Miniatur Wunderland in Hamburg meldet Datenleck bei Online-Ticketkäufen / Kreditkartendaten über fünf Monate abgegriffen
Lahr, 25.11.2025 (lifePR) - Im Miniatur Wunderland Hamburg sind über Monate hinweg Kreditkartendaten von Besuchern abgeflossen. Nach übereinstimmenden Medienberichten – unter anderem von heise online und t-online vom 12. November 2025 – konnten Angreifer zwischen dem 6. Juni und dem 29. Oktober 2025 Zahlungsdaten beim Online-Ticketkauf ausspähen. Das Unternehmen meldete den Vorfall am 5. November 2025 der Aufsichtsbehörde. Aus Sicht der Kanzlei Dr. Stoll & Sauer handelt es sich um einen gravierenden Sicherheitsvorfall mit erheblichem Missbrauchspotenzial. Betroffene können ihre Ansprüche im kostenlosen Datenschutz-Online-Check prüfen lassen.
Was ist beim Miniatur Wunderland Hamburg passiert?
Nach Informationen von heise online wurde Schadcode in ein Modul des Online-Ticketshops eingeschleust. Dadurch konnten Angreifer den Datenstrom während des Bezahlvorgangs manipulieren und vollständig auslesen. Betroffen sind sämtliche Kreditkartenzahlungen innerhalb des rund fünfmonatigen Zeitraums. Das Miniatur Wunderland erklärte, dass grundsätzlich keine Kreditkartendaten lokal gespeichert werden – der Angriff muss daher über einen sogenannten Man-in-the-Middle-Mechanismus erfolgt sein.
Was ist ein Man-in-the-Middle-Angriff?
Ein Man-in-the-Middle-Angriff (MitM) bedeutet, dass sich ein Angreifer unbemerkt zwischen zwei Kommunikationspartner schaltet. Anstatt dass Daten direkt vom Nutzer zum Server gelangen, werden sie heimlich über den Rechner des Angreifers geleitet. Dort können sie ausgelesen, verändert oder abgefangen werden.
Im Fall des Miniatur Wunderlands wurde der Datenverkehr beim Online-Bezahlen so manipuliert, dass die Kreditkartendaten gleichzeitig beim Zahlungsdienstleister und beim Angreifer landeten. Kurz gesagt: Ein MitM-Angriff ist wie ein heimlicher Dritter, der ein Telefongespräch mithört – nur unsichtbar im Internet.
Reaktionen und Umfang des Datenlecks
Nach Angaben der Hamburger Datenschutzbehörde wurde die Datenpanne am 5. November 2025 gemeldet. Anschließend informierte der Betreiber die mutmaßlich Betroffenen per E-Mail und riet zur sofortigen Sperrung der Kreditkarte sowie zur engmaschigen Prüfung sämtlicher Abbuchungen. Laut t-online liegt die Zahl der betroffenen Besucher zwischen 30.000 und 35.000.
Derzeit ist noch unklar, wie die Schadsoftware in den Ticketshop gelangte und wie lange sie unentdeckt aktiv war. Der Betreiber hat die kompromittierte Infrastruktur abgeschaltet, neu aufgesetzt und externe IT-Forensiker eingebunden.
Fakten zum Wunderland-Datenleck nach Medieninformationen:
- Zeitraum der Kompromittierung: 6. Juni 2025 bis 29. Oktober 2025
- Abgeflossene Daten: Karteninhabername, Kreditkartennummer, Gültigkeitsdatum, CVV
- Mögliche Anzahl der Betroffenen: fünfstelliger Bereich
- Angriffspunkt: manipuliertes Modul im Online-Ticketshop
- Maßnahmen des Unternehmens: Meldung an Behörden, Abschaltung des Systems, Neuaufsetzung technischer Komponenten
Rechtliche Einschätzung zum Miniatur-Wunderland-Datenleck
Rechtlich handelt es sich um eine nach Art. 33 und 34 DSGVO meldepflichtige Datenpanne mit hohem Risiko für die Rechte der Betroffenen. Kreditkartendaten gehören zu den sensibelsten personenbezogenen Daten. Besonders strenge technische und organisatorische Sicherheitsmaßnahmen wären erforderlich gewesen. Ob diese ausreichend umgesetzt wurden, muss geklärt werden.
Die Rechtsprechung des Europäischen Gerichtshofs stärkt seit 2023 die Position von Betroffenen:
- Es genügt bereits der Verlust der Kontrolle über personenbezogene Daten.
- Ein materieller Schaden – etwa eine unbefugte Abbuchung – ist nicht erforderlich.
- Psychische Belastungen wie Kontrollverlust, Angst oder Unsicherheit können ersatzfähig sein.
Rechtsprechung auf Seiten der Verbraucher
Die Rechtsprechung von Europäischem Gerichtshof (EuGH) und Bundesgerichtshof (BGH) stärkt die Position von Betroffenen eins Datenlecks:
- EuGH, Urteil vom 4. Mai 2023 – C-300/21
Der Europäische Gerichtshof stellte klar, dass immaterielle Schäden ersatzfähig sind. Es genügt bereits das Gefühl des Kontrollverlusts, Angst vor Identitätsdiebstahl oder der Eindruck ständiger Überwachung. - BGH, Urteil vom 5. März 2021 – VI ZR 12/19
Der Bundesgerichtshof bestätigte, dass Art. 82 DSGVO einen eigenständigen Schadensersatzanspruch begründet. Auch ohne nachweisbaren materiellen Schaden können Betroffene Entschädigung verlangen. - BGH, Urteil vom 18. November 2024 – VI ZR 10/24
Besonders grundlegend: Der BGH entschied, dass schon der bloße Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellt. Es reicht also aus, dass Betroffene erfahren, dass ihre Daten in falsche Hände geraten sind – selbst ohne konkreten Missbrauch.
Betroffene des Datenlecks beim Miniatur Wunderland sollten ihre Situation umgehend prüfen lassen. Die Kanzlei Dr. Stoll & Sauer hilft dabei, die rechtlichen Optionen einzuschätzen, Ansprüche zu sichern und etwaige Verstöße gegen die DSGVO aufzudecken. Jetzt kostenlose Ersteinschätzung im Datenschutz-Online-Check starten und Ansprüche sichern.
