Die niederländische Datenschutzbehörde (AP) hat Booking.com zu einer Geldstrafe in Höhe von 475.000 Euro verurteilt, weil das Unternehmen einen Datenschutzverstoß 22 Tage später als in der Datenschutzgrundverordnung (DSGVO) vorgeschrieben gemeldet hatte.
Im Dezember 2018 hatten Cyber-Kriminelle die persönlichen Daten von etwa 4.109 Kunden erlangt, indem sie Mitarbeiter in etwa 40 Hotels in den Vereinigten Arabischen Emiraten dazu brachten, ihre Anmeldedaten für das Booking.com-Konto herauszugeben.
Die Hacker nutzten anschließend die Plattform, um an die persönlichen Daten der Kunden zu gelangen. Darüber hinaus versuchten sie, die Kreditkartendaten weiterer zu ergaunern, indem sie sich als Booking.com-Mitarbeiter am Telefon oder per E-Mail ausgaben.
Das in den Niederlanden ansässige Unternehmen erfuhr am 13. Januar 2019 von der Sicherheitsverletzung, informierte die Aufsichtsbehörde aber erst am 7. Februar 2019 - drei Tage nachdem es seine Kunden benachrichtigt hatte.
In einer übersetzten Erklärung sagte die niederländische AP-Vizepräsidentin Monique Verdier: "Dies ist ein schwerwiegender Verstoß. Eine Datenverletzung kann leider überall passieren, auch wenn gute Vorsichtsmaßnahmen getroffen wurden. Aber um Schaden für Kunden und die Wiederholung einer solchen Datenverletzung zu verhindern, muss dies rechtzeitig gemeldet werden."
"Booking.com-Kunden liefen Gefahr, ausgeraubt zu werden", so Verdier laut Eureporter. "Auch wenn die Kriminellen keine Kreditkarteninformationen gestohlen haben, sondern nur den Namen, die Kontaktdaten und Informationen über die Hotelbuchung eines Kunden. Die Betrüger nutzten diese Daten für Phishing."
In einer per E-Mail verschickten Erklärung erklärte Booking: "Das Bußgeld der niederländischen Datenschutzbehörde bezieht sich speziell auf die verspätete Benachrichtigung über diesen Vorfall und steht nicht in Verbindung mit den Sicherheitspraktiken von Booking.com oder dem allgemeinen Umgang mit dem Vorfall."
"Eine kleine Anzahl von Hotels hat versehentlich ihre Booking.com-Kontodaten an Online-Betrüger weitergegeben, aber es gab keine Kompromittierung des Codes oder der Datenbanken, die die Booking.com-Plattform betreiben", so ein Sprecher.
Das Unternehmen entschuldigte sich für die Verzögerung zwischen Erhalt der ersten Berichte über verdächtige Aktivitäten und der internen Weiterleitung der Angelegenheit. Man werde gegen die verhängte Geldstrafe keine Berufung einlegen.
Hotellerie
