Cybersicherheit im kleinen Hotel: zwölf Basismaßnahmen als Checkliste

Wo kleine Hotels angreifbar sind

Ein Hotel öffnet täglich Türen für fremde Daten: Buchungsnachrichten der Portale, Ausweisangaben beim Check-in, Kartendaten bei Anzahlungen, Rechnungen als Anhang. Jeder dieser Wege endet an einem Gerät oder Konto, das ein Mensch bedient. Ein lohnendes Ziel für Betrüger ist der Zugang zum Extranet eines Buchungsportals: Wer ihn per Phishing-Mail abgreift, kann Gästen über das Portalpostfach gefälschte Zahlungsaufforderungen schicken. Darum setzen die Basismaßnahmen bei Zugängen, Geräten und Gewohnheiten an und nicht bei teurer Technik.

Die Liste unten folgt den Basismaßnahmen, die die Wirtschaftskammern Österreichs gemeinsam mit einer Expertengruppe der Cybersicherheit-Plattform veröffentlicht haben (Seitenstand: 8. Oktober 2026), ergänzt um die Top-10-Maßnahmen des BSI gegen Ransomware. Die Zusammenfassung zu zwölf Punkten und die Hotelbeispiele stammen von uns. Beide Quellen sind unverbindliche Empfehlungen.

Die zwölf Basismaßnahmen im Überblick

Die Reihenfolge entspricht dem Aufwand: Die ersten Punkte erledigt die Inhaberin an einem Nachmittag, die letzten brauchen eine feste Gewohnheit im Team. Hake nur ab, was du tatsächlich geprüft hast, nicht was du vermutlich eingestellt hast.

Zugänge und Passwörter: die ersten vier Punkte

Ein eigener Zugang je Person macht nachvollziehbar, wer etwas getan hat, und erlaubt es, einer ausgeschiedenen Kollegin den Zugang am letzten Tag zu entziehen. Ein Sammelpasswort lässt sich weder zuordnen noch sauber ändern, weil dann alle gleichzeitig neu lernen müssen.

Der zweite Faktor kommt zuerst dorthin, wo ein Angreifer am meisten erreicht. Das ist das E-Mail-Postfach, über das Portale und Dienste Passwörter zurücksetzen, danach das Buchungsportal und das Online-Banking. Die WKO nennt außerdem, Zugriffe auf Dateien und Programme auf das erforderliche Maß zu beschränken. Gemeint sind Rollen: Die Aushilfe im Frühstücksdienst braucht keinen Zugriff auf Rechnungen.

Geräte, Updates und Netz: Punkt fünf bis acht

Updates schließen bekannte Sicherheitslücken, und Angreifer nutzen genau diese Lücken. Das BSI stellt Patches und Updates an die erste Stelle seiner Ransomware-Maßnahmen. Schalte automatische Updates ein und prüfe die Geräte, die man leicht vergisst: den WLAN-Router, den Drucker, das Tablet im Frühstücksraum.

Gäste und Rezeption sollen nicht im selben Netz sitzen. Das BSI empfiehlt, Netze zu unterteilen, damit sich Schadsoftware nur begrenzt ausbreiten kann. Prüfe in der Anleitung deines Routers, ob er ein eigenes Gastnetz anbietet. Das Geräteverzeichnis aus Punkt acht ist eine einfache Tabelle mit Gerät, Standort, Zuständigem und Datum des letzten Updates.

Backups, die im Ernstfall funktionieren

Ein Backup ist eine Kopie wichtiger Daten, mit der du nach einem Ausfall oder Angriff weiterarbeiten kannst. Das BSI fordert für den Ransomware-Fall ein Offline-Backup: Die Kopie wird nach dem Sichern vom übrigen Netz getrennt, damit Angreifer sie nicht mit verschlüsseln können.

Die WKO verlangt zusätzlich, dass Backups kontrolliert werden. Probiere deshalb einmal aus, eine einzelne Datei und einen ganzen Ordner zurückzuspielen. Die Quellen nennen kein festes Intervall; als Orientierung bietet sich der Termin vor der Hauptsaison an. Sicher, was du nicht neu erzeugen kannst: Rechnungsdaten, Gästekorrespondenz, Preislisten, Vorlagen und Fotos der Website.

Arbeite mit einer Hotelsoftware im Browser, sichert deren Betreiber die Programmdaten. Welche Daten das umfasst und wie lange, kläre im Vertrag. Was auf deinen eigenen Geräten liegt, etwa Tabellen, Scans und das E-Mail-Archiv, bleibt deine Aufgabe.

Team, Hausregeln und Notfallplan

Die letzten beiden Punkte entscheiden darüber, ob die Technik im Alltag hilft. Eine Hausregel passt auf eine Karteikarte: Wir geben nie einen Bestätigungscode weiter, wir fragen nie per Nachricht nach Kartendaten, wir öffnen keine Anhänge von Unbekannten. Wie Betrüger über Buchungsportale vorgehen, erklärt der Ratgeber Phishing über Buchungsportale.

Der Notfallplan gehört auf Papier, weil der Rezeptions-PC im Notfall genau das Gerät ist, das nicht mehr startet. Nenne darauf, wer entscheidet, wen man anruft und was in der ersten Stunde passiert. Das Beispiel zeigt, wie knapp so ein Blatt sein darf.

Wann eine Datenpanne gemeldet werden muss

Eine Datenpanne ist eine Verletzung des Schutzes personenbezogener Daten, etwa wenn Fremde Gästedaten einsehen, verändern oder verschlüsseln. In der EU gilt dafür Artikel 33 der Datenschutz-Grundverordnung: Der Verantwortliche meldet die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, an die zuständige Aufsichtsbehörde. Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt.

Jede Verletzung ist zu dokumentieren, auch wenn du nicht meldest. Notiere, was passiert ist, welche Folgen es hat und was du dagegen getan hast. In Österreich bietet die Datenschutzbehörde auf ihrer Website ein Formular für die Meldung an. In Deutschland gilt Art. 33 DSGVO ebenso; prüfe, welche Datenschutzaufsichtsbehörde für deinen Betrieb zuständig ist und welchen Meldeweg sie vorsieht. Die Schweiz hat ein eigenes Datenschutzgesetz, das dieser Ratgeber nicht behandelt.

Dieser Abschnitt gibt einen Überblick (Stand: Oktober 2026) und ersetzt keine Rechts- oder Steuerberatung. Verbindlich sind die Vorgaben der zuständigen Aufsichtsbehörde deines Landes.