Ein schwerwiegender Cyberangriff auf einen weit verbreiteten Buchungsdienstleister für Tourismusbetriebe hat weitreichende Folgen für die gesamte Beherbergungsbranche. Über die kompromittierte Software erlangten Kriminelle Zugriff auf sensible Stamm- und Buchungsdaten von Hotels, Campingplätzen und Ferienwohnungen. Betroffen sind nicht mehr nur Betriebe in Norddeutschland, sondern Unterkünfte im gesamten Bundesgebiet.
Als Ihre Datenschutzexperten ordnen wir den Vorfall rechtlich ein und zeigen Ihnen, welche akuten Pflichten Sie als Hotelbetreiber jetzt treffen.
Die Masche: Hochprofessionelles Phishing mit echten Buchungsdaten
Die Angreifer nutzen die gestohlenen Daten (darunter Namen, korrekte Reisedaten, E-Mail-Adressen und Buchungsnummern) für extrem perfide Social-Engineering-Attacken.
- Der Ablauf: Ihre Gäste werden kurz vor der Anreise oder direkt während des Aufenthalts via WhatsApp, SMS oder E-Mail kontaktiert.
- Der Vorwand: Unter massivem Zeitdruck werden die Gäste aufgefordert, ihre Kreditkarten- oder Zahlungsdaten über einen mitgesendeten Link zu „verifizieren“, da die Buchung andernfalls storniert werde.
- Die Gefahr: Da die Nachrichten alle korrekten Reisedaten enthalten, schöpfen Gäste kaum Verdacht. Finanzieller Schaden und ein massiver Vertrauensverlust in Ihre Hotelmarke sind die Folge.
Handlungsleitfaden für Hotelbetreiber: Was Sie jetzt tun müssen
Sollte Ihr Haus die betroffene Buchungssoftware nutzen oder Sie Unregelmäßigkeiten feststellen, müssen Sie unverzüglich reagieren, um Haftungsrisiken und DSGVO-Bußgelder zu minimieren:
1. Prüfung der Meldepflicht (Art. 33 DSGVO)
Als Verantwortlicher (Data Controller) müssen Sie bei einem Datenvorfall prüfen, ob ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Ist dies der Fall, muss die Datenschutzpanne binnen 72 Stunden an die zuständige Landesbeauftragte für den Datenschutz gemeldet werden.
2. Information der Gäste (Art. 34 DSGVO)
Da durch das anschließende Phishing ein hohes finanzielles Risiko für Ihre Gäste besteht, sind Beherbergungsbetriebe in der Pflicht, betroffene Gäste transparent zu informieren.
3. Proaktive Aufklärung & Sensibilisierung
- Für Gäste: Platzieren Sie gut sichtbare Warnhinweise in Ihren offiziellen Buchungsbestätigungen und auf Ihrer Website. Stellen Sie klar: „Wir fordern Sie niemals via WhatsApp oder SMS zur Eingabe von Kreditkartendaten auf.“
- Für Mitarbeiter: Schulen Sie Ihr Rezeptionsteam. Reagieren Sie sensibel auf Rückfragen von Gästen, die merkwürdige Nachrichten erhalten haben, und gleichen Sie Kommunikationswege ab.
Hintergrundinformationen zum Nachhören
Wie kritisch die Lage für die Branche aktuell ist und wie rasant die Fallzahlen steigen, verdeutlicht der aktuelle Bericht des NDR. Die Landesdatenschutzbehörden verzeichnen derzeit ein ungewöhnlich hohes Aufkommen an Meldungen aus der Tourismusbranche.
Den vollständigen Warnbericht und das Interview mit den genauen Hintergründen finden Sie im Beitrag des NDR:
Haben Sie Fragen zur Umsetzung Ihrer Informationspflichten oder benötigen Sie Unterstützung bei der datenschutzrechtlichen Risikoanalyse Ihrer Drittanbieter-Software? Kontaktieren Sie uns direkt für eine Sofort-Beratung.