Ein vollständiger Leitfaden zur Cybersicherheit in der Hotellerie

Mit fortschreitender Technologie wächst auch die Cyberkriminalität. Und das bedeutet, dass Cybersicherheit in der Hotellerie noch nie so wichtig war.

‍

Es ist eine harte Wahrheit, dass Hotels langsam sind, wenn es um den technologischen Fortschritt geht. Dies beginnt sich jedoch zu ändern, da Hoteliers die Gefahren der Cyberkriminalität erkennen. Die Auswirkungen einer Datenschutzverletzung oder eines Zahlungskartenbetrugs sind beispielsweise weitreichend, schädlich und kostspielig. Es ist nicht nur Ihre Tasche, die darunter leidet, sondern auch Ihr Ruf.

‍

Ein Verständnis der Cybersicherheit, der mit Cyberkriminalität verbundenen Risiken und der Technologie, die Ihnen zur Verfügung steht, ist die beste Wahl, um nicht zum Opfer zu werden.

Was ist Cybersicherheit und warum ist sie wichtig für die Hotellerie?

Hotels befinden sich auf einem Berg sensibler Gästedaten. Diese Daten könnten für Kriminelle nützlich sein, die Identitäten, Passwörter und letztlich Geld stehlen wollen.

‍

Leider haben die meisten Hotels und Unternehmen mehrere Schwachstellen, die Betrüger ausnutzen können, egal ob es sich um Ihre Technologie, Passwörter oder Mitarbeiter handelt. Menschliches Versagen ist eines Ihrer größten Risiken.

‍

Der Begriff Cybersicherheit umfasst also alle Schritte, die Sie ergreifen, um Ihre Gäste- und Kundeninformationen sicher und verschlüsselt zu halten.

‍

Eine der besten Möglichkeiten, Gäste- und Kundendaten zu schützen, ist die Wartung Datensicherheitsstandard der Zahlungskartenbranche (PCI DSS) Einhaltung. Dies ist eine Anforderung für alle Unternehmen, die mit Zahlungskartendaten umgehen, und umfasst eine Reihe von Regeln und Vorschriften.

‍

Leider sind viele Hotels nicht PCI-konform, ohne es zu wissen. Vielleicht benutzen sie es immer noch Autorisierungsformulare in Papierform, oder vielleicht haben sie eine schwache Passwortrichtlinie (z. B. ohne Verwendung der Zwei-Faktor-Authentifizierung).

‍

Der Schutz Ihrer Gäste- und Kundendaten ist unerlässlich, nicht nur, um Verstöße und Strafen zu vermeiden, sondern auch, um Ihr Gasterlebnis zu verbessern. Sechsundfünfzig Prozent der Reisenden geben an, dass sie etwas besorgt über den Datenschutz und die Sicherheit ihrer Daten sind, die Hotels zur Verfügung gestellt werden. Zwanzig Prozent gaben an, sehr besorgt zu sein.

‍

9 Cybersicherheitsbedrohungen, auf die Sie achten sollten

Cyberkriminalität kann aus allen Richtungen kommen, weshalb es wichtig ist, dass Sie sich — und Ihre Mitarbeiter — mit jeder Art vertraut machen. Wenn Sie die Anzeichen kennen, können Sie Cyberkriminalität im Keim ersticken und Ihr Unternehmen (und Ihre Gäste) schützen.

‍

1. PDF-Autorisierungsformulare werden per E-Mail hin und her gesendet

PDF-Autorisierungsformulare werden heute noch verwendet, sind jedoch nicht PCI DSS-konform. Das bedeutet, dass Sie im Falle eines Verstoßes bei der Verwendung von PDF-Formularen haftbar sind und möglicherweise eine hohe Strafe zahlen müssen.

PDF-Formulare können ein ernstes Sicherheitsrisiko darstellen, insbesondere wenn sie nicht ordnungsgemäß gesichert und gespeichert sind. Angenommen, ein Hotelgast füllt ein PDF-Formular mit seinen Zahlungsinformationen aus und sendet es per E-Mail an Ihr Hotel. Diese E-Mail wird dann von einem Betrüger abgefangen, der die Kreditkarteninformationen stiehlt. Du wärst in einer Menge heißem Wasser.

Der beste Weg, solche Fälle zu vermeiden, ist setzen Sie eine digitale Lösung ein. Mit den digitalen Autorisierungen von Canary können Ihre Gäste beispielsweise ihre Kreditkarteninformationen über ein sicheres PCI-Level-1-Formular eingeben.

‍

‍

Sie möchten Betrug und Rückbuchungen mit der digitalen Autorisierungslösung von Canary reduzieren? Buchen Sie noch heute eine Demo! 

‍

2. Soziale Technik

Cyberkriminelle nutzen Social Engineering, um Personen — wie Ihre Mitarbeiter — so zu manipulieren, dass sie vertrauliche Informationen preisgeben. Bei Hotels könnte das so aussehen, als ob sich jemand als Hotelangestellter ausgibt oder Gäste dazu verleitet, ihre Informationen preiszugeben oder auf bösartige Links zu klicken.

‍

Hier sind ein paar Beispiele für Social Engineering:

‍

1. Phishing: Phishing ist ein sehr verbreiteter Social-Engineering-Angriff und erfolgt hauptsächlich per E-Mail. Dabei handelt es sich um E-Mails, die anscheinend von einer vertrauenswürdigen Quelle wie Ihrem CEO stammen, um Sie dazu zu verleiten, auf einen Link zu klicken, Geld zu überweisen oder persönliche Informationen bereitzustellen.
2. Ködern: Beim Ködern bietet ein Cyberkrimineller etwas Wertvolles an — z. B. ein Geschenk —, um jemanden dazu zu verleiten, auf einen bösartigen Link zu klicken.
3. Watering-Hole-Angriffe: Bei einem Watering-Hole-Angriff gefährden Cyberkriminelle Ihre Hotel-Website, indem sie Malware injizieren. Das heißt, wenn Gäste die Website nutzen, könnten auch ihre Geräte infiziert werden.
4. Vorwand: In diesem Beispiel könnte sich ein Cyberkrimineller als IT-Techniker ausgeben, um Zugang zu einem sicheren Netzwerk zu erhalten.
5. Tailgating: Ein Cyberkrimineller könnte einem Hotelgast oder Mitarbeiter in einen sicheren Bereich des Hotels folgen und sich dort Zugriff auf vertrauliche Informationen oder Systeme verschaffen.

3. Bedrohungen von innen

Ob Sie es glauben oder nicht, Cyberkriminalität kann von Ihren Mitarbeitern oder Auftragnehmern ausgehen. Insider mit autorisiertem Zugriff können vertrauliche Gastinformationen oder Geschäftsgeheimnisse stehlen. Hier sind einige Möglichkeiten, wie Cyberkriminalität von innen heraus auftreten kann:

‍

1. Fahrlässiges Verhalten: Ein Mitarbeiter könnte versehentlich seinen Computer entsperrt lassen oder Sicherheitsverfahren nicht befolgen, was zu einer Sicherheitsverletzung führen könnte.
2. Diebstahl durch Mitarbeiter: Ein Mitarbeiter könnte Kreditkarteninformationen zum persönlichen Vorteil stehlen oder diese an Dritte verkaufen.
3. Böswillige Insider: Ein Mitarbeiter mit böswilliger Absicht könnte die Systeme Ihres Hotels absichtlich schädigen, indem er Malware installiert oder wichtige Dateien löscht.
4. Drittanbieter: Drittanbieter können ein Risiko darstellen, insbesondere wenn sie die Sicherheitsprotokolle nicht einhalten.

‍

4. Betrug mit Zahlungskarten

Bei Zahlungskartenbetrug tätigen Cyberkriminelle unbefugte Käufe oder Abhebungen. Es gibt mehrere Möglichkeiten, wie sie dies erreichen können:

‍

1. POS-Malware (Point-of-Sale): Cyberkriminelle könnten eine bösartige Software auf Ihrem Kassensystem installieren. Sie können dann während der Zahlungsabwicklung Zahlungsinformationen stehlen.
2. Man-in-the-Middle (MITM) -Angriff: Hier fängt ein Cyberkrimineller die Kommunikation zwischen Ihrem Hotel und Ihrem Zahlungsabwickler ab und verändert sie. Sie können dann Zahlungsinformationen stehlen.
3. Phishing: Cyberkriminelle nutzen Phishing, um Mitarbeiter oder Gäste dazu zu bringen, ihre Zahlungskarteninformationen herauszugeben oder auf einen Link zu einer gefälschten Website zu klicken.
4. Skimming: Beim Skimming verwenden Cyberkriminelle ein kleines elektronisches Gerät, um Zahlungsdaten zu stehlen. Sie müssen dieses Gerät lediglich auf ein Kartenlesegerät legen, um an die Daten zu gelangen.

‍

5. Unsichere Wi-Fi-Netzwerke

Jedes Hotel bietet seinen Gästen heutzutage kostenloses WLAN, aber diese Netzwerke sind möglicherweise nicht immer richtig gesichert. Ein ungesichertes Netzwerk kann zu Cyberangriffen führen, die in erster Linie auf Ihre Gäste abzielen. Es gibt mehrere Möglichkeiten, wie unsichere Wi-Fi-Netzwerke zu Cyberkriminalität führen können:

‍

1. Unbefugte Zugangspunkte: Ein Cyberkrimineller könnte einen sogenannten „Rogue Access Point“ einrichten. Das sieht aus wie ein legitimes Hotel-Wi-Fi-Netzwerk, außer wenn ein Gast versucht, eine Verbindung herzustellen, stiehlt der Cyberkriminelle seine sensiblen Daten.
2. Malware-Infektionen: Unsichere Wi-Fi-Netzwerke können auch als Vektor verwendet werden, um Malware an ahnungslose Gäste zu verteilen, deren Geräte zu infizieren und möglicherweise ihre persönlichen Daten zu stehlen.
3. Man-in-the-Middle (MITM) -Angriff: In diesem Fall könnte ein MITM-Angriff dazu führen, dass ein Cyberkrimineller unverschlüsselten Wi-Fi-Verkehr abfängt, um persönliche Daten zu stehlen.

‍

6. Ransomware

Ransomware ist eine Art von Malware, die darauf ausgelegt ist, die Daten eines Opfers zu verschlüsseln und im Austausch für den Entschlüsselungsschlüssel eine Zahlung zu verlangen. Hier sind einige Beispiele für Ransomware-Angriffe in der Hotellerie:

‍

1. Rosen Hotels & Resorts: 2016 erlebte die in Orlando, Florida, ansässige Hotelkette Rosen Hotels & Resorts einen Ransomware-Angriff. Die Cyberkriminellen verlangten ein Lösegeld von 2.000 US-Dollar, aber das Unternehmen weigerte sich zu zahlen. Der Verstoß führte zum Diebstahl von Kreditkarteninformationen von Gästen.
2. Marriott International: Im Jahr 2020 erlitt Marriott International eine schwerwiegende Datenschutzverletzung, bei der die persönlichen Daten von über 5 Millionen Gästen preisgegeben wurden. Dies war das Ergebnis eines Ransomware-Angriffs, der auf ihren Drittanbieter abzielte.
3. Romantik Seehotel Jaegerwirt: Im Jahr 2017 wurde das österreichische Hotel Romantik Seehotel Jaegerwirt aufgrund eines Ransomware-Angriffs von seinen Computersystemen gesperrt. Ihr Schlüsselkartensystem war deaktiviert, sodass Gäste nicht auf ihre Zimmer zugreifen konnten, und ihr Reservierungssystem wurde offline geschaltet. In diesem Fall zahlte das Hotel das Lösegeld von 1.500$, um den Zugriff auf ihre Systeme wiederherzustellen.

‍

7. Fluktuation

Das Gastgewerbe verzeichnet extrem hohe Fluktuationsraten, was eine Cybersicherheitsbedrohung für Hotels darstellen kann.

‍

Mitarbeiter könnten sensible Daten mitnehmen, wenn sie das Hotel verlassen, oder den Zugriff auf Hotelsysteme und Daten behalten. Um Datenschutzverletzungen oder andere Sicherheitsprobleme zu vermeiden, müssen Hotels Maßnahmen ergreifen, um das Risiko zu minimieren, wenn Mitarbeiter das Unternehmen verlassen. Dies könnte die Einführung eines gemeinsamen Verfahrens zur Sperrung des Zugriffs auf Systeme, die Durchführung umfassender Schulungen oder die Überwachung des Zugriffs auf Systeme und Daten bedeuten.

‍

8. Menschliches Versagen

Menschliches Versagen ist in der Hotellerie (oder in jeder anderen Branche!) ein weit verbreitetes Problem. Beispiele hierfür könnten sein, dass ein Mitarbeiter versehentlich ein System falsch konfiguriert hat, auf einen Phishing-Betrug hereinfällt oder Gastinformationen weitergibt.

‍

Aber was sind die häufigsten Gründe für menschliches Versagen?

‍

1. Mangelnde Schulung: Schulungen zur Cybersicherheit sind unerlässlich, um Sicherheitslücken zu vermeiden, aber viele Mitarbeiter sind in diesem Bereich nicht ausreichend geschult.
2. Schwache Passwörter: Mitarbeiter verwenden möglicherweise schwache oder leicht zu erratende Passwörter. Stellen Sie sicher, dass sie verstehen, wie man sichere Passwörter erstellt.
3. Falsch konfigurierte Systeme: Gastgewerbeunternehmen können komplexe IT-Systeme verwenden, um Gästedaten, Reservierungen und Zahlungen zu verwalten. Wenn diese Systeme falsch konfiguriert oder nicht ordnungsgemäß gesichert sind, können sie anfällig für Cyberangriffe sein.

‍

9. DDoS (verteilter Denial-of-Service)

Bei einem DDoS-Angriff wird eine große Anzahl von mit dem Internet verbundenen Geräten verwendet, um eine Zielwebsite oder ein Netzwerk mit Traffic zu überfluten, sodass legitime Benutzer nicht darauf zugreifen können. Dies kann zu Betriebsunterbrechungen führen und den Ruf des Zielunternehmens schädigen.

‍

Das Gastgewerbe ist besonders anfällig für DDoS-Angriffe, da es auf Online-Reservierungen, Zahlungen und Kundenfeedback angewiesen ist. Wenn diese Dienste nicht verfügbar oder langsam sind, kann sich dies negativ auf das Kundenerlebnis auswirken und den Ruf des Unternehmens schädigen.

‍

So verhindern Sie Datenschutzverletzungen in der Hotellerie

‍

Aufrechterhaltung der PCI-DSS-Konformität

PCI-Compliance ist in der Welt der Cybersicherheit von entscheidender Bedeutung. Es gibt viele Aufgaben, die erforderlich sind, um konform zu werden und zu bleiben, einschließlich:

‍

1. Ersetzen Sie Autorisierungsformulare in Papier/PDF durch eine digitale Lösung
2. Erstellen Sie eine interne Datensicherheitsrichtlinie
3. Erstellen Sie einen Reaktionsplan für Cybervorfälle
4. Führen Sie Risikobewertungen durch
5. Implementieren Sie ein Sicherheitsbewusstseinsprogramm

‍

Physische Sicherheitsmaßnahmen

Physische Sicherheitsmaßnahmen spielen eine wichtige Rolle bei der Verhinderung von Datenschutzverletzungen in Ihrem Hotel. Auf diese Weise können Cyberkriminelle nicht einfach in gesicherte Bereiche gehen und Informationen stehlen.

‍

Es ist wichtig, alle Ihre Geräte und Systeme zu schützen, die vertrauliche Informationen speichern und übertragen. Das können Sie tun, indem Sie:

‍

1. Beschränkung des physischen Zugangs zu bestimmten Bereichen
2. Sicherung aller Geräte mit Kabelschlössern, Sicherheitsplatten oder Sicherheitsschränken
3. Installation von Sicherheitskameras: Sicherheitskameras in den Bereichen, in denen sensible Informationen gespeichert oder verarbeitet werden (z. B. in Ihrem Front- oder Backoffice), können Angreifer abschrecken und Ihnen im Falle eines Verstoßes Beweise liefern

‍

Tauschen Sie Papier-/PDF-Formulare gegen eine digitale Lösung aus

Papier- oder PDF-Autorisierungen sind nicht sicher (wie bereits erwähnt). Ersetzen Sie sie durch eine digitale Lösung wie Canary Digital Autorisierungen um die sensiblen Daten Ihrer Gäste zu schützen.

‍

Mit dieser Technologie können Sie auch alle Autorisierungen in einem Dashboard verfolgen und wichtige Informationen im Falle einer Rückbuchung abrufen.

‍

Wiederkehrende Mitarbeiterschulungen

Es reicht nicht aus, Mitarbeiter einmal in Cybersicherheit zu schulen und dann damit fertig zu sein. Mitarbeiter sollten mindestens einmal pro Jahr geschult werden, um sicherzustellen, dass ihnen die Informationen im Gedächtnis bleiben und dass sie über alle neuen Entwicklungen in den Bereichen Cyberkriminalität oder Cybersicherheit informiert sind.

Gehen Sie noch einen Schritt weiter und stellen Sie Ihren Mitarbeitern Ressourcen wie E-Books, Videos und ein Hilfecenter zur Verfügung, damit sie lernen können, wie sie verdächtiges Verhalten oder Verstöße melden können.

‍

Politik der inneren Sicherheit

Zusätzlich zu den wiederkehrenden Mitarbeiterschulungen ist es wichtig, eine interne Sicherheitsrichtlinie zu erstellen. Hier können Sie Richtlinien und Verfahren bereitstellen, die Ihre Mitarbeiter befolgen müssen.

‍

Eine gute interne Sicherheitsrichtlinie hilft Ihnen dabei, Rollen und Verantwortlichkeiten für Ihre Mitarbeiter zu definieren, und sorgt für eine Kultur, in der Sicherheit an erster Stelle steht.

‍

Letzte Gedanken

Die Gefahren — und die Prävalenz — der Cyberkriminalität dürfen nicht unterschätzt werden. Dies ist ein ernstes Problem in der Hotellerie, und Hotels müssen die entsprechenden Maßnahmen ergreifen, um sich und ihre Kunden zu schützen.

‍

Zu den Methoden zur Vermeidung von Verstößen gehören die Aufrechterhaltung der PCI-DSS-Konformität, die Implementierung physischer Sicherheitsmaßnahmen, der Austausch von Genehmigungsformularen in Papier oder PDF gegen eine digitale Lösung, die Erstellung eines Schulungsprogramms zur Cybersicherheit für Mitarbeiter und die Implementierung einer internen Sicherheitsrichtlinie.

Finden Sie als Nächstes heraus, warum digitaler Check-in ist so wichtig für Hotels und ihre Gäste.