Bei den Seetelhotels drangen Unbekannte am 10. Oktober in interne IT-Systeme ein und verschlüsselten Daten. Die Hotelgruppe konnte den Angriff nach eigenen Angaben frühzeitig stoppen. Der Betrieb läuft weitgehend normal, allerdings sind Verwaltungsprozesse und Kommunikationskanäle eingeschränkt. Ob Gäste- und Geschäftsdaten abgeflossen sind, wird noch untersucht.
Auch das Hotel Das James in Flensburg warnt vor Datenmissbrauch. Dort nutzten Kriminelle eine Sicherheitslücke beim Buchungsdienstleister Hotelnetsolutions, um Reservierungsdaten abzugreifen. Mit echten Namen, Buchungsnummern und Reisezeiträumen verschickten die Täter glaubwürdige Zahlungsaufforderungen. Die Sicherheitslücke wurde bereits im September geschlossen.
Weitere Hotelgruppen betroffen
Bereits im September hatte ein Datenleck beim Buchungsdienstleister Amadeus Gäste der Maritim Hotels betroffen. Unbekannte erbeuteten Reservierungsdaten, darunter E-Mail-Adressen und Telefonnummern. Zahlungs- und Passdaten waren nach Angaben der Hotelgruppe nicht betroffen.
Ebenfalls im September musste Atlantic Hotels mehrere Websites vorübergehend abschalten. Hacker hatten Schadcode eingeschleust, der Besucher dazu verleiten sollte, schädliche Befehle auf ihren Computern auszuführen. Die Hotelgruppe ließ die Seiten untersuchen und bereinigen. Gäste- und Unternehmensdaten wurden nach eigenen Angaben nicht gestohlen.
Buchungsdaten machen Hotels interessant
Hotels verarbeiten große Mengen sensibler Gästedaten und sind über Buchungsportale, Reservierungssysteme und externe Dienstleister miteinander vernetzt. Angreifer können Sicherheitslücken dieser Systeme ausnutzen oder versuchen, Mitarbeiter mit gefälschten Nachrichten zu täuschen.
Das IT-Sicherheitsunternehmen Securonix warnte bereits Anfang des Jahres vor einer Angriffswelle auf europäische Hotels. Dabei erhielten Mitarbeiter gefälschte E-Mails von Booking.com. Über nachgeahmte Buchungsseiten und fingierte Windows-Fehlermeldungen wurden sie dazu gebracht, selbst Schadsoftware zu installieren. Anschließend konnten die Angreifer Computer aus der Ferne kontrollieren und Daten ausspähen.
Für Hotelbetreiber entstehen dadurch nicht nur Datenschutzrisiken. Fallen Buchungssysteme oder Kommunikationskanäle aus, kann das den laufenden Betrieb beeinträchtigen. Hinzu kommen mögliche finanzielle Schäden, Kosten für die Wiederherstellung der Systeme und Vertrauensverluste bei Gästen.
Vier Maßnahmen für mehr Sicherheit
Marc Dönges, Leiter der Transferstelle Cybersicherheit im Mittelstand, empfiehlt Hotelbetrieben vier grundlegende Schutzmaßnahmen. Dazu gehören starke Passwörter mit Zwei-Faktor-Authentifizierung, regelmäßige Datensicherungen, die Trennung des Gäste-W-Lans von den internen Hotelsystemen sowie die Sensibilisierung der Mitarbeiter für Cybergefahren.
Gerade die Schulung des Personals ist wichtig, weil viele Angriffe über gefälschte E-Mails und manipulierte Buchungsanfragen beginnen. Darüber hinaus sollten Hotelbetreiber die Sicherheitsvorkehrungen ihrer externen IT- und Buchungsdienstleister überprüfen.
Stella König