HSMA fordert mehr Transparenz bei Cyberangriffen
Buchungssysteme, Property-Management-Systeme (PMS), Channel Manager und Zahlungsdienstleister sind eng miteinander vernetzt. Sicherheitslücken bei einem Anbieter können daher auch Hotelbetriebe betreffen. Die Hospitality Sales & Marketing Association Deutschland e.V. (HSMA) mahnt, Informationspflichten konsequent einzuhalten und Sicherheitsvorfälle offen zu kommunizieren.
Neben technischen Schutzmaßnahmen im eigenen Betrieb spielen dabei auch die Prozesse externer Dienstleister eine Rolle. Zu den empfohlenen Maßnahmen zählen Mitarbeiterschulungen, Mehr-Faktor-Authentifizierung, klar geregelte Zugriffsrechte und verbindliche Notfallabläufe.
DSGVO setzt klare Fristen
Besonders wichtig ist eine zeitnahe Information, wenn personenbezogene Daten betroffen sind. Nach Artikel 33 der Datenschutz-Grundverordnung (DSGVO) muss ein Auftragsverarbeiter den datenschutzrechtlich Verantwortlichen unverzüglich über eine Verletzung des Schutzes personenbezogener Daten informieren.
Der Verantwortliche muss eine meldepflichtige Datenschutzverletzung grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden. Ausnahmen gelten, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Bei voraussichtlich hohem Risiko kann außerdem eine Benachrichtigung der betroffenen Personen erforderlich sein.
Verspätete Informationen durch Dienstleister können es Hotels erschweren, die Auswirkungen eines Vorfalls einzuschätzen und eigene Pflichten fristgerecht zu erfüllen. „Nach einem Sicherheitsvorfall schulden Unternehmen Gästen, Partnern und Behörden rasche und vollständige Information“, sagt Peter Hense, Rechtsanwalt und Partner bei Spirit Legal sowie Mitinitiator der HSMA-Initiative zur Cybersicherheit in der Hotellerie.
IT-Verträge und Notfallpläne überprüfen
Die HSMA empfiehlt Hotelbetrieben, bestehende Verträge mit Technologieanbietern auf konkrete Informationsfristen, Zuständigkeiten und Unterstützungspflichten bei Sicherheitsvorfällen zu prüfen. Auch bei der Auswahl neuer Partner sollten deren Sicherheitsprozesse berücksichtigt werden: Wie werden Vorfälle erkannt? Wer ist für die interne Eskalation zuständig? Wie und wann werden betroffene Kunden informiert?
Werden vertragliche Pflichten verletzt, können abhängig vom Einzelfall rechtliche Ansprüche oder eine außerordentliche Kündigung infrage kommen. Eine rechtliche Prüfung der jeweiligen Vertragsbedingungen kann dabei Klarheit schaffen.
Transparenz soll die Branche widerstandsfähiger machen
Ein offener Umgang mit Cybervorfällen soll es Hotels und Technologieanbietern ermöglichen, Risiken schneller einzuschätzen und geeignete Schutzmaßnahmen einzuleiten. Zugleich können Erkenntnisse aus Vorfällen dazu beitragen, ähnliche Schwachstellen in anderen Betrieben frühzeitig zu erkennen.
„Wir brauchen eine Sicherheitskultur, in der Hotels und Technologieanbieter offen miteinander kommunizieren, Verantwortung übernehmen und aus Vorfällen lernen“, erklärt Anna Heuer, Wirtschaftsjuristin und Verbandsgeschäftsführerin der HSMA Deutschland. Der Verband will dafür den Austausch zwischen Hoteliers, Technologieanbietern und Branchenexperten fördern.
(HSMA/KAGI)
