Sicherheit für Reisebüros und Reiseveranstalter: Daten, Zahlungen, GDS
Reisebüros und Reiseveranstalter verarbeiten in jeder Phase einer Reise personenbezogene Daten. Dieser Leitfaden zeigt, wie Sie Ihre Datenbestände erfassen, Zugänge absichern, Zahlungsdaten schützen, Technologiepartner prüfen und sich auf einen Sicherheitsvorfall vorbereiten.
Wo das Risiko beginnt
Wo Sicherheitsprobleme im Reisebüro beginnen
Die meisten Sicherheitsvorfälle beginnen mit einer ganz normalen Aufgabe im Reisealltag. Ein neuer Kunde möchte dringend eine Gruppenreise buchen. Ein Leistungsträger schickt eine Zahlungsaufforderung. Eine Nachricht behauptet, Ihr GDS-Login sei abgelaufen. Ein ehemaliger Auftragnehmer hat noch Zugriff auf ein System, auf das Ihr Team täglich angewiesen ist.
Solche Situationen setzen unter Druck, denn Ihr Team möchte den Reisenden helfen und die Buchung sichern. Unter diesem Druck wird schnell ein Prüfschritt übersprungen oder ein Passwort auf der falschen Seite eingegeben.
Reisedaten verraten zudem sehr viel über eine Person. Sie zeigen, wohin jemand reisen möchte, wann er nicht zu Hause ist, mit wem er unterwegs ist und wie man ihn erreicht. Ein Reiseplan für eine Familie, eine Geschäftsreisebuchung und eine Akte zu einer Gruppenreise enthalten jeweils unterschiedliche personenbezogene Daten.
Gefährdung
Fünf Schwachstellen, auf die Sie bei einer Buchung achten sollten
Verfolgen Sie eine Buchung durch Ihren Arbeitsablauf
- Ein neuer Reisender oder ein neues Unternehmen verlangt eine große Zahl an Tickets, bevor Sie prüfen können, wen die Person vertritt.
- Eine E-Mail verlinkt auf eine Login-Seite, die wie Ihr GDS, Ihr Zahlungsanbieter oder das Portal eines Leistungsträgers aussieht.
- Passkopien, Zahlungsdaten oder aktuelle Reisepläne liegen in Postfächern, Tabellen oder gemeinsamen Ordnern.
- Eine Filiale, ein selbstständiger Mitarbeiter, ein Dienstleister oder ein ehemaliger Mitarbeiter hat weiterhin Zugriff auf Buchungssysteme.
- Ein Ransomware-Angriff sperrt die Reisepläne und Kontaktdaten, die Ihr Team zur Betreuung der Reisenden braucht.
Jedes dieser Probleme betrifft mehr als den Datenschutz. Es kann zu unbefugter Ticketausstellung, Rückbuchungen, Debit Memos, Benachrichtigungen an Kunden, Zeitverlust und Störungen während einer laufenden Reise führen.
Eine reisespezifische Bedrohung
Gefälschte Reiseanfragen und Übernahmen von GDS-Konten
Neben Datenpannen gibt es für Reisebüros eine zweite Art von Sicherheitsvorfällen: Mit einer gefälschten Kundenanfrage oder einem gestohlenen GDS-Login können Betrüger erreichen, dass das Reisebüro Tickets über das eigene Konto ausstellt.
Die Airlines Reporting Corporation berichtete 2026 von mehr Aktivitäten im Zusammenhang mit unbefugtem GDS-Zugriff. ARC beschrieb zwei Wege in ein Reisebüro: Entweder gibt sich ein Betrüger als legitimes Reisebüro aus, um GDS-Zugang zu erhalten, oder eine Phishing-Nachricht fängt die Zugangsdaten eines Mitarbeiters ab. Sobald der Zugang besteht, kann der Betrüger über das Konto des Reisebüros ohne Berechtigung Tickets ausstellen.
ARC meldete außerdem gefälschte Sabre-Agency-Workspace- und Schulungsseiten, die Zugangsdaten von Mitarbeitern stehlen sollen. Die Seiten sahen aus wie vertrauenswürdige Reiseportale, die Links führten jedoch zu täuschend ähnlichen Domains. Über eine gefälschte GDS-Seite kann ein Angreifer an gültige Zugangsdaten gelangen, ohne dass der GDS-Anbieter selbst gehackt wurde.
Gefälschte Buchungsanfragen: Zeitdruck überdeckt mangelnde Prüfung
ARC hat Reisebüros vor gefälschten Anfragen für Firmen- und Gruppenreisen gewarnt. Typische Merkmale sind sofortige Abreise, medizinische Notfälle, unvollständige Zahlungsangaben, ungewöhnliche Strecken und die Bitte, übliche Prüfungen zu umgehen.
Halten Sie inne, wenn ein neuer Kunde viele Tickets verlangt, bevor Sie Unternehmen, Reisende, Reiseverlauf und Zahlung prüfen konnten.
Gefälschte GDS-Seiten: Ein vertrautes Logo kann eine Login-Seite von Betrügern tarnen
Phishing-Nachrichten behaupten etwa, ein GDS-Konto sei abgelaufen, eine Reservierung müsse bestätigt werden oder ein Workspace verlange dringend eine erneute Anmeldung. Der Link kann zu einem gefälschten Sabre- oder Reisebüro-Portal führen.
Nutzen Sie: ein vertrauenswürdiges Lesezeichen oder die manuell eingegebene Adresse des Anbieters. Melden Sie sich nicht über einen unerwarteten Link in einer E-Mail an.
Zugriff durch Dritte: Das eigene System muss nicht der Einstiegspunkt sein
ARC berichtete von einem Fall, in dem nach dem Hack einer Drittfiliale unbefugt Tickets ausgestellt wurden, obwohl das Ticketing-System des Reisebüros selbst nicht direkt kompromittiert war.
Prüfen Sie: die Zugriffe von Filialen, Auftragnehmern, selbstständigen Beratern, Anbietern und ehemaligen Mitarbeitern. Entziehen Sie diese, sobald die Zusammenarbeit oder die Rolle endet.
Bevor Ihr Team ein Ticket ausstellt, sollte es zwei Fragen beantworten: „Stammt diese Anfrage von einem echten Kunden?“ und „Führt dieser Login zum echten GDS?“ Verankern Sie beide Prüfungen im Arbeitsablauf, bevor jemand ein Ticket ausstellt.
01
Erfassen Sie die Daten, mit denen Ihr Reisebüro arbeitet
Informationen, die Sie nicht finden, können Sie nicht schützen. Beginnen Sie mit einer einfachen Datenübersicht. Verfolgen Sie eine Buchung von der ersten Anfrage bis zum Support nach der Reise und halten Sie fest, welche Systeme, Personen und Leistungsträger damit in Berührung kommen.
Fragen
Stellen Sie diese Fragen zu jeder Datenart
- Welche Informationen erheben wir?
- Wofür brauchen wir sie?
- Wo speichern wir sie?
- Wer kann sie ansehen, ändern, herunterladen oder weitergeben?
- Welche Leistungsträger oder Plattformen erhalten sie?
- Wann sollten wir sie löschen?
Systeme
Beziehen Sie die Systeme ein, die Ihr Team täglich nutzt
- E-Mail, CRM und GDS
- Mid-Office-Plattform und Buchhaltungssoftware
- Zahlungsdienstleister, gemeinsame Laufwerke und Tabellen
- Reiseplanungssoftware, Apps und Portale der Leistungsträger
Ordnen Sie die Informationen anschließend nach Risiko. Öffentliche Zielinformationen brauchen einen anderen Schutz als Passdaten, Zahlungsinformationen oder der Notfallkontakt eines Geschäftsreisenden. Je sensibler die Daten, desto weniger Zugriffspunkte sollten sie haben.
Prüfen Sie, was Ihr Team aufbewahrt. Alte Passkopien, doppelte Tabellen, heruntergeladene Buchungsdateien und E-Mail-Anhänge erhöhen das Risiko. Legen Sie für jede Kategorie eine Aufbewahrungsfrist fest und löschen Sie Informationen, sobald Sie sie nicht mehr benötigen. Beachten Sie dabei die gesetzlichen und vertraglichen Vorgaben, die für Ihren Markt gelten.
02
Konten und Zugriffe absichern
Kompromittierte Konten verschaffen Angreifern direkten Zugang zu Buchungsdaten, E-Mail-Verläufen, Zahlungsabläufen und Kundenakten. Schützen Sie jedes Konto mit Maßnahmen, die Ihr Team einheitlich umsetzen kann.
Multi-Faktor-Authentifizierung verpflichtend einführen
Aktivieren Sie die Multi-Faktor-Authentifizierung für E-Mail, CRM, Cloud-Speicher, Buchungssysteme, Zahlungstools, Administratorkonten und jede weitere Plattform, die sie unterstützt. Ein gestohlenes Passwort sollte nicht der einzige Schlüssel zu einem Geschäftssystem sein.
Nutzen Sie phishing-resistente Authentifizierung, wenn ein Anbieter sie bereitstellt. Gibt es diese Option nicht, verwenden Sie eine Authenticator-App oder einen Sicherheitsschlüssel, statt sich allein auf SMS zu verlassen.
Jeder Person ein eigenes Konto geben
Teilen Sie keine Zugangsdaten eines allgemeinen Büro-Kontos. Mit individuellen Konten sehen Sie, wer auf einen Datensatz zugegriffen hat, können Berechtigungen bei einem Rollenwechsel anpassen und den Zugriff entziehen, wenn Mitarbeitende oder externe Dienstleister ausscheiden.
Geben Sie jeder Person genau den Zugriff, den sie für ihre Aufgaben braucht. Eine Vertriebskoordination muss möglicherweise Angaben zu Reisenden einsehen, während ein Administrator Einstellungen verwalten muss.
Einen Passwortmanager nutzen
Ein Passwortmanager hilft Ihrem Team, eindeutige Passwörter zu erstellen und Zugänge über kontrollierte Tresore zu teilen, statt per E-Mail oder Tabelle. Verwenden Sie dasselbe Passwort niemals für Ihr E-Mail-Konto und für die Plattform eines Leistungsträgers oder ein Buchungssystem.
Überprüfen Sie Zugriffe mindestens zweimal im Jahr und nach jedem Rollenwechsel. Entfernen Sie ehemalige Mitarbeitende, frühere externe Dienstleister, ungenutzte Integrationen und Konten, die keinen aktiven Prozess mehr unterstützen.
GDS
GDS- und Ticketing-Zugänge schützen
- Aktivieren Sie die Multi-Faktor-Authentifizierung überall dort, wo das GDS oder der angebundene Dienst sie unterstützt.
- Prüfen Sie neue Firmenkunden über Kontaktdaten, die Sie selbst recherchiert haben, und nicht nur über die E-Mail-Anfrage.
- Kontrollieren Sie die Ticketing-Aktivität regelmäßig, besonders bei kurzfristigen Abreisen, ungewöhnlichen Strecken, One-Way-Buchungen, neuen Reisendenprofilen und plötzlich steigendem Volumen.
- Entziehen Sie den Zugriff, sobald Mitarbeitende, externe Dienstleister, eine Filiale oder ein Anbieter die Zusammenarbeit beenden.
- Gibt jemand Zugangsdaten auf einer verdächtigen Seite ein, setzen Sie das Passwort zurück, registrieren Sie MFA neu, prüfen Sie das Gerät auf Schadsoftware und kontaktieren Sie umgehend das GDS und ARC.
03
Team auf reale Angriffe vorbereiten
Die meisten Reisebüros erhalten Nachrichten, die vertraut wirken: eine Rechnung eines Leistungsträgers, eine Anfrage zur Flugänderung, ein Zahlungslink eines Hotels oder eine dringende Nachricht aus der Geschäftsführung. Angreifer nutzen solche vertrauten Situationen, um Druck aufzubauen.
Innehalten
Schulen Sie Ihr Team, innezuhalten, wenn eine Nachricht Folgendes verlangt:
- Ein Passwort, einen Einmalcode oder Zahlungsdaten
- Eine Änderung der Bankverbindung eines Leistungsträgers
- Eine dringende Überweisung oder Rückerstattung
- Eine Passkopie oder eine Kundenliste
- Einen Link zur Anmeldung bei einem Buchungs- oder Zahlungssystem
Prüfen Sie sensible Anfragen über einen bekannten Kanal. Rufen Sie den Leistungsträger unter einer Telefonnummer an, die bereits in Ihren Unterlagen steht, nicht unter der Nummer aus der Nachricht. Melden Sie verdächtige Nachrichten schnell, damit Ihr Team andere Kolleginnen und Kollegen warnen kann.
Die CISA empfiehlt kleinen und mittleren Unternehmen, Sensibilisierung für Phishing, starke Passwörter, Multi-Faktor-Authentifizierung und Software-Updates zu einem festen Teil ihrer grundlegenden Sicherheitspraxis zu machen. Diese Maßnahmen bieten einem Reisebüro einen nützlichen Einstieg, ohne dass ein großes technisches Team nötig ist.
04
Geräte und Unternehmenssoftware absichern
Ihr Team kann von Laptops, Smartphones, Tablets und aus Heimnetzwerken auf Reisedaten zugreifen. Legen Sie einen Mindeststandard für jedes Gerät fest, das sich mit Unternehmenssystemen verbindet.
Standard
Ein Mindeststandard für jedes Gerät
- Installieren Sie Updates für Betriebssystem und Anwendungen zeitnah.
- Aktivieren Sie die vollständige Festplattenverschlüsselung auf Laptops und Mobilgeräten.
- Nutzen Sie die automatische Bildschirmsperre nach kurzer Inaktivität.
- Halten Sie den Schutz vor Schadsoftware aktiv und beschränken Sie Administratorrechte.
- Trennen Sie geschäftliche und private Konten, wo immer möglich.
- Laden Sie keine Kundendateien auf nicht verwaltete private Geräte herunter.
- Entziehen Sie verlorenen Geräten den Zugriff und löschen Sie deren Daten aus der Ferne, sofern die Technik das zulässt.
Prüfen Sie jede Integration, die mit Ihren zentralen Systemen verbunden ist. Ein alter Konnektor oder eine ungenutzte Automatisierung kann den Zugriff noch lange nach Projektende behalten. Führen Sie eine Liste Ihrer Integrationen mit Zweck, Verantwortlichen und den Daten, die sie lesen oder senden können.
05
Zahlungsdaten sorgfältig behandeln
Zahlungsdaten brauchen einen eigenen Prozess. Geben Sie vollständige Kartennummern oder Sicherheitscodes nicht in E-Mails, Chats, Tabellen, Reiseplänen, Screenshots oder gemeinsamen Ordnern weiter.
Anbieter
Gehostete Zahlungsformulare oder Tokenisierung nutzen
Wenn ein Anbieter die Kartendaten speichert, klären Sie, was Ihr Reisebüro weiterhin tun muss und welche PCI-DSS-Pflichten gelten. Der PCI Security Standards Council erklärt, dass PCI DSS für Stellen gilt, die Zahlungskontodaten speichern, verarbeiten oder übertragen, sowie für Systeme, die deren Sicherheit beeinträchtigen können.
Regel für Mitarbeitende
Mitarbeitenden eine klare Regel für Zahlungsanfragen geben
Kundinnen und Kunden sollten wissen, welche Zahlungsseite sie nutzen, und Ihr Team sollte eine echte Zahlungsnachricht erkennen können. Halten Sie Kartendaten aus dem Prozess der Reiseplanung heraus, sofern der Ablauf es erlaubt.
06
Sicherheit Ihrer Technologiepartner prüfen
Ein Reisebüro kann intern gute Praktiken pflegen und trotzdem Risiken von einem Dienstleister übernehmen. Prüfen Sie die Systeme, die Reisendendaten, Zahlungsdaten, Dokumente und Standortdaten verarbeiten.
Fragen Sie jeden wichtigen Technologieanbieter:
| Frage | Was Sie verstehen möchten |
|---|---|
| Wie verschlüsseln Sie Daten? | Schutz bei der Übertragung und während der Speicherung beim Anbieter |
| Wie melden sich Nutzende an? | MFA, SSO, Passwortregeln und Schutzmechanismen bei Kontosperrung |
| Wie beschränken Sie den Zugriff Ihrer Mitarbeitenden? | Rollen, Least Privilege, Zugriffsprüfungen und Administratorkontrollen |
| Wie stellen Sie nach einem Vorfall den Betrieb wieder her? | Häufigkeit der Backups, Wiederherstellungspunkte, Tests der Wiederherstellung und Business Continuity |
| Wie testen Sie den Service? | Unabhängige Tests, Schwachstellenmanagement und sichere Release-Prozesse |
| Wo hosten und verarbeiten Sie Daten? | Regionen, Unterauftragsverarbeiter, grenzüberschreitende Übermittlungen und vertragliche Schutzmaßnahmen |
| Was geschieht bei Vertragsende? | Datenexport, Löschung, Aufbewahrung und Bestätigung der Löschung |
| Wie informieren Sie Ihre Kunden? | Ansprechpersonen bei Vorfällen, Reaktionsprozess und Zusagen zur Benachrichtigung |
Fordern Sie die Sicherheitsdokumentation, die Datenschutzbedingungen, den Auftragsverarbeitungsvertrag und die Liste der Unterauftragsverarbeiter des Anbieters an. Betrachten Sie Zertifizierungen als einen Teil Ihrer Prüfung. Sie müssen weiterhin verstehen, wie der Anbieter genau den Service betreibt, den Ihr Reisebüro nutzen wird.
07
Daten sichern und die Wiederherstellung testen
Backups helfen Ihnen, sich von Ransomware, versehentlichem Löschen, Systemausfällen und anderen Vorfällen zu erholen. Sie nützen aber nur dann, wenn sie alle Informationen abdecken, die Ihr Team braucht, und wenn Sie diese tatsächlich wiederherstellen können.
Kritische Systeme festlegen
In einem Reisebüro gehören dazu unter Umständen Buchungsdaten, aktuelle Reisepläne, Kontaktdaten der Reisenden, Bestätigungen von Leistungsträgern, Finanzunterlagen und der Verlauf der Kundenbetreuung.
Wiederherstellungsziel definieren
Legen Sie fest, wie viele aktuelle Daten Sie höchstens verlieren dürfen und wie schnell Ihr Team den Betrieb wieder aufnehmen muss. Schützen Sie Backups vor den alltäglich genutzten Benutzerkonten und stellen Sie sicher, dass ein Angreifer nicht mit einem einzigen kompromittierten Login alle Kopien löschen kann.
Jedes Jahr eine Wiederherstellung testen
Testen Sie mindestens einmal im Jahr eine Wiederherstellung. Lassen Sie jemanden die wiederhergestellten Dateien öffnen und bestätigen, dass Ihr Team sie bei einer echten Störung nutzen könnte. Halten Sie das Ergebnis fest und schließen Sie Lücken, solange die Übung noch frisch in Erinnerung ist.
08
Notfallplan für Sicherheitsvorfälle erstellen
Ein Notfallplan schafft Klarheit, wenn Ihrem Team nur wenige Informationen und wenig Zeit zur Verfügung stehen. Halten Sie die erste Fassung so kurz, dass jeder sie anwenden kann. Halten Sie schriftlich fest:
Plan
Was Ihr Notfallplan abdecken sollte
- Wer die Reaktion leitet und wer dringende Entscheidungen treffen darf.
- Wie Mitarbeitende eine verdächtige E-Mail, ein verlorenes Gerät oder ein kompromittiertes Konto melden.
- Welche Technologieanbieter, Versicherer, Rechtsberater und Behörden Sie kontaktieren.
- Wie Sie ein Gerät oder Konto isolieren, ohne Beweise zu vernichten.
- Wie Sie Reisende weiter betreuen, wenn Buchungs- oder Kommunikationssysteme ausfallen.
- Wie Sie betroffene Daten bewerten und nach den geltenden Vorschriften mit Kunden kommunizieren.
- Wie Sie Systeme wiederherstellen und nach dem Vorfall die Ursache auswerten.
Führen Sie einmal im Jahr eine kurze Übung durch. Geben Sie dem Team ein realistisches Szenario vor, etwa ein kompromittiertes Postfach mit Passkopien oder einen Ransomware-Angriff, der den Zugriff auf aktuelle Reisepläne blockiert. Prüfen Sie, ob alle wissen, wen sie anrufen müssen, wo das Backup liegt und wie sie Reisende unterstützen, während die Systeme wiederhergestellt werden.
Welche Meldepflichten gelten, hängt von den beteiligten Ländern, Datenarten, Verträgen und Personen ab. Lassen Sie sich von qualifizierten Rechtsberatern bestätigen, welche Regeln für Ihr Unternehmen gelten. Ihr Notfallplan sollte ihnen die benötigten Informationen schnell zur Verfügung stellen.
09
Sicherheitsroutine aufbauen
Sicherheit verbessert sich, wenn Ihr Team sie als festen Teil des Arbeitsalltags versteht. Ergänzen Sie Ihre bestehenden Management-Abläufe um einige wenige Kontrollen.
| Zeitpunkt | Prüfung |
|---|---|
| Täglich | Verdächtige Nachrichten melden, Zahlungsprozesse einhalten und dringende Sicherheitsupdates installieren |
| Monatlich | Warnmeldungen, neue Benutzer, ehemalige Benutzer, Integrationen und ungewöhnliche Zugriffe prüfen |
| Vierteljährlich | Veraltete Exporte löschen, wichtige Leistungsträger überprüfen und die Hinweise für Mitarbeitende aktualisieren |
| Zweimal im Jahr | Benutzerberechtigungen und Administratorkonten überprüfen |
| Jährlich | Backups testen, den Notfallplan üben und die Datenübersicht überprüfen |
Halten Sie für jede Kontrolle fest, wer sie durchgeführt hat und wann. Mit einem einfachen Register kann Ihr Team klar nachweisen, was es geprüft und was es geändert hat.
mTrip
So geht mTrip beim Thema Datensicherheit vor
Wenn Sie eine Plattform für Reisepläne oder eine App unter Ihrer Marke prüfen, bitten Sie den Anbieter, seine Sicherheitsmaßnahmen auf dieselbe praxisnahe Weise zu erläutern. mTrip veröffentlicht seine Sicherheitspraktiken für Reisebüros, Reiseveranstalter und TMCs.
Gehostet bei Amazon Web Services
Die Plattform läuft auf Amazon Web Services. Kunden aus Europa werden in Frankfurt (Deutschland) gehostet, hochgeladene Dateien liegen in London (Vereinigtes Königreich). Alle übrigen Kunden werden in North Virginia (USA) gehostet.
Verschlüsselt bei der Übertragung und im Ruhezustand
Laut mTrip nutzen der Datenverkehr der Plattform und der API TLS 1.2 oder höher. Datenbanken, Dateispeicher und Backups werden im Ruhezustand mit AES-256 verschlüsselt. Zusätzlich verschlüsselt die Anwendung sensible Felder zu Reisenden wie E-Mail-Adressen, Telefonnummern, Geburtsdaten und Buchungsreferenzen.
Tägliche Backups, jährlich getestet
Die Plattform nutzt tägliche, verschlüsselte Backups mit einer Point-in-Time-Wiederherstellung über sieben Tage. mTrip kopiert die Backups in eine zweite AWS-Region, schützt sie vor Löschung und testet mindestens einmal im Jahr eine Wiederherstellung.
Kontrollierter Zugriff und unabhängige Tests
mTrip beschreibt kontrollierten Zugriff, Multi-Faktor-Authentifizierung, Protokollierung administrativer Aktionen, kontinuierliche Bedrohungserkennung sowie unabhängige Tests der Plattform und der mobilen Apps mindestens einmal im Jahr.
Kunden können Sicherheitsdokumente über das mTrip Trust Center anfordern. Gleichen Sie die aktuellen Angaben mit Ihren eigenen Anforderungen ab, bevor Sie sich für einen Technologieanbieter entscheiden.
Sicherheitsprüfung
Diese Fragen sollten Sie jedem Anbieter von Reisetechnologie stellen
Fragen Sie, wo die Daten gehostet werden, wie der Zugriff kontrolliert wird, wie Backups getestet werden, wie Sicherheitsvorfälle gemeldet werden und was bei Vertragsende mit Ihren Daten geschieht.
Hier starten
Beginnen Sie mit den Maßnahmen, die das Risiko am stärksten senken
Mit einem kurzen ersten Projekt kommen Sie bereits spürbar voran:
Aktionsplan
Sechs Maßnahmen für ein erstes Projekt
- Erfassen Sie die Daten in Ihrem Buchungs- und Reiseplan-Workflow.
- Aktivieren Sie die Multi-Faktor-Authentifizierung für jedes wichtige Konto.
- Entfernen Sie alte Nutzer, gemeinsam genutzte Zugangsdaten und ungenutzte Integrationen.
- Halten Sie vollständige Zahlungskartendaten aus E-Mails, Dokumenten und Tabellen heraus.
- Prüfen Sie Ihre Backups, indem Sie eine Wiederherstellung testen.
- Erstellen Sie einen Notfallplan für Sicherheitsvorfälle und üben Sie ihn mit Ihrem Team.
Datensicherheit schützt das Reiseerlebnis, das Ihr Reisebüro mit viel Einsatz gestaltet. Außerdem gibt sie Ihrem Team mehr Sicherheit bei der Verwaltung von Buchungen und Reiseunterlagen sowie bei der Unterstützung im Störungsfall, wenn die Zahl der Reisen wächst.
Weitere Hinweise finden Sie in den Best Practices von mTrip für Reiseunterlagen und in der Checkliste für Fürsorgepflicht-Software.
Die Reisebranche im Überblick
Was andere Reiseunternehmen aus Angriffen gelernt haben
Diese Beispiele betreffen größere Reiseunternehmen. Die zugrunde liegenden Probleme können jedoch auch im Arbeitsalltag eines Reisebüros oder Reiseveranstalters auftreten: veraltete Systeme, gestohlene Zugangsdaten, Zahlungsdaten, Zugriffe von Leistungsträgern und schwache Wiederherstellungspläne.
Hotelgruppe
Marriott und die Starwood-Reservierungsdatenbank
Marriott gab im November 2018 bekannt, dass sich eine unbefugte Partei seit 2014 Zugang zum Starwood-Netzwerk verschafft hatte. Die Datenbank enthielt Informationen zu bis zu rund 500 Millionen Gästen. Bei etwa 327 Millionen Gästen umfassten die Daten verschiedene Kombinationen aus Namen, Adressen, Telefonnummern, E-Mail-Adressen, Passnummern, Angaben zum Treuekonto, Geburtsdaten sowie An- und Abreisedaten.
Relevante Erkenntnis: Prüfen Sie übernommene Systeme, alte Integrationen und zugekaufte Datenbanken. Pflegen Sie eine aktuelle Datenübersicht, löschen Sie nicht mehr benötigte Daten und überwachen Sie den Zugriff auf Reservierungsdatenbanken.
Fluggesellschaft
British Airways und Zahlungsdaten auf der Website
British Airways meldete 2018 einen Vorfall, bei dem Kundendaten betroffen waren, die über die Website übermittelt wurden. Die britische Datenschutzbehörde ICO hielt später fest, dass die Daten von rund 429.000 Personen betroffen waren, darunter Login-Daten, Zahlungskarten-, Buchungs-, Namens- und Adressinformationen.
Relevante Erkenntnis: Schützen Sie öffentliche Buchungsformulare, Administratorkonten, Zahlungsabläufe und angebundene Dienste. Halten Sie Zahlungsdaten aus Systemen fern, die sie nicht speichern müssen, und überwachen Sie ungewöhnliche Aktivitäten.
Fluggesellschaft
easyJet und eine große Kundendatenbank
easyJet machte 2020 eine Datenpanne öffentlich, von der rund 9 Millionen Kundinnen und Kunden betroffen waren. Zudem waren die Kartendaten von 2.208 Kunden betroffen. Das Ausmaß zeigt, wie schnell ein einziges kompromittiertes System zu einem Problem für Kundenkommunikation, Recht und Support werden kann.
Relevante Erkenntnis: Wissen Sie, welche Datenkategorien Sie speichern, wer Zugriff benötigt und wie Sie betroffene Kunden erreichen. Ihr Notfallplan sollte neben der technischen Wiederherstellung auch den Kundensupport abdecken.
TMC
CWT und der Ransomware-Ausfall
2020 wurde die TMC CWT Opfer eines Ransomware-Angriffs. Laut Reuters gaben die Angreifer an, 30.000 Dateien kopiert zu haben, und CWT zahlte im Zuge der Reaktion ein Lösegeld. Der Vorfall zeigt, wie schnell ein Systemausfall ein Unternehmen treffen kann, dessen Teams laufende Reisen und die Betreuung der Reisenden verantworten.
Relevante Erkenntnis: Backups und Wiederherstellungsverfahren verdienen dieselbe Aufmerksamkeit wie die Prävention. Testen Sie, ob Ihr Team auf wichtige Reiseinformationen zugreifen und Reisende unterstützen kann, wenn Ihre Hauptsysteme offline sind.
Ihren Umgang mit Reisedaten gemeinsam mit mTrip prüfen
Besprechen Sie mit dem mTrip-Team Reiseplandaten, Reiseunterlagen, White-Label-Apps unter Ihrer Marke und Ihre Sicherheitsanforderungen. Lesen Sie zuerst die mTrip-Sicherheitsseite, wenn Sie eine Anbieterprüfung beginnen.
Weiterführende Informationen
Quellen und weiterführende Informationen
- NIST Cybersecurity Framework 2.0
- CISA: Secure Your Business
- PCI Security Standards Council: Merchant Resources
- Marriott: Sicherheitsvorfall bei der Starwood-Gästereservierungsdatenbank
- UK Information Commissioner’s Office: Durchsetzungseintrag zu British Airways
- UK Information Commissioner’s Office: Durchsetzungseintrag zu easyJet
- Reuters: CWT zahlte 4,5 Millionen US-Dollar Lösegeld an Ransomware-Bande
- ARC: Betrugswarnungen und Betrugsmaschen gegen Reisebüros
- ARC: Reasonable Care and Cyber Security Guide
- ARC: Verpflichtende Sicherheitsschulung für Agenten