Sicherheitsvorfälle bei IT-Dienstleistern können zahlreiche Hotels gleichzeitig betreffen. Die HSMA fordert eine offene Kommunikation und die konsequente Einhaltung gesetzlicher Meldepflichten.
Hotels sind bei ihrer digitalen Infrastruktur häufig auf externe Technologieanbieter angewiesen. Sicherheitslücken in Buchungssystemen, Property Management Systemen (PMS), Channel Managern oder Zahlungsdiensten können dann zahlreiche Betriebe gleichzeitig betreffen. Die Hospitality Sales & Marketing Association Deutschland (HSMA) fordert deshalb mehr Transparenz bei IT-Vorfällen.
Neben eigenen Schutzmaßnahmen wie Mitarbeiterschulungen, Mehr-Faktor-Authentifizierung und klaren Zugriffsrechten sei entscheidend, dass Anbieter Sicherheitsvorfälle frühzeitig erkennen und ihre Kunden unverzüglich informieren. Nur so könnten Hotels Risiken für Gästedaten einschätzen, angemessen reagieren und gesetzliche Meldefristen einhalten.
Gesetzliche Fristen einhalten
Nach der Datenschutz-Grundverordnung (DSGVO) müssen Auftragsverarbeiter den datenschutzrechtlich Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten informieren, teilt die HSMA mit. Die Verantwortlichen hätten meldepflichtige Vorfälle grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden. Bei voraussichtlich hohem Risiko könne zudem eine Benachrichtigung der betroffenen Personen nötig sein.
„Nach einem Sicherheitsvorfall schulden Unternehmen Gästen, Partnern und Behörden rasche und vollständige Information. Daran hängt, ob sie ihre Verantwortung überhaupt wahrnehmen können“, erläutert Peter Hense, Rechtsanwalt und Partner bei Spirit Legal sowie Mitinitiator der HSMA-Initiative zur Cybersicherheit in der Hotellerie. „Jeder Tag des Schweigens vergrößert den Schaden und schwächt die rechtliche Position aller Beteiligten“, warnt er.
Die HSMA rät Hotels, ihre IT-Verträge auf Informationsfristen, Zuständigkeiten und Unterstützungspflichten bei Sicherheitsvorfällen zu prüfen. Verletzt ein Anbieter vertragliche Pflichten, können je nach Einzelfall rechtliche Ansprüche oder eine außerordentliche Kündigung infrage kommen. Bereits bei der Auswahl von Technologiepartnern sollten transparente Sicherheitsprozesse ein Kriterium sein. Relevant ist laut Verband auch, wie Anbieter Vorfälle erkennen, intern eskalieren und ihre Kunden informieren.
Offenheit statt Schuldzuweisung
Ein offener Umgang mit Sicherheitsvorfällen hilft nach Ansicht der HSMA, Risiken einzuordnen, Schutzmaßnahmen einzuleiten und vergleichbare Schwachstellen in anderen Betrieben früh zu erkennen. Im Mittelpunkt sollen der Schutz sensibler Gästedaten und das Vertrauen in die Branche stehen, nicht öffentliche Schuldzuweisungen.
„Hotels können digitale Risiken nicht allein bewältigen. Wir brauchen eine Sicherheitskultur, in der Hotels und Technologieanbieter offen miteinander kommunizieren, Verantwortung übernehmen und aus Vorfällen lernen“, betont Anna Heuer, Wirtschaftsjuristin und Verbandsgeschäftsführerin der HSMA Deutschland. Transparenz müsse ein selbstverständlicher Bestandteil der Zusammenarbeit sein, „aber eben nicht erst dann, wenn der Schaden bereits eingetreten ist“. red/sar