Kundendaten in Ihrem PMS schützen

Best Practices für Hotellerie und Gastgewerbe, um Gäste- und Zahlungsdaten zuverlässig zu schützen. 
 

 
Ihr Property-Management-System (PMS) speichert alles, was Gäste Ihnen anvertrauen: Namen, Kontaktdaten, Vorlieben für den Aufenthalt und häufig auch Zahlungsinformationen. Genau das macht es zu einem lohnenden Ziel. Im vergangenen Jahr haben Hotelgruppen und Buchungsplattformen in ganz Europa eine Zunahme von Phishing- und Hackerangriffen in der gesamten Branche beobachtet, die auf Kundendaten in PMS- und Reservierungssystemen abzielen.

Dieser Leitfaden zeigt, wie Sie Kundendaten in Ihrem PMS handhaben sollten, was Sie vermeiden sollten und welche Gewohnheiten Ihr Team etablieren kann, um Risiken zu senken – unabhängig davon, welches PMS Sie einsetzen.

Warum das Thema gerade jetzt zählt

Mehrere Vorfälle in der Branche aus den vergangenen 18 Monaten zeigen, warum die Grundlagen wichtiger sind denn je.

• Jüngste Phishing-Kampagnen haben Hotelmitarbeitende und Gäste ins Visier genommen, indem sie sich als bekannte Buchungsplattformen ausgaben und zu vermeintlichen Verifizierungsschritten aufforderten. Sobald Zugangsdaten oder Zugriffe kompromittiert sind, können Angreifende Buchungsinformationen nutzen, um Gäste direkt zu kontaktieren und betrügerische Zahlungen zu verlangen.
• Weitere Kampagnen richteten sich gezielt gegen Hoteladministratoren und Konten von Buchungsplattformen und schufen damit einen direkten Weg zu Gästedaten und zur Kommunikation mit Gästen.
• Bei einem weiteren Vorfall in der Branche führte ein unbefugter Zugriff auf ein Reservierungssystem dazu, dass Namen, Kontaktdaten und Reservierungsnotizen von Gästen offengelegt wurden. Zahlungsinformationen waren nicht betroffen, weil sie im betroffenen System gar nicht gespeichert waren.

Gerade der letzte Punkt verdient Aufmerksamkeit. Am besten kamen jene Organisationen durch diese Vorfälle, die sensible Daten schlicht nicht gespeichert hatten, weil sie sie nicht benötigten. Das ist der Grundgedanke hinter allen folgenden Empfehlungen.

Das Grundprinzip: Speichern Sie nicht, was Sie nicht brauchen

Bevor Sie entscheiden, wie Sie ein Kundendatum sicher speichern, fragen Sie sich, ob Ihr PMS es überhaupt vorhalten muss. Wenn eine Buchungsreferenz oder eine Kundennummer ausreicht, muss die zugrunde liegende Kartennummer weder in einer Datenbank noch in einem Export oder in den Notizen einer Mitarbeiterin oder eines Mitarbeiters stehen. Jedes Feld, das Sie nicht befüllen, ist ein Feld, das nicht kompromittiert werden kann; jedes Feld, das Sie tatsächlich benötigen, sollte sicher gespeichert werden.

Netzwerk- und Firewall-Sicherheit

• Eingehenden Datenverkehr standardmäßig blockieren. Lassen Sie nur eingehende Verbindungen zu, die für den Geschäftsbetrieb erforderlich sind. Jeder aus dem Internet erreichbare Dienst erhöht das potenzielle Risiko.
• Aus dem Internet erreichbare Dienste regelmäßig prüfen. Ermitteln Sie gemeinsam mit Ihrem IT-Dienstleister, welche Systeme, Ports und Anwendungen aus dem öffentlichen Internet erreichbar sind, und schließen Sie unnötige Zugänge.
• Administrative Zugriffe einschränken. Beschränken Sie administrative Zugriffe auf autorisierte Personen und ermöglichen Sie sie nach Möglichkeit nur über ein VPN statt direkt aus dem Internet.
• Zugriffe nach Quell-IP begrenzen. Wo ein Zugriff aus dem Internet erforderlich ist, beschränken Sie Verbindungen auf vertrauenswürdige IP-Adressen, statt Zugriffe von überall zuzulassen.
• Ausgehenden Datenverkehr kritischer Server prüfen. Kritische Systeme sollten nach Möglichkeit nur mit freigegebenen Zielen kommunizieren. Das begrenzt die Auswirkungen von Schadsoftware oder unbefugten Aktivitäten.
• Firewall-Protokolle überwachen. Prüfen Sie die Protokolle regelmäßig auf ungewöhnliche Verbindungsversuche, wiederholt fehlgeschlagene Anmeldungen oder unerwartete ausgehende Verbindungen.

Netzwerksegmentierung

• Gäste-WLAN von den Geschäftssystemen des Hotels trennen. Gästenetzwerke sollten niemals Zugriff auf PMS-, Zahlungs-, Finanz- oder Verwaltungssysteme haben.
• Kritische Systeme voneinander trennen. Isolieren Sie PMS, Zahlungssysteme, Verwaltungsarbeitsplätze, Videoüberwachung, Server und IoT-Geräte, wo immer dies möglich ist.
• Dem Prinzip der minimalen Konnektivität folgen. Systeme sollten nur dann miteinander kommunizieren, wenn dafür ein berechtigter betrieblicher Bedarf besteht.

Zugriffsverwaltung

• Mitarbeitende auf rollenbasierte Zugriffe beschränken. Mitarbeitende sollten nur die Gäste- und Zahlungsdaten einsehen können, die ihre Rolle erfordert.
• Multi-Faktor-Authentifizierung (MFA) aktivieren. Fordern Sie sie, sofern verfügbar, für jede Anmeldung an Ihrem PMS und an allen Systemen mit Karteninhaberdaten – nicht nur für administrative Zugriffe oder Fernzugriffe. MFA senkt das Risiko deutlich, dass ein kompromittiertes Passwort zu unbefugtem Zugriff führt.
• Eine aktuelle Passwortrichtlinie nutzen und durchsetzen. Ihre Richtlinie sollte Mindestlänge und Komplexität festlegen, einschließlich Ziffern oder Sonderzeichen, wo sinnvoll, und die gemeinsame Nutzung sowie die Mehrfachverwendung von Passwörtern über Personen oder Systeme hinweg untersagen.
• Zugriffsrechte regelmäßig überprüfen. Entfernen Sie ungenutzte Konten und stellen Sie sicher, dass Mitarbeitende nur über die Zugriffe verfügen, die ihre Rolle erfordert.
• Konten bei Austritt sofort deaktivieren. Ehemalige Mitarbeitende und Dienstleister sollten keinen Zugriff auf operative Systeme behalten.
• Zugriffe und Datenexporte nachhalten. Protokollieren Sie, wer Gäste- und Zahlungsdaten eingesehen oder exportiert hat, und prüfen Sie diese Protokolle regelmäßig.

Software- und Patch-Management

• PMS-Software aktuell halten. Sicherheitsupdates und unterstützte Softwareversionen schützen vor bekannten Schwachstellen. Die Kundendokumentation und die Ankündigungen des jeweiligen Softwareherstellers geben Auskunft über den aktuellen Support und erforderliche Updates.
• Betriebssysteme und Infrastruktur patchen. Aktualisieren Sie Server, Arbeitsplatzrechner, Firewalls, Datenbanken und Fernzugriffs-Tools regelmäßig.
• Nicht unterstützte Software vermeiden. Systeme am Ende ihres Lebenszyklus erhalten keine Sicherheitsupdates mehr und bedeuten ein erhöhtes Risiko. Die Kundendokumentation und die Ankündigungen des jeweiligen Softwareherstellers geben darüber Aufschluss.

Kartendaten: Was Ihr PMS niemals speichern darf

Die Vorgaben des Payment Card Industry Data Security Standard (PCI DSS) sind an dieser Stelle eindeutig – und sie gelten unabhängig davon, ob die Karte online, telefonisch oder an der Rezeption erfasst wird. 

• Karteninhaberdaten ausschließlich in freigegebenen Zahlungssystemen speichern. Zahlungsinformationen sollten nur in Systemen verarbeitet und gespeichert werden, die speziell für die Zahlungsabwicklung ausgelegt und abgesichert sind – nicht im PMS selbst.
• Tokenisierte Zahlungsverfahren nutzen, wo verfügbar. Die Tokenisierung reduziert die Menge sensibler Kartendaten in Ihrem PMS und in Ihrer Hotelumgebung.

Darüber hinaus dürfen Ihr PMS und alle, die damit arbeiten, Folgendes niemals aufbewahren:

• die Kartenprüfnummer (drei- oder vierstellige CVV bzw. CVC) nach der Autorisierung der Transaktion;
• den vollständigen Inhalt des Magnetstreifens oder des Chips der Karte;
• PIN- oder PIN-Block-Daten, unter keinen Umständen.

Wenn in Ihrem Unternehmen ein echter, dokumentierter Grund besteht, die Kartennummer, den Namen der Karteninhaberin oder des Karteninhabers, das Ablaufdatum oder den Service-Code aufzubewahren, müssen diese Daten im Ruhezustand verschlüsselt oder tokenisiert sein, und der Zugriff muss auf die Personen beschränkt werden, die ihn benötigen. Wenn eine Kartennummer überhaupt angezeigt werden muss, etwa auf einer Quittung oder in einer Buchungsübersicht, zeigen Sie höchstens die ersten sechs und die letzten vier Ziffern und maskieren Sie den Rest.

• Zahlungskartendaten niemals per E-Mail versenden. E-Mail ist kein geeigneter Weg, um Zahlungskartendaten zu übermitteln – weder an Gäste noch an Kolleginnen und Kollegen oder andere Abteilungen.

Freitextfelder sind das Einfallstor für Kartendaten 

 
Die meisten PMS-Vorfälle mit Kartendaten haben ihren Ursprung nicht im Zahlungsmodul. Sie entstehen, weil eine Kollegin oder ein Kollege in bester Absicht die Kartennummer eines Gastes in ein Notiz- oder Kommentarfeld tippt, etwa um eine verspätete Zahlung, eine Rückbuchungsanfrage oder einen Sonderwunsch festzuhalten. Freitextfelder sind nicht in gleicher Weise verschlüsselt oder zugriffsgeschützt wie Zahlungsfelder. Alles, was dort steht, liegt offen sichtbar vor – und genau diese Felder werden bei einem Datenabfluss oder einem Export vollständig mitgenommen.

So halten Sie unmaskierte Informationen aus Kommentarfeldern heraus:

1. Legen Sie eine einzige Regel fest und wiederholen Sie sie im Onboarding und in Auffrischungsschulungen: Was nicht öffentlich sichtbar sein soll, gehört nicht in ein Kommentar- oder Notizfeld. Das gilt für Kartennummern, Prüfziffern, vollständige Zahlungsdaten und alles andere, von dem ein Gast nicht erwarten würde, dass Fremde es lesen.
2. Wenn Mitarbeitende auf eine Zahlung verweisen müssen, nutzen Sie die maskierte Referenz, die Ihr PMS oder Ihr Zahlungsdienstleister ohnehin erzeugt, etwa eine Transaktions-ID oder die letzten vier Ziffern, statt der Kartennummer selbst.
3. Aktivieren Sie die automatische Erkennung, sofern Ihr PMS dies unterstützt, damit Texte, die einer Kartennummer, einem Ablaufdatum oder einer Prüfziffer ähneln, vor dem Speichern markiert oder blockiert werden.
4. Prüfen Sie bestehende Notizen und Kommentarverläufe regelmäßig auf Inhalte, die dort nicht hingehören, und schwärzen oder löschen Sie diese.

Dieselbe Sorgfalt gilt für alle weiteren identifizierenden Kundendaten wie Passnummern, Privatadressen oder Bilder von Ausweisdokumenten. Was für den Aufenthalt nicht benötigt wird, sollte nicht gespeichert werden. Was benötigt wird, gehört in ein strukturiertes, zugriffsgeschütztes Feld – nicht in einen Kommentarverlauf.

Phishing und Sensibilisierung der Mitarbeitenden

• Mitarbeitende schulen, Phishing-Versuche zu erkennen. Viele Sicherheitsvorfälle beginnen mit gestohlenen Zugangsdaten aus Phishing-Angriffen und nicht mit einer technischen Schwachstelle.

Diese Kampagnen beginnen häufig mit Nachrichten, die scheinbar von einer bekannten Plattform stammen und zu dringenden Verifizierungsschritten auffordern. Weisen Sie Ihre Mitarbeitenden – insbesondere alle mit Zugriff auf das PMS oder auf Buchungsplattformen – darauf hin, bei unerwarteten Anfragen innezuhalten und sie über vertrauenswürdige Kanäle zu prüfen, bevor sie handeln.

• Bei unerwarteten E-Mails vorsichtig sein. Prüfen Sie Anfragen zu Zahlungen, Passwortzurücksetzungen, dringenden Aktionen oder ungewöhnlichen Anhängen immer, bevor Sie darauf reagieren.
• Änderungen von Bank- oder Zahlungsdaten verifizieren. Bestätigen Sie solche Anfragen vor der Bearbeitung über einen unabhängigen Kommunikationsweg – niemals per Antwort auf die Nachricht oder über eine darin genannte Telefonnummer.
• Verdächtige Aktivitäten sofort melden. Eine frühe Meldung verhindert häufig, dass aus einem kleinen Problem ein großer Vorfall wird.
• Wiederholen Sie diese Schulungen regelmäßig. Im Gastgewerbe ist die Personalfluktuation hoch, deshalb hält eine einmalige Einführung mit einer sich wandelnden Bedrohungslage nicht Schritt.

Backups und Wiederherstellung

• Tägliche Backups vorhalten. Sichern Sie geschäftskritische Daten und PMS-Daten regelmäßig.
• Backups getrennt aufbewahren. Ziehen Sie externe, unveränderliche oder Offline-Backups in Betracht, um sich gegen Ransomware zu schützen.
• Wiederherstellungsverfahren testen. Ein Backup ist nur dann etwas wert, wenn es sich auch wiederherstellen lässt – testen Sie das regelmäßig.

Sicherheitsüberwachung

• Auf ungewöhnliche Aktivitäten achten. Gehen Sie unerwarteten Benutzerkonten, ungewöhnlichen Anmeldungen, großen Datenexporten oder unerklärlichen Systemänderungen zeitnah nach.
• Führen Sie regelmäßig Schwachstellenscans durch und halten Sie Virenschutz und Endpoint-Security aktuell, statt erst vor einem Audit aktiv zu werden. Externe und interne Sicherheitsprüfungen decken Schwachstellen auf, bevor Angreifende sie finden.
• Überwachen Sie Zahlungsseiten und Buchungs-Widgets auf unbefugte Skriptänderungen; sie können auf einen E-Skimming-Versuch hindeuten.
• Einen Incident-Response-Prozess vorhalten. Stellen Sie sicher, dass Ihre Mitarbeitenden wissen, an wen sie sich wenden und was zu tun ist, wenn verdächtige Aktivitäten auffallen, damit ein Verdachtsfall nicht an der Frage „Wen informieren wir jetzt?“ hängen bleibt.

Sicherheitsverständnis

• Cybersicherheit als fortlaufenden Prozess verstehen. Wirksamer Schutz entsteht durch mehrere Sicherheitsebenen und nicht durch eine einzelne Technologie oder Maßnahme.
• Angriffsfläche so weit wie möglich reduzieren. Weniger exponierte Dienste, weniger privilegierte Konten und weniger unnötige Verbindungen bedeuten in der Regel eine kleinere Angriffsfläche.
• Sicherheit regelmäßig überprüfen. Technologie, Bedrohungen und geschäftliche Anforderungen verändern sich – Sicherheitsmaßnahmen sollten sich mit ihnen weiterentwickeln. 

Fazit

Das Vertrauen Ihrer Gäste hängt davon ab, dass ihre Daten – und das Netzwerk, in dem diese liegen – als etwas behandelt werden, das man so weit wie möglich reduziert und konsequent schützt, statt es nur zu sammeln. Unternehmen, die ihr Netzwerk segmentieren, Zugriffe eng steuern, ihre Systeme patchen, wenig speichern, Notwendiges maskieren, Kartendaten aus Freitextfeldern heraushalten und ihre Mitarbeitenden gegen aktuelle Phishing-Methoden schulen, kommen aus einem versuchten Angriff regelmäßig mit dem geringsten Meldeaufwand heraus.