​Datensicherheit: Mitarbeitende schulen und sensibilisieren

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) verzeichnet eine steigende Anzahl an Hotels aus der Schweiz, die von Datensicherheitsverletzungen und Informationsdiebstahl betroffen sind. Häufig entsteht ein Verlust der Login-Daten durch Phishing.

Wie kommt es zu diesem Datendiebstahl?

Mitarbeitende klicken für den Zugang zu hotel-eigenen Accounts auf Buchungsplattformen auf Links in abgelegten E-Mails oder über Suchmaschinen. Dies sind häufig nicht verifizierte URLs. Dadurch besteht die Gefahr auf gefälschten Webseiten zu landen. Die dort eingegebenen Login-Daten inklusive Zweifaktor-Authentifizierung werden den Angreifenden übermittelt, wodurch diese Zugriff auf die Accounts erhalten.
Dies passiert oft unbemerkt. Angreifende haben dadurch die Zeit, Auszahlungsverbindungen oder E-Mail Adressen zu ändern. Durch das Herausziehen von Gästeinformationen werden Reisedaten (Aufenthalts- und Buchungsdatum, Buchungsnummern, Personendaten) gestohlen und später für gezielte Phishing-Attacken auf Gäste verwendet.
Nach dem Datendiebstahl kann es zu sekundären Angriffen durch die Verschlüsselung von Systemen oder Erpressung mit Veröffentlichung sensibler Informationen kommen.

Was kann ich dagegen tun?

Aus diesem Grund ist es wichtig, die eigenen Mitarbeitenden regelmässig zu schulen. Simulieren Sie Test-Angriffe in Ihrem Betrieb und informieren Sie über aktuelle Phishing-Methoden. 
Wichtig ist, dass nur überprüfte Links auf dem Desktop des Hotel-PCs für den Zugang zu Buchungsplattformen mit den hotel-eigenen Accounts verwenden werden. Prüfen Sie die URLs stets auf ihre Richtigkeit. Gefälschte URLs sind nicht 1:1 dieselben, auch wenn die Webseiten täuschend ähnlich oder echt aussehen. Weisen Sie Ihre Mitarbeitenden deshalb darauf hin, die Links genau zu prüfen. Die Zweifaktor-Authentifizierung bietet zudem bei diesen «man in the middle» Angriffen keinen Schutz. 
Klären Sie Ihre Mitarbeitenden zudem über sichere Abläufe in der Gästekommunikation auf und verwenden Sie dazu nur die offiziellen Kanäle.

Informationen zur Cybersicherheit
Mehr zum Datenschutz