Der Reisekonzern Tui hat einen Sicherheitssicherheitsvorfall bei seiner belgischen Tochtergesellschaft Tui Belgium eingeräumt, nachdem betroffene Urlauber über gefälschte Kontaktaufnahmen mit präzisen Buchungsdaten berichteten.
Betroffene Kunden erhielten betrügerische Nachrichten über Kanäle wie WhatsApp und E-Mail, die korrekte Personendaten, Reisezeiträume, Zielhotels und teils exakte Rechnungsbeträge enthielten. Unter dem Vorwand erforderlicher Datenüberprüfungen oder angeblicher Restzahlungen wurden die Empfänger aufgefordert, verlinkte Webseiten aufzurufen oder Überweisungen zu tätigen. Ein internationales Expertenteam untersucht derzeit Ursprung und Ausmaß des Vorfalls.
Bislang hat die Konzernführung keine Angaben darüber gemacht, wie viele Datensätze betroffen sind oder über welche Schnittstelle die Informationen abgeflossen sein könnten. Ob ein direkter Fremdzugriff auf die internen IT-Systeme von Tui stattfand oder ob der Datenabfluss über externe Dienstleister und Partneragenturen erfolgte, bleibt Gegenstand der laufenden Prüfungen. Ebenso steht formell noch nicht fest, ob sämtliche in den Phishing-Nachrichten genutzten Informationen unmittelbar aus dem bestätigten Sicherheitsvorfall stammen. Nach Angaben einer Unternehmenssprecherin vom 11. Oktober 2026 beschränkt sich der Vorfall nach aktuellem Erkenntnisstand auf den belgischen Markt, während Kunden in anderen Ländern wie den Niederlanden unbeeinträchtigt scheinen.
Tui Belgium fordert Kunden auf, gegenüber unaufgeforderten Zahlungsaufforderungen und Links erhöhte Vorsicht walten zu lassen. Das Unternehmen stellt klar, dass selbst das Vorliegen korrekter Buchungsdetails in einer Nachricht keinen Nachweis für deren Authentizität darstellt. Anfragen und Validierungen sollten ausschließlich über die offiziellen Portale und Kundendienstkanäle des Reiseveranstalters abgewickelt werden.
Der Vorfall unterstreicht das zunehmende Risiko zielgerichteter Phishing-Angriffe im Touristiksektor, bei denen Abgreifen und Kombination persönlicher Reisedaten zur Täuschung von Verbrauchern genutzt werden. Die Nutzung präziser Kontextdaten erschwert es Betroffenen, betrügerische Kontaktaufnahmen von regulärer Kundenkommunikation zu unterscheiden. Für Reiseveranstalter ergeben sich daraus verfahrenstechnische Anforderungen zur Absicherung der gesamten digitalen Vertriebs- und Dienstleistungskette.