Angreifer machen vor keiner Abteilung Halt und nützen jede Gelegenheit an Daten zu kommen oder ganze Systeme lahm zu legen. Während Bedrohungen durch Phishing und Social Engineering, schwache Passwörter, ungesicherte Arbeitsplätze, fehlende Segmentierung oder fehlende Awareness Risiken für alle Abteilungen gleichermaßen darstellen, gibt es abteilungsspezifische Sicherheitsrisiken, auf die im Speziellen geachtet werden sollte...
Besondere Risiken: Zugang zu Gästedaten, Kreditkarteninformationen und Buchungssystemen, Rezeptionen, die nicht 24/7 besetzt sind
Spezielle Maßnahmen:
- Mitarbeiter:innen speziell auf E-Mail Phishingangriffe schulen
- Keine unbekannten USB-Sticks von Gästen verwenden, sondern nur genehmigte Datenträger verwenden
- Vorsicht bei Anrufen, die nach Zimmernummern oder Gästedaten fragen
- Computer besonders sorgfältig sperren, da Gäste oft in der Nähe sind. Am besten auch dann, wenn nur ein Koffer ins Backoffice gestellt wird. Ein entsperrter Computer ist eine Einladung wie eine offene Türe. Um den Computer zu sperren, kann man folgende Shortcuts verwenden:
Windows: Win + L
Mac: Cmd + Ctrl + Q - Lassen Sie Gäste niemals an hotelinternen Geräten arbeiten oder etwas ausdrucken. Möchte man dem Gast dennoch die Möglichkeit geben, etwas auzudrucken, dann kann ein eigener Drucker in der Lobby installiert werden, der lediglich dafür gedacht ist und gesondert abgesichert ist.
- Viele Rezeptionen haben aus ästhetischen Gründen einen Spiegel hinter der Rezeption. Das ermöglicht es Gästen, problemlos hinter die Rezeption zu schauen. Achten Sie besonders darauf, dass keine Passwörter offen herumliegen oder aufgeklebt sind. Des weiteren können in diesem Fall spezielle Folien für Bildschirme helfen, die von einem schrägen Blickwinkel aus schwarz erscheinen.
- Achten Sie bei Rezeptionen, die nicht durchgehend besetzt sind, besonders darauf, dass alle Geräte ausgeschalten sind und man sich nicht unbefugt Zutritt verschaffen kann.
- Lassen Sie keine Keycards offen und unbeaufsichtigt an der Rezeption liegen. Diese können sehr leicht - quasi im Vorbeigehen - kopiert werden.
Besondere Risiken: Zugang zu Finanz- und Geschäftsdaten, oft Verbindung zu externen Dienstleistern, große Anzahl an E-Mails
Spezielle Maßnahmen:
- Strikte Zugriffskontrollen - jeder Mitarbeitende bekommt nur Zugang zu nötigen Daten
- Sichere Vernichtung vertraulicher Dokumente (Schredder statt Papierkorb) und niemals offen herumliegen lassen
- Bei Outsourcing von Dienstleistungen: Sicherheit der Dienstleister prüfen
- Besongers wichtig: Multi-Faktor-Authentifizierung nutzen, wo möglich
- Spezielles Augenmerk auf E-Mail-Phishing bei Schulungen legen. Hier sind genaue Sicherheitsrichtlinien im Umgang mit unsicheren Mails oder Anhängen von Mails essentiell.
- Da das Back Office oft mit einer großen Anzahl an E-Mails konfrontiert ist, gibt es - neben einer unverzichtbaren Firewall - verschiedene Ansätze, wie man das Risiko durch Phishingangriffe minimieren kann. Es kann z. B. ein eigens gesichertes Gerät nur für E-Mail Anfragen und Bewerbungen verwendet werden, das keinen Zugriff auf andere Systeme im Hotel hat. Bewerbungen stellen ein spezielles Risiko da, da sie oft in Massen und mit unsieren Dateianhängen wie Word verschickt werden.
In anderen Fällen werden E-Mails, bei denen sich ein:e Mitarbeiter:in unsicher ist, in einen eigenen Ordner verschoben. Dieser Ordner wird in Abständen nur von der Abteilungsleitung oder einer speziell geschulten Person angesehen und bewertet.
Besondere Risiken: Zahlungsdaten, mobile Bestellgeräte, Kassensysteme, Kundenbindungsprogramme, Lagerhaltungssoftware
Spezielle Maßnahmen:
- Kreditkarten niemals unbeaufsichtigt lassen
- Immer nur offizielle und geprüfte Zahlungsterminals verwenden
- Kassensysteme und Tablets bei Nichtgebrauch sperren
- Nur sichere, interne WLAN-Netzwerke für Geschäftsgeräte nutzen - keine Hotelkassensysteme oder Zahlungsterminals über öffentliches WLAN betreiben
- Gutscheine fälschungssicher gestalten (auch digitale)
- Gästedaten vertraulich behandeln (keine Namen/Zimmernummern offen sichtbar liegen lassen)
Besondere Risiken: Sehr persönliche Gästeinformationen, Reisepläne, externe Buchungen
Spezielle Maßnahmen:
- Keine sensiblen Informationen laut aussprechen oder offen zugänglich notieren. Ausdrucke mit persönlichen Daten sicher entsorgen (z. B. schreddern). Keine vertraulichen Informationen per E-Mail oder Telefon an Unbekannte weitergeben.
- Nur offizielle und sichere Buchungsplattformen nutzen und keine Reservierungen über öffentliche oder unsichere Netzwerke tätigen
- Identität von Dienstleistern immer verifizieren
- Sorgfältige Hintergrundprüfung vor Anstellung
- Computer sperren, wenn man nicht am Platz ist
- Vor der Anstellung sollte eine sorgfältige Hintergrundüberprüfung der Bewerber erfolgen. Dazu gehören polizeiliche Führungszeugnisse, Referenzen von vorherigen Arbeitgebern und, wenn möglich, ein Identitätsnachweis.
Besondere Risiken: Zugang zu Gebäudesystemen, Smart-Building-Technologie, Sicherheitsanlagen
Spezielle Maßnahmen:
- Starke Passwörter für Gebäude- und Sicherheitssysteme
- Nur sichere VPN-Verbindungen für Fernwartung verwenden
- Unnötigen Remote-Zugriffe deaktivieren oder stark einschränken
- Vorsicht bei externen "Technikern" - Identität immer prüfen und spezielles Augenmerk auf die Schulung zum Thema Social Engeneering legen
- Zugangscodes, Wartungspläne und Netzwerkdaten sicher aufbewahren und wichtige Dokumente nur an befugte Personen weitergeben
- Alle Smart-Building- und Wartungssystem auf dem neuersten Stand halten
Besondere Risiken: Zugang zu allen Hotelbereichen, digitale Türschlösser, potenzielle Entdeckung von Auffälligkeiten, Social Engeneering, vernetze Geräte
Spezielle Maßnahmen:
- Master-Schlüssel und Zugangskarten niemals unbeaufsichtigt lassen und den Verlust sofort an das Management melden
- Keine Zimmer für fremde Personen öffnen
- Keine Fotos von Gästezimmern oder internen Bereichen mit sensiblen Daten machen oder veröffentlichen
- Auffälligkeiten melden (z. B. unbekannte USB-Sticks in Fernsehern)
- Bei verdächtigen Anfragen die Rezeption oder den Sicherheitsdienst informieren
Besondere Risiken: Externe Gäste mit eigenen Geräten, vertrauliche Geschäftsdaten
Spezielle Maßnahmen:
- Separates WLAN-Netzwerk für Konferenzgäste (isoliert vom Hotelnetzwerk)
- USB-Ports an Konferenzgeräten deaktivieren
- Sichere Entsorgung von Flipchart-Notizen und regelmäßige Löschung von elektronischen Daten und Dokumenten auf den Geräten, die in Konferenzräumen verwendet werden
- Antivirensoftware auf allen Konferenzraumgeräten, bzw. mit spezieller End-Point-Protection sichern
Fazit
IT-Sicherheit ist Teamarbeit. Jede Abteilung hat ihre spezifischen Risiken, aber die Grundprinzipien sind überall gleich: Wachsamkeit, sichere Passwörter, regelmäßige Updates und gesunder Menschenverstand. Ein sicheres Hotel schützt nicht nur die Gästedaten, sondern auch den Ruf und die Zukunft Ihres Unternehmens.
