Der Touring Club Schweiz (TCS) hat gegenüber der Nachrichtenagentur Keystone-SDA und der Sendung Espresso von Schweizer Radio und Fernsehen SRF einen Diebstahl von Kundendaten von TCS Camping, seiner Camping-Sparte, bestätigt. Die Daten wurden bei Camping.care entwendet, dem externen Dienstleister, der die Reservationen von TCS Camping verwaltet, im Zusammenhang mit den kritischen Lücken der Programmiersprache PHP. Laut dem Informatikmagazin ICTjournal wurden am 27. Oktober 2026 rund 15'000 Kunden vor Betrugsversuchen über den Messengerdienst WhatsApp gewarnt.
Die Betrüger nutzen echte Reservationsangaben, um glaubwürdig zu wirken. Gemäss dem Schreiben des TCS an seine Kunden, das ICTjournal und die Deutschschweizer Website Inside IT zitieren, enthalten die betrügerischen Nachrichten existierende Namen, Telefonnummern und Reservationsnummern. Bankverbindungen und IBAN sind laut TCS nicht betroffen.
WhatsApp-Betrug: Was Kunden von TCS Camping tun sollten
Die nützlichste Regel stammt vom TCS selbst: TCS Camping verschickt über WhatsApp weder automatisierte Reservationsdetails noch Links oder Zahlungsaufforderungen. Eine solche Nachricht, die sich auf TCS Camping beruft, ist daher verdächtig, auch wenn sie eine echte Reservation nennt.
Der TCS mahnt über diese erste Welle hinaus zur Vorsicht. Er warnt, dass die gestohlenen Daten für weitere Betrugsversuche per Phishing genutzt werden können. Unsere Analyse: Aus diesen Warnungen ergeben sich drei Verhaltensregeln.
- nach einer WhatsApp-Nachricht, die eine Reservation bei TCS Camping erwähnt, keinem Link folgen und nichts bezahlen;
- auch bei Anrufen, SMS oder E-Mails misstrauisch sein, die eine Reservationsnummer nennen: Wer diese Nummer kennt, beweist damit nicht, dass er der TCS ist;
- die Nachricht dem Bundesamt für Cybersicherheit (BACS) melden, das freiwillige Meldungen von Cybervorfällen aus der Bevölkerung entgegennimmt, wie 2clics in seinem Artikel über die PHP-Lücke PHP2Shell in Erinnerung rief.
Das Szenario ist nicht neu. Am 20. Oktober 2026 beschrieb das BACS eine Betrugsmasche rund um Hotelreservationen, die vor allem auf Kreditkarten abzielte. In neuen Varianten versuchten die Betrüger zudem, die Kontrolle über TWINT- und E-Banking-Konten zu übernehmen, wie 2clics in einem Artikel über die Sensibilisierung von Mitarbeitenden für Phishing festhielt.
TCS Camping ist nicht als einziges betroffen. Laut ICTjournal warnt auch der Campingplatz Hüttenberg im Kanton Thurgau auf seiner Website vor betrügerischen WhatsApp-Nachrichten mit echten Reservationsangaben. Sein Betreiber vermutet, dass Reservationsdaten unbefugt verwendet wurden.
Welcher Zusammenhang besteht mit der Lücke PHP2Shell?
Laut Inside IT waren die PHP-Lücken in der Vorwoche öffentlich bekannt geworden. Die PHP2Shell genannten Schwachstellen ermöglichen es, ohne Authentifizierung Code auf einem Webserver auszuführen. Sie sind unter CVE-2026-109618 und CVE-2026-109619 erfasst und mit 9,2 von 10 bewertet. Die Patches sind seit dem 21. Oktober 2026 verfügbar, und das BACS empfahl, sie sofort zu installieren.
Die Angreifer warteten nicht auf die Patches. Laut Bleeping Computer, einer auf IT-Sicherheit spezialisierten Nachrichtenseite, die 2clics zitierte, begannen die Ausnutzungsversuche vier Tage vor deren Veröffentlichung. Am 22. Oktober 2026 zählte das Unternehmen Risikomonitor etwas mehr als 23'000 noch exponierte Server unter fast 690'000 Servern mit Bezug zur Schweiz.
Unsere Analyse: Bisher berichteten die Quellen von 2clics von keinem erfolgreichen Eindringen in der Schweiz. Der Fall TCS Camping ist der erste Schweizer Datendiebstahl im Zusammenhang mit den PHP-Lücken, über den 2clics berichtet. Laut TCS ist die Lücke inzwischen behoben.
Ein Dienstleister angegriffen, mehrere Kunden exponiert
Das Muster erinnert an die Cyberangriffe auf Pensionskassen. In beiden Fällen wurden die Systeme eines Lieferanten angegriffen und nicht in erster Linie jene der Organisation, deren Kunden betroffen sind.
| Betroffene Organisation | Angegriffener Dienstleister | Betroffene Daten gemäss den Quellen |
|---|---|---|
| TCS Camping und Campingplatz Hüttenberg | Camping.care, Reservationen | Laut TCS: Namen, Telefonnummern, Reservationsnummern; keine IBAN |
| Pensionskasse Stadt Zürich | Nicht genannter Softwarelieferant | Im schlimmsten Fall: Kontaktdaten, Sozialversicherungsnummer, IBAN, Vorsorgedaten |
| Pensionskasse des Bundes Publica, Bernische Pensionskasse (BPK), Bernische Lehrerversicherungskasse (BLVK) | PK Softech, Software für Pensionskassen | Noch nicht ermittelt; Untersuchung des Beauftragten läuft |
Der Zürcher Fall, über den am 16. Oktober 2026 im Artikel zur Pensionskasse Zürich berichtet wurde, konnte weit sensiblere Daten betreffen. Im Fall von PK Softech eröffnete der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) am 23. Oktober 2026 eine Untersuchung zu PK Softech. Er will klären, welche Daten die Kassen dem Dienstleister anvertraut hatten.
Datenleck: Was der Schweizer Rahmen vorsieht
In der Schweiz nehmen zwei Bundesstellen Meldungen entgegen, mit unterschiedlichen Rollen. Der Beauftragte ist für den Schutz der Personendaten zuständig. Das BACS behandelt den Vorfall unter technischen Gesichtspunkten. Für ein KMU bleibt die Meldung an das BACS freiwillig; nur Betreiber kritischer Infrastrukturen sind seit dem 1. April 2025 dazu verpflichtet.
Die Meldungen an den Beauftragten nehmen zu. Amtsinhaber Adrian Lobsiger erhielt seit Anfang 2026 insgesamt 455 Meldungen über Verletzungen der Datensicherheit, gegenüber 343 im ganzen Jahr 2025. Er gab dies am 25. Oktober 2026 bekannt und schätzte, dass viele Datenschutzverletzungen in der Schweiz nie bei ihm ankommen.
Frühere Fälle zeigen die Praxis. PK Softech meldete den Angriff am 8. Oktober 2026 selbst dem Beauftragten, und das Onlinemagazin Republik meldete ihm den Diebstahl der Daten seiner Nutzerinnen und Nutzer. Die konsultierten Quellen führen nicht aus, welche Kriterien und welche Frist das neue Datenschutzgesetz (nDSG) für eine solche Meldung vorsieht.
Für ein KMU, das seine Reservationen oder seine Kundendatei einem Dienstleister anvertraut, ergeben sich aus den Quellen von 2clics zwei Ratschläge. Es gilt, den Lieferanten zu fragen, ob er den Patch für PHP2Shell eingespielt hat, und ihm nur die unbedingt nötigen Daten zu übermitteln, wie es der Beauftragte empfiehlt.
Was noch nicht bekannt ist
- Die Zahl der Kunden, deren Daten tatsächlich gestohlen wurden: Die 15'000 Kunden wurden laut ICTjournal vorsorglich gewarnt.
- Das Datum des Eindringens bei Camping.care und die genau ausgenutzte Lücke.
- Die Zahl weiterer Campingplätze in der Schweiz oder anderswo, die mit Camping.care arbeiten und betroffen sein könnten.
- Ob der TCS oder Camping.care den Vorfall dem Beauftragten oder dem BACS gemeldet haben: Die konsultierten Quellen sagen es nicht.
- Die Identität der Urheber der WhatsApp-Nachrichten.
