Der DEHOGA Nordrhein warnt vor einer zunehmenden Zahl gezielter Phishing- und Betrugsversuche im Zusammenhang mit Hotelbuchungen. Kriminelle versuchen derzeit verstärkt, Hotelgäste mit täuschend echt wirkenden Nachrichten per WhatsApp, SMS oder E-Mail zur Preisgabe von Zahlungs- und Kreditkartendaten oder zu Überweisungen zu bewegen.

Besonders perfide: Die Nachrichten enthalten teilweise tatsächliche Buchungsinformationen wie den Namen des Gastes, das gebuchte Hotel, den Reisezeitraum oder konkrete Reservierungsdetails. Unter dem Vorwand, eine Zahlung müsse kurzfristig bestätigt werden, werden Gäste auf gefälschte Internetseiten gelockt. Teilweise wird sogar mit der Stornierung der Buchung gedroht, wenn die vermeintlich ausstehende Zahlung nicht umgehend erfolgt. Für Betroffene ist häufig kaum zu erkennen, dass die Nachricht nicht vom Hotel oder Buchungsportal stammt.

Auch Booking.com hat seine Partner aktuell auf eine verstärkte Welle entsprechender Betrugsversuche hingewiesen. Als mögliche Ursachen kommen unter anderem unbefugte Zugriffe auf Konten einzelner Unterkünfte, Sicherheitsvorfälle bei Buchungsplattformen oder kompromittierte Drittanbietersysteme infrage. Dazu zählen beispielsweise Property-Management-Systeme (PMS), Channel Manager und CRM-Lösungen.

Auch im Zusammenhang mit dem Hotelsoftwareanbieter ibelsa ist ein Sicherheitsvorfall bekannt geworden. Nach derzeitigen Informationen lässt sich bislang weder abschließend eingrenzen, welche Hotels betroffen sind, noch für welche Buchungs- oder Aufenthaltszeiträume möglicherweise Datenzugriffe stattgefunden haben.

Hotelbetriebe sollten jetzt ihre IT-Sicherheit überprüfen

Der DEHOGA Nordrhein empfiehlt allen Hotelbetrieben – unabhängig davon, welche Buchungsplattform oder Hotelsoftware sie nutzen –, kurzfristig ihre Systeme und Zugänge zu überprüfen. Dazu gehören insbesondere die Aktivierung der Zwei-Faktor-Authentifizierung, die Kontrolle von Benutzerkonten und Zugriffsrechten sowie die Überprüfung des Booking.com-Extranets auf ungewöhnliche Änderungen. Auch angebundene Drittanbietersysteme sollten auf verdächtige Aktivitäten kontrolliert werden.

Ebenso wichtig ist die Sensibilisierung der Mitarbeitenden. Zugangsdaten und Passwörter dürfen niemals telefonisch, per E-Mail oder über zugesandte Links weitergegeben werden – auch nicht, wenn sich der Anfragende als Mitarbeiter eines Buchungsportals oder Softwareanbieters ausgibt.

Gäste aktiv vor Betrugsversuchen schützen

Hotelbetriebe sollten ihre Gäste auf die aktuelle Betrugswelle aufmerksam machen. Bei Nachrichten mit Zahlungsaufforderungen oder Links ist besondere Vorsicht geboten. Zahlungen und Änderungen von Zahlungsdaten sollten ausschließlich über bekannte und verifizierte Kommunikations- und Zahlungswege erfolgen. Dabei gilt: Auch die Nennung korrekter Buchungsdaten ist kein Beleg dafür, dass eine Nachricht tatsächlich vom Hotel oder Buchungsportal stammt.

Haben Gäste bereits Zahlungs- oder Kreditkartendaten auf einer verdächtigen Internetseite eingegeben, sollten sie unverzüglich ihre Bank beziehungsweise ihr Kreditkartenunternehmen kontaktieren, betroffene Passwörter ändern und gegebenenfalls Strafanzeige erstatten.

DEHOGA Nordrhein unterstützt betroffene Betriebe

Wenn ein Hotelbetrieb konkrete verdächtige Aktivitäten feststellt oder von einem möglichen Sicherheitsvorfall betroffen ist, sollte er unverzüglich den jeweiligen Software- oder Plattformanbieter informieren, betroffene Zugangsdaten ändern und verdächtige Sitzungen beenden.

Der DEHOGA Nordrhein unterstützt seine Mitglieder bei der rechtlichen Einordnung möglicher Datenschutzvorfälle, bei Fragen zu Meldepflichten gegenüber der Datenschutzaufsichtsbehörde sowie bei der Information möglicherweise betroffener Gäste. Darüber hinaus stellt der Verband auf Anfrage Formulierungsvorschläge und Musterschreiben zur Verfügung.

„Die aktuellen Fälle zeigen, dass nicht nur große Buchungsplattformen, sondern die gesamte digitale Verarbeitungskette vom Buchungsportal über Schnittstellen und Hotelsoftware bis zum einzelnen Hotelbetrieb für Cyberkriminelle interessant ist. Umso wichtiger ist es, Sicherheitsvorkehrungen regelmäßig zu überprüfen, Mitarbeitende zu sensibilisieren und Gäste frühzeitig zu informieren“, betont der DEHOGA Nordrhein.