Tourismusbranche im Visier: Wie Cyberangriffe zur Gefahr werden

Cyberangriffe auf Reiseveranstalter und Reisebüros haben drastisch zugenommen. Die jüngsten Bedrohungstrends, Beispiele aus der Praxis und Expertenempfehlungen für die Sicherheit in einer feindseligen digitalen Landschaft von Check Point.

Check Point Software Technologies Ltd., warnt – anlässlich der Urlaubs- und Ferienzeit über den Sommer – vor einer drastischen Zunahme von Cyber-Angriffen auf Reiseveranstalter und Reisebüros.

Die globale Tourismusbranche erlebt einen neuen Aufschwung, doch mit der Erholung geht auch eine Zunahme digitaler Turbulenzen einher. Angesichts der steigenden Nachfrage von Reisen und der beispiellosen Digitalisierung der Betriebsabläufe nutzen Cyber-Kriminelle neue Möglichkeiten, um Schwachstellen in diesem datenreichen und stark vernetzten Sektor auszunutzen.

Der Check-Point-Bericht The State of Cyber Security 2025 zeigt, dass Cyber-Angriffe auf Reiseveranstalter und Reisebüros zwischen 2023 und 2025 dramatisch zugenommen haben. Distributed-Denial-of-Service-Angriffe (DDoS), Ransomware-Kampagnen, Phishing-Angriffe und Kompromittierungen durch Dritte haben den Markt heimgesucht, oft mit verheerenden Folgen. Die Reisebranche ist stark von Echtzeitdaten, globaler Kommunikation und saisonalen Schwankungen abhängig, was sie zu einem begehrten Ziel für Angreifer macht. Von Fluggesellschaften und Resorts bis hin zu Buchungsplattformen und Verkehrsbetrieben verwalten Unternehmen in diesem Sektor sensible Daten über weit verstreute Netzwerke. Außerdem sind sie bei der Zahlungsabwicklung, Authentifizierung und Cloud-Infrastruktur von Drittanbietern abhängig, was ihre Angriffsfläche vergrößert. Darüber hinaus arbeiten viele Reiseunternehmen mit veralteten Systemen oder verfügen nicht über robuste DevSecOps-Praktiken.

Zentrale Bedrohungen für die Tourismusbranche und Beispiele aus der Praxis

1. DDoS-Störungen legen Buchungssysteme lahm

DDoS-Angriffe, die zeitlich auf die Hochzeiten für Reisen abgestimmt wurden, sind zu einer beliebten Taktik von Angreifern geworden, die maximale Störungen erzielen wollen. Im März 2025 kam der Betrieb eines großen Flugticket-Konsolidierers in Deutschland, Österreich und der Schweiz aufgrund eines DDoS-Angriffs zum Erliegen. Der Ausfall betraf Tausende von Kunden und beeinträchtigte nachgelagerte Reisebüros, die auf dieselbe Plattform angewiesen waren. 

Diese Angriffe werden zunehmend als Druckmittel für Erpressungen eingesetzt. Hacker, die oft Teil organisierter Gruppen sind, drohen mit längeren Dienstunterbrechungen, sofern keine Lösegeldzahlungen geleistet werden, und setzen damit Unternehmen unter enormen Druck.  

2. Fehlkonfigurierter Cloud-Speicher führt zu Datenverletzungen

Im Januar 2025 erlitt ein australisches Reisebüro eine katastrophale Sicherheitsverletzung, nachdem es seinen Amazon AWS-Cloud-Bucket nicht ausreichend gesichert hatte. Mehr als 112.000 sensible Datensätze wurden offengelegt, darunter Scans von Reisepässen, Visa-Dokumente und teilweise Kreditkartennummern. Die Sicherheitsverletzung reichte über die Grenzen Australiens hinaus und betraf Kunden aus Neuseeland, Irland und Großbritannien. 

Dieser Fall unterstreicht die Notwendigkeit strenger Cloud-Sicherheitsmaßnahmen. Angreifer setzen zunehmend automatisierte Tools ein, um falsch konfigurierte Speicher-Buckets zu durchforsten und nach Dateien wie passwords.txt oder .env zu suchen, mit denen sich noch sensiblere Daten freischalten lassen.  

3. Phishing und Diebstahl von Anmeldedaten als Sprungbrett für komplexe Angriffe

Die Zeiten schlecht geschriebener Phishing-E-Mails sind vorbei. Mithilfe von KI-generierten Inhalten und Social Engineering erstellen Angreifer äußerst überzeugende Köder, die sogar technisch versierte Benutzer täuschen können. Im September 2023 wurde eine große US-Resort-Kette von einer ausgeklügelten Social-Engineering-Kampagne angegriffen. Die Hacker gaben sich als Mitarbeiter aus, nachdem sie über LinkedIn Informationen gesammelt hatten, und überzeugten schließlich den IT-Helpdesk, ihre Zugangsdaten zurückzusetzen. 

Nachdem sie sich Zugang verschafft hatten, bewegten sich die Angreifer lateral durch die IT-Infrastruktur des Resorts, setzten Ransomware ein und stahlen sechs Terabyte an Kundendaten. An diesem Angriff waren zwei berüchtigte Cyber-Kriminelle Gruppen beteiligt, Scattered Spider und ALPHV. Durch den Angriff waren viele Dienste betroffen, von Online-Buchungen bis hin zu den Zimmerschlüsselsystemen.  

4. Kompromittierung von Drittanbietern und Lieferketten

Angriffe auf die Lieferkette nehmen in allen Branchen zu und auch der Fremdenverkehr bildet keine Ausnahme. Im Oktober 2023 kompromittierte eine russische Hacker-Gruppe das Zahlungssystem einer europäischen Fluggesellschaft mithilfe von Web-Skimming-Malware. Erste Schadensberichte konzentrierten sich auf gestohlene Kreditkartendaten. Spätere Enthüllungen zeigten, dass auch Kundennamen, Passnummern, Geburtsdaten und Kontaktdaten offengelegt wurden. 

Schwachstellen bei Drittanbietern sind besonders gefährlich, da sie herkömmliche Perimeter-Sicherheitsmaßnahmen umgehen. Angreifer nehmen Software-Anbieter oder -Integrationen ins Visier und nutzen diesen Zugriff, um in gehärtete Umgebungen einzudringen. 

5. Geopolitische Bedrohungen und Hacktivismus

Die Grenze zwischen Cyber-Kriminalität und Cyber-Krieg verschwimmt zunehmend. Im August 2024 wurde die deutsche Flugsicherung Opfer einer staatlich geförderten Kampagne, die der APT28, auch bekannt als Fancy Bear, zugeschrieben wird. Der Angriff, der auf administrative IT-Systeme abzielte, kompromittierte die interne Kommunikation und sensible Betriebsdaten. 

Ähnliche Angriffe wurden gegen Verkehrsbehörden in anderen großen Volkswirtschaften durchgeführt, was darauf hindeutet, dass kritische Infrastrukturen im Reisebereich ins Visier geopolitischer Hacker geraten sind. 

Die wichtigsten Taktiken, Techniken und Prozeduren (TTPs)

Der Bericht von Check Point beschreibt die zehn wichtigsten TTPs, die bei diesen Angriffen zum Einsatz kamen. Zu den kritischsten gehören: 

• T1078 – Gültige Benutzerkonten: Werden verwendet, um Persistenz aufrechtzuerhalten und eine Erkennung zu vermeiden. 
• T1190 – Ausnutzung öffentlich zugänglicher Anwendungen: Ein häufiger Einstiegspunkt über VPNs oder veraltete Web-Anwendungen. 
• T1566 – Phishing: Nach wie vor der häufigste Angriffsweg für den ersten Zugriff. 
• T1027 – Verschleierte Dateien oder Informationen: Wird zur Umgehung von Sicherheitsmaßnahmen während der Bereitstellung von Malware verwendet. 

Diese TTPs entsprechen den weltweit in verschiedenen Branchen beobachteten Trends, sind jedoch besonders wirksam in einem Sektor, in dem der Zugriff auf Buchungssysteme, Identitätsdokumente und Finanzdaten für Angreifer von enormem Wert ist. 

Empfehlungen für CISOs und Sicherheitsabteilungen

1. Priorisierung der Transparenz: Implementierung einheitlicher Sicherheitsplattformen, die eine durchgängige Überwachung der Cloud-, Endpunkt- und Netzwerkebenen bieten.
2. Sicherung der Lieferkette: Setzen von Sicherheitsstandards für alle Lieferanten und Partner. Durchführung regelmäßiger Risiko-Bewertungen und Aufnahme entsprechender Klauseln zu Sicherheitsverletzungen in Verträge.
3. Investition in Automatisierung: KI-gestützte Lösungen können den Verwaltungsaufwand um bis zu 90 Prozent reduzieren, sodass sich Teams auf die strategische Verteidigung konzentrieren können.
4. Härtung von Cloud-Konfigurationen: Anwendung des Prinzips der Geringsten Berechtigungen, Verschlüsselung sensibler Daten im Ruhezustand und während der Übertragung sowie Verwendung automatisierter Tools zur Überprüfung von Konfigurationen.
5. Schulungen für mehr Kompetenz: Moderne Phishing-Angriffe nutzen ausgefeilte Social-Engineering-Techniken. Mitarbeiter müssen geschult werden, um diese Taktiken erkennen und schnell melden zu können. 

Cyber-Sicherheit ist für den Tourismus nicht mehr nur ein IT-Problem, sondern ein grundlegendes Risiko für das Geschäft. Die in dem Bericht von Check Point beschriebenen Angriffe zeigen, wie anfällig und attraktiv diese Branche für Angreifer geworden ist, die von gewöhnlichen Cyber-Kriminellen bis zu staatlich geförderten Hackern reichen. 

Unternehmen müssen von einer reaktiven zu einer aktiven Strategie übergehen. Das bedeutet, den Einsatz von präventiven, KI-gesteuerten Plattformen in Betracht zu ziehen, die Komplexität zu reduzieren, die Transparenz zu verbessern und einen konsistenten Schutz auf allen Ebenen der digitalen Erfahrung zu gewährleisten. 

(ds/Check Point Software Technologies Ltd.)