Vielleicht haben Sie das schon erlebt: Das Telefon klingelt und dran ist ein Gast, der von Mails oder WhatsApps berichtet, die angeblich direkt vom Hotel kommen, aber einen dubiosen Inhalt oder eine:n ungewöhnliche:n Absender:in haben. In so einem Fall sollten die Alarmglocken losgehen.
Bitten Sie Ihre Gäste, Ihnen Beispiele von solchen Nachrichten weiterzuleiten und informieren Sie umgehend Ihr Team!
Für den Fall, dass das Datenleck nicht im Hotel, sondern bei einem/einer Vertragspartner:in ist, haben wir zusammengefasst, was dann die wichtigsten to-dos für Sie und Ihr Team sind:
Was tun, wenn Auftragsverarbeiter:in/Partner:in gehackt wurde?
- Meldung an die Datenschutzbehörde binnen 72 h
- Ehestmögliche Information an die Gäste
- Enge Abstimmung mit dem/der gehackten Systemanbieter:in über weitere Maßnahmen
- Information und Schulung des Teams bzgl. Beantwortung von Gästeanfragen und erhöhte Wachsamkeit bzgl. Auffälligkeiten oder Unregelmäßigkeiten
- Abstimmung mit eigenem IT-Team, um sicherzustellen, dass Hotel-Programme und Systeme nicht betroffen sind
- Sichern aller für den Vorfall relevanten Informationen (Mails, Nachrichtenprotokolle, Buchungsnummern, Gästekommunikation etc.)
Für mehr Infos siehe unten stehende Checkliste zum Download.
Sofern eine Verletzung des Schutzes personenbezogener Daten („Data Breach“) voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, hat gemäß Art. 33 DSGVO eine Meldung an die Datenschutzbehörde über diesen Data Breach zu erfolgen. Die Meldepflicht an die Aufsichtsbehörde trifft die Verantwortlichen, nicht jedoch die Auftragsverarbeiter:innen.
Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO sind diejenigen Personen oder Stellen, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden – sprich: die Stelle, der der Gast personenbezogene Daten gegeben hat. Auftragsverarbeiter:innen sind natürliche oder juristische Personen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten (Cloud-Anbieter, externe IT-Dienstleister etc.).
Die Meldung ist unverzüglich und möglichst binnen 72 Stunden, nachdem der Data Breach bekannt wurde, durchzuführen. Erfolgt die Meldung nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
Für Auftragsverarbeiter:innen besteht jedoch die Pflicht, die Vertragspartner:innen (die Verantwortlichen) unverzüglich über einen Data Breach, der im Rahmen der beauftragten Datenverarbeitung eintritt, zu informieren (Siehe Pflichten als Auftragsverarbeiter:in).
Wird eine Data Breach-Meldung gemäß Art. 33 DSGVO bei der Datenschutzbehörde eingebracht, besteht kein weiterer Handlungsbedarf, es sei denn, die Datenschutzbehörde kontaktiert Sie in dieser Angelegenheit, um zu prüfen, ob Sie alle geeigneten Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen gesetzt haben. Sollte keine Rückfrage seitens der Datenschutzbehörde erforderlich sein, wird das gegenständliche Verfahren intern (formlos) eingestellt.
Die Verantwortlichen im Sinne des DSGVO haben die betroffenen Personen unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich zu einem hohen Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen führt. Die Beurteilung der Schwere des Risikos muss bei einem Datenschutzvorfall jeweils konkret geprüft werden und obliegt den Verantwortlichen selbst. Haben Verantwortliche betroffene Personen trotz Vorliegens der Voraussetzungen nicht über den Vorfall benachrichtigt, so wird mittels Bescheid von der Datenschutzbehörde ein entsprechender Auftrag erteilt. (Quelle: dsb – Data Breach Verfahren)
- Was ist passiert? z.B. Anfang >Monat< kam es bei dem Buchungssystem/dem Newsletter-Tool/dem Hotelprogramm, mit dem wir als Hotel arbeiten etc., zu einem Cyber-Angriff. Trotz sorgfältiger technischer Sicherheitsvorkehrungen wurden dabei Daten von Gästen (Welche? Waren Bank-/Kreditkartendaten betroffen?) unrechtmäßig abgerufen.
- Entschuldigung
- Infos zu den getroffenen Maßnahmen und die Versicherung, dass alles unternommen wird, um Schaden abzuwenden
- Sensibilisierung: Bei Mails, Anrufen, WhatsApp etc. im Zusammenhang mit der Buchung immer genau die Absender:innen prüfen, nicht ungeprüft auf Links klicken oder Anhänge öffnen, keine Passwörter, Kreditkarten- oder Bankdaten über einen Link aus einem E-Mail eingeben und im Zweifel das Hotel ausschließlich über die gesicherten Kontaktdaten kontaktieren usw.
Was kann ich vorbeugend tun, um Schadensfälle durch Datenverlust zu vermeiden?
- Legen Sie fest, wann welche Zahlungen erforderlich sind, über welche Kanäle Ihr Hotel Kontakt aufnimmt und welche Zahlungsanbieter oder Links dafür verwendet werden, wie echte Zahlungslinks erkennbar sind oder dass unerwartete Änderungen von Bankverbindungen geprüft werden müssen.
- Kommunizieren Sie ebenso deutlich, welche Kanäle Ihr Hotel nicht für Zahlungsaufforderungen nutzt - z.B. „Wir kommunizieren mit unseren Gästen nicht über WhatsApp.“
- Weisen Sie Ihre Gäste ausdrücklich darauf hin, dass Zahlungsaufforderungen ausschließlich über diese festgelegten Wege erfolgen. So erhalten Gäste ein einfaches Prüfkriterium: Weicht eine Nachricht davon ab, ist besondere Vorsicht geboten.
- Kommunizieren Sie diese Regeln konsequent entlang der gesamten Reservierungskette. Warnhinweise sollten nicht erst nach einem Vorfall ausgesendet werden. Integrieren Sie kurze Sicherheitshinweise bereits in Buchungsbestätigungen, Pre-Stay und anderen E-Mails, auf Ihrer Website und gegebenenfalls an der Rezeption.
- Informieren Sie, an welche offizielle Telefonnummer oder E-Mail-Adresse sich Gäste bei Zweifeln wenden können.
Hier ein paar Grundsätze, die helfen, die Datensicherheit im Hotel zu erhöhen:
- Schützen Sie Zugänge zu Daten über persönliche Benutzerkonten, starke Passwörter und Mehr-Faktor-Authentifizierungen.
- Begrenzen Sie Zugriffe indem Sie Mitarbeitenden nur jene Berechtigungen geben, die sie für ihre Aufgabe brauchen statt dass alle auf alles zugreifen können.
- Updates regelmäßig einspielen und Backups immer wieder mal testen.
- Machen Sie einen Notfallplan, der immer weiterentwickelt wird: Wer ist intern Ansprechperson? Was sind IT-Notfallkontakte? Wie kann man auf Gästemeldungen reagieren?
- Arbeiten Sie mit Ihren Dienstleiter:innen zusammen und sensibilisieren Sie Ihr Team! Siehe separate Fragen dazu…
Umfassende Infos dazu bietet unser online Cybersecurity Leitfaden für die Hotellerie.
Wir haben erarbeitet, wo Sie bei der Auswahl von Tech-Lösungen näher hinschauen sollten – inkl. Checkliste. Sicherheit bei externen Dienstleister:innen und Lieferant:innen
Angreifer:innen suchen häufig nicht nur nach einem einzelnen Hotel, sondern nach Systemen, über die zahlreiche Reservierungen laufen. Wird eine zentrale Schnittstelle kompromittiert, können viele Betriebe und Gäste betroffen sein.
Prüfen Sie daher gemeinsam mit PMS-, Buchungs-, Zahlungs- und Schnittstellenanbieter:innen:
- wie Zugriffe abgesichert und protokolliert werden,
- wie verdächtige Aktivitäten erkannt werden,
- wer im Vorfall unverzüglich informiert wird,
- welche vertraglichen Melde- und Reaktionspflichten gelten,
- wie kompromittierte Zugänge rasch gesperrt werden können.
Phishing-Mails täuschen vertrauenswürdige Absender vor und enthalten oft dubiose Anhänge oder schädliche Links, die zu Webseiten führen, die auf den ersten Blick echt aussehen.
Hilfreiche Infos:
- Wir haben zusammengefasst, worauf Ihre Mitarbeiter:innen achten sollen.
- Aktuelle Warnungen auf der Watchlist Internet
- Cybersecurity Awareness Playbook mit Tipps für mehr Cybersicherheit in Unternehmen
