Datenleck zu spät gemeldet: Booking.com muss Strafe zahlen

Wenn bei einem Datenleck Kreditkarteninformationen abgegriffen werden, sollte man schnellstmöglich handeln.

Laut der europäischen Datenschutzgrundverordnung (DSGVO) sind Unternehmen dazu verpflichtet, Datenlecks innerhalb von wenigen Tagen zu melden. Das Portal "Booking.com" hatte sich in einem Fall aber gut drei Wochen Zeit gelassen. Die zuständige niederländische Datenschutzbehörde hat deshalb jetzt eine Strafe von fast einer halben Million Euro verhängt.

Wie heise.de berichtet, soll sich der Vorfall bereits 2019 ereignet haben. Damals konnten Kriminelle die Daten von mehr als 4.000 "Booking.com"-Kunden abgreifen, nachdem sie sich in die Mitarbeiterkonten mehrerer Hotels in den Vereinigten Arabischen Emiraten gehackt hatten. Die Zugangsdaten hatten die Täter möglicherweise durch Phishing-Attacken erschlichen. Bei dem von dem Datenleck betroffenen Personen handelt es sich um ehemalige Gäste dieser Hotels, die ihr Zimmer über "Booking.com" gebucht hatten.

Booking.com weist die Vorwürfe zurück

Die Täter konnten Namen, Adressen, Telefonnummern und Buchungsdetails und zum Teil auch Kreditkarteninformationen einsehen. Anschließend gaben sie sich als Hotelmitarbeiter aus, um weitere Gäste zu kontaktieren und noch mehr Kreditkartendaten abzufragen.

Booking.com weist jegliche Verantwortung für das Datenleck von sich. Es habe keine unerlaubten Zugriffe über die Buchungsseite oder die eigenen IT-Systeme gegeben. Die zuständige Datenschutzbehörde in den Niederlanden sieht aber durchaus Hinweise auf eine Mitverantwortung des Betreibers und fordert eine Strafzahlung in Höhe von 475.000 Euro.

Das Unternehmen hätte die Datenpanne innerhalb von 72 Stunden nach Bekanntwerden melden müssen. Tatsächlich ist die Meldung aber erst nach 25 Tagen erfolgt. Auch die betroffenen Kunden erfuhren erst nach 22 Tagen von Booking.com, dass ihre persönlichen Informationen und sogar Kreditkartennummern in den Händen von Kriminellen gelandet waren.

Booking.com entschuldigte sich für die späte Reaktion und versprach, seine internen Prozesse zu verbessern.