29. Oktober 2026 00:44

Marriott Datenpanne: Wie wurden Passdaten von 500 Millionen Gästen gestohlen?

Der Marriott International Datenschutzvorfall aus dem Jahr 2018, der weltweit Schlagzeilen machte, gilt als einer der größten und komplexesten Vorfälle in der Geschichte der Cybersicherheit. Der Vorfall ist nicht nur aufgrund der Anzahl betroffener Personen, sondern auch wegen der ausgeklügelten Struktur des Angriffs und der wichtigen Lehren über Cybersicherheitsrisiken bei Unternehmensfusionen von kritischer Bedeutung. Persönliche Daten von über 500 Millionen Hotelgästen blieben vier Jahre lang für Angreifer zugänglich, und in diesem Zeitraum wurden sensible Informationen wie Passnummern, Kontaktdaten, Zahlungskartendetails und Reisehistorien erbeutet.

Dieser Fall verdeutlichte, wie kritisch Cybersicherheitsbewertungen insbesondere bei Unternehmensfusionen und -übernahmen (M&A;) sind. Die Systeminfrastruktur, die Marriott 2016 mit der Übernahme von Starwood Hotels & Resorts übernommen hatte, war bereits viel früher angegriffen und mit einer Hintertür versehen worden. Dies zeigte, dass Unternehmenswachstum im Zeitalter der digitalen Transformation nicht nur eine finanzielle, sondern auch eine tiefgreifende Prüfung aus Cybersicherheitsperspektive erfordert.

Anatomie des Angriffs: APT40 und staatlich geförderte Cyberspionage

Hinter dem Marriott-Datenleck steht die Cyberspionage-Gruppe APT40 (Advanced Persistent Threat 40), die vermutlich mit der chinesischen Regierung in Verbindung steht. APT-Gruppen sind im Gegensatz zu traditionellen Cyberkriminellen staatlich geförderte, hochorganisierte und auf langfristige Ziele fokussierte Bedrohungsakteure. Das Ziel dieser Gruppen ist in der Regel nicht finanzieller Gewinn, sondern Geheimdienstsammlung und Zugang zu strategischen Informationen.

Die Infiltrationsoperation von APT40 in die Starwood-Systeme reicht mindestens bis ins Jahr 2014 zurück. Die Angreifer implementierten fortschrittliche Hintertür-Mechanismen, um nachhaltigen Zugang zu den Systemen zu gewährleisten. Diese Hintertüren waren so ausgeklügelt konzipiert, dass sie bei System-Updates, Sicherheitspatches und sogar routinemäßigen Sicherheitsscans unentdeckt bleiben konnten. Die Angreifer verfolgten einen langsamen und methodischen Ansatz, um die Wahrscheinlichkeit der Entdeckung zu minimieren; diese Technik wird als "low and slow" bezeichnet und ist eines der charakteristischsten Merkmale von APT-Gruppen.

Kritische Schwachstellen in den Starwood-Systemen

Das Reservierungssystem, das Gäste-Treueprogramm und die Customer-Relationship-Management-Plattformen von Starwood gehörten zu den Hauptzielen der Angreifer. Diese Systeme enthielten die sensibelsten Informationen von Millionen von Kunden:

• Passnummern und Identitätsdaten: Authentifizierungsinformationen international reisender Gäste
• Kontaktinformationen: E-Mail-Adressen, Telefonnummern und physische Adressen
• Reisehistorie: Aufenthaltsdaten, Reiseziele und Reisegewohnheiten
• Zahlungskarteninformationen: Obwohl verschlüsselt, einige Kreditkartennummern und Ablaufdaten
• Treueprogramm-Informationen: Starwood Preferred Guest (SPG) Kontodetails und Treuepunkte

Der eigentliche Zweck der Angreifer bei der Sammlung dieser Daten bestand höchstwahrscheinlich darin, wertvolle Profile für Geheimdienstoperationen zu erstellen. Informationen darüber, welche Personen wann in welche Länder reisen, wen sie treffen und wo sie übernachten, sind für nachrichtendienstliche Aktivitäten auf staatlicher Ebene Gold wert.

Cybersicherheitsrisiko bei Fusionen und Übernahmen

Der Marriott-Fall lehrte auf schmerzhafte Weise, wie kritisch Cybersicherheitsbewertungen bei Unternehmensübernahmen sind. Marriott, das Starwood 2016 für 13,6 Milliarden Dollar kaufte, übernahm nicht nur Hotelketten und Marken, sondern auch eine Cyberbedrohung, die seit Jahren im Inneren verborgen war. Diese Situation unterstreicht die Bedeutung des Konzepts der "Cyber Due Diligence" bei M&A-Prozessen.;

Cybersicherheits-Checkliste für M&A-Prozesse;

Kritische Faktoren, die bei Cybersicherheitsbewertungen im Rahmen von Unternehmensübernahmen berücksichtigt werden sollten:

• Umfassende Sicherheitsprüfung: Detaillierte Untersuchung aller digitalen Assets, Netzwerkinfrastruktur und Sicherheitskontrollen des Zielunternehmens
• Frühere Verstöße und Vorfallsaufzeichnungen: Vergangene Sicherheitsvorfälle, Datenlecks und ungelöste Sicherheitslücken
• Drittparteien-Risikobewertung: Sicherheitsstatus von Lieferanten, Geschäftspartnern und externen Dienstleistern
• Compliance-Status: Konformitätsniveau mit GDPR, DSGVO und branchenspezifischen Vorschriften
• Sicherheitskultur-Analyse: Cybersicherheitsbewusstsein der Mitarbeiter und Wirksamkeit interner Sicherheitsrichtlinien

Im Fall Marriott wurde die bereits in den Starwood-Systemen vorhandene APT40-Präsenz während der Cybersicherheitsbewertung vor der Übernahme nicht erkannt. Dies warf wichtige Fragen sowohl über die Tiefe der Bewertung als auch über die Fähigkeit von APT-Gruppen auf, unentdeckt zu bleiben.

124 Millionen Dollar DSGVO-Strafe und rechtliche Konsequenzen

Nach Bekanntwerden des Marriott-Datenlecks verhängte das britische Information Commissioner's Office (ICO) zunächst eine DSGVO-Strafe von 99 Millionen Pfund (etwa 124 Millionen Dollar) gegen das Unternehmen. Dies war eine der höchsten Strafen im Rahmen der europäischen Datenschutz-Grundverordnung (DSGVO). Nach weiteren Bewertungen und unter Berücksichtigung der wirtschaftlichen Auswirkungen der COVID-19-Pandemie wurde diese Strafe jedoch auf 18,4 Millionen Pfund (etwa 23 Millionen Dollar) reduziert.

DSGVO und Datenschutzverantwortlichkeiten

Der Marriott-Fall beleuchtete kritische Prinzipien der DSGVO:

• Rechenschaftspflicht: Organisationen müssen nachweisen, dass sie angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ergriffen haben
• Meldepflicht: Datenschutzverletzungen müssen innerhalb von 72 Stunden nach Entdeckung den zuständigen Aufsichtsbehörden gemeldet werden
• Datenminimierung: Es sollten nur die notwendigen personenbezogenen Daten erfasst und verarbeitet werden