern, Ausweisnummern und Angaben zur Barrierefreiheit. Bei Eigentümern können Zugangscodes für Schlüsseltresore oder Safes betroffen sein. Wer genau betroffen ist, steht noch nicht fest, die forensische Untersuchung läuft. Hinweise, dass die Daten im Netz aufgetaucht sind oder verkauft werden, gibt es nach Angaben des Unternehmens bisher nicht.
Der IT-Blogger Günter Born berichtete am 27. Oktober, dass Gäste bereits Benachrichtigungen erhalten haben, etwa zu Buchungen über Mittelholstein-Tourismus und ferienwohnungen.de. Laut ferienwohnungen.de sind dort nur Buchungen für Unterkünfte betroffen, die über Secra verwaltet werden. Die eigenen Systeme seien nicht angegriffen worden.
Was Secra unternommen hat
Secra hat nach eigenen Angaben die Systeme abgesichert, Sicherheitsexperten eingeschaltet, den Vorfall innerhalb von 72 Stunden der Datenschutzbehörde ULD Schleswig-Holstein gemeldet und Strafanzeige bei der Landespolizei erstattet. Alle Partner wurden angewiesen, PINs elektronischer Schlösser und Kombinationen von Schlüsseltresoren für betroffene Unterkünfte zurückzusetzen. Eine pauschale Entschädigung ist nicht geplant. Nachgewiesene finanzielle Schäden will Secra im Einzelfall prüfen.
Secra warnt außerdem vor Phishing: Mit echten Namen, Anreisedaten und Unterkunftsnamen lassen sich gefälschte Zahlungsaufforderungen besonders glaubwürdig gestalten.
Was heißt das für euch?
Wenn eure Ferienwohnung direkt oder über eine Agentur oder Tourismusorganisation mit Secra arbeitet, setzt die Codes für Schlüsseltresore und elektronische Schlösser jetzt neu. Seht vor der nächsten Anreise selbst in der leeren Wohnung nach und schickt euren Gästen erst kurz vorher einen neuen Code. Wisst ihr nicht, ob eure Buchungen über Secra laufen, fragt bei eurer Agentur oder Tourismusorganisation nach.
Warnt eure Gäste: Ihr fordert niemals Zahlungen per WhatsApp, SMS oder privater E-Mail an, es gelten nur die Bedingungen aus der Buchungsbestätigung. Ob ihr selbst Meldepflichten nach der DSGVO habt, lasst im Einzelfall rechtlich prüfen.
Quellen
- Secra Bookings: Sicherheitsvorfall und FAQ
- BornCity: Sicherheitsvorfall bei Secra Bookings; Buchungen über Mittelholstein-Tourismus, ferienwohnungen.de etc. betroffen (27. Oktober 2026)
- aviation.direct: Cyberangriff auf HomeToGo-Tochtergesellschaft SECRA Bookings führt zu Datenabfluss (30. Oktober 2026)
