Wer in Leipzig gerade eine Reservierung bestätigt oder eine Zahlung nachholen soll, sollte lieber zweimal hinschauen. Das Café Madrid hat am 11. November 2026 über einen Hackerangriff auf seinen Reservierungsdienstleister RESERViSiON GmbH informiert. Laut Vorfallbeschreibung wurden am 8. und 9. November Gästedaten in großem Umfang kopiert. Der Angriff soll am Sonntag erfolgt sein; gemeldet wurde er vom Café am Dienstag.

Nach bisherigen Angaben verschaffte sich ein Angreifer über ein Kundenkonto Zugang zum Reservierungssystem. Eine Sicherheitslücke ermöglichte offenbar auch den Zugriff auf Reservierungsdaten anderer Betriebe. Seit Montag werden betrügerische E-Mails gemeldet, die teilweise echte Angaben zu Reservierungen enthalten. Das macht die Sache unangenehm glaubwürdig: In den Nachrichten stehen mitunter korrekte Daten, während gleichzeitig zu Zahlungen oder zur Eingabe von Kreditkartendaten auf gefälschten Webseiten gedrängt wird.

Wenn die Reservierung plötzlich „bestätigt“ werden muss

Manche Nachrichten behaupten, eine Reservierung müsse per Link bestätigt werden oder werde sonst storniert. Möglich sind auch Aufforderungen, persönliche Informationen zu ergänzen. RESERViSiON warnt ausdrücklich vor solchen E-Mails und weist auf seiner Login-Seite auf Spam-Nachrichten mit Zahlungsaufforderungen hin. Der Anbieter erklärt, dass diese Nachrichten nicht von ihm stammen, und empfiehlt vorsorglich, das Passwort des E-Mail-Postfachs zu ändern.

Bei mehreren Betrieben wurden Zugangsdaten für den E-Mail-Versand missbraucht. Betrugsnachrichten können deshalb sogar von echten Restaurant- oder Hoteladressen kommen. Eine bekannte Absenderadresse oder korrekte Reservierungsdaten sind laut Café Madrid kein sicherer Echtheitsbeleg. Kontaktaufnahmen per SMS, Messenger oder Telefon sind ebenfalls möglich.

Auch das Berliner Restaurant Tim Raue berichtet über Phishing-Nachrichten, die sich auf tatsächlich bestehende Reservierungen beziehen. Laut Restaurant stammen die E-Mails weder von Tim Raue noch wurden sie in dessen Auftrag verschickt. Die offizielle Reservierungskorrespondenz erfolge dort ausschließlich über Adressen der eigenen Restaurant-Domain. Gäste sollen keine Links in verdächtigen E-Mails anklicken, keine persönlichen Daten eingeben und keine Zahlungen leisten.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Dirk Hagemann schilderte öffentlich auf X, dass er nach einer Tischreservierung mehrere angebliche Bestätigungs- und Zahlungsaufforderungen verschiedener Restaurants erhalten habe. Nach seiner Darstellung enthielten sie das tatsächliche Reservierungsdatum, die Uhrzeit und die Personenzahl. Das ist ein öffentlich beschriebener Einzelfall und wurde technisch nicht unabhängig überprüft. Gerade passende Buchungsdetails können solche Nachrichten aber besonders überzeugend wirken lassen.

Welche Daten betroffen sein könnten

Das Café Madrid nennt als potenziell betroffene Informationen:

  • Vor- und Nachname
  • E-Mail-Adresse
  • Mobil- und Festnetznummer
  • Firmenangaben
  • Allergieangaben

Welche Daten tatsächlich kopiert wurden, ist noch nicht abschließend geklärt. Das Café behandelt deshalb alle im System gespeicherten Reservierungsdaten als potenziell betroffen. Sie könnten genutzt werden, um weitere betrügerische Nachrichten zu verschicken, Zahlungen zu veranlassen oder zusätzliche persönliche Daten abzugreifen.

Neben Tim Raue warnten auch die Oldenburger Restaurants Ankerplatz und Zur Brückenwirtin vor gefälschten Reservierungs- und Zahlungs-E-Mails im Zusammenhang mit RESERViSiON. Die beiden Betriebe sind geschäftlich miteinander verbunden und daher keine vollständig unabhängigen Belege für einen bestimmten Angriffsweg. Als mögliche gemeinsame Schwachstellen kommen eine übergreifende Plattform, ein gemeinsamer Zugang, eine unzureichend gesicherte API, ein kompromittiertes Konto oder ein gemeinsamer externer Dienstleister infrage. Bewiesen ist davon bislang nichts.

Ein Hackerangriff auf RESERViSiON ist nach den ergänzenden Informationen bislang nicht belegt. Die Warnungen mehrerer Restaurants bestätigen zwar eine Phishing-Welle im Zusammenhang mit dem Reservierungsdienst, erklären aber nicht, wie die Täter an konkrete Reservierungsdaten gelangt sein könnten. Möglich wären Zugriffe auf die zentrale Plattform, ein Restaurantkonto, ein E-Mail-Postfach, eine angeschlossene Schnittstelle oder API. Es ist außerdem nicht verifiziert, dass sämtliche Buchungsdaten abgeflossen sind. Anzahl der betroffenen Betriebe, technische Ursache und Umfang eines möglichen Datenabflusses bleiben ungeklärt. Auch eine technische Erklärung für die Verknüpfung der Phishing-Nachrichten mit realen Reservierungen sowie eine bestätigte Zahl betroffener Gäste liegen nicht vor.

Was Betroffene jetzt tun sollten

Unerwartete Zahlungs- oder Bestätigungsaufforderungen sollten nicht über den enthaltenen Link bearbeitet werden. Sicherer ist es, die Reservierung über die bekannte Website oder Telefonnummer des Restaurants zu prüfen. Das Café Madrid rät außerdem, keine Links oder Anhänge in verdächtigen Nachrichten zu öffnen und keine Zahlungen aufgrund solcher Aufforderungen zu leisten. Im Zweifel: kurz direkt beim Café nachfragen, statt auf die Mail zu reagieren.

Wer bereits Kreditkartendaten auf einer verdächtigen Seite eingegeben oder eine Zahlung getätigt hat, sollte unverzüglich die Bank oder den Kartenanbieter kontaktieren und die betroffene Karte sperren lassen. Kontoauszüge und Kreditkartenabrechnungen gehören in den nächsten Tagen besonders aufmerksam kontrolliert. Wurden Passwörter eingegeben, sollten Betroffene sie über die echte Website ändern und – sofern verfügbar – die Zwei-Faktor-Authentifizierung aktivieren.

Weitere Informationen und die Kontaktdaten des Cafés stehen in einem ausführlichen Schreiben auf der Website des Café Madrid. Der externe Reservierungsanbieter untersucht den Vorfall.

Warum Restaurants und Hotels attraktive Ziele sind

Der Fall passt in ein größeres digitales Bild, das auch für den Alltag an der Uni Leipzig nicht ganz fern wirkt: Restaurants und Hotels arbeiten längst mit einer dichten Kette vernetzter Systeme – digitale Kassen, Online-Reservierungen, Gäste-WLAN, digitale Schließsysteme und IoT-Geräte in Küchen. Automatisierte Angriffe unterscheiden dabei nicht sauber zwischen kleinem Familienbetrieb und großem Hotel. Sie suchen online erreichbare Geräte.

Für Kriminelle sind Kreditkarteninformationen, E-Mail-Adressen, Bewegungs- und Essensprofile sowie Reservierungs- und Kontaktdaten wertvoll. Laut einer Auswertung von Mews stiegen die Angriffe auf Hotelsysteme innerhalb eines Jahres um rund 30 Prozent. Mehr als die Hälfte der Hotels war dieser Auswertung zufolge bereits von Datenlecks betroffen. Laut OpenTable sehen über 90 Prozent der Restaurantbetreiber Datenintegration als wichtigen Erfolgsfaktor – zentral gespeicherte Daten werden dadurch allerdings auch zu attraktiven Zielen für Datendiebe.

Ein häufiger Einfallort sind Kassensysteme: Veraltete, nicht aktualisierte Software kann Zahlungsdaten gefährden oder zur Verschlüsselung des gesamten Systems führen. Beim Gäste-WLAN wird es kritisch, wenn keine Trennung vom internen Netzwerk besteht; dann könnten kompromittierte Gäste-Geräte auf Drucker, Bürocomputer oder Server zugreifen. Reservierungs- und Pre-Check-in-Systeme speichern Namen, Adressen, Allergien und persönliche Vorlieben. Selbst alte Gästelisten und Kontaktdaten bleiben ein Risiko.

Zu den zwei häufigsten Angriffsarten zählen Ransomware und Phishing. Ransomware verschlüsselt Daten und kann Reservierungen, Buchhaltung und Kassensysteme unbrauchbar machen. Hotels sind laut Mews besonders interessant, weil sie täglich sensible Informationen wie Kreditkarteninformationen und Ausweiskopien verarbeiten. Phishing arbeitet dagegen mit täuschend echten E-Mails oder Anrufen – etwa gefälschten Rechnungen oder Passwortzurücksetzungen –, die Schadsoftware aktivieren oder Zugangsdaten stehlen können. Laut OpenTable ist Phishing der häufigste Betrugsangriff in der Gastronomie.

Daneben gibt es Infostealer, die unbemerkt gespeicherte Browser-Passwörter auslesen und so den Zugang zu Reservierungsplattformen, Onlinebanking oder sozialen Netzwerken ermöglichen. Beim Social Engineering geben sich Angreifer beispielsweise als IT-Support aus und verlangen wegen eines angeblich dringenden Updates ein Passwort. Im Service herrscht Zeitdruck, Sicherheitsregeln werden dann schneller umgangen. Schwache oder sichtbar notierte Passwörter helfen zusätzlich – ebenso wie nicht rechtzeitig entzogene Zugriffsrechte ehemaliger oder unzufriedener Mitarbeiter, die Daten kopieren oder Systeme sabotieren könnten.

Empfohlen werden deshalb ein getrenntes Gäste-WLAN per VLAN oder separatem Netzwerk, Zwei-Faktor-Authentifizierung für Reservierungssysteme, E-Mail und Banking, regelmäßige Updates für Betriebssysteme, Kassensoftware, Router, WLAN-Geräte und Reservierungstools sowie klar begrenzte Zugriffsrechte. Nach Personalwechseln sollten Berechtigungen sofort entzogen und Passwörter geändert werden. Teams brauchen Schulungen: keine verdächtigen Links öffnen, Passwörter nicht telefonisch weitergeben, ungewöhn