Wie Hotels ihre IT-Sicherheit stärken können
In der vergangenen Woche meldete Motel One einen IT-Sicherheitsvorfall bei einem externen Software-Dienstleister. Indirekt war somit auch die Hotelgruppe von einem Cyberangriff betroffen.
Während der Vorfall für Motel One noch glimpflich ausgegangen ist – so meldet das Unternehmen, dass keine Datensätze mit sensiblen Zahlungsinformationen betroffen sind – stellt sich für viele Betriebe die Frage: Wie kann man sich wirksam vor Cyberangriffen schützen?
Alarmierend: Motel One ist kein Einzelfall
„Ein Fall, wie der aktuelle Sicherheitsvorfall bei einem Softwarepartner von Motel One, ist leider kein Einzelfall“, stellt Marc Dönges, Projektleiter der Transferstelle Cybersicherheit im Mittelstand, heraus. „Erst kürzlich waren mehrere Flughäfen in Europa über Tage in einem eingeschränkten Betrieb, da dort ein Dienstleister von Hackern angegriffen worden war.“ Und auch aktuelle Studien würden die steigende Bedrohungslage für Unternehmen belegen.
Laut des Bitkom Wirtschaftsschutzes wurden 87 Prozent der Unternehmen im letzten Jahr angegriffen. „Eine alarmierende Zahl“, betont Dönges. Dabei würden auch vermehrt kleine und mittlere Unternehmen von direkten Hackerattacken betroffen sein. „Für diese Betriebe kann ein IT-Sicherheitsvorfall schnell existenzgefährdend werden“, stellt Dönges heraus.
Bei großen und etablierten Unternehmen seien die Sicherheitsvorkehrungen in den meisten Fällen besser, allerdings müssten hier die Partner- und Dienstleisternetzwerke ebenfalls ein entsprechendes Cybersicherheitsniveau haben. „Ansonsten sind die Schwachstellen der Dienstleister und Partner auch gleichzeitig die Schwachstellen der eigenen IT-Infrastruktur – wie der Motel One-Fall zeigt“, betont Dönges.
Warum Hotels für Hacker so attraktiv sind
Dass ausgerechnet die Hotellerie häufig ins Visier von Cyberkriminellen gerät, überrascht Dönges nicht: „In Hotels werden täglich Millionen sensibler Daten verarbeitet – von Kreditkarteninformationen über Geburtsdaten bis hin zu E-Mail-Adressen. Für Hacker sind solche personenbezogenen Informationen bares Gold und extrem attraktiv.“
Hinzu kommt die technische Komplexität vieler Betriebe. So arbeiten Hotels mit vielen Systemen und Softwarelösungen. „Wenn diese Systeme nicht aktuell gehalten und konsequent geschützt werden, entstehen Schwachstellen, die von Cyberkriminellen leicht ausgenutzt werden können“, erklärt der Experte.
Wie Hotels ihre IT-Sicherheit verbessern können
Was kann man also tun, um die IT-Sicherheit zu verbessern? „Um die Cybersicherheit in der Hotellerie zu stärken, gibt es verschiedene Aspekte“, erklärt Dönges. Ein wichtiger Grundpfeiler sind laut dem Experten starke Passwortrichtlinien, die über die bekannten Vorgaben zu Länge, Komplexität und Nutzung von Sonderzeichen hinausgehen. Zusätzlich sollten Hotels auf die Zwei-Faktor-Authentifizierung setzen, um bestimmte Prozesse und Systeme doppelt abzusichern.
Ebenso entscheidend sei ein professionelles Backup-Management. „Dabei reicht es nicht aus, Daten einmalig zu sichern. Vielmehr müssen sie regelmäßig geprüft und aktualisiert werden, um im Ernstfall wirklich abgesichert zu sein.“
Ein weiterer wichtiger Aspekt sei die Netzwerk-Segmentierung. Gäste-WLANs müssen unbedingt vom internen Hotelsystem getrennt sein, um das Risiko des Datenverlustes zu senken, erklärt der Experte.
Schließlich spiele auch die Mitarbeitersensibilisierung eine zentrale Rolle. „Die Hotelbelegschaft muss für das Thema Cybersicherheit sensibilisiert werden und sollte im Idealfall Schulungen zur Verfügung gestellt bekommen“, betont Dönges. Eine kontinuierliche Aufklärung zu aktuellen Entwicklungen und möglichen Angriffsmethoden sei entscheidend, um unbeabsichtigtes und unwissentliches menschliches Fehlverhalten zu vermeiden.
Gründliche Recherche bei der Wahl eines Softwareanbieters
Im Fall von Motel One war es jedoch nicht das eigene IT-System, das angegriffen wurde, sondern das eines externen Anbieters von Hotelbuchungssoftware. Gerade in der Hotellerie ist die Nutzung von externer Software oder Services für die meisten Unternehmen heutzutage fast unumgänglich. Inwiefern können sich Hotels hierbei vor Cyberangriffen schützen?
„Es ist umso wichtiger, sich vorab Gedanken zu machen, welche Lösungen tatsächlich benötigt und vom wem genutzt werden soll“, rät Dönges hierzu. Zudem sei eine gewissenhafte Recherche notwendig, um keine schadhafte Software im Unternehmen einzusetzen.
Zusätzlich sollte sichergestellt werden, dass regelmäßige Updates seitens der Anbieter zur Verfügung gestellt werden und innerhalb der Organisation zügig eingespielt werden. Mit diesen Updates wird gewährleistet, dass Sicherheitslücken schnell geschlossen werden.
Zu guter Letzt sollte sorgfältig geprüft werden, welche Cybersicherheitsvorkehrungen bei externen Dienstleistern umgesetzt werden. „Die eigene Cybersicherheit ist am Ende nur so gut, wie die der Partner und Dienstleister“, stellt Dönges heraus.
IT-Notfallplan als zentrale Stütze
Besonders wichtig ist aus Sicht von Dönges ein strukturierter IT-Notfallplan. Hierbei handelt es sich um ein individuelles Dokument, das die IT-Risiken und IT-Sicherheitsvorkehrungen des eigenen Unternehmens verständlich und strukturiert aufzeigt.
„Ein Hotel sollte mögliche Notfälle definieren und priorisieren und konkrete Handlungsanweisungen für diese Notfälle so detailliert wie möglich skizzieren“, erklärt Dönges. Bei diesen Handlungsanweisungen sollten auch konkrete Rollen innerhalb des Unternehmens verteilt werden. Wer ist im Notfall für welche Aufgabe(n) zuständig?
Besonders wichtig sind nach Angaben von Dönges auch Kontaktlisten zu internen und externen Stakeholdern, um im Notfall Alarmierungsketten zu starten und schnell externe Unterstützung zu erhalten.
Ein weiterer zentraler Aspekt eines IT-Notfallplans ist das Thema Back-up. Der Plan sollte aufzeigen, wie das Verfahren für die Datenwiederherstellung im Unternehmen vorgesehen ist und die Zuständigkeiten auch in diesem Bereich klar aufzeigen.
Ein letzter wichtiger Aspekt ist das Thema Krisenkommunikation. „Für die Hotellerie kann ein Cyberangriff schnell rufschädigend sein und die Gäste stark verunsichern“, stellt Dönges heraus. Eine klare Kommunikation sei entscheidend, um Partner und Kunden nicht zu verärgern und Vertrauen zu bewahren.
Was im Ernstfall zu tun ist
Kommt es trotz aller Vorsichtsmaßnahmen zu einem IT-Sicherheitsvorfall, gilt laut Dönges: Ruhe bewahren. „Anstatt panisch zu reagieren, ist es wichtig, ruhig und bedacht zu handeln“, betont der Experte. Der genannte IT-Notfallplan sei hierbei eine wichtige Stütze, die dabei hilft, strukturiert im Ernstfall agieren zu können.
Zu den ersten Schritten gehört es nach Angaben des Experten, das existierende Back-up-System nach Möglichkeit (falls dadurch keine Daten o. ä. verloren gehen) physisch vom Netz zu trennen, um es vor einer Infizierung mit Schadsoftware zu schützen. Außerdem sollten betroffene Systeme, falls gefahrenlos möglich, isoliert werden und Passwörter der betroffenen Systeme oder Anwendungen schnellstmöglich geändert werden.
Falls personenbezogene Daten betroffen sind, müssen Betriebe innerhalb von 72 Stunden die zuständige Aufsichtsbehörde (den Landesbeauftragten für Datenschutz und Informationsfreiheit des eigenen Bundeslandes) über den Vorfall informieren.
Fazit: „Bereits kleine Maßnahmen haben eine große Wirkung“
Der Vorfall bei Motel One zeigt einmal mehr, dass Cybersicherheit keine Option, sondern eine Notwendigkeit darstellt. Doch bereits kleine Maßnahmen – starke Passwörter, getrennte Netzwerkzonen, regelmäßige Back-ups und Mitarbeiterschulungen – können zur Risikoreduzierung beitragen.
Im Ernstfall ist es vor allem ein gut durchdachter IT-Notfallplan, der mit klaren Zuständigkeiten und Kommunikationswegen dabei hilft, souverän auf Cyberangriffe reagieren zu können.
„Bereits kleine Maßnahmen haben eine große Wirkung“, betont Dönges abschließend. Wichtig sei, dass das Thema kontinuierlich und proaktiv im Unternehmen verankert wird.
(SAKL)
