In der Hochsaison wächst nicht nur das Gästeaufkommen, sondern auch die digitale Angriffsfläche. Saisonkräfte, Buchungsplattformen, Gäste-WLAN, Cloud-Dienste und externe Partner machen Identitäten zum zentralen Sicherheitsfaktor.

Ein voll ausgelastetes Hotel ist wirtschaftlich ein Erfolg – aus Sicht der IT-Sicherheit bedeutet Hochsaison jedoch auch Hochbetrieb in den digitalen Systemen. Mehr Buchungen, mehr Zahlungsvorgänge, mehr Geräte im Netzwerk und mehr Menschen, die auf operative Anwendungen zugreifen müssen. Neben der Stammbelegschaft arbeiten Saison- und Aushilfskräfte, externe Dienstleister und zahlreiche Partner mit Property-Management-Systemen, Reservierungsplattformen, Zahlungsdiensten, Gäste-Apps oder WLAN-Infrastrukturen. Die Zahl der digitalen Identitäten und Zugriffe steigt – und damit auch die Möglichkeiten für Angreifer, sich zwischen legitimen Nutzern zu verstecken.

WatchGuard Technologies warnt deshalb insbesondere vor identitätsbasierten Angriffen auf die Hotellerie. Das Problem liegt weniger in einer einzelnen neuen Angriffstechnik als in der Kombination aus komplexen IT-Strukturen, hoher Personalfluktuation und alltäglichem Zeitdruck. Hinzu kommen weiterhin problematische Sicherheitsgewohnheiten. Für den „2026 Employee Cybersecurity Hygiene Report“ befragte WatchGuard 684 Beschäftigte weltweit. 76 Prozent gaben an, Passwörter für mehrere Konten wiederzuverwenden. 70 Prozent nutzen öffentliches WLAN für berufliche Aufgaben. 23 Prozent erklärten, bislang überhaupt keine Phishing-Schulung erhalten zu haben; insgesamt werden 71 Prozent der Befragten höchstens einmal jährlich oder gar nicht entsprechend geschult.

Für Hotels treffen solche Verhaltensmuster auf eine besonders heterogene Infrastruktur. Property-Management-Systeme, Reservierungs- und Revenue-Plattformen, POS-Systeme, Treueprogramme, Gästeportale und Cloud-Dienste sind häufig eng miteinander verzahnt. Gleichzeitig benötigen sehr unterschiedliche Nutzergruppen Zugriff – vom Empfang über Reinigung und Gastronomie bis hin zu externen Technik-, IT- oder Payment-Dienstleistern. In der Hochsaison kommen häufig Beschäftigte hinzu, die nur wenige Wochen oder Monate im Unternehmen bleiben. Jede zusätzliche Identität bedeutet deshalb auch eine zusätzliche Berechtigung, die eingerichtet, überwacht und anschließend zuverlässig wieder entzogen werden muss.

Angriffe tarnen sich als Hotelalltag

Wie gezielt Cyberkriminelle diese Strukturen ausnutzen, zeigen aktuelle Angriffskampagnen. Microsoft Threat Intelligence beobachtete bereits eine internationale Phishing-Welle, bei der sich Angreifer als Booking.com ausgaben und gezielt Beschäftigte der Hospitality-Branche ansprachen. Die Köder waren bewusst an typische Arbeitsabläufe angepasst: vermeintlich negative Gästebewertungen, Reservierungsanfragen, Werbeangebote oder Aufforderungen, ein Booking.com-Konto zu überprüfen.

Nach einem Klick wurden Opfer auf täuschend echt gestaltete Seiten geleitet. Teilweise kam dabei die Social-Engineering-Technik „ClickFix“ zum Einsatz. Nutzer sollten vermeintlich eine Sicherheitsprüfung durchführen, führten tatsächlich jedoch Befehle auf ihrem eigenen Rechner aus. Microsoft beobachtete anschließend unter anderem Malware-Familien wie XWorm, Lumma Stealer, VenomRAT, AsyncRAT und Danabot, die Zugangsdaten, Finanzinformationen und weitere sensible Informationen auslesen können.

Im Frühjahr 2026 folgte eine weitere Kampagne, die noch deutlicher zeigt, wie präzise sich Angriffe inzwischen an den Arbeitsalltag von Hotels anpassen lassen. Seit April beobachtete Microsoft Attacken gegen Hospitality-Unternehmen in Europa und Asien. Die Angreifer verschickten unter anderem vermeintliche Gästebeschwerden und Zimmeranfragen. Ende Mai missbrauchten sie dabei legitime Dienste wie Calendly und Googles URL-Weiterleitung, um Nachrichten für Nutzer und technische Schutzsysteme vertrauenswürdiger erscheinen zu lassen.

Als Köder dienten ZIP-Dateien mit angeblichen Fotos. Darin befanden sich jedoch als Bilddateien getarnte Windows-Verknüpfungen. Nach deren Ausführung startete eine mehrstufige Infektionskette mit verschleiertem PowerShell-Code und einem Node.js-basierten Implantat, das sich dauerhaft im System verankern konnte.

Die wichtigste Gemeinsamkeit dieser Kampagnen liegt nicht in der jeweils eingesetzten Schadsoftware. Angegriffen wird der Arbeitsprozess selbst. Mitarbeiter an Rezeption und Reservierung müssen täglich Links öffnen, Anhänge prüfen, auf Beschwerden reagieren und kurzfristige Buchungsfragen bearbeiten. Die Täter müssen diesen Arbeitsablauf nicht umgehen – sie machen ihn zum Teil ihres Angriffs.

Wenn das Gäste-WLAN zum Sprungbrett wird

Noch weiter reicht die von Microsoft Ende Juli 2026 veröffentlichte Kampagne „CaptiveCrunch“. Hier stand nicht primär das Hotelpersonal im Mittelpunkt. Stattdessen wurde die WLAN-Infrastruktur von Hotels und Veranstaltungsorten genutzt, um deren Gäste anzugreifen.

Seit Anfang Mai beobachtet Microsoft Manipulationen sogenannter Captive Portals – also jener Anmeldeseiten, über die Gäste Zugang zu Hotel- oder Konferenz-WLAN erhalten. Nach Angaben des Unternehmens konnten Angreifer DNS- und HTTP-Verkehr innerhalb kompromittierter Umgebungen verändern und Nutzer über eigene Infrastruktur umleiten. Dabei kamen unter anderem gefälschte Microsoft-Seiten, Adversary-in-the-Middle-Techniken und falsche Browser- oder Systemupdates zum Einsatz.

Die eingesetzte Schadsoftware konnte unter anderem Dateien und Tastatureingaben erfassen, Zugangsdaten und Session-Token stehlen sowie Funktionen für Audio- und Videoüberwachung bereitstellen. Microsoft identifizierte kompromittierte Hospitality-Netze in mehreren Ländern und sieht insbesondere Geschäftsreisende als Zielgruppe.

Damit bekommt die Absicherung des Gäste-WLAN eine neue Dimension. Die klassische Netzsegmentierung zwischen Gast- und Unternehmensnetz bleibt unverzichtbar, greift aber allein zu kurz. Ein kompromittiertes Captive Portal kann erheblichen Schaden verursachen, ohne dass ein Angreifer jemals direkten Zugriff auf das Property-Management-System oder die Verwaltung eines Hotels erhält. Das Hotel wird dann selbst zum vertrauenswürdigen Zwischenglied einer Angriffskette gegen seine Gäste.

Besonders relevant ist dabei das Drittanbieter-Risiko. Microsoft konnte den ursprünglichen Kompromittierungsweg der betroffenen Netze bislang nicht abschließend bestimmen, stellte jedoch Gemeinsamkeiten bei Geräten und Managementsystemen fest. Damit rückt eine grundsätzliche Frage in den Vordergrund: Wie sicher sind jene Plattformen und Dienstleister, von denen Hotels ihre WLAN-, Buchungs-, Zahlungs- oder Cloud-Infrastruktur beziehen?

KI macht bekannte Angriffe schneller

Künstliche Intelligenz verändert diese Bedrohung nicht grundsätzlich, beschleunigt sie aber. Phishing, Credential Theft und Social Engineering sind keine neuen Methoden. Mit generativer KI lassen sich jedoch Zielinformationen schneller auswerten, Nachrichten überzeugender personalisieren und große Kampagnen mit deutlich geringerem Aufwand skalieren.

WatchGuard warnt zudem vor einem zweiten Effekt innerhalb der Unternehmen: 64 Prozent der im Cybersecurity Hygiene Report Befragten gaben an, nicht autorisierte KI-Anwendungen für berufliche Zwecke einzusetzen. Damit entsteht neben klassischer Schatten-IT zunehmend auch eine Form von Schatten-KI, bei der Beschäftigte möglicherweise Unternehmensinformationen in Anwendungen übertragen, die außerhalb der eigenen Sicherheits- und Compliance-Strukturen liegen.

Auch Microsoft beobachtete bei CaptiveCrunch den Einsatz künstlicher Intelligenz zur Unterstützung von Teilen der Operation. Die eigentliche Veränderung besteht damit weniger in völlig neuen Angriffstechniken als in deren Geschwindigkeit und Skalierbarkeit. Recherche, Zielauswahl, Anpassung von Ködern und Teile der technischen Durchführung lassen sich zunehmend automatisieren.

Trotzdem wäre es falsch, die Sicherheitsstrategie der Hotellerie ausschließlich auf Identitäten und Phishing auszurichten. Der Verizon Data Breach Investigations Report 2026 zeigt, dass die Ausnutzung technischer Schwachstellen inzwischen bei 31 Prozent der untersuchten Datenverletzungen den initialen Zugangsweg bildete und damit gestohlene Zugangsdaten erstmals überholte. Gleichzeitig spielte Ransomware bei nahezu der Hälfte der untersuchten Breaches eine Rolle.

Für Hotels heißt das: Identitätsschutz, Patch-Management, Endpoint Security, Netzwerksegmentierung und die Kontrolle externer Dienstleister gehören zusammen.

Ein Passwort reicht als Vertrauensbeweis nicht mehr aus

Besonders deutlich wird das beim Umgang mit Benutzerkonten. Ein korrektes Passwort sagt zunächst nur aus, dass jemand das Passwort kennt – nicht, dass tatsächlich der berechtigte Nutzer vor dem Bildschirm sitzt.

Multifaktor-Authentifizierung sollte deshalb zumindest für geschäftskritische Systeme und privilegierte Konten zum Standard gehören. Noch stärker sind phishing-resistente Verfahren. Das US-amerikanische National Institute of Standards and Technology weist in seinen aktuellen Digital Identity Guidelines darauf hin, dass klassische Passwörter und nicht phishing-resistente Authentisierungsverfahren gegen entsprechend gestaltete Angriffe nur begrenzten Schutz bieten. Für besonders schützenswerte Zugänge kommen daher beispielsweise Passkeys oder hardwaregestützte kryptografische Verfahren in Betracht.

Für Hotels betrifft das vor allem Administratorzugänge zu Property-Management-, Netzwerk-, Zahlungs- und Cloud-Systemen. Gleichzeitig sollten Berechtigungen konsequent nach Aufgabe und Dauer vergeben werden. Saisonkräfte benötigen keinen dauerhaften Zugang, und ein Benutzerkonto sollte nicht Monate nach Ende eines Beschäftigungsverhältnisses weiter aktiv bleiben.

Auch Zero Trust ist in diesem Zusammenhang weniger Schlagwort als Organisationsprinzip. Ein Zugriff wird nicht allein deshalb akzeptiert, weil Benutzername und Passwort stimmen oder weil sich ein Gerät innerhalb eines vermeintlich vertrauenswürdigen Netzes befindet. Identität, Gerät, Kontext und Berechtigungsumfang werden vielmehr gemeinsam betrachtet. Gerade für eine Branche mit hoher Personalfluktuation und zahlreichen externen Partnern ist dieses Prinzip besonders relevant.

Hochsaison braucht einen eigenen Sicherheitscheck

Die entscheidende Konsequenz liegt deshalb im Betrieb. Hotels sollten die Hochsaison nicht nur personell und organisatorisch vorbereiten, sondern auch als wiederkehrenden Termin für einen Sicherheitscheck verstehen.

Vor Beginn der Saison sollten Konten und Zugriffsrechte überprüft, nicht mehr benötigte Zugänge entfernt und Rollen für temporäre Beschäftigte möglichst eng zugeschnitten werden. Privilegierte Konten benötigen einen stärkeren Schutz als operative Standardzugänge. Gäste-WLAN und Captive Portals sollten wie produktive IT-Systeme behandelt werden – mit Patch-Management, Monitoring und klaren Zuständigkeiten auch bei externen Betreibern.

Gleiches gilt für Awareness. Ein jährlich absolviertes Standardtraining reicht kaum aus, wenn aktuelle Angriffe täuschend echte Zimmeranfragen, Beschwerden, Booking.com-Nachrichten oder vermeintliche Gästefotos verwenden. Sicherheitsübungen sollten deshalb Situationen aufgreifen, die Rezeption, Reservierung, Verwaltung und Management tatsächlich aus ihrem Alltag kennen.

Gerade darin liegt eine der wichtigsten Lehren aus den aktuellen Angriffskampagnen: Cyberkriminelle kennen die Prozesse ihrer Zielgruppe inzwischen sehr genau. Sie wissen, dass Serviceorientierung, hohe Auslastung und Zeitdruck dazu führen, dass Mitarbeiter schnell reagieren müssen. Sicherheitskonzepte müssen deshalb so gestaltet sein, dass sie diesen Hotelbetrieb unterstützen, statt ihn lediglich mit zusätzlichen Hürden zu versehen.

Die Hochsaison macht Hotels nicht automatisch unsicher. Sie verstärkt jedoch jene Eigenschaften, die Angreifer ausnutzen können: viele Nutzer, zahlreiche Zugänge, externe Partner, kurzfristig eingerichtete Berechtigungen und eine hohe Zahl digitaler Interaktionen.

Für Sicherheitsverantwortliche im Hotelbetrieb ergibt sich daraus eine klare Priorität. Identity Management, segmentierte Zugriffe, konsequentes Offboarding von Saisonkräften, sichere Authentisierung und die Kontrolle von Drittanbietern sollten vor Beginn der Hochsaison genauso selbstverständlich überprüft werden wie Brandschutz, Zutrittskontrolle oder technische Anlagen.

Denn die entscheidende Frage lautet längst nicht mehr nur, ob die Systeme eines Hotels geschützt sind. Entscheidend ist, wem und was sie vertrauen – und wie schnell dieses Vertrauen wieder entzogen werden kann. [ML]

Quellen

WatchGuard Technologies: 2026 Employee Cybersecurity Hygiene Report; WatchGuard Technologies: Analyse zu KI und Cyberangriffen in der Hospitality-Branche; Microsoft Threat Intelligence: Phishing campaign impersonates Booking.com delivers a suite of credential-stealing malware; Microsoft Threat Intelligence: Photo ZIP campaign targeting hospitality industry delivers Node.js implant for persistent access; Microsoft Threat Intelligence: CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft; Verizon: 2026 Data Breach Investigations Report; National Institute of Standards and Technology: Digital Identity Guidelines, SP 800-63B sowie Zero Trust Architecture, SP 800-207.