Nach den uns vorliegenden Informationen erhalten Gäste derzeit vermehrt täuschend echt wirkende Nachrichten per WhatsApp, SMS oder E-Mail. Darin werden sie beispielsweise aufgefordert, kurzfristig eine Zahlung vorzunehmen, Zahlungs- oder Kreditkartendaten einzugeben oder ihre Buchung über einen Link zu „bestätigen“. Teilweise wird damit gedroht, dass die Buchung andernfalls storniert werde. Besonders problematisch ist, dass die Nachrichten teilweise tatsächliche Buchungsdaten wie Namen, Hotel, Reisezeitraum oder Reservierungsdetails enthalten. Für Gäste ist deshalb oftmals nur schwer erkennbar, dass die Nachricht nicht vom Hotel oder vom Buchungsportal stammt.

Booking.com weist seine Partner aktuell ebenfalls auf eine verstärkte Welle entsprechender Betrugsversuche hin. Als mögliche Ursachen werden unterschiedliche Angriffsszenarien genannt.

Hierzu gehören Sicherheitsvorfälle bei Booking.com, unbefugte Zugriffe auf Booking.com-Konten einzelner Unterkünfte sowie mögliche Kompromittierungen von Drittanbietersystemen, die Buchungsdaten verarbeiten. Dazu können insbesondere Property-Management-Systeme (PMS), Channel Manager, CRM-Systeme oder andere angebundene Softwarelösungen gehören.

Auch im Zusammenhang mit dem Hotelsoftwareanbieter ibelsa ist ein Sicherheitsvorfall bekannt geworden. Nach den derzeit vorliegenden Informationen kann ibelsa aktuell weder abschließend eingrenzen, welche Hotels betroffen sind, noch für welche Buchungs- oder Aufenthaltszeiträume möglicherweise auf Daten zugegriffen wurde.

Was sollten Sie jetzt tun? Wir empfehlen allen Hotelbetrieben – unabhängig davon, welche Buchungs- oder Hotelsoftware Sie einsetzen –, vorsorglich insbesondere folgende Maßnahmen:

• Aktivieren Sie für Booking.com, Ihr PMS, Ihren Channel Manager, Ihre E-Mail-Konten und andere relevante Systeme soweit möglich die Zwei- bzw. Multi-Faktor-Authentifizierung.
• Überprüfen Sie die Benutzerkonten und Zugriffsrechte Ihrer Systeme. Achten Sie insbesondere auf unbekannte Benutzer, ungewöhnliche Anmeldungen oder auffällige Datenexporte.
• Kontrollieren Sie Ihr Booking.com-Extranet auf unerwartete Änderungen, etwa bei Kontaktdaten, Bank- und Finanzinformationen, Preisen, Verfügbarkeiten oder Nachrichtenvorlagen.
• Aktualisieren Sie Antiviren-, Anti-Malware- und Anti-Phishing-Software und führen Sie vollständige Systemscans durch.
• Überprüfen Sie auch angebundene Drittanbietersysteme wie PMS, Channel Manager, CRM- oder Connectivity-Lösungen auf verdächtige Aktivitäten.
• Sensibilisieren Sie Ihre Mitarbeitenden. Zugangsdaten und Passwörter dürfen niemals telefonisch, per E-Mail oder über einen zugesandten Link weitergegeben werden – auch nicht an Personen, die vorgeben, Mitarbeiter eines Buchungsportals oder Softwareanbieters zu sein.
• Informieren Sie Ihre Mitarbeitenden an Rezeption und Reservierung darüber, dass derzeit verstärkt Gäste mit entsprechenden Anfragen oder Beschwerden auf die Betriebe zukommen können.

Wenn Sie konkrete verdächtige Aktivitäten feststellen, sollten Sie unverzüglich handeln. Ändern Sie die Passwörter der betroffenen Systeme und E-Mail-Konten, beenden Sie gegebenenfalls bestehende Sitzungen, prüfen Sie die Benutzerzugänge und informieren Sie den jeweiligen Software- oder Plattformanbieter. Verdächtige Aktivitäten im Zusammenhang mit Booking.com können außerdem über die von Booking.com hierfür eingerichteten Meldewege gemeldet werden.

Was sollten Sie Ihren Gästen sagen? Weisen Sie Gäste darauf hin, bei Nachrichten mit Zahlungsaufforderungen oder Links besonders vorsichtig zu sein. Gäste sollten Zahlungen und Änderungen von Zahlungsdaten grundsätzlich nur über bereits bekannte und verifizierte Kommunikations- und Zahlungswege vornehmen. Insbesondere sollte klargestellt werden, dass eine Nachricht nicht allein deshalb echt ist, weil darin korrekte Buchungsdaten genannt werden. Wenn Gäste bereits Zahlungs-, Kreditkarten- oder Zugangsdaten über einen verdächtigen Link eingegeben haben, sollten sie unverzüglich ihre Bank beziehungsweise ihr Kreditkartenunternehmen kontaktieren, betroffene Zugänge und Passwörter ändern und gegebenenfalls Strafanzeige erstatten.

Unterstützung durch den DEHOGA Nordrhein:  

Wenn Ihr Betrieb von einem entsprechenden Vorfall betroffen ist oder Sie unsicher sind, welche Maßnahmen jetzt erforderlich sind, wenden Sie sich bitte an uns. Die Rechtsabteilung des DEHOGA Nordrhein unterstützt Sie insbesondere bei

• der rechtlichen Einordnung eines möglichen Datenschutzvorfalls,
• der Frage, ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich ist,
• der Information möglicherweise betroffener Gäste, die bereits auf eine Phishing-Nachricht reagiert oder eine Zahlung vorgenommen haben,
• sowie mit Formulierungsvorschlägen und Musterschreiben.

Ein Formulierungsvorschlag zur Information betroffener Gäste stellen wir Ihnen gerne zur Verfügung. Bitte nehmen Sie die derzeitige Situation zum Anlass, Ihre IT-Zugänge und internen Abläufe kurzfristig zu überprüfen. Die aktuellen Fälle zeigen, dass nicht nur große Buchungsplattformen, sondern die gesamte digitale Verarbeitungskette von der Buchungsplattform über Schnittstellen und Hotelsoftware bis zum einzelnen Hotelbetrieb für Cyberkriminelle interessant ist. Bei Fragen wenden Sie sich gerne an unsere Rechtsabteilung unter recht​[at]​dehoga-nr.de