Einer Tochterfirma des US-Hotel-Konzerns Marriott sind Daten von bis zu einer halben Milliarde Gästen der Tochtermarke Starwood gestohlen worden. Das gab die größte Hotelkette der Welt in Bethesda im Bundestaat Maryland bekannt. Im Fall von 327 Millionen Hotelgästen geht es um Informationen wie Namen, E-Mail-Adressen, Anschriften, Passnummern, Geburtsdatum sowie den Aufenthaltszeitraum. Bei einigen Gästen seien auch verschlüsselte Kreditkarten-Daten erbeutet worden. Dabei könne man nicht ausschließen, dass auch die zur Entschlüsselung nötigen Dateien gestohlen worden seien, teilte das Unternehmen mit.

Die Gästereservierungs-Datenbank der Starwood Hotels sei regelmäßig seit 2014 Opfer von Attacken geworden, hieß es. Zu den Starwood-Häusern gehören unter anderem Westin, Sheraton, Le Méridien, St. Regis und W Hotels. Marriott hatte Starwood 2016 für 13,6 Milliarden Dollar gekauft - und damit offensichtlich auch die Sicherheitslücke gleich mit. Die IT-Systeme von Starwood sollen nun ausgemustert werden. Die Gruppe betreibt weltweit mehr als 5700 Hotels mit mehr als 1,1 Millionen Zimmern.

Angriff im September entdeckt

Erste Hinweise auf einen Angriff auf die Starwood-Datenbank seien Anfang September von einem internen Sicherheitssystem gekommen, erklärte Marriott. Bei der Untersuchung sei festgestellt worden, dass "eine nicht autorisierte Partei Informationen kopiert und verschlüsselt hatte", hieß es weiter. "Am 19. November 2018 konnte Marriott die Informationen entschlüsseln und stellte fest, dass sie aus der Starwood-Datenbank für Gästereservierungen stammen." Die Behörden seien eingeschaltet worden und Regulierer würden unterrichtet, hieß es weiter. Die Hotelkette kündigte an, alle Betroffenen nun per E-Mail zu informieren. Welche Hotels im Visier standen, sei noch unklar. Die Marriott-Aktie brach vorbörslich um sechs Prozent ein.

Hotelketten waren schon öfter Zielscheibe von Cyberattacken. Im vorigen Jahr mussten dies InterContinental Hotels und Hyatt Hotels erfahren. In der Regel haben es die Kriminellen auf Kreditkarteninformationen abgesehen.

Weitere große Hacker-Aktionen

In den vergangenen Jahren hatte es immer wieder Hacker-Attacken mit hunderten Millionen Betroffenen gegeben. Den Rekord hält der Internet-Konzern Yahoo, bei dem sich unbekannte Angreifer 2013 Zugang zu Daten von allen drei Milliarden Nutzer-Accounts verschafft hatten. Dabei ging es um Namen, E-Mail-Adressen, Telefonnummern sowie unkenntlich gemachte Passwörter. Bei Ebay gelangten Hacker bei einer im Mai 2014 bekanntgewordenen Attacke an Daten von rund 145 Millionen Kunden, darunter E-Mail- und Wohnadressen sowie Login-Informationen.

Ein Hack der Kassensysteme des US-Supermarkt-Betreibers Target machte Kreditkarten-Daten von 110 Millionen Kunden zur Beute. Die Angreifer konnten sich zudem einige Zeit unbemerkt im Netz bewegen. Die Verkäufe von Target sackten nach der Bekanntgabe des Zwischenfalls im Dezember 2013 ab, weil Kunden die Läden mieden.

kle/sam (dpa, rtr, afp)