Hotellerie
Die Hospitality Sales & Marketing Association Deutschland e.V. (HSMA) fordert mehr Transparenz bei Sicherheitsvorfällen und die konsequente Einhaltung gesetzlicher und vertraglicher Informationspflichten. Technologieanbieter müssten betroffene Hotels rechtzeitig informieren, damit diese Risiken für Gäste bewerten und ihren eigenen Meldepflichten nachkommen könnten.
Peter Hense, Rechtsanwalt und Partner bei Spirit Legal sowie Mitinitiator der HSMA-Initiative zur Cybersicherheit in der Hotellerie, erhebt in einem LinkedIn-Beitrag Vorwürfe gegen betroffene Dienstleister. Er schreibt: „Auf gut Deutsch: Die derzeit reihenweise gehackten Dienstleister melden weder bei Behörden noch bei Vertragspartnern noch bei Betroffenen.“ Seine Einschätzung lautet: „Es zeigt sich, dass das IT-Problem der Hotellerie vor allem ein Dienstleisterproblem ist.“
Die HSMA mahnt die Einhaltung gesetzlicher Informationspflichten und Meldefristen an
Nach Darstellung der HSMA können Sicherheitslücken bei einem Technologieanbieter zahlreiche Hotelbetriebe betreffen. Buchungssysteme, Property Management Systeme (PMS), Channel Manager und Zahlungsdienstleister tauschten kontinuierlich Daten aus.
Der Verband verweist auf die Datenschutz-Grundverordnung (DSGVO). Danach seien Auftragsverarbeiter verpflichtet, den datenschutzrechtlich Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten zu informieren. Verantwortliche müssten meldepflichtige Vorfälle grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden. Bei voraussichtlich hohem Risiko könne zudem eine Benachrichtigung der betroffenen Personen erforderlich sein.
„Nach einem Sicherheitsvorfall schulden Unternehmen Gästen, Partnern und Behörden rasche und vollständige Information. Daran hängt, ob sie ihre Verantwortung überhaupt wahrnehmen können. Jeder Tag des Schweigens vergrößert den Schaden und schwächt die rechtliche Position aller Beteiligten“, so Peter Hense, Rechtsanwalt und Partner bei Spirit Legal sowie Mitinitiator der HSMA-Initiative zur Cybersicherheit in der Hotellerie.
Hotels sollen Informationsfristen und Zuständigkeiten in ihren Verträgen prüfen
Die HSMA empfiehlt Hotels, ihre IT-Verträge auf Informationsfristen, Zuständigkeiten und Unterstützungspflichten bei Sicherheitsvorfällen zu prüfen. Bei Verletzungen vertraglicher Pflichten könnten je nach Einzelfall rechtliche Ansprüche oder eine außerordentliche Kündigung infrage kommen.
Transparente Sicherheitsprozesse sollten bereits bei der Auswahl von Technologiepartnern ein Kriterium sein. Hotels müssten zugleich ihre eigene IT schützen. Der Verband nennt dafür Mitarbeiterschulungen, Mehr-Faktor-Authentifizierung, geregelte Zugriffsrechte und klare Notfallabläufe.
Anna Heuer, Wirtschaftsjuristin und Verbandsgeschäftsführerin der HSMA Deutschland, erklärt: „Hotels können digitale Risiken nicht allein bewältigen. Wir brauchen eine Sicherheitskultur, in der Hotels und Technologieanbieter offen miteinander kommunizieren, Verantwortung übernehmen und aus Vorfällen lernen. Transparenz muss deshalb ein selbstverständlicher Bestandteil der Zusammenarbeit sein. Aber eben nicht erst dann, wenn der Schaden bereits eingetreten ist.“
Mehrere Technologieanbieter berichteten über Sicherheitsvorfälle und Zugriffe auf ihre Systeme
Über Sicherheitsvorfälle bei mehreren Technologieanbietern hatte Tageskarte im September 2026 berichtet. Ein Amadeus-Sprecher erklärte gegenüber Tageskarte, das Unternehmen habe am 11. September 2026 ungewöhnliche Aktivitäten an einer mit der Buchungsanwendung iHotelier verbundenen Programmierschnittstelle festgestellt. Amadeus habe Maßnahmen zur Eindämmung und Behebung eingeleitet. Betroffen sei eine „sehr begrenzte Zahl“ von Kunden, die informiert worden seien.
Die Maritim Hotelgesellschaft bestätigte Tageskarte, am 17. September 2026 insgesamt 8.716 E-Mails an Gäste versendet zu haben. Unbekannte Angreifer hätten Reservierungslisten mit Gästeinformationen entwendet. Das Gästeschreiben nennt unter anderem Namen, Kontaktdaten sowie Reservierungs- und Buchungsinformationen. Zahlungs- und Finanzdaten, Passwörter sowie Passdaten seien nicht betroffen. Maritim nutzt für die Gästebuchungen ihrer Hotels die Buchungsanwendung iHotelier des Anbieters Amadeus IT Group S.A.
HotelNetSolutions teilte mit, am 19. September 2026 eine Schwachstelle in einer Schnittstelle zwischen HotelControl und einem angebundenen Hotelsystem bestätigt und geschlossen zu haben. Manipulierte Anfragen hätten einen unberechtigten Zugriff auf Buchungsdaten ermöglicht. Betroffen seien unter anderem Hotelname, Buchungsnummer, Name und Kontaktdaten des Gastes, Aufenthaltsdaten und der Gesamtbetrag der Buchung. Hinweise auf einen Abfluss von Kreditkarten- oder sonstigen Zahlungsdaten lägen nicht vor.
Auch der österreichische Anbieter Seekda hatte einen Sicherheitsvorfall in seinen Systemen festgestellt. Das Unternehmen habe Maßnahmen zur Eindämmung ergriffen und eine Untersuchung eingeleitet. Nach den damaligen Erkenntnissen seien einzelne Unterkünfte betroffen gewesen.
Bereits im August 2026 berichtete der PMS-Anbieter ibelsa, Angreifern sei es wohl gelungen, Zugriff auf das System zu erlangen. Das Einfallstor sei klar identifiziert und umgehend geschlossen worden.
Die genannten Anbieter führt Hense in dem vorliegenden LinkedIn-Beitrag nicht ausdrücklich an. Sein Vorwurf unterlassener Meldungen lässt sich daraus keinem dieser Unternehmen zuordnen.
