Schutz und Sicherheit personenbezogener Daten

MITTEILUNG ÜBER EINE VERLETZUNG DES SCHUTZES PERSONENBEZOGENER DATEN

Reservierungsverwaltungssystem des Auftragsverarbeiters Phobs d.o.o. – Tag der Kenntnisnahme: 4. Juni 2026

Im Anschluss an die Mitteilungen, die unsere Gäste bereits erhalten haben, möchten wir hiermit weitere Informationen bereitstellen und alle interessierten Parteien transparent über das betreffende Ereignis informieren:

ART DER VERLETZUNG DES SCHUTZES PERSONENBEZOGENER DATEN

Wann?

Die ersten Meldungen von Gästen, die eine Unterkunft in Valamar-Objekten gebucht hatten, gingen am 4. Juni 2026 in den Morgenstunden ein, als Mitarbeitende des Valamar-Reservierungszentrums (VRC) bei der Bearbeitung der eingegangenen Korrespondenz Anfragen und Nachrichten von Gästen zu dem genannten Ereignis erfassten. Dieser Zeitpunkt stellt zugleich den Moment dar, zu dem Valamar erstmals von einem möglichen Sicherheitsvorfall Kenntnis erlangte, in dessen Folge es auch zu einer Verletzung des Schutzes personenbezogener Daten kam. Im Laufe desselben Tages erhielt Valamar weitere Informationen über den Vorfall, zunächst mündlich und anschließend schriftlich von der Gesellschaft PHOBS d.o.o. za informatičke usluge mit Sitz in Dubrovnik, Vukovarska 19, OIB: 09221756952 (nachfolgend: Phobs).

Wie?

Valamar Riviera nutzt als Verantwortlicher für die Verarbeitung der personenbezogenen Daten von Personen, die eine Unterkunft in Valamar-Objekten gebucht haben, das Reservierungsverarbeitungssystem des Auftragsverarbeiters Phobs auf Grundlage eines Vertrags über die geschäftliche Zusammenarbeit und eines Vertrags über die Verarbeitung personenbezogener Daten. Der Auftragsverarbeiter erbringt seine Dienstleistung für eine Vielzahl von Verantwortlichen (Hoteliers) und verarbeitet im System die Reservierungen mehrerer unabhängiger Verantwortlicher.

Nach der Mitteilung von Phobs entstand der Vorfall durch die Kompromittierung von Zugangsdaten (eines einzelnen Benutzerkontos, das nicht zu Valamar gehört) sowie durch den missbräuchlichen, böswilligen Einsatz einer bestehenden Funktionalität des IT-Systems von Phobs mit dem Ziel, Reservierungsdaten zu entwenden.

Welche Gäste?

Zum jetzigen Zeitpunkt lässt sich nicht feststellen, welche konkreten Reservierungen von dem Vorfall betroffen sind, sodass auch nicht bekannt ist, welche Gäste und welche Daten betroffen sind Aufgrund des Inhalts der eingegangenen Nachrichten kann lediglich vermutet werden, dass es sich um Gäste handelt, die in diesem Jahr eine Unterkunft in Valamar-Objekten gebucht haben.

Welche Daten?

Von Phobs haben wir Informationen zu den Kategorien der Daten erhalten, die potenziell von dem Vorfall betroffen sein könnten:

• Identifikations- und Kontaktdaten des Reservierungsinhabers sowie der Gäste (Vor- und Nachname, Adresse, Postleitzahl, Ort, Land, E-Mail-Adresse, Telefon- und Mobiltelefonnummer);
• Buchung und Unterkunftsdaten (Reservierungscode und -quelle, gebuchte Unterkunft, An- und Abreisedatum, Anzahl der Übernachtungen, Verpflegungsart, Sonderwünsche, Anzahl der Erwachsenen und Kinder sowie die in der Reservierung angegebenen Gästenamen);
• Finanzdaten im Zusammenhang mit Reservierungen (Währung, Rabatte, zusätzliche Gebühren und Gesamtbetrag);
• Transaktionsdaten und bestimmte Zahlungskartendetails.

Die Zahlungskartendetails umfassen den Kartentyp, die letzten vier Ziffern der Kartennummer, das Ablaufdatum und den Namen des Karteninhabers. Die vollständige Kartennummer (PAN) und der Sicherheitscode (CVV) waren nicht betroffen.

Es ist uns wichtig zu betonen, dass nach den derzeit vorliegenden Informationen kein unmittelbares Risiko eines Missbrauchs von Zahlungskarten auf Grundlage dieser Daten besteht. Da die Angreifer keinen Zugriff auf vollständige Kartendaten hatten, versuchen sie, diese über betrügerische Nachrichten (sogenanntes Smishing/Phishing) zu erlangen. Dabei werden Empfänger dazu verleitet, auf einen gefälschten Link zu klicken und anschließend ihre vollständigen Zahlungskartendaten einzugeben.

WAHRSCHEINLICHE FOLGEN DER VERLETZUNG DES SCHUTZES PERSONENBEZOGENER DATEN

Zu den wahrscheinlichen Folgen gehört der mögliche Erhalt betrügerischer Nachrichten (sogenanntes Smishing/Phishing), die auf den ersten Blick glaubwürdig erscheinen, jedoch das Risiko eines Betrugs erhöhen können. Darüber hinaus kann ein Risiko der unbefugten Nutzung personenbezogener Daten nicht vollständig ausgeschlossen werden, auch wenn dieses nicht zwingend in direktem Zusammenhang mit dem ursprünglichen Vorfall stehen muss.

MAßNAHMEN, DIE DER VERANTWORTLICHE ZUR BEHEBUNG DER VERLETZUNG DES SCHUTZES PERSONENBEZOGENER DATEN ERGRIFFEN HAT ODER VORGESCHLAGEN HAT, GEGEBENENFALLS EINSCHLIESSLICH MASSNAHMEN ZUR ABMILDERUNG IHRER MÖGLICHEN NACHTEILIGEN AUSWIRKUNGEN.

Valamar hat eine Reihe von Maßnahmen ergriffen, um das Risiko zu minimieren und die Gäste zu schützen. Neben individuellen Antworten auf eingegangene Anfragen wurden Gäste mit potenziell betroffenen Reservierungen gewarnt und informiert, um betrügerischen Nachrichten vorzubeugen und das Risiko zu verringern, diesen zum Opfer zu fallen.

Unsere interne IT-Abteilung führt in Zusammenarbeit mit externen IT-Partnern zusätzliche Prüfungen und Analysen der IT-Infrastruktur durch. Dabei wurden keine Unregelmäßigkeiten oder Anzeichen einer Kompromittierung der internen Valamar-Systeme festgestellt. Gleichzeitig steht Valamar in ständigem Kontakt mit dem Auftragsverarbeiter und verfolgt dessen ergriffene Maßnahmen.

Den vorliegenden Informationen zufolge hat der Auftragsverarbeiter unmittelbar nach Feststellung des Vorfalls Maßnahmen ergriffen, um weiteren unbefugten Zugriff zu verhindern. Dazu gehören die Identifizierung des kompromittierten Benutzerkontos, das Zurücksetzen der Zugangsdaten, die Sperrung der IP-Adressen, von denen die betrügerischen Anfragen ausgingen, sowie die Deaktivierung der Datenexportfunktion. Zusätzlich wurden technische Schutzmaßnahmen implementiert, darunter eine Ratenbegrenzung (Rate Limiting) für relevante Skripte sowie die Einführung zusätzlicher sicherheitsbezogener Authentifizierungsmechanismen. Gleichzeitig wird unter Einbeziehung externer Cybersicherheitsexperten eine detaillierte Systemanalyse durchgeführt, um das Ausmaß des Vorfalls zu ermitteln.