Zunächst hatte das Portal «heise online» über die Panne berichtet. Wie eine Sprecherin von Legoland Deutschland im schwäbischen Günzburg am Mittwoch betonte, seien die Daten aber nie öffentlich einsehbar gewesen. Kunden, die sich in dem Kundenportal des Parks eingeloggt haben, konnten demnach allerdings die Daten anderer Kunden einsehen.
Laut «heise online» waren sogenannte PDF-Dokumente von Buchungen seit Mai 2015 einsehbar. Es gehe um mehrere tausend Datensätze. «In den Dokumenten waren neben den Namen, den Anschriften der buchenden Kunden und dem gewünschten Reisezeitraum auch die Namen der Mitreisenden aufgelistet», heißt es in dem Bericht.
Legoland geht davon aus, dass fremde Daten nur in einem kleinen Rahmen für die Recherche abgegriffen worden sind. Für die Betroffenen stelle es nur ein geringes Risiko dar, weswegen diese auch nicht informiert würden, sagte die Unternehmenssprecherin. «Zu keinem Zeitpunkt wurde auf Bank- oder Kreditkartendaten zugegriffen oder diese entwendet.»
Das Reisekundenportal des Legoland-Softwareanbieters sei sofort nach Bekanntwerden der Sicherheitslücke deaktiviert worden. Vor einer erneuten Freischaltung würden zusätzliche Sicherheitsmaßnahmen eingeführt. Die Datenschutzbehörden seien über den Vorfall informiert worden, berichtete die Legoland-Sprecherin.
Das deutsche Legoland gehört zu dem britischen Konzern Merlin Entertainments, der in etlichen Ländern Freizeiteinrichtungen betreibt.