Datenleck bei MotelOne: Millionen Kundendaten gestohlen

Ransomware-Angriffe wie auf MotelOne nehmen derzeit zu

MotelOne hat den Vorfall nach einem Bericht der Süddeutschen Zeitung vom 6. Oktober 2023 gemeinsam mit IT-Sicherheitsexperten untersucht und am 30. September 2023 öffentlich bestätigt, Ziel eines Hackerangriffs gewesen zu sein. Die Hacker haben Adressdaten von Kunden und Kreditkartendaten abgegriffen. Das Unternehmen betont, dass der Geschäftsbetrieb zu keinem Zeitpunkt gefährdet war. Die Kanzlei Dr. Stoll & Sauer fasst kurz zusammen, was über das Datenleck bei MotelOne bisher bekannt ist:

• Die Hackergruppe ALPHV, die sich zu dem Angriff bekannt hat, verlangte von MotelOne ein Lösegeld in Höhe von 50 Millionen Euro. MotelOne lehnte die Zahlung des Lösegelds ab. Daraufhin wurden die Daten im Darknet veröffentlicht und sind frei zugänglich.
• Unter den gehackten Datenbefinden sich: fast vollständige Listen zu den Übernachtungen, Rechnungsadressen, Geburtsdaten der Kunden, interne Geschäftszahlen, Handynummern der Angestellten. Die Daten führen teilweise bis ins Jahr 2016 zurück. Das betrifft hauptsächlich die Übernachtungslisten. Die betroffenen Daten stammen laut MotelOne von Gästen aus den Jahren 2016 bis 2023. Die Daten von Mitarbeitern sind offenbar aus den Jahren 2019 bis 2023. Warum MotelOne diese Listen so lang speichert, ist bislang unbekannt.
• Die Tragweite des Datenlecks könnte erheblich sein, da es potenziell Millionen Menschen betrifft, die in den vergangenen acht Jahren in einem MotelOne übernachtet haben. Die veröffentlichten Listen enthalten Namen, Aufenthaltsdaten und Zimmernummern, was es Dritten ermöglicht, detaillierte Reiseprofile zu erstellen. Nicht jeder will seine Daten über Reisen veröffentlicht wissen. Bei Geschäftsverbindungen kann das ebenso kompromittierend sein wie bei privaten Reisen.
• Ransomware-Angriffe sind ein wachsendes Problem, und MotelOne ist nicht das einzige Unternehmen, das betroffen ist. Die Erpresser professionalisieren sich, und die Dunkelziffer solcher Vorfälle ist hoch. MotelOne plant einen Börsengang in den nächsten Jahren und hat einen erheblichen Unternehmenswert, einschließlich der Immobilientochter. Da wollte sich die Hackergruppe offensichtlich bedienen.
• Das Ausmaß des Datenlecks werfe Fragen zur internen IT-Sicherheit von MotelOne auf, und es gebe laut Süddeutscher Zeitung Hinweise darauf, dass ein Computer am Standort Ulm als Einfallstor für die Hacker gedient haben könnte. Es scheint, als ob MotelOne verbesserungswürdige IT-Sicherheitspraktiken hatte, da Passwörter für Hotel-Systeme in den veröffentlichten Daten gefunden wurden.
• MotelOne hat Strafanzeige gestellt und arbeitet mit Datenschutzbehörden und IT-Sicherheitsexperten zusammen, um den Vorfall zu untersuchen. Es gibt jedoch noch viele offene Fragen, und das Ausmaß des Schadens ist noch nicht vollständig bekannt.

Was bedeutet MotelOne-Datenleck für betroffene Verbraucher?

Der Hackerangriff ist ein ernstzunehmender Vorfall nicht nur für MotelOne, sondern vor allem für die Verbraucher. Das Datenschutzrecht gibt Betroffenen mehrere Möglichkeiten an die Hand zu reagiere:

• Die Datenschutzgrundverordnung (DSGVO) schreibt vor, dass Betroffene eines Datenlecks informiert werden müssen, insbesondere bei hohen Risiken. Betroffene haben auch das Recht auf Schadenersatz, wenn ihnen durch einen DSGVO-Verstoß ein materieller oder immaterieller Schaden entstanden ist.
• MotelOne hat nach eigenen Angaben alle betroffenen Kunden und Mitarbeiter informiert. Das Unternehmen hat auch Maßnahmen ergriffen, um die Sicherheit der Daten zu erhöhen.
• MotelOne wird von einigen Seiten kritisiert, weil das Unternehmen den Hackerangriff erst drei Wochen nach Bekanntwerden des Datenlecks öffentlich gemacht hat.
• Betroffene Kunden sollten ihre Kreditkartendaten sperren und eine neue Karte beantragen. Außerdem sollten sie ihre Passwörter für Online-Konten ändern, die mit dem MotelOne-Konto verknüpft sind.
• Kunden, deren Kreditkartendaten gestohlen wurden, sollten sich auch bei ihrer Bank melden und eine Sperrung der Karte beantragen. Außerdem sollten sie ihre Bankkonten auf ungewöhnliche Aktivitäten überprüfen.
• Die gestohlenen Daten können von Kriminellen für verschiedene Zwecke missbraucht werden. So könnten sie zum Beispiel für Identitätsdiebstahl, Phishing-Angriffe oder Online-Betrug genutzt werden.

Fazit der Kanzlei Dr. Stoll & Sauer: Das Datenleck bei MotelOne ist für betroffene Verbraucher eine ernste Angelegenheit. Sensible personenbezogene Daten sind für jedermann einsehbar. Dieser Kontrollverlust über die eigenen Daten kann einen immateriellen Schaden darstellen. Hat MotelOne gegen datenschutzrechtliche Bestimmungen verstoßen, so können Betroffene Ansprüche auf Schadensersatz erfolgreich geltend machen. Laut EuGH-Urteil vom 4. Mai 2023 (Az.: C-300/21) bestehen Ansprüche auf Schadensersatz nur dann, wenn durch einen Verstoß gegen die Datenschutzgrundverordnung (DSGVO) ein materieller oder immaterieller Schaden entstanden ist.

Betroffene Nutzer sollten sich generell über die möglichen Folgen eines Datenlecks im Klaren sein und entsprechende Maßnahmen ergreifen, um sich beispielsweise vor Phishing-Angriffen zu schützen. Mit Hilfe kombinierter Informationen aus anderen Datenlecks könnten Cyberkriminellen gezielte Phishing-Angriffe gegen Verbraucher initiieren. Dr. Stoll & Sauer rät Verbrauchern, die möglicherweise Opfer eines Datenlecks wie bei MotelOne geworden sind, zur kostenlosen Erstberatung im Online-Check. Hier prüft die Kanzlei auch die mögliche Betroffenheit von Verbrauchern.