Die Carnival Corporation hat eine Datenpanne bestätigt, bei der personenbezogene Informationen betroffen sind. Laut der Meldung an die Generalstaatsanwaltschaft des US-Bundesstaats Maine sind 5.995.277 Personen betroffen. Carnival selbst veröffentlichte am 27. Mai 2026 eine Mitteilung zum Vorfall und begann ab diesem Zeitpunkt mit der Benachrichtigung betroffener Personen.
Nach Angaben des Konzerns erkannte das IT-Sicherheitsteam am 14. April 2026 unbefugte Aktivitäten im Zusammenhang mit einem Mitarbeiterkonto. Ein Angreifer habe Social Engineering eingesetzt, um einen Mitarbeiter zu täuschen und Zugang zu einem begrenzten Teil des IT-Systems zu erhalten. Carnival erklärte, die unbefugte Aktivität gestoppt und externe Sicherheitsexperten eingeschaltet zu haben. Am 22. April 2026 stellte das Unternehmen nach eigenen Angaben erstmals fest, dass personenbezogene Daten illegal kopiert worden waren.
Auf einen Blick
| Punkt | Aktueller Stand |
|---|---|
| Unternehmen | Carnival Corporation |
| Vorfallsdatum laut Maine-Meldung | 10. April 2026 |
| Erkennung durch Carnival | 14. April 2026 |
| Datenkopie festgestellt | 22. April 2026 |
| Benachrichtigungen gestartet | ab etwa 27. Mai 2026 |
| Offiziell gemeldete Betroffene | 5.995.277 Personen |
| Angriffsmethode laut Carnival | Social Engineering über ein Mitarbeiterkonto |
| Offiziell genannte Datenarten | Name, Adresse, E-Mail, Telefonnummer, Geburtsdatum, amtliche Identifikationsnummern |
| HIBP-Datensatz | 8,7 Mio. Datensätze, 7,5 Mio. eindeutige E-Mail-Adressen |
| Hinweis auf konkrete Marke im HIBP-Datensatz | Holland America Line / Mariner Society |
| AIDA-Kunden | Laut Carnival gegenüber BILD keine Anhaltspunkte für betroffene personenbezogene AIDA-Kundendaten |
| Tätergruppe | ShinyHunters beanspruchte den Angriff laut HIBP; Carnival bestätigt öffentlich keine Tätergruppe |
| Schutzangebot | zwei Jahre TransUnion-Kreditmonitoring für Personen in den USA |
Welche Daten betroffen sein können
Carnival nennt als bislang bekannte Datenkategorien: Namen, Adressen, E-Mail-Adressen, Telefonnummern, Geburtsdaten sowie amtliche Identifikationsnummern, zum Beispiel Führerschein- oder Passnummern. Der genaue Umfang kann je nach betroffener Person unterschiedlich sein; die Analyse der betroffenen Daten läuft laut Carnival weiter.
Unabhängig von der offiziellen Carnival-Mitteilung hat der Dienst Have I Been Pwned einen veröffentlichten Datensatz zum Carnival-Vorfall ausgewertet. HIBP spricht von 8,7 Millionen Datensätzen mit 7,5 Millionen eindeutigen E-Mail-Adressen. Die dort gelisteten Datenfelder umfassen unter anderem Namen, Geburtsdaten, E-Mail-Adressen, Geschlecht, geografische Angaben, Anreden und Treueprogramm-Details. Laut HIBP deuten die Datenfelder auf das Mariner Society-Treueprogramm von Holland America Line hin.
Wichtig: Die Zahlen aus der offiziellen Meldung und aus HIBP sind nicht identisch. Die offizielle Betroffenenzahl liegt bei 5.995.277 Personen; HIBP beschreibt einen veröffentlichten Datensatz mit 7,5 Millionen eindeutigen E-Mail-Adressen. Diese Angaben sollten nicht vermischt werden.
Sind AIDA-Kunden betroffen?
AIDA Cruises gehört zur Carnival Corporation. Der Konzern nennt in seiner öffentlichen Mitteilung jedoch keine betroffenen Marken oder Länder. Zur Carnival-Gruppe zählen unter anderem AIDA Cruises, Carnival Cruise Line, Costa Cruises, Cunard, Holland America Line, P&O Cruises, Princess Cruises und Seabourn. Für AIDA-Kunden gibt es derzeit keine öffentlich belegte Betroffenheit. Eine unabhängige Bestätigung oder eine detaillierte öffentliche Aufschlüsselung nach Marken und Ländern liegt bislang nicht vor. Damit gilt: Eine direkte Betroffenheit von AIDA-Kundendaten ist nach aktuellem Stand nicht belegt. Gleichzeitig bleibt offen, welche Marken und Länder Carnival intern als betroffen einstuft, weil der Konzern diese Details öffentlich bislang nicht veröffentlicht hat.
Carnival nennt in seiner offiziellen Mitteilung keine Tätergruppe. Have I Been Pwned beschreibt den Vorfall dagegen als Angriff, den die Gruppe ShinyHunters für sich beansprucht habe. Laut HIBP soll die Gruppe versucht haben, Carnival zu erpressen, um eine Veröffentlichung der Daten zu verhindern. Diese Täterzuordnung ist daher als externe Zuschreibung zu behandeln, nicht als offizielle Bestätigung durch Carnival.
Carnival benachrichtigt betroffene Personen nach eigenen Angaben per E-Mail, soweit dies möglich und erforderlich ist. Für Personen in den USA bietet das Unternehmen zwei Jahre kostenloses Kreditmonitoring über TransUnion an. In der öffentlichen Mitteilung wird dieses Angebot ausdrücklich auf Personen in den USA bezogen; ein vergleichbares Angebot für europäische oder deutsche Kunden wird dort nicht genannt. Carnival empfiehlt Betroffenen außerdem, Kontoauszüge und Kreditberichte regelmäßig auf unberechtigte Aktivitäten zu prüfen und bei Verdacht auf Identitätsdiebstahl oder Betrug die örtliche Polizei zu kontaktieren.
Frühere Sicherheitsvorfälle bei Carnival
Der aktuelle Vorfall ist nicht der erste Cybersecurity-Fall bei Carnival. Das Unternehmen hatte bereits in früheren Jahren Sicherheitsvorfälle gemeldet. Carnival verweist in seiner aktuellen Mitteilung darauf, dass zusätzliche Sicherheits- und Überwachungskontrollen umgesetzt wurden. Aus früheren Vorfällen lässt sich nicht automatisch ableiten, dass dieselben Ursachen oder dieselben Marken betroffen waren. Belastbar ist nur, dass Carnival in der Vergangenheit wiederholt mit Cybersecurity-Vorfällen konfrontiert war und der aktuelle Vorfall nun offiziell bestätigt ist.
Was Kreuzfahrtkunden jetzt tun sollten
Wer eine Benachrichtigung von Carnival erhalten hat, sollte diese genau lesen. Die individuelle Nachricht soll laut Carnival nähere Angaben dazu enthalten, welche Informationen bei der jeweiligen Person betroffen sind.
Auch ohne Benachrichtigung sind einige Vorsichtsmaßnahmen sinnvoll:
- Kundenkonten bei Carnival-Marken direkt über die offizielle Website oder App aufrufen, nicht über Links in unerwarteten E-Mails.
- Passwörter ändern, wenn sie mehrfach verwendet wurden oder wenn das betroffene Konto mit derselben E-Mail-Adresse genutzt wird.
- Zwei-Faktor-Authentifizierung aktivieren, wo sie angeboten wird.
- Kontoauszüge und Kreditkartenbewegungen auf ungewöhnliche Abbuchungen prüfen.
- Besonders vorsichtig bei E-Mails, SMS oder Anrufen sein, die sich auf Kreuzfahrtbuchungen, Bonusprogramme, Rückerstattungen, Upgrades oder Ausweisdaten beziehen.
- Die eigene E-Mail-Adresse bei Have I Been Pwned prüfen, um zu sehen, ob sie in bekannten Datenlecks auftaucht. HIBP empfiehlt bei betroffenen Konten unter anderem Passwortwechsel und Zwei-Faktor-Authentifizierung.
Für AIDA-Kunden ist die wichtigste Information: Eine konkrete Betroffenheit personenbezogener AIDA-Kundendaten ist derzeit nicht belegt. Carnival hat gegenüber BILD erklärt, es gebe keine Anhaltspunkte für eine solche Betroffenheit. Diese Aussage ersetzt jedoch keine vollständige öffentliche Aufschlüsselung nach Marken und Ländern.
Für Carnival bleibt der Vorfall erheblich. Fast sechs Millionen offiziell gemeldete Betroffene, mögliche amtliche Identifikationsnummern im Datenumfang und ein zusätzlich veröffentlichter Datensatz mit Millionen E-Mail-Adressen machen die Datenpanne relevant für Kunden von Carnival-Marken, insbesondere für Personen, die eine Benachrichtigung erhalten haben oder deren E-Mail-Adresse im HIBP-Datensatz auftaucht.
Quellen
- Carnival Corporation / PRNewswire: „Carnival Corporation Notice of Data Breach“, 27. Mai 2026. (PR Newswire)
- Maine Attorney General: Data Breach Notice zu Carnival Corporation. (maine.gov)
- Have I Been Pwned: „Carnival Data Breach“. (Have I Been Pwned)
- BILD: Carnival-Stellungnahme zu AIDA-Kundendaten. (BILD)
- Carnival Corporation: Übersicht der Kreuzfahrtmarken. (carnivalcorp.com)
- DSGVO Art. 33 und Art. 34 zur Meldung von Datenschutzverletzungen. (Datenschutzgrundverordnung)
