Kurz gesagt: Wurde Ihre Hotel-Website gehackt, geht es weniger um die Startseite als um alles, was daran hängt: die eingebundene Buchungsmaschine, den Gutschein-Shop, Anfrageformulare für Feiern und Tagungen. Prüfen Sie Patchstand und Einbindungen, sichern Sie Logs und warnen Sie Gäste sachlich, wenn deren Daten betroffen sein könnten.
Welche PHP-Systeme in Hotels und Gastronomie laufen
Die Website eines Hotels oder Restaurants läuft meist auf WordPress oder einem anderen PHP-CMS. Die Buchungsmaschine stammt oft vom Anbieter der Hotelsoftware oder eines Channel-Managers und wird per Skript oder Iframe eingebunden. Daneben laufen auf dem eigenen Server häufig ein Gutschein-Shop auf Basis von WooCommerce, Formulare für Tagungs- und Hochzeitsanfragen, Tischreservierungen, Newsletter-Anmeldungen und Stellenangebote für die Saison.
Gerade die Mischung aus eigenen und fremden Bausteinen macht das Gastgewerbe anfällig: Der eigene Server muss nicht die Buchungsdaten enthalten, um Gäste zu gefährden. Es reicht, dass er festlegt, wohin der Buchen-Knopf führt.
Welche Gästedaten auf dem Spiel stehen
Über Hotel-Websites laufen Namen, Anschriften, Telefonnummern, Reisedaten und Begleitpersonen. Anfragen enthalten oft Sonderwünsche wie Allergien, Barrierefreiheit oder Diätvorgaben. Solche Gesundheitsangaben gehören zu den besonderen Kategorien nach Art. 9 DSGVO. Im Gutschein-Shop kommen Bestell- und Rechnungsdaten hinzu.
Kartendaten liegen in der Regel beim Zahlungsanbieter oder in der Hotelsoftware, nicht auf der Website. Wer aber JavaScript auf der eigenen Seite verändern kann, kann auch Eingaben auf Formularen mitlesen oder Gäste auf eine täuschend echte Zahlungsseite schicken.
Tagungs- und Eventanfragen kommen oft von Firmen und enthalten Teilnehmerlisten, Ablaufpläne und Budgets. Hochzeitsanfragen nennen Termine, Gästezahlen und Familiennamen. Solche Informationen werden selten als sensibel wahrgenommen, sind aber für gezielte Betrugsversuche wertvoll, etwa eine gefälschte Anzahlungsrechnung kurz vor der Veranstaltung. Prüfen Sie deshalb, ob Anfragen dauerhaft in der Website-Datenbank liegen und ob das nötig ist.
Hotel-Website gehackt: typische Folgen für den Betrieb
- Gefälschte Buchungs- und Zahlungsseiten: Gäste zahlen an Betrüger und machen das Hotel dafür verantwortlich.
- Gezielte Betrugsnachrichten: Mit echten Reisedaten wirken gefälschte Zahlungsaufforderungen glaubwürdig.
- Verlust von Direktbuchungen: Eine Google-Warnung oder ein Ausfall treibt Gäste zu Buchungsportalen, für die Sie Provision zahlen.
- Bewertungen: Gäste, die betrogen wurden, schildern das öffentlich, unabhängig davon, wo der Fehler lag.
Prüfen Sie nach einem Patch auch, ob die Einbindung Ihrer Buchungsmaschine noch auf die richtige Adresse zeigt. Ein verändertes Skript oder ein umgeleiteter Link fällt im Alltag kaum auf.
Wer ist zuständig: Agentur, Softwareanbieter, Hoster?
| Baustein | Typischerweise zuständig | Offene Frage |
|---|---|---|
| Hotel-Website und Gutschein-Shop | Agentur und Hoster | PHP-Patch und Neustart bestätigt? |
| Buchungsmaschine | Anbieter der Hotelsoftware | Ist die Einbindung unverändert? |
| Hotelsoftware im Haus | Softwareanbieter oder IT-Betreuer | Verbindungen zur Website? |
| Postfächer der Rezeption | Hoster oder IT-Betreuer | Unbekannte Weiterleitungen? |
Bei Hotelgruppen und Franchise-Betrieben kommen zentrale Vorgaben hinzu. Häufig betreibt die Zentrale die Hauptseite, während einzelne Häuser eigene Gutschein- oder Eventseiten unterhalten, die niemand zentral im Blick hat.
Saisonkräfte, geteilte Zugänge und Gutscheine
Im Gastgewerbe wechseln Teams häufig. Zugänge zur Website, zum Gutschein-Shop und zu Buchungsplattformen werden an der Rezeption geteilt und selten geändert, wenn jemand geht. Nach einem Vorfall sollten alle diese Zugänge erneuert und auf persönliche Konten umgestellt werden, wo das möglich ist.
Ein unterschätztes Risiko sind Gutscheine. Wer Zugriff auf die Shop-Datenbank hat, kann Gutscheincodes auslesen, Werte verändern oder eigene Codes anlegen, die an der Rezeption eingelöst werden. Lassen Sie nach einer Bereinigung prüfen, ob Gutscheine angelegt oder geändert wurden, die keiner Bestellung zuzuordnen sind. Ein Abgleich mit Ihrer Buchhaltung zeigt solche Auffälligkeiten meist schnell.
Die ersten Stunden nach einer Warnung
- Beim Hoster schriftlich bestätigen lassen, dass PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 steht oder gepatcht ist und alle Prozesse neu gestartet wurden.
- Ohne Bestätigung: Website durch eine Hinweisseite mit Telefon und direktem Link zur Buchungsmaschine des Anbieters ersetzen.
- Logs ab dem 20.10.2026 sichern und die Einbindungen von Buchungsmaschine und Zahlungsseiten prüfen.
- Rezeptionsteam informieren, damit es verdächtige Rückfragen von Gästen erkennt und dokumentiert.
- Bei Hinweisen auf Betrug Gäste sachlich warnen. Formulierungshilfen bietet die Seite zur Krisenkommunikation.
Wie hilft PHP SOS konkret?
- Wir prüfen Patchstand, Neustart und Betriebsart Ihres Webservers und stimmen uns mit Agentur und Hoster ab.
- Wir kontrollieren Website, Gutschein-Shop und Einbindungen auf verändertes JavaScript, fremde Weiterleitungen und Webshells und entfernen Schadcode.
- Wir prüfen, ob Postfächer Weiterleitungsregeln erhalten haben, die Sie nicht kennen.
- Danach richten wir auf Wunsch ein Security-Monitoring ein, das Änderungen an Dateien und Skripten meldet.
Häufige Fragen
Ist meine Buchungsmaschine von PHP2Shell betroffen?
Viele Buchungsmaschinen werden vom Anbieter betrieben und nur in die Hotel-Website eingebunden. Dann ist der Anbieter für seinen Server zuständig. Ihre eigene Website bleibt trotzdem ein Risiko, weil ein Angreifer dort die Einbindung verändern oder auf eine gefälschte Buchungsseite umleiten kann.
Gäste haben merkwürdige Zahlungsaufforderungen bekommen. Hängt das mit der Website zusammen?
Möglich ist es, beweisen lässt es sich erst nach einer Prüfung. Solche Nachrichten können auch über Buchungsplattformen oder kompromittierte Postfächer entstehen. Sichern Sie die Nachrichten, warnen Sie betroffene Gäste und lassen Sie Website, Postfächer und Plattformzugänge prüfen.
Darf ich die Website in der Hauptsaison abschalten?
Wenn PHP nicht nachweislich gepatcht ist, empfiehlt das BSI, Webserver vorübergehend vom Netz zu nehmen. Eine Hinweisseite mit Telefon und direktem Link zur Buchungsmaschine des Anbieters hält den Betrieb am Laufen. Ein unbemerkt kompromittierter Auftritt kostet in der Saison mehr Vertrauen als einige Stunden Wartung.