Hotellerie
In aktuellen Blogposts (Tageskarte berichtete) berichtet Markus Luthe, Hauptgeschäftsführer des Hotelverbandes Deutschland, dass sich das „interne Kommunikationssystem von Booking.com […] zunehmend als Sicherheitsrisiko und Achillesferse der Branche“ erweise. Mit den Vorwürfen konfrontiert, äußert sich nun auch Booking.com gegenüber Tageskarte.
Luthe schreibt, dass das Kommunikationssystem von Booking.com seit Anfang dieses Jahres gleich mehrfach als Einfallstor für Betrügereien („Phishing“) rund um die Hotelbuchung genutzt worden zu sein scheine. Bislang habe der Hotelverband drei Angriffsmethoden von Cyberkriminellen verzeichnet. Luthe spricht in diesem Zusammenhang von „Phishing“, „Fake-Buchungen“ und „Zahlungserschleichung“.
Auf Tageskarte-Nachfrage bestätigt Booking, das es Online-Attacken gegeben habe und sagt: „Leider haben wir in letzter Zeit eine Zunahme von Cyberkriminalität festgestellt, die unsere Partner anvisiert.“ Man nehme natürlich jeden Fall, auch wenn solche Vorgänge selten seien, sehr ernst und gehe konsequent dagegen vor, so die Buchungsplattform.
Booking bestätigt, dass nach der Überprüfung von Meldungen über verdächtige Phishing-E-Mails, dies in einigen Fällen zu unbefugtem Zugriff auf Booking.com-Extranet-Konten geführt habe. Dabei ist es dem Unternehmen wichtig zu betonen, dass dabei weder die Backend-Systeme noch die Infrastruktur von Booking.com in irgendeiner Weise kompromittiert worden sei. Booking bestätigt ebenso, dass es vorgekommen sei, dass Unterkunftspartner zu Rechnungen kontaktiert wurden, die vorgeben, von Booking.com zu stammen, und die um Banküberweisungen auf ein neues Bankkonto bitten. Das Unternehmen führt dazu aus, dass „diese Rechnungen nicht von Booking.com stammen und dass sich die Bankdaten von Booking.com nicht geändert hätten. „Wir möchten auch betonen, dass keine legitime Transaktion jemals von einem Partner verlangt, über Telefon oder unbekannte E-Mail-Adressen Zahlungsdetails anzugeben oder Transaktionen durchzuführen, und dass Provisionsabrechnungen direkt über das Booking.com-Partner-Extranet verfügbar sind und bleiben“, so das Unternehmen.
Auf das Thema Fake-Buchungen, das Luthe thematisiert hatte, geht Booking in seiner Stellungnahme nicht ein. Wie der Hotelverband zitierte, hatte zuvor eine Reporterin der Bild-Zeitung am eigenen Leib erfahren, wie Hacker Nutzer-Accounts von Booking.com geknackt und über die Konten der ahnungslosen Nutzer überall in Deutschland Dutzende Hotelzimmer gebucht hätten. In der Folge drohten die Booking-Kunden mit Stornokosten belastet zu werden, die Hotels würden durch die massenhaften Fake-Buchungen blockiert und dürften sich auch noch mit verärgerten Kunden auseinandersetzen, schrieb Markus Luthe.
Auch auf den Fall eines Hotels, dass dem Hotelverband berichtete, dass aus dem Booking-Extranet alle zu dem Zeitpunkt rund 800 Buchungen kontaktiert und ersucht worden sein, über einen Link (noch einmal) Kreditkartendetails bekannt zu geben, weil andernfalls die Buchung verfallen würde, geht Booking in seiner Stellungnahme gegenüber Tageskarte nicht ein. In dem Hotel soll das Telefon über Stunden nicht mehr still gestanden haben, ca. 100 Buchungen wurden storniert. Kreditkarten von Gästen seien belastet worden, nur manchmal habe die Bank die Zahlung blockiert, schreibt der Hotelverband. Das Hotel sei über sieben Stunden immer wieder mit mehreren Stellen bei Booking.com in Kontakt, der Support sei jedoch mangelhaft und zögerlich gewesen bis hin zur abwiegelnden Einschätzung, dass gar keine Phishing-Mails vorlägen, so der Hotelverband. Also habe das Hotel angefangen, über das Extranet von Booking.com – es stehe ja kein anderer Kommunikationskanal zur Verfügung – jeden einzelnen Gast zu kontaktieren und zu warnen.
Luthe schreibt, dass, unabhängig davon, auf welchem Wege die Betrüger an die Login-Daten der Hotels gelangt seien, jedenfalls der „stiefmütterliche“ Umgang mit der Angelegenheit und das Fehlen unverzüglicher und effektiver Abhilfemaßnahmen durch Booking.com eine Pflichtverletzung darstellen dürfte. Und spätestens das müsse auch eine entsprechende Haftung nach sich ziehen, so der Verbandsmanager.
Wenn die Betrüger selbst nach der Anzeige der Phishing-Attacken durch die Hotels noch in der Lage seien, den Kommunikationskanal zu kapern und mit dem Gast zu kommunizieren, dann offenbare dies eine fehlende Professionalität auf Seiten von Booking.com, so Markus Luthe weiter.
Angesprochen auf den Vorwurf des „stiefmütterliche“ Umgangs mit der Angelegenheit schreibt Booking.com an Tageskarte, dass „man [...] Teams habe, die sich um die Sicherheit der Konten von Kunden und Unterkunftspartnern kümmern würden. Diese Teams seien auch dafür da, verdächtige und betrügerische Kontoaktivitäten zu verhindern und zu erkennen. Außerdem sagt Booking, dass man in mehreren zusätzlichen E-Mail-Kampagnen Tipps und aktuelle Informationen darüber gegeben habe, wie die Sicherheit der Konten gewährleisten werden könne. Außerdem habe man den Bereich Cybersicherheit im „Partner Hub“ kontinuierlich aktualisiert und erweitert, um noch mehr Informationen über Malware und Phishing bereitzustellen“ Hotels die Fragen oder Bedenken hätten, könnten dort auch verdächtige Aktivitäten melden oder direkt mit Booking.com in Verbindung zu setzen, um die beste Vorgehensweise zu besprechen und sich beraten zu lassen.
Luthe schätzt in seinem Blog die Handhabung und die Serviceleistung von Booking anders ein und sagt: „Für mich ist das ein multiples Sicherheits- und Kommunikationsversagen des marktdominierenden Buchungsportals!“
