Cyberangriffe auf IT-Dienstleister für Hotels – Was Hotels und Gäste jetzt wissen sollten

In diesem Jahr ist es wiederholt zu einem Cyberangriff auf einen IT-Dienstleister für Hotels gekommen. Kriminelle haben dabei Gästedaten von Hotels, auch in Sachsen-Anhalt, abgegriffen.

Hier ist für Hotels und Gäste besondere Vorsicht geboten!

Zum zweiten Mal in diesem Jahr ist es Kriminellen nach bisherigem Kenntnisstand gelungen, Stamm- und Buchungsdaten von Gästen von einem IT-Dienstleister für Hotels abzugreifen. Zwar sind Bank- und Zahlungsdaten wohl nicht betroffen. Aber die Kriminellen nutzen die erbeuteten Daten gerade auch für sogenannte Pishing-Angriffe, um an Bank- und Zahlungsdaten oder direkt an das Geld der Gäste zu kommen.

Wie funktioniert das?

Mit den erbeuteten Buchungsdaten erhalten die Kunden bzw. Gäste täuschend echt wirkende sog. Phishing-Nachrichten per E-Mail oder Messengerdienst, bspw. WhatsApp, die sie unter Angabe der tatsächlich zutreffenden Buchungsdaten der Hotels oder Beherbergungsbetriebe und unter der Vorspiegelung, dass die Nachricht von dem gebuchten Hotel stammt, zu Zahlungen oder zur Preisgabe von Bankdaten (Kreditkartendaten) drängen. Dabei soll oft ein mitgeschickter Link angeklickt werden, der direkt auf die Seiten der Kriminellen führt.

Keinesfalls sollten Links in verdächtigen Nachrichten angeklickt werden.

Rufen Sie zur Sicherheit die Webseite der Hotels nur direkt im Internet auf, am besten durch Nutzung einer voreingestellten Browserspeicherung. Rufen Sie direkt bei dem Hotel oder Beherbergungsbetrieb an, bevor Sie etwaigen Zahlungsaufforderungen oder Aufforderungen zur erneuten Eingabe von Gäste- und Zahlungsdaten folgen.

Verdächtige Links auf betrügerische Webseiten können Sie teilweise auch selbst erkennen. Oder Sie können die Internetadresse auch mit einem Link-Checker bzw. URL-Checker prüfen lassen. Grundsätzlich sollten Sie aber die Ihnen bereits bekannten und damit verifizierten Links als Favoriten bzw. Lesezeichen im Browser anlegen und diese stets nur darüber aufrufen.

Was müssen Hotelbetreiber jetzt tun?

Zur Verhinderung von Schäden bei Ihren Kunden bzw. Gästen müssen Hotelbetriebe nach Bekanntwerden derartiger krimineller Aktivitäten, bspw. hier durch eine Nachricht des IT-Dienstleisters, sofort aktiv werden und ihre Kunden bzw. Gäste warnen. Diese Benachrichtigung ist nach Art. 34 Datenschutz-Grundverordnung in solchen Fällen verpflichtend.

Wie muss die Benachrichtigung der betroffenen Gäste bzw. potentiellen Gäste aussehen?

Die Benachrichtigung sollte gemäß Art. 34 Abs. 2 Datenschutz-Grundverordnung die folgenden Informationen enthalten:

• den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle des Verantwortlichen (Hotel bzw. Beherbergungsbetrieb) für weitere Informationen,
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten,
• eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Damit Betroffene die wahrscheinlichen Folgen selbst bewerten können, sollten ihnen die betroffenen Datenarten genannt werden. Weiterhin sollte die Benachrichtigung Empfehlungen für Schutzmaßnahmen enthalten, die Betroffene in ihrer eigenen Sphäre treffen können, um die möglichen Folgen der Datenschutzverletzung abzumildern. Hierzu zählen beispielsweise:

• Bei Betroffenheit von E-Mail-Adresse oder anderen Kontaktdaten:
  • Wachsamkeit hinsichtlich etwaiger Schadmails (SPAM, Phishing, etc.),
  • Wachsamkeit hinsichtlich vermeintlicher Kontaktaufnahmen durch den Verantwortlichen (Betrugsmaschen),
  • Prüfung der Sicherheit von Online-Konten, bei denen die betroffene E-Mail-Adresse zum Zugang genutzt wird, sowie des E-Mail-Postfachs selbst (Passwortsicherheit, unbefugte Änderungen von Einstellungen wie automatische Weiterleitungen oder ergänzte Rückfalloptionen zum Zurücksetzten von Passwörtern),
  • Auswahl eines separaten, sicheren Passworts je Online-Konto.
• Bei Betroffenheit von Kontaktdaten und weiteren Daten zur Person (bspw. Geburtsdaten, Identifikationsnummern, Bank- und Kreditkartendaten):
  • Wachsamkeit hinsichtlich möglicher Identitätsdiebstähle oder Betrugsmaschen,
  • Wachsamkeit hinsichtlich missbräuchlicher Nutzungen auf Online-Plattformen und Kontaktaufnahme in diesen Fällen zu den Betreibern, um eine Löschung zu veranlassen.

Zudem sollte in der Benachrichtigung der Betroffenen darauf hingewiesen werden, dass die Verletzung des Schutzes personenbezogener Daten an die zuständige Datenschutzaufsichtsbehörde gemeldet wurde.

Grundsätzlich ist außerdem eine Bekanntmachung auf der Webseite des Hotels oder Beherbergungsbetriebs sinnvoll.

Welcher Aufsichtsbehörde muss der Vorfall gemeldet werden?

Zwar ist der Vorfall bei einem IT-Dienstleister eingetreten. Hotels und Beherbergungsbetriebe sind aber datenschutzrechtlich verantwortlich, sofern sie diesen Dienstleister in ihrem Auftrag nutzen. Das heißt, dass sie den Vorfall an die für sie zuständige Aufsichtsbehörde melden müssen.

Hotels und Beherbergungsbetriebe mit Sitz in Sachsen-Anhalt müssen den Vorfall bei der Landesbeauftragten für den Datenschutz Sachsen-Anhalt melden. Hierfür verwenden Sie bitte folgendes Webformular.

Weitergehende Informationen rund um Datenpannen und Handlungsempfehlungen für Verantwortliche finden Sie im Infopaket Datenpannen.

Was müssten Verantwortliche darüber hinaus beachten?

Mit der Meldung und Benachrichtigung sind Hotels und Beherbergungsbetriebe zunächst ihren datenschutzrechtlichen Pflichten nachgekommen. Die weitere Behandlung, Untersuchung und Aufbereitung liegen grundsätzlich beim IT-Dienstleister als Auftragsverarbeiter, dessen Systeme angegriffen wurden. Die Aufsicht über den IT-Dienstleister führt die zuständige Aufsichtsbehörde an dessen Sitz. Verantwortliche müssen aber ggf. technische und organisatorische Maßnahmen bei ihrem IT-Dienstleister veranlassen bzw. einfordern, um einen Datenabfluss zu verhindern und eine Zusammenarbeit ggf. auch beenden, wenn dieser nicht (mehr) den Anforderungen an die DS-GVO genügt.

Hilfreich ist es aus Sicht der Landesbeauftragten auch, Strafanzeige zu erstatten.