Cyberangriff auf Hotel-Softwaredienstleister: Das sollten Betriebe jetzt tun
Ein bundesweit agierender Hotel-Softwaredienstleister ist nach Angaben des Datenschutzbeauftragten von Mecklenburg-Vorpommern Opfer eines Cyberangriffs geworden. Daten von Gästen seien abgeflossen, teilte die Behörde in Schwerin mit.
„Nach derzeitigem Stand betrifft dies insbesondere Angaben wie Vor- und Nachname, Adressdaten und weitere buchungsrelevante Informationen.“ Bank- und Zahlungsdaten seien nicht betroffen. Aller Voraussicht nach sei eine hohe Zahl von Hotelbetrieben und damit auch von Gästen betroffen.
Ähnlicher Angriff im Februar
Bereits im Februar hatte ein Cyberangriff auf einen bundesweiten Hotel-Datenbankdienstleister zum Abfluss sensibler Gästedaten geführt, wie der MV-Datenschutzbeauftragte Sebastian Schmidt erklärte. Damals sei ein anderes Unternehmen betroffen gewesen als jetzt.
Bei Schmidts Behörde gingen in den vergangenen Tagen vermehrt Datenpannenmeldungen von Hotels ein, welche die bundesweit verbreitete Datenbank zur Verwaltung ihrer Gästebuchungen einsetzen. „Nach aktuellem Kenntnisstand sind die kompletten Datenbanken der betreffenden Hotels abgeflossen“, berichtete Schmidt.
Bereits Phishing-Versuche
Mit den erbeuteten Daten seien bereits Phishing-Versuche bekanntgeworden. Kriminelle nutzen demnach die Daten, um gefälschte Nachrichten an die Hotelkunden zu versenden. „Diese E-Mails oder Mitteilungen erwecken den Eindruck, von Hotelmitarbeitern zu stammen und sollen die Empfänger dazu verleiten, Zahlungen zu leisten oder weitere sensible Daten preiszugeben“, warnte Schmidt.
Der Datenschutzbeauftragte empfahl den Hotels, alle betroffenen Gäste über den Abfluss ihrer Daten zu informieren. Die Gäste wiederum sollten E-Mails und Nachrichten besonders sorgfältig auf Absenderadresse oder ungewöhnliche Zahlungsaufforderungen prüfen.
„Kontaktieren Sie im Zweifel das Hotel über eine offizielle Telefonnummer oder Adresse. Überweisen Sie nie Geld auf Grundlage einer Nachricht, deren Echtheit Sie nicht eindeutig überprüfen können. Geben Sie nie persönliche Daten oder Zahlungsinformationen über zugesandte Links preis“, mahnte Schmidt.
Diese Maßnahmen sollten betroffene Hotels ergreifen
Der Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI M-V) gibt in einer Pressemitteilung betroffenen Unternehmen Ratschläge, wie sie sich nun am besten verhalten können. Dabei verweist die unabhängige staatliche Aufsichtsbehörde darauf, dass die Hotels für die personenbezogenen Daten ihrer Gäste verantwortlich bleiben, auch wenn die Datenpanne bei einem beauftragten Dienstleister aufgetreten ist. Betroffene Unternehmen in Mecklenburg-Vorpommern sollten deshalb ihre Informations- und Meldepflichten prüfen und die Datenpanne bei der zuständigen Aufsichtsbehörde melden. Dafür kann das Online-Formular für Datenpannenmeldungen gem. Art. 33 DS-GVO genutzt werden.
Nach Angaben der LfDI M-V sollten betroffene Betriebe zunächst klären, welche Gäste und welche Datensätze von dem Vorfall betroffen sind. Betroffene Personen sollten im Anschluss über den Hackerangriff und den Abfluss ihrer Daten informiert werden, damit diese vor den Phishing Angriffen gewarnt sind. Die Information an die Gäste sollte verständlich erklären, welche Angaben abgeflossen sind, welche Risiken bestehen und wie verdächtige Nachrichten erkannt werden können. Der Anbieter der Datenbank stellt nach Angaben der LfDI M-V eine Vorlage zur Verfügung.
Zudem sollten alle Mitarbeiter über den konkreten Vorfall und die Gefahr weiterer Phishing-Angriffe informiert werden. Verdächtige Links oder Anhänge in E-Mails und Nachrichten dürfen nicht geöffnet werden. Für Rückfragen von Gästen empfiehlt sich ein klar festgelegter interner Ablauf, damit Mitarbeiter einheitliche und verlässliche Auskünfte geben.
Alle Passwörter von Benutzerkonten, die mit der betroffenen Datenbank in Verbindung stehen, sollten geändert werden. Das gilt insbesondere dann, wenn dieselben oder ähnliche Zugangsdaten auch für andere Systeme verwendet wurden. Darüber hinaus sollten Hotels sämtliche angeschlossenen Systeme und Schnittstellen überprüfen.
Auch Protokolldaten sollten auf ungewöhnliche Anmeldeversuche, unbekannte Zugriffe oder auffällige Veränderungen kontrolliert werden. Bei entsprechenden Hinweisen sollten die verantwortlichen IT-Dienstleister hinzugezogen werden.
Weiterhin empfiehlt die Behörde, das bestehende Backup-System zu prüfen und gegebenenfalls technisch nachzubessern. Sicherungskopien sollten vollständig, aktuell und im Ernstfall wiederherstellbar sein. Grundsätzlich sollte für alle Systeme eine Zwei-Faktor-Authentifizierung eingerichtet werden.
Hotels sollten zudem über ihre offiziellen Kommunikationskanäle Warnhinweise einrichten. Hinweise auf der eigenen Internetseite, in Buchungsbestätigungen oder über bekannte Kontaktwege können Gäste für Phishing zu sensibilisieren und vor möglichen Angriffen warnen.
(dpa/Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern/SAKL)
