Datenleck im Hotel: Was tun, wenn Gästedaten in falsche Hände geraten?

Eine WhatsApp-Nachricht mit einer Zahlungsaufforderung, eine verdächtige E-Mail oder ein Link zu einer angeblichen Bestätigung der Reservierung. Cyberkriminelle nutzen immer wieder echte Buchungsdaten, um Hotelgäste zu täuschen. Besonders problematisch: Das Datenleck muss gar nicht im eigenen Hotel entstanden sein.

Ob Buchungssystem, Channel Manager oder Newslettersystem: Hotels arbeiten fast jeden Tag mit verschiedenen digitalen Dienstleister:innen zusammen. Werden deren Systeme angegriffen, können auch sensible Gästedaten in falsche Hände geraten.

Doch was bedeutet das für deinen Betrieb? Was kannst du im Ernstfall tun? Und wie kannst du deine Gäste bereits im Vorfeld vor Betrugsversuchen schützen? Und damit du auch gleich ins Handeln kommst, warten am Ende des Artikels zwei kostenlose Checklisten auf dich: eine für den Ernstfall und eine zur Vorbeugung. Einfach herunterladen, durchgehen und abhaken!

Wie kommt es zu einem Datenleck?

Stell dir vor, ein Gast ruft an deiner Rezeption an. Er hat eine WhatsApp-Nachricht erhalten, in der er aufgefordert wird, seine Kreditkartendaten erneut einzugeben. Angeblich gibt es ein Problem mit seiner Reservierung. Das Beunruhigende daran: In der Nachricht stehen sein richtiger Name, der Reisezeitraum und sogar die Buchungsnummer.

Was zunächst wie eine offizielle Nachricht deines Hotels aussieht, könnte ein gezielter Betrugsversuch sein. Solche Nachrichten sind besonders schwer zu erkennen, weil Kriminelle echte Reservierungsinformationen verwenden. Diese können beispielsweise durch einen Cyberangriff auf einen externen Softwareanbieter abgegriffen worden sein.

Wichtig: Nimm Meldungen erst, wenn dich Gäste über verdächtige Nachrichten informieren. Bitte betroffene Personen, entsprechende Nachrichten zu sichern und an dein Hotel weiterzuleiten. Informiere außerdem umgehend dein Team, damit alle Mitarbeiter:innen auf mögliche Betrugsversuche vorbereitet sind.

---

Datenleck bei einem Vertragspartner: Was ist jetzt zu tun?

Wurde ein externes System gehackt, solltest du möglichst rasch handeln. Auch wenn dein eigenes Hotelsystem nicht unmittelbar betroffen ist, können dich als Hotelbetreiber:in datenschutzrechtliche Pflichten treffen.

1. Vorfall klären und Vertragspartner kontaktieren

Versuche zunächst herauszufinden, was genau passiert ist. Kontaktiere den betroffenen Vertragspartner und kläre, welche Systeme und Daten betroffen sind.

Dabei sind insbesondere folgende Fragen wichtig:

• Welche Gästedaten wurden möglicherweise abgegriffen?
• Sind Namen, Kontaktdaten, Buchungsinformationen oder Zahlungsdaten betroffen?
• Seit wann besteht das Datenleck und wie viele Gäste sind betroffen? Wo sehe ich, welche Gäste betroffen sind?
• Wurden Daten kopiert, verändert oder gelöscht?
• Welche Sicherheitsmaßnahmen wurden bereits eingeleitet?

2. IT-Team informieren und Zugänge absichern

Informiere deine IT-Verantwortlichen sowie gegebenenfalls Ansprechparter:innen weiterer betroffener Systeme.

Prüfe, ob auch deine eigenen Hotelprogramme oder Schnittstellen betroffen sein könnten. Verdächtige Zugänge sollten rasch gesperrt und entsprechende Passwörter zurückgesetzt werden.

3. Datenschutzbehörde informieren

Nach der Datenschutz-Grundverordnung (DSGVO) muss eine Verletzung des Schutzes personenbezogener Daten der zuständigen Datenschutzbehörde gemeldet werden, wenn dadurch voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen entsteht.

Die Meldung muss unverzüglich und möglichst innerhalb von 72 Stunden erfolgen, nachdem der Datenschutzvorfall bekannt wurde.

Wichtig zu wissen: Die Meldepflicht trifft grundsätzlich den datenschutzrechtlich Verantwortlichen. Bei Gästedaten ist das häufig der Hotelbetrieb, auch wenn der Angriff bei einem externen Auftragsverarbeiter stattgefunden hat.

Der betroffene Dienstleister ist wiederum verpflichtet, den Verantwortlichen unverzüglich über eine entsprechende Datenschutzverletzung zu informieren. Nicht jeder Vorfall ist automatisch meldepflichtig. Entscheidend ist die konkrete Risikobewertung.

Die Meldung kann über die Österreichische Datenschutzbehörde erfolgen: https://dsb.gv.at/

4. Gäste informieren und vor Betrugsversuchen warnen

Besteht durch die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen, müssen diese gemäß DSGVO unverzüglich informiert werden.

Gäste sollten möglichst frühzeitig vor möglichen Betrugsversuchen gewarnt werden. Denn häufig erfolgen betrügerische Kontaktversuche nicht gleichzeitig, sondern über einen längeren Zeitraum.

Was sollte eine Information an deine Gäste enthalten?

• Eine verständliche Erklärung, was passiert ist.
• Informationen darüber, welche Daten möglicherweise betroffen sind.
• Hinweise zu bereits gesetzten Sicherheitsmaßnahmen.
• Eine Warnung vor verdächtigen Nachrichten und Zahlungsaufforderungen.
• Die offiziellen Kontaktdaten deines Hotels für Rückfragen.

Nutze dafür möglichst direkte Kommunikationswege, beispielsweise eine E-Mail oder einen Newsletter an die betroffenen Gäste. Hinweise auf deiner Website oder auf Social Media können zusätzlich unterstützen, erreichen aber möglicherweise nicht alle Personen.

5. Mitarbeiter:innen informieren und klare Anweisungen geben

Wenn ein Datenleck bekannt wird, zählt jede Minute. Informiere deshalb umgehend alle betroffenen Mitarbeiter:innen über den Vorfall und gib ihnen klare Anweisungen, wie sie jetzt handeln sollen. Wer beantwortet Gästeanfragen? Wie wird mit verdächtigen Nachrichten umgegangen? Welche Informationen dürfen weitergegeben werden? Lege feste Zuständigkeiten fest und sorge dafür, dass alle im Team auf dem gleichen Wissensstand sind.

Wichtig: Hole auch deine Website-Agentur sowie deine Kommunikations- und Marketingpartner:innen frühzeitig ins Boot. Sie können dich dabei unterstützen, notwendige Sicherheitshinweise auf deiner Website zu veröffentlichen, Gäste über die richtigen Kanäle zu erreichen und eine einheitliche, transparente Kommunikation sicherzustellen.

6. Vorfall dokumentieren

Halte alle wichtigen Informationen und Maßnahmen schriftlich fest. Dazu gehören beispielsweise der Zeitpunkt der ersten Meldung, die Kommunikation mit dem Vertragspartner, betroffene Datensätze sowie durchgeführte Sicherheitsmaßnahmen.

Sichere außerdem relevante E-Mails, Screenshots, Nachrichten und Gesprächsprotokolle. Eine sorgfältige Dokumentation hilft dabei, den Vorfall nachvollziehbar aufzuarbeiten.

Wie erkennst du gefälschte Nachrichten an Hotelgäste?

Cyberkriminelle arbeiten häufig mit Nachrichten, die auf den ersten Blick glaubwürdig wirken. Besonders beliebt sind angebliche Probleme mit Reservierungen oder Zahlungen.

Typische Beispiele sind:

• Erneute Zahlungsaufforderung: Gäste sollen eine bereits geleistete Anzahlung nochmals überweisen.
• Drohende Stornierung: Angeblich wird die Buchung gelöscht, wenn nicht innerhalb weniger Stunden bezahlt wird.
• Falsche Rückerstattung: Eine vermeintliche Gutschrift soll über einen Link angefordert werden.
• Überprüfung der Kreditkarte: Gäste werden aufgefordert, ihre Zahlungsdaten erneut einzugeben.

Besonders tückisch: Selbst korrekte Namen, Reisezeiträume und Buchungsnummern sind kein Beweis dafür, dass eine Nachricht tatsächlich vom Hotel stammt.

Unser Tipp: Weise deine Gäste darauf hin, bei unerwarteten Nachrichten keine verdächtigen Links anzuklicken, keine unbekannten Anhänge zu öffnen und keine sensiblen Daten preiszugeben. Notiere diese Infos auf deiner Website, in der Buchungsschleife und in den Pre-Stay-Mailings.

Im Zweifelsfall sollten sie dein Hotel ausschließlich über die offiziellen Kontaktdaten kontaktieren.

---

Datenverlust vorbeugen: So schützt du deine Gäste bereits vor der Anreise

Die gute Nachricht: Du kannst bereits mit einfachen Maßnahmen dazu beitragen, dass deine Gäste mögliche Betrugsversuche leichter erkennen.

1. Klare Zahlungsbedingungen kommunizieren

Informiere deine Gäste bereits bei der Buchung bzw. bei der Beantwortung der Anfrage darüber, wann Anzahlungen, Restzahlungen oder andere Beträge fällig werden. Wer weiß, wann und wie bezahlt werden muss, kann unerwartete Zahlungsaufforderungen leichter als verdächtig erkennen.

2. Offizielle Kommunikationskanäle festlegen

Über welche Kanäle kommuniziert dein Betrieb mit seinen Gästen? Per E-Mail, telefonisch, SMS oder WhatsApp? Lege fest, welche Kommunikationswege tatsächlich genutzt werden, und informiere deine Gäste darüber.

Wenn dein Hotel beispielsweise niemals Zahlungsaufforderungen über WhatsApp verschickt, solltest du das ausdrücklich erwähnen.

3. Echte Zahlungslinks erkennbar machen

Erkläre deinen Gästen, wie offizielle Zahlungsaufforderungen aussehen und über welche Anbieter Zahlungen abgewickelt werden. Weise außerdem darauf hin, dass unerwartete Änderungen von Bankverbindungen immer direkt beim Hotel überprüft werden sollten.

4. Sicherheitshinweise in die Gästekommunikation integrieren

Warte nicht erst auf einen konkreten Vorfall. Kurze Sicherheitshinweise lassen sich an verschiedenen Kontaktpunkten einbauen:

• In der Buchungsbestätigung
• In Pre-Stay-E-Mails vor der Anreise
• In weiteren automatisierten Gästemails
• Auf deiner Hotelwebsite
• Gegebenenfalls an der Rezeption

So werden Gäste frühzeitig sensibilisiert und wissen, worauf sie achten müssen.

5. Offizielle Kontaktdaten gut sichtbar platzieren

Deine Hotelwebsite, Telefonnummer und E-Mail-Adresse sollten für Gäste einfach auffindbar sein. Achte darauf, dass diese Angaben auf deiner Website, in Buchungsbestätigungen und E-Mail-Signaturen einheitlich verwendet werden. So können Gäste verdächtige Nachrichten rasch überprüfen.

Mehr Cybersicherheit im Hotel: Auch intern solltest du vorsorgen

Neben einer klaren Gästekommunikation spielen interne Sicherheitsmaßnahmen eine wichtige Rolle. Mit diesen fünf Grundsätzen kannst du die Datensicherheit in deinem Betrieb verbessern:

1. Zugänge absichern

Verwende persönliche Benutzerkonten, starke Passwörter und eine 2-Faktor-Authentifizierung. Mitarbeiter:innen sollten nur auf jene Daten zugreifen können, die sie tatsächlich für ihre Aufgaben benötigen.

2. Software und Website aktuell halten

Nicht nur dein Buchungssystem, sondern auch deine gesamte Webtechnik sollte regelmäßig überprüft und aktualisiert werden. Dazu zählen unter anderem dein Website-CMS, Plugins, Hosting, Newsletter-Systeme und weitere digitale Schnittstellen. Regelmäßige Updates und Sicherheitschecks helfen dabei, bekannte Sicherheitslücken zu schließen und das Risiko von Cyberangriffen zu reduzieren.

Gut zu wissen: Bei crosseye Marketing hast du dafür einen professionellen Partner an deiner Seite. Wir behalten die Webtechnik unserer Kund:innen im Blick, informieren proaktiv über notwendige Updates und sicherheitsrelevante Maßnahmen und unterstützen bei der Umsetzung.

➡️ zu den Leistungen von crosseye Marketing

3. Einen Notfallplan erstellen

Wer ist im Ernstfall zuständig? Wer kontaktiert die IT? Wer informiert die Gäste? Klare Abläufe und Zuständigkeiten erleichtern die Reaktion auf einen Sicherheitsvorfall.

4. Externe Dienstleister und Vertragspartner überprüfen

Achte bereits bei der Auswahl von Softwarelösungen darauf, welche Sicherheitsmaßnahmen die Anbieter einsetzen. Kläre außerdem, wie schnell du bei einem möglichen Datenleck informiert wirst und wie Zugänge gesperrt werden können.

5. Mitarbeiter:innen regelmäßig sensibilisieren

Phishing-Mails und gefälschte Nachrichten werden immer raffinierter. Regelmäßige Schulungen helfen deinem Team, verdächtige Absender:innen, Links und Anhänge zu erkennen.

---

Zwei praktische Checklisten für deinen Hotelbetrieb

Damit du im Ernstfall nicht lange überlegen musst, welche Schritte notwendig sind, haben wir zwei Checklisten für dich erstellt.

Checkliste 1: Was tun bei einem Cyberangriff auf einen Hotel-Dienstleister?

Diese Checkliste unterstützt dich dabei, bei einem Datenleck strukturiert vorzugehen – von der ersten Einschätzung über die Absicherung betroffener Zugänge bis zur Dokumentation und Gästeinformation.

---

Checkliste 2: Wie kannst du deine Gäste vor Betrugsversuchen schützen?

Diese Checkliste zeigt dir, welche Sicherheitshinweise du bereits vor einem möglichen Vorfall in deine Gästekommunikation integrieren kannst. Dazu gehören klare Zahlungsbedingungen, offizielle Kommunikationswege und verständliche Informationen zum Erkennen gefälschter Nachrichten.

Fazit: Gute Vorbereitung schützt deine Gäste und schafft Vertrauen

Ein Datenleck kann jeden Hotelbetrieb treffen – egal ob es in eigenen Systemen passiert oder Daten über Drittanbieter (wie Booking.com oder ähnlich) betrifft. Umso wichtiger ist es, vorbereitet zu sein. Klare Zuständigkeiten, sichere Systeme, geschulte Mitarbeiter:innen und eine transparente Kommunikation helfen dabei, mögliche Schäden zu begrenzen.

Besonders bei der Kommunikation mit deinen Gästen kannst du bereits im Vorfeld viel bewirken. Wer seine Gäste frühzeitig über offizielle Zahlungswege informiert und auf mögliche Betrugsversuche aufmerksam macht, schafft Sicherheit und Vertrauen.

Deshalb unser Rat: Warte nicht, bis der erste Gast eine verdächtige Nachricht erhält. Überprüfe schon jetzt deine Kommunikationswege und internen Abläufe. Gerade bei Verträgen und Kooperationen mit Drittanbietern lohnt es sich, etwas genauer hinzuschauen. 👀

Was muss ich tun, wenn Gästedaten meines Hotels gestohlen wurden?

Wenn du einen Datenverlust vermutest, solltest du umgehend deinen IT-Dienstleister kontaktieren, betroffene Zugänge absichern und den Vorfall dokumentieren. Prüfe außerdem, ob eine Meldung an die Datenschutzbehörde erforderlich ist und ob deine Gäste informiert werden müssen.

Wer haftet bei einem Datenleck eines externen Hotel-Dienstleisters?

Auch wenn ein Cyberangriff beispielsweise beim PMS-Anbieter oder Channel Manager stattfindet, kann dein Hotel datenschutzrechtlich verantwortlich bleiben. Welche Pflichten und Haftungsfolgen konkret bestehen, hängt unter anderem von den jeweiligen Verantwortlichkeiten, Verträgen und Umständen des Vorfalls ab.

Wann muss ein Hotel ein Datenleck der Datenschutzbehörde melden?

Eine Datenschutzverletzung muss gemäß DSGVO grundsätzlich gemeldet werden, wenn dadurch voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen entsteht. Die Meldung muss unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls erfolgen.

Müssen Hotels ihre Gäste über ein Datenleck informieren?

Ja, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt, besteht grundsätzlich eine Benachrichtigungspflicht. Auch darüber hinaus kann eine frühzeitige Warnung sinnvoll sein, um Gäste vor möglichen Betrugsversuchen zu schützen.

Wie können Hotelgäste gefälschte Buchungsnachrichten erkennen?

Verdächtig sind insbesondere unerwartete Zahlungsaufforderungen, ungewöhnliche Absender, Zeitdruck oder Links zur erneuten Eingabe von Kreditkartendaten. Auch Nachrichten mit korrekten Buchungsinformationen können gefälscht sein. Im Zweifelsfall sollten Gäste direkt über die offiziellen Kontaktdaten des Hotels nachfragen.

Wie kann ich mein Hotel vor Datenverlust und Cyberangriffen schützen?

Wichtige Maßnahmen sind sichere Passwörter, 2-Faktor-Authentifizierung, regelmäßige Software-Updates und überprüfte Datensicherungen. Zusätzlich solltest du die Zugriffsrechte deiner Mitarbeiter:innen begrenzen, dein Team für Phishing sensibilisieren und einen Notfallplan erstellen. Auch die Sicherheitsstandards externer Dienstleister sollten regelmäßig überprüft werden.