Vielleicht haben Sie das schon erlebt: Das Telefon klingelt und dran ist ein Gast, der von Mails oder WhatsApps berichtet, die angeblich direkt vom Hotel kommen, aber einen dubiosen Inhalt oder eine:n ungewöhnliche:n Absender:in haben. In so einem Fall sollten die Alarmglocken losgehen.
Bitten Sie Ihre Gäste, Ihnen Beispiele von solchen Nachrichten weiterzuleiten und informieren Sie umgehend Ihr Team!
Für den Fall, dass das Datenleck nicht im Hotel, sondern bei einem/einer Vertragspartner:in ist, haben wir zusammengefasst, was dann die wichtigsten to-dos für Sie und Ihr Team sind:
FAQs: Was tun, wenn Auftragsverarbeiter:in/Partner:in gehackt wurde?
- Meldung an die Datenschutzbehörde binnen 72 h
- Ehestmögliche Information an die Gäste
- Enge Abstimmung mit dem/der gehackten Systemanbieter:in über weitere Maßnahmen
- Information und Schulung des Teams bzgl. Beantwortung von Gästeanfragen und erhöhte Wachsamkeit bzgl. Auffälligkeiten oder Unregelmäßigkeiten
- Abstimmung mit eigenem IT-Team, um sicherzustellen, dass Hotel-Programme und Systeme nicht betroffen sind
- Sichern aller für den Vorfall relevanten Informationen (Mails, Nachrichtenprotokolle, Buchungsnummern, Gästekommunikation etc.)
Sofern eine Verletzung des Schutzes personenbezogener Daten („Data Breach“) voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, hat gemäß Art. 33 DSGVO eine Meldung an die Datenschutzbehörde über diesen Data Breach zu erfolgen. Die Meldepflicht an die Aufsichtsbehörde trifft die Verantwortlichen, nicht jedoch die Auftragsverarbeiter:innen.
Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO sind diejenigen Personen oder Stellen, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden – sprich: die Stelle, der der Gast personenbezogene Daten gegeben hat. Auftragsverarbeiter:innen sind natürliche oder juristische Personen, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten (Cloud-Anbieter, externe IT-Dienstleister etc.).
Die Meldung ist unverzüglich und möglichst binnen 72 Stunden, nachdem der Data Breach bekannt wurde, durchzuführen. Erfolgt die Meldung nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
Für Auftragsverarbeiter:innen besteht jedoch die Pflicht, die Vertragspartner:innen (die Verantwortlichen) unverzüglich über einen Data Breach, der im Rahmen der beauftragten Datenverarbeitung eintritt, zu informieren (Siehe Pflichten als Auftragsverarbeiter:in).
Wird eine Data Breach-Meldung gemäß Art. 33 DSGVO bei der Datenschutzbehörde eingebracht, besteht kein weiterer Handlungsbedarf, es sei denn, die Datenschutzbehörde kontaktiert Sie in dieser Angelegenheit, um zu prüfen, ob Sie alle geeigneten Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen gesetzt haben. Sollte keine Rückfrage seitens der Datenschutzbehörde erforderlich sein, wird das gegenständliche Verfahren intern (formlos) eingestellt.
Die Verantwortlichen im Sinne des DSGVO haben die betroffenen Personen unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich zu einem hohen Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen führt. Die Beurteilung der Schwere des Risikos muss bei einem Datenschutzvorfall jeweils konkret geprüft werden und obliegt den Verantwortlichen selbst. Haben Verantwortliche betroffene Personen trotz Vorliegens der Voraussetzungen nicht über den Vorfall benachrichtigt, so wird mittels Bescheid von der Datenschutzbehörde ein entsprechender Auftrag erteilt. (Quelle: dsb – Data Breach Verfahren)
- Was ist passiert? z.B. Anfang >Monat< kam es bei dem Buchungssystem/dem Newsletter-Tool/dem Hotelprogramm, mit dem wir als Hotel arbeiten etc., zu einem Cyber-Angriff. Trotz sorgfältiger technischer Sicherheitsvorkehrungen wurden dabei Daten von Gästen (Welche? Waren Bank-/Kreditkartendaten betroffen?) unrechtmäßig abgerufen.
- Entschuldigung
- Infos zu den getroffenen Maßnahmen und die Versicherung, dass alles unternommen wird, um Schaden abzuwenden
- Sensibilisierung: Bei Mails, Anrufen, WhatsApp etc. im Zusammenhang mit der Buchung immer genau die Absender:innen prüfen, nicht ungeprüft auf Links klicken oder Anhänge öffnen, keine Passwörter, Kreditkarten- oder Bankdaten über einen Link aus einem E-Mail eingeben und im Zweifel das Hotel ausschließlich über die gesicherten Kontaktdaten kontaktieren usw.
Wir haben erarbeitet, wo Sie bei der Auswahl von Tech-Lösungen näher hinschauen sollten – inkl. Checkliste. Sicherheit bei externen Dienstleister:innen und Lieferant:innen
Phishing-Mails täuschen vertrauenswürdige Absender vor und enthalten oft dubiose Anhänge oder schädliche Links, die zu Webseiten führen, die auf den ersten Blick echt aussehen.
Hilfreiche Infos:
- Wir haben zusammengefasst, worauf Ihre Mitarbeiter:innen achten sollen.
- Aktuelle Warnungen auf der Watchlist Internet
- Cybersecurity Awareness Playbook mit Tipps für mehr Cybersicherheit in Unternehmen
Naturgemäß sind Banken ein attraktives Ziel für Cyberkriminelle. Der Bankensektor hat daher schon vor langer Zeit begonnen – unabhängig von tatsächlichen Vorfällen – Kundinnen und Kunden immer wieder aufzurufen, vermeintliche Banknachrichten sehr genau zu prüfen und auf näher beschriebene Täuschungsversuche nicht hereinzufallen. Siehe auch Kampagne „Phishen impossible!“
Vielleicht wird es auch für die Hotellerie Zeit, Buchungsbestätigungen mit Warnhinweisen zu versehen, damit Gäste wachsam sind, falls sie z.B. E-Mails erhalten, die scheinbar vom Hotel stammen, aber ungewöhnliche Aufforderungen enthalten (Eingabe persönlicher Daten oder Zahlungsaufforderung).
