Cyberangriffe auf Hotels haben häufig ihren Ursprung bei externen Technologieanbietern wie Buchungssystemen, Property-Management-Systemen, Channel-Managern oder Zahlungsdienstleistern. Vor diesem Hintergrund fordert die HSMA Deutschland mehr Transparenz bei Sicherheitsvorfällen sowie die konsequente Einhaltung gesetzlicher und vertraglicher Informationspflichten, um die Cybersecurity in der Hotellerie zu stärken.
Cybersecurity in der Hotellerie
Mit der zunehmenden Digitalisierung wächst in der Hotellerie die Abhängigkeit von externen Dienstleistern und die Zahl technischer Schnittstellen. Hotels müssen daher nicht nur ihre eigene IT schützen, sondern auch die Sicherheitsprozesse ihrer Technologiepartner berücksichtigen. Zu den eigenen Schutzmaßnahmen der Betriebe zählen laut HSMA Mitarbeiterschulungen, Mehr-Faktor-Authentifizierung, geregelte Zugriffsrechte und klare Notfallabläufe. Technologieanbieter sind zugleich verpflichtet, betroffene Vertragspartner rechtzeitig über relevante Sicherheitsvorfälle zu informieren.
Gesetzliche Meldepflichten
Werden Hotels verspätet über einen Cyberangriff in Kenntnis gesetzt, können sie Risiken für Gäste möglicherweise nicht rechtzeitig bewerten und gesetzliche Meldefristen versäumen. Die Datenschutz-Grundverordnung verpflichtet die Auftragsverarbeiter, den datenschutzrechtlich Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten zu informieren. Verantwortliche müssen ihrerseits meldepflichtige Vorfälle grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden; bei voraussichtlich hohem Risiko kann zudem eine Benachrichtigung der betroffenen Personen erforderlich sein.
Vor diesem Hintergrund betont Peter Hense, Rechtsanwalt und Partner bei Spirit Legal sowie Mitinitiator der HSMA-Initiative zur Cybersicherheit in der Hotellerie: „Nach einem Sicherheitsvorfall schulden Unternehmen Gästen, Partnern und Behörden rasche und vollständige Information. Daran hängt, ob sie ihre Verantwortung überhaupt wahrnehmen können. Jeder Tag des Schweigens vergrößert den Schaden und schwächt die rechtliche Position aller Beteiligten.“
Verträge mit Technologieanbietern auf Sicherheitsprozesse prüfen
Die HSMA empfiehlt Hotels, ihre IT-Verträge systematisch auf Informationsfristen, Zuständigkeiten und Unterstützungspflichten bei Sicherheitsvorfällen zu prüfen. Werden vertragliche Pflichten verletzt, können je nach Einzelfall rechtliche Ansprüche oder eine außerordentliche Kündigung infrage kommen. Transparente Sicherheitsprozesse sollten nach Auffassung des Verbands bereits bei der Auswahl von Technologiepartnern ein zentrales Kriterium darstellen. Entscheidend ist dabei auch, wie Anbieter Vorfälle erkennen, intern eskalieren und ihre Kunden informieren.
Schutz für Branche und Gäste
Ein offener Umgang mit Sicherheitsvorfällen trägt laut HSMA dazu bei, Risiken einzuordnen, geeignete Schutzmaßnahmen einzuleiten und vergleichbare Schwachstellen in anderen Betrieben frühzeitig zu erkennen. Im Mittelpunkt stehen der Schutz sensibler Gästedaten und das Vertrauen in die Hospitality-Branche, nicht öffentliche Schuldzuweisungen.
Anna Heuer, Wirtschaftsjuristin und Verbandsgeschäftsführerin der HSMA Deutschland, erklärt dazu: „Hotels können digitale Risiken nicht allein bewältigen. Wir brauchen eine Sicherheitskultur, in der Hotels und Technologieanbieter offen miteinander kommunizieren, Verantwortung übernehmen und aus Vorfällen lernen. Transparenz muss deshalb ein selbstverständlicher Bestandteil der Zusammenarbeit sein. Aber eben nicht erst dann, wenn der Schaden bereits eingetreten ist.“
Quelle: HSMA Deutschland
Jetzt zum Newsletter anmelden!
Wollen Sie keine aktuellen News, spannende Hintergrundberichte oder Interviews verpassen? Dann melden Sie sich jetzt hier zu unserem Branchen-Newsletter an!
