Fujita Kanko: Datenleck in Tokioter Hotel aufgeklärt

Ein Cyberangriff auf ein Buchungssystem hat persönliche Daten von Gästen des Hotel Gracery Asakusa offengelegt. Die japanische Hotelkette Fujita Kanko hat nun den Abschlussbericht vorgelegt – sensible Finanzdaten blieben demnach verschont.

Tokio – Die japanische Hotelgruppe Fujita Kanko hat den Datenschutzvorfall in einem ihrer Tokioter Häuser abschließend untersucht. Der heute vorgelegte Bericht an die japanische Datenschutzkommission bestätigt: Bei dem Leck wurden keine Kreditkartendaten gestohlen. Allerdings gelangten persönliche Informationen und Buchungsdetails von Gästen des Hotel Gracery Asakusa in unbefugte Hände.

Der Vorfall wirft erneut ein Schlaglicht auf die anfälligen IT-Schnittstellen in der globalen Hotelbranche. Besonders Buchungsplattformen von Drittanbietern stellen ein kritisches Sicherheitsrisiko dar – ein Problem, das auch europäische Hotelketten kennen.

Cyberangriffe auf Buchungssysteme wie dieser Fall führen häufig zu Phishing-Attacken und unerlaubtem Zugang über Drittanbieter. Ein kostenloses E‑Book erklärt, wie Hotels, Franchise‑Partner und IT‑Verantwortliche mit sofort umsetzbaren Maßnahmen Logins härten, Schnittstellen absichern und Mitarbeitende gegen Phishing sensibilisieren können. Praxistaugliche Checklisten und Notfall‑Prozesse helfen, Folgen zu begrenzen und Kundendaten besser zu schützen. Jetzt kostenlosen Cyber-Security-Guide herunterladen

Was genau gestohlen wurde

Das Datenleck betrifft ausschließlich Gäste, die zwischen dem 19. November 2024 und dem 20. November 2025 eine Buchung für das Hotel Gracery Asakusa über eine bestimmte ausländische Online-Buchungsplattform getätigt haben. Erfasst wurden:

• Persönliche Daten: Namen, Telefonnummern und Nationalitäten der Gäste.
• Umfangreiche Buchungsdetails: Reservierungsnummern, An- und Abreisedaten, Zimmerkategorie, Aufenthaltsdauer sowie die gewählte Zahlungsmethode.
• Kommunikationsverlauf: Der gesamte Nachrichtenaustausch zwischen Gast und Hotel über das Buchungssystem.

Eine entscheidende Entwarnung gibt das Unternehmen jedoch: Weder E-Mail-Adressen, physische Adressen noch konkrete Kreditkartendaten seien Teil des Lecks. Damit ist das Risiko eines direkten finanziellen Betrugs für die Betroffenen deutlich geringer. Fujita Kanko hat nach eigenen Angaben alle betroffenen Personen kontaktiert und sich entschuldigt.

Angriff von außen: Das Drittanbieter-Risiko

Die Schwachstelle lag nicht in den eigenen Systemen der Hotelkette, sondern bei einem externen Partner. Cyberkriminelle erlangten unrechtmäßig Zugangsdaten für die Buchungsplattform. Über diesen Weg konnten sie auf die Kundendaten zugreifen und in einigen Fällen sogar Phishing-Nachrichten an Gäste versenden.

Genau diese verdächtigen Benachrichtigungen führten am 21. November 2025 zur Entdeckung des Vorfalls. Das Unternehmen reagierte umgehend: Es änderte alle Passwörter, führte umfassende Sicherheitsüberprüfungen durch und kündigte verstärkte Schulungen für Mitarbeiter an.

Der Fall im Hotel Gracery Asakusa ist bereits der zweite Sicherheitsvorfall bei Fujita Kanko binnen kurzer Zeit. Erst am 14. Januar warnte das Unternehmen vor einer Phishing-Kampagne, die Gäste des Kansai Airport Washington Hotel, eines Franchise-Partners, ins Visier nahm.

Branchenweites Sicherheitsdilemma

Die Hotellerie ist ein lukratives Ziel für Cyberkriminelle. Sie verarbeitet eine Fülle sensibler Daten – und ist dabei oft auf ein komplexes Netzwerk externer Dienstleister angewiesen. Ein Angriff auf einen einzigen Anbieter kann, wie dieser Fall zeigt, kaskadenartige Auswirkungen auf zahlreiche Partnerhotels haben.

Für Fujita Kanko geht es nun darum, das verlorene Vertrauen zurückzugewinnen. Die transparente Aufklärung und direkte Kommunikation mit den Betroffenen sind dabei erste, notwendige Schritte. Die angekündigte Verstärkung der Sicherheitsmaßnahmen wird von Kunden und Aufsichtsbehörden gleichermaßen aufmerksam verfolgt werden.

Für Reisende weltweit ist der Vorfall eine Erinnerung, bei unerwarteten E-Mails zu Hotelbuchungen stets wachsam zu sein. Niemals sollten persönliche oder finanzielle Daten als Reaktion auf solche Nachrichten preisgegeben werden.

PS: Haben Sie oder Ihr Hotel bereits verdächtige Buchungs-Mails erhalten? Das kostenlose Anti‑Phishing‑Paket zeigt in vier klaren Schritten, wie Sie Phishing‑Nachrichten erkennen, Mitarbeitende schützen und betrügerische Login‑Versuche stoppen. Praxiserprobte Vorlagen helfen, Gäste zu warnen und Schaden zu begrenzen. Gratis Anti‑Phishing‑Paket anfordern