--- adresse: "https://qvestcon.com/dora-update-markus-junge/ikt-dienstleister-informationsverbund_27b4d357/" titel: "Dienstleister-Angriff: Verantwortung…" beschreibung: "Der Landesbeauftragte für Datenschutz und Informationsfreiheit Bremen (LfDI Bremen) hat in einem…" sprache: "de-DE" stand: "2026-10-07" --- Qvestcon News # Dienstleister-Angriff: Verantwortung bleibt beim Betrieb Der Lan­des­be­auf­tragte für Datenschutz und Infor­ma­ti­ons­frei­heit Bremen (LfDI Bremen) hat in einem Infor­ma­ti­ons­schrei­ben vom 7. Oktober 2026 einen Cyberangriff auf einen großen Buchungs­dienst­leis­ter behandelt. Laut Schreiben sind dabei erneut Buchungsdaten von Gästen abgeflossen. Laut LfDI Bremen bleiben Betriebe auch bei externen Dienst­leis­tern gemäß Datenschutz-Grund­ver­ord­nung (DS-GVO) für die Daten ihrer Gäste ver­ant­wort­lich. Die Behörde beobachtet nach eigener Angabe, dass erfolgreiche Cyberangriffe auf externe IT-Dienstleister zunehmen. Das Schreiben richtet sich an Hotels, Campingplätze und andere Über­nach­tungs­be­triebe. Einordnung von Qvestcon: Der Gedanke lässt sich auf Häuser übertragen, die Verfahren auslagern, also auch auf Banken und Versicherer. Die Quelle selbst trifft dazu keine Aussage. Was das Schreiben nennt: Dienstleister müssen Betriebe über Vorfälle unverzüglich informieren, und Betriebe sollen eingehende Nachrichten ihrer Dienstleister beachten. Wer von einer Datenpanne erfährt, soll nach dem Schreiben alle mög­li­cher­weise betroffenen Gäste benach­rich­ti­gen, nicht nur diejenigen, die schon betrügerische Nachrichten erhalten haben. Hinzu kommen laut Schreiben die Meldung an die zuständige Daten­schutz­auf­sichts­be­hörde (Online-Formular nach Art. 33 DS-GVO), eine benannte Ansprech­per­son für die Gäste und die Dokumentation des Vorfalls. Als Maßnahmen nennt die Behörde: Passwörter aller Konten mit Bezug zum betroffenen Dienstleister ändern, ange­schlos­sene Systeme prüfen, technische Protokolle auf ungewöhnliche Anmel­de­ver­su­che und Sys­tem­zu­griffe kontrollieren, den Stand des Backup-Systems prüfen, Zwei-Faktor-Authen­ti­fi­zie­rung für alle Systeme einrichten und einen Notfallplan bereithalten. Dazu gehört die Klärung, wer im Angriffsfall erreichbar ist und über die Abschaltung von Systemen entscheidet. Einordnung von Qvestcon für Banken und Versicherer: Übertragen auf ausgelagerte IT-Dienste heißt das, den Meldeweg vom Dienstleister bis zur Entscheidung im eigenen Haus vorab festzulegen. Dazu gehören je Dienstleister eine benannte Kontaktstelle auf beiden Seiten, eine fertige Vorlage für die Benach­rich­ti­gung Betroffener und eine Zuordnung zu den Einträgen im IKT-Register oder Infor­ma­ti­ons­re­gis­ter, damit im Vorfall sofort erkennbar ist, welche Prozesse und Daten betroffen sind. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank hat sich bewährt, den Ablauf einmal durch­zu­spie­len und das Ergebnis als Nachweis für die Prü­fungs­pla­nung abzulegen. [Datenschutz](https://qvestcon.com/news/datenschutz-ki/)07.10.2026 Der Lan­des­be­auf­tragte für Datenschutz und Infor­ma­ti­ons­frei­heit Bremen (LfDI Bremen) hat in einem Infor­ma­ti­ons­schrei­ben vom 7. Oktober 2026 einen Cyberangriff auf einen großen Buchungs­dienst­leis­ter behandelt. Laut Schreiben sind dabei erneut Buchungsdaten von Gästen abgeflossen. Laut LfDI Bremen bleiben Betriebe auch bei externen Dienst­leis­tern gemäß Datenschutz-Grund­ver­ord­nung (DS-GVO) für die Daten ihrer Gäste ver­ant­wort­lich. Die Behörde beobachtet nach eigener Angabe, dass erfolgreiche Cyberangriffe auf externe IT-Dienstleister zunehmen. Das Schreiben richtet sich an Hotels, Campingplätze und andere Über­nach­tungs­be­triebe. Einordnung von Qvestcon: Der Gedanke lässt sich auf Häuser übertragen, die Verfahren auslagern, also auch auf Banken und Versicherer. Die Quelle selbst trifft dazu keine Aussage. Was das Schreiben nennt: Dienstleister müssen Betriebe über Vorfälle unverzüglich informieren, und Betriebe sollen eingehende Nachrichten ihrer Dienstleister beachten. Wer von einer Datenpanne erfährt, soll nach dem Schreiben alle mög­li­cher­weise betroffenen Gäste benach­rich­ti­gen, nicht nur diejenigen, die schon betrügerische Nachrichten erhalten haben. Hinzu kommen laut Schreiben die Meldung an die zuständige Daten­schutz­auf­sichts­be­hörde (Online-Formular nach Art. 33 DS-GVO), eine benannte Ansprech­per­son für die Gäste und die Dokumentation des Vorfalls. Als Maßnahmen nennt die Behörde: Passwörter aller Konten mit Bezug zum betroffenen Dienstleister ändern, ange­schlos­sene Systeme prüfen, technische Protokolle auf ungewöhnliche Anmel­de­ver­su­che und Sys­tem­zu­griffe kontrollieren, den Stand des Backup-Systems prüfen, Zwei-Faktor-Authen­ti­fi­zie­rung für alle Systeme einrichten und einen Notfallplan bereithalten. Dazu gehört die Klärung, wer im Angriffsfall erreichbar ist und über die Abschaltung von Systemen entscheidet. Einordnung von Qvestcon für Banken und Versicherer: Übertragen auf ausgelagerte IT-Dienste heißt das, den Meldeweg vom Dienstleister bis zur Entscheidung im eigenen Haus vorab festzulegen. Dazu gehören je Dienstleister eine benannte Kontaktstelle auf beiden Seiten, eine fertige Vorlage für die Benach­rich­ti­gung Betroffener und eine Zuordnung zu den Einträgen im IKT-Register oder Infor­ma­ti­ons­re­gis­ter, damit im Vorfall sofort erkennbar ist, welche Prozesse und Daten betroffen sind. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank hat sich bewährt, den Ablauf einmal durch­zu­spie­len und das Ergebnis als Nachweis für die Prü­fungs­pla­nung abzulegen. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/n-q/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/n-q/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/k-m/#markusjunge) - [#Dritt­dienst­leis­ter](https://qvestcon.com/stichwoerter/d-e/#drittdienstleister) - [#DSGVO](https://qvestcon.com/stichwoerter/d-e/#dsgvo) [Ori­gi­nal­quelle: LfDI Bremen →](https://www.datenschutz.bremen.de/sixcms/media.php/13/Information%20an%20Beherbergungsbetriebe.pdf) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20Dienstleister-Angriff%3A%20Verantwortung%20bleibt%20beim%20Betrieb#erstgespraech) [Weitere Meldungen in Datenschutz](https://qvestcon.com/news/datenschutz-ki/) · [alle Qvestcon-News](https://qvestcon.com/news/)