Der Gast hat ein Zimmer gebucht, für drei Nächte ab Freitag, für 640 Franken. Zwei Tage vor der Anreise kommt eine WhatsApp-Nachricht: Die Zahlung sei nicht durchgegangen, bitte die Karte hier erneut bestätigen. Name, Datum und Betrag stimmen. Der Link führt zu einer gefälschten Seite.
Solche Nachrichten sind nicht neu. Neu ist, wie oft die Daten dafür direkt aus der Software der Gastgeber stammen.
Zwei Fälle in einer Woche
Feratel, ein Anbieter von Buchungssoftware für den Tourismus aus Tirol, meldete, dass in der Nacht auf den 26. Oktober Gästedaten abgerufen wurden: Name, Adresse, Telefon, E-Mail, Reisedaten, Unterkunft, Preis und Zahlungsstatus. Der Zugang erfolgte laut Feratel mit den Zugangsdaten eines Schnittstellenpartners, die aus einem anderen System stammten. Kurz darauf warnte der Tourismusverband Tirol vor WhatsApp-Nachrichten an Gäste, die sich als Buchungsbestätigung ausgaben.
vioma, ein deutscher Anbieter von Buchungs- und Reservierungssoftware für Hotels, meldete am 2. November: Am Nachmittag lösten automatisierte Anfragen Mails zum Zurücksetzen von Passwörtern aus, die niemand angefordert hatte. Danach wurden über betroffene Zugänge Buchungsdaten abgerufen, wahrscheinlich für alle Buchungen mit Anreise ab dem 1. November. Kreditkartendaten waren über diese Schnittstelle nicht abrufbar.
Ob Schweizer Betriebe betroffen sind, sagt keiner der beiden Anbieter.
Zwei Sätze aus der Meldung von vioma
Die Meldung von vioma ist ungewöhnlich offen, und zwei Sätze daraus sind für jeden Betrieb lehrreich, der Buchungssoftware nutzt.
«Nutzer, die sich ausschliesslich per Passkey anmelden», waren nicht betroffen. Ein Passkey ist eine Anmeldung ohne Passwort, bestätigt mit Fingerabdruck, Gesicht oder PIN auf dem eigenen Gerät. Wo kein Passwort existiert, lässt sich auch keines zurücksetzen, abfangen oder erraten. Genau darüber lief der Angriff.
Abrufe von Listenansichten wurden «bisher nicht einzeln protokolliert». Deshalb kann vioma nicht genau sagen, welche Buchungen abgeflossen sind, und rechnet vorsorglich mit allen. Für einen betroffenen Betrieb heisst das: Er weiss nicht, welche seiner Gäste er warnen müsste. Also alle.
Was der Betrieb selbst tragen muss
vioma weist darauf hin, dass die Pflicht zur Meldung bei der Datenschutzbehörde nicht beim Softwareanbieter liegt, sondern beim Hotel. Das gilt sinngemäss auch in der Schweiz: Nach dem Datenschutzgesetz muss der Betrieb, der die Daten seiner Gäste bearbeitet, eine Verletzung der Datensicherheit dem Eidgenössischen Datenschutzbeauftragten melden, wenn sie voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Und er muss die Gäste informieren, wenn das zu ihrem Schutz nötig ist.
Eine Liste von Gästen, die demnächst anreisen, mit Telefonnummer und Buchungsbetrag, ist für Betrüger ein fertiges Drehbuch. Ob das ein hohes Risiko ist, sollte man nicht allein entscheiden.
Was jetzt zu tun ist
Anmeldung umstellen. Wenn die Buchungs- oder Reservierungssoftware Passkeys oder einen zweiten Faktor anbietet: einschalten, für alle Konten. Wo möglich die Anmeldung mit Passwort danach abschalten.
Konten aufräumen. Wer hat Zugang zur Software? Ehemalige Mitarbeitende, Aushilfen der letzten Saison, alte Konten von Agenturen gehören gelöscht. Das gilt auch für Schnittstellen zu Partnern, wie der Fall Feratel zeigt.
Freitextfelder ansehen. In Anmerkungen kann mehr stehen, als man denkt: Allergien, Gesundheitsangaben oder Kartendaten, die ein Gast ins falsche Feld geschrieben hat. vioma rät ausdrücklich, diese Felder zu prüfen.
Gäste vorwarnen. Ein Satz in der Buchungsbestätigung genügt: Wir fragen nie per WhatsApp, SMS oder Mail nach Kartendaten. Im Zweifel rufen Sie uns unter der Nummer auf unserer Website an. Wie solche Nachrichten funktionieren, haben wir im Oktober am Fall Ricardo beschrieben.
Beim Anbieter nachfragen. Waren wir betroffen, welche Daten, welcher Zeitraum? Die Antwort gehört in die eigene Dokumentation, zusammen mit dem Entscheid, ob gemeldet wird und warum.