#4 Hotel-Datenleck in Europa – Check-in ins Phishing

00:00:00: Dieser Podcast wurde inhaltlich von Nikolaus Stapels zusammengestellt.

00:00:04: In dieser Reihe erzählen wir wahre Geschichten aus der Welt der Cyberkriminalität, der IT-Sicherheit und digitale Risiken.

00:00:13: Es sind Geschichten die zeigen wie schnell Unternehmen verwundbar werden können und wie wichtig es ist, aus den Fehlern anderer zu lernen bevor man selbst betroffen ist.

00:00:22: Ich bin Nora

00:00:23: Und ich bin Nico.

00:00:24: Jeder von uns kennt ja dieses ganz bestimmte Gefühl.

00:00:28: Du sitzt abends auf der Couch, hast unzählige Tubs im Browser offen, vergleichspreise, schaust dir Bilder an und klickst dann endlich auf diesen einen Button also diesen Zahlungspflichtig-Buchen-Button.

00:00:40: Ohja!

00:00:41: Der Moment wo man kurz die Luft anhält?

00:00:43: Genau Und wenige Sekunden später flattert dann die Bestätigungsmail ins Postfach.

00:00:49: Der Sommerurlaub an der Küste oder diese extrem wichtige Geschäftsreise rückt näher.

00:00:55: In dem Moment fällt so eine gewisse Anspannung ab.

00:00:57: Man freut sich halt!

00:01:02: Richtig, man vertraut einfach darauf dass die digitale Infrastruktur im Hintergrund ihren Job gemacht hat und das Zimmer sicher reserviert ist.

00:01:11: Doch heute nehmen wir dich mit in einen Deep Dive zu einem Fall aus dem Frühsommer.

00:01:18: Ein Fall, der dieses blinde Vertrauen in einen echten Albtraum verwandelt.

00:01:23: Und

00:01:23: zwar in ein, der gar nicht so leicht zu durchschauen ist?

00:01:26: Ganz und gar nicht!

00:01:27: Wir haben hier einen ganzen Stapel top aktueller Security Reports auf dem Tisch – also von Sacronyx, Malwarebytes, Texin gepaart mit echt alarmierenden Meldungen direkt aus der europäischen Hotellerie….

00:01:40: Die Berichte haben in der Branche wirklich für Aufruhr gesorgt.

00:01:43: Das glaube ich sofort.

00:01:45: und unsere Mission für diesen Deep Dive heute ist, wir wollen verstehen wie die pure Wahrheit also wirklich deine echten unverfälschten Reservierungsdaten zur gefährlichsten Waffe von cyberkriminellen umfunktioniert werden?

00:01:59: Okay lass uns das mal auspacken!

00:02:02: Sehr gerne.

00:02:03: Der eigentliche Hebel bei dieser ganzen Angriffsart ist nämlich, und das ist das Verrückte gar nicht in erster Linie technischer Natur sondern psychologischer.

00:02:11: Okay wie meinst du das genau?

00:02:13: Naja wir sind im digitalen Raum ja mittlerweile darauf trainiert worden unseren Spam Filter im Kopf nach ganz bestimmten Kletterien auszurichten.

00:02:21: wenn der E-Mail unpersönlich ist schlechtes Deutsch enthält oder von so einer ganz prüptischen Adresse kommt dann löschen wir die.

00:02:28: Logisch da schrillen sofort alle Alarmglocken!

00:02:30: Genau.

00:02:31: Wenn aber hochspezifische persönliche Details auftauchen, dann schaltet unser Gehirn quasi sofort auf Vertrauen um.

00:02:40: Da wird man unvorsichtig.

00:02:41: Okay!

00:02:42: Dieses Szenario müssen wir uns mal plastisch vorstellen.

00:02:44: also du hast vor sechs Wochen ein charmantes Boutique-Hotel gebucht sagen wir mal in den Niederlanden, Belgien oder vielleicht in Irland weil das ja so die Kernregion waren.

00:02:54: Richtig

00:02:54: da gab es eine massive Häufung.

00:02:56: Du denkst ja also nichts Böses.

00:02:58: Plötzlich vibriert dein Smartphone, eine WhatsApp-Nachricht leuchtet auf dem Display auf!

00:03:04: Der Absender gibt sich als die Rezeption von genau diesem Hotel aus und jetzt wird es unheimlich.

00:03:11: In

00:03:11: dieser Nachricht steht nämlich nicht einfach nur sehr geehrter Kunde oder so... Da steht dein voller Name, da steht das exakte Anreisendatum, die Anzahl der Nächte, die Zimmerkategorie – und das finde ich den absoluten

00:03:24: Wahnsinn!".

00:03:25: Deine korrekte, zwölfstellige Buchungsnummer.

00:03:29: Alles stimmt bis aufs Komma!

00:03:32: Und das baut natürlich eine enorme Glaubwürdigkeit auf.

00:03:35: Total.

00:03:36: und dann kommt eben die Falle Eine angebliche Fehlbuchung im System oder ein Problem mit der Kreditkarte, eine Zahlungsaufforderung.

00:03:43: Du hast dann meistens so vierundzwanzig bis maximal achtundvierzig Stunden Zeit einen bestimmten Betrag über einen Link zu autorisieren.

00:03:50: Ansonsten wird deine langersehnte Buchung einfach unwiderruflich storniert.

00:03:55: In der IT-Sicherheit nennen wir dieses Phänomen den Reservation Hijacks GAM.

00:04:01: Die Kriminellen machen sich hier das Prinzip des geteilten Geheimnisses zu Nutze.

00:04:05: Geteiltes Geheimnis – erklär das mal kurz!

00:04:07: Also als Gast operierst du unter einer völlig logischen, aber in dem Fall fatalen Grundannahme.

00:04:15: Du denkst?

00:04:16: Die Details deiner Buchung sind ein exklusives Geheimnis zwischen dir der Buchungsplattform und eben dem Hotel?

00:04:24: Ja klar!

00:04:25: Wer soll das sonst wissen?

00:04:26: Eben

00:04:27: Wenn dir also jemand auf WhatsApp exakt diese Daten präsentiert folgert dein Gehirn automatisch Naja...der Absender muss legitim sein.

00:04:36: Die normale Skepsis wird komplett ausgehebelt, weil der Kontext fehlerfrei ist.

00:04:41: Es fühlt sich eher an wie ein sehr proaktiver wenn auch stressiger

00:04:46: Kundenservice.".

00:04:47: Das ist wirklich ein faszinierender Aspekt!

00:04:49: Wenn ich da meine Analogie ziehen darf das es nicht dieser klassische Einbrecher der nachts mit einem Brecheisen an deiner Terrassentür hebelt?

00:04:56: Ne überhaupt nicht!

00:04:56: Das is jemand der am hellesten Tag mit deinem eigenen Ersatzschlüssel die vor der Tür aufschließt, hereinkommt... Deinen Hund beim richtigen Namen nennt und ihn krault.

00:05:07: Du würdest in dem Moment doch niemals auf die Idee kommen, dass das ein Fremder ist?

00:05:12: Das is'n sehr passender Vergleicher!

00:05:14: Aber wenn wir das mal weiterdenken also... ...das issen Pushback den ich hier bringen muss.

00:05:18: Wenn diese Angreifer bereits so extrem tief im System sitzen Dass sie meine Buchungsnummer mein Datum und meinen Namen haben Warum belasten Sie dann nicht einfach direkt die Kreditkarte, die ich bei der Reservierung ja als Sicherheit hinterlegt habe?

00:05:31: Warum diese absurde Aufwand mit WhatsApp-Nachrichten und diesem künstlichen

00:05:35: Zeitdruck?".

00:05:36: Ja das ist exakt der entscheidende Punkt an dem viele Analysten anfangs auch echt stutzig wurden.

00:05:42: Die Antwort liegt in der Natur der erbeuteten Daten – bei diesen massiven Vorfällen Wie etwa der Hospax-Kampagne Anfang Juni, oder auch den Angriffen im April davor haben die Kriminellen oft überhaupt keine Finanzdaten in die Finger

00:05:55: bekommen.

00:05:56: Moment!

00:05:57: Gar keine Finanz-Daten?

00:05:59: Keine

00:05:59: Kreditkartennummern?!

00:06:01: Nein, keine Kredit-Kartennummern, keine Prüfziffern – nichts.

00:06:04: Moderne Buchensysteme trennen nämlich Zahlungsdaten sehr häufig von den reinen Reservierungsdaten und verschlüsseln diese nochmal separat.

00:06:11: Ah krass!

00:06:13: Das heißt sie haben wirklich nur den Text

00:06:14: Genau.

00:06:15: Die Hacker haben also nur, in Anführungszeichen den Buchungskontext gestohlen – das Datum, das Hotel, den Namen.

00:06:23: Sie besitzen die Fakten aber eben nicht das Geld.

00:06:25: Ah, verstehe!

00:06:27: Und deshalb nutzen sie diese Fakte als perfekten Köder um den Gast in so eine Situation zu manövrieren, indem er die Finanzdaten dann freiwillig auf einer gefälschten Zahlungsseite eingibt oder eine Echtzeitüberweisung freigibt.

00:06:41: Okay, wow.

00:06:42: Sie wandeln also gestohlene Kontextdaten durch soziale Manipulation quasi in bares Geld um?

00:06:49: Exakt so funktioniert das Modell!

00:06:51: Das wirft für mich unweigerlich die Frage auf wo dieses massive Leg überhaupt entsteht.

00:06:56: Wenn ich auf eine renommierten Plattform oder direkt auf der Website von einem traditionsreichen Hotel buche dann gehe ich ja vom geschlossenen System aus.

00:07:05: Aber die Reports zeichnen da ein völlig anderes Bild,

00:07:08: oder?!

00:07:09: Ein ganz anderes Bild.

00:07:11: Das ist alles andere als geschlossen.

00:07:13: Allein bei dieser erwähnten Husbecks-Kampagne sprechen wir ja von über hundert betroffenen Hotels in den Niederlanden und die Wellen schlugen bis nach Belgien und Irland.

00:07:22: Es ist ja völlig absurd anzunehmen, dass sich Hacker da einem Wochenende hinsetzen und manuell hunderte individuelle Hotelfirewalls knacken.

00:07:31: Völlig absurd!

00:07:32: Und genau das tun sie auch nicht – Wir betreten hier nämlich das Feld des Supply Chain Risikos also der digitalen Lieferkette.

00:07:40: Okay, das musst du genauer erklären.

00:07:42: Gerne!

00:07:42: Der moderne Tourismus ist im Hintergrund extrem fragmentiert und vernetzt.

00:07:47: Wenn Du ein Zimmer buchst verbleibt diese Information nicht einfach auf einem isolierten Computer an der Rezeption in Amsterdam.

00:07:53: Sie durchläuft ein riesiges komplexes Ökosystem

00:07:57: Also zig verschiedene Anbieter, die da mitmischen?

00:07:59: Genau.

00:08:00: Da gibt es sogenannte Channel Manager, die die Verfügbarkeiten auf verschiedenen Portalen synchronisieren.

00:08:06: Dann gibt es Property Management Systeme – kurz PMS wie beispielsweise Gastrodat oder Check-in — die fungieren so als das zentrale Nervensystem des Hotels.

00:08:17: Das sind also die Firmen, die Software für den Hotelier bereitstellen?

00:08:21: Richtig!

00:08:23: Um die Dimension zu verdeutlichen, stießen Sicherheitsforscher auf einen ungeschützten offenen Server im Netz.

00:08:31: Darauf lagen sechs Komma fünf Gigabyte an reinen Buchungsdaten.

00:08:35: Wir sprechen hier von vier Komma.

00:08:37: neun Millionen Betroffenen Gästen

00:08:40: Das ist ja die Bevölkerung einer europäischen Metropole Wahnsinn!

00:08:44: Mindestens Ja.

00:08:46: Und auf diesem Server liefen automatisierte Python-Skripte, die haben systematisch fünfhundertundzwanzig kompromittierte Hotelaccounts einfach abgeerntet.

00:08:56: Ein einziger kompromitierter Dienstleister in der Mitte oder eine einzige unsichere API-Schnittstelle in diesem Ökosystem fungiert plötzlich als Generalschlüssel zu hunderten Hotels

00:09:08: gleichzeitig.".

00:09:09: Das heißt sie greifen das Hotel selbst gar nicht an?

00:09:12: Genau!

00:09:13: Wenn wir das mit dem großen Ganzen verbinden, die Hacker greifen nicht das Hotel an.

00:09:17: Sie greifen die unsichtbare Infrastruktur an auf die sich das Hotel

00:09:20: verlässt.".

00:09:21: Okay, verstehe!

00:09:22: Das ist also als würde eine Diebesbande nicht mehr mühsam hundert einzelne Briefkästen in einer Straße aufbrechen sondern sie übernehmen direkt das zentrale Postverteilzentrum der Stadt und fangen alle Briefe ab bevor die überhaupt ausgeliefert werden.

00:09:34: Ein sehr gutes Bild ja – exakt das passiert da….

00:09:37: Das bedeutet im Umkehrschluss aber dos auch, dass die Hoteliers vor Ort völlig im Blindflug unterwegs sind oder?

00:09:44: Die lagern ihre IT an diese Dienstleister aus und ahnen nicht im Geringsten das ihre Gäste-Daten gerade massenhaft irgendwo im Darknet landen.

00:09:52: Es ist sogar noch schlimmer als ein reiner Blindflugh – es erzeugt nämlich eine total trügerische Sicherheit!

00:09:59: Das führt dann zu echt absurden Situationen, in denen Hotelmanager gegenüber der Presse oder den Behörden vehement abstreiten gehackt worden zu sein.

00:10:07: Weil Sie denken bei Ihnen ist alles in Ordnung?

00:10:09: Richtig!

00:10:10: Sie lassen Ihre lokalen Rechner an der Rezeption überprüfen – Der Virenscanner meldet null Bedrohungen – Alles scheint völlig sauber Und lokal betrachtet haben sie damit sogar recht.

00:10:20: Aber sie haben die technologische Kontrolle über den Datenfluss eben längst an Dritte abgegeben.

00:10:25: Ah ok Die Komplexität dieser Schnittstellen lässt die Verantwortlichkeit also in so einer Grauzone verschwinden.

00:10:32: Für dich als Gast ist das Hotel der Vertragspartner, aber technisch gesehen fließen deine Daten durch Serverfarmen von Subunternehmern, deren Namen du noch nie in deinem Leben gehört hast.

00:10:43: Genau so ist es und das macht die Verteidigung so unglaublich schwer!

00:10:46: Gut wir haben jetzt verstanden dass das Einfallstor meist irgendwo in dieser Lieferkette liegt... Lassen wir uns mal den eigentlichen Angriffsprozess auf diese Systeme genauer ansehen.

00:10:57: In den Secure-Nix und Marvel Bites-Reports wird ja immer wieder eine hochprofessionelle russische Gruppierung namens Storm, Wenn diese Gruppen also nicht das lokale Netzwerk des Hotels hacken, wie verschaffen sie sich dann überhaupt diesen initialen Zugang zu den Konten auf den Buchungsplattformen oder den Channelmanagern?

00:11:24: Hier beobachten wir ein präzise orchestriertes Theaterstück in vier Akten sage ich mal.

00:11:29: Das sich gezielt gegen die menschliche Schwachstelle richtet – nämlich das Hotelpersonal.

00:11:34: Okay, wie fängt das an?

00:11:36: Der Angriff beginnt mit einer maßgeschneiderten Fishingmail an die Rezeption.

00:11:40: Die Angreifer tarnen sich beispielsweise als große Buchungsplattform wie Booking.com und melden eine eskalierte Gästebeschwerde oder noch effektiver, eine plötzliche Stonierung mit einem extrem hohen Wert – oft weit über tausend Euro.

00:11:53: Puh!

00:11:54: Über tausende Euro?

00:11:56: In der Hotellerie sind die Margen ja super eng und Kundenbewertungen sind einfach alles.

00:12:00: Eine solche Mail löst doch bei einem Rezeptionisten sofortigen Stress und Panik aus.

00:12:05: Ganz genau, das ist das Ziel.

00:12:07: Der Rezeptionist will das Problem schnellstmöglich lösen bevor der Chef es merkt oder der Gast eine miese Einsterne-Bewertung hinterlässt.

00:12:15: Also klickt er in dieser E-Mail auf den Link um sich die Details der vermeintlichen Steunierung anzusehen.

00:12:21: Und damit beginnt dann der technische Teil der Falle richtig?

00:12:23: Richtig!

00:12:24: Er landet auf einer präparierten Webseite.

00:12:27: Die Reports beschreiben da, dass dort oft eine Fehlermeldung wie Loading Is Taking Too Long erscheint gepaart mit so einem gefälschten Capture Overlay wo man beweisen soll das man ein Mensch ist.

00:12:38: Ach diese nervigen Bilder rätsel!

00:12:41: Das is doch reine Hinhaltetaktik oder?

00:12:43: Um Frustration beim Mitarbeiter aufzubauen.

00:12:45: Exakt und während der Mitarbeiter ungeduldig darauf wartet, dass die Seite endlich lädt eskaliert das Skript im Hintergrund.

00:12:55: Der nächste Schritt ist dann ein echter visueller Schock, ein gefälschter Blue Screen of Death also ein simulierter Systemabsturz.

00:13:02: Oh Gott nein!

00:13:03: Doch der Browser des Mitarbeiters schaltet in den Vollbildmodus und zeigt diesen klassischen gefürchteten blauen Windows-Fehlerbildschirm.

00:13:12: Der Rezeptionist glaubt in diesem Moment wirklich das sein gesamte Arbeitsrechner gerade kollabiert ist.

00:13:17: die Panik erreicht den absoluten Höhepunkt Wahnsinn.

00:13:21: Und genau in diesem Moment der maximalen Überforderung bietet diese Webseite eine vermeintliche Rettung an.

00:13:27: Das sogenannte Click-Fix-Manöver.

00:13:29: Hier wird es jetzt richtig interessant!

00:13:31: Auf dem Bildschirm tauchen plötzlich Anweisungen auf, wie man diesen Systemfehler angeblich selbst beheben kann ohne klein laut die IT Abteilung rufen zu müssen.

00:13:40: Der Mitarbeiter wird dann instruiert eine bestimmte Tastenkombinationen zu drücken oder?

00:13:45: Also... Windows-Taste plus R, um dieses Ausführenfenster zu öffnen.

00:13:51: Dann Steuerung plus V zum Einfügen und schließlich Enter.

00:13:55: Und in genau diesem Bruchteil einer Sekunde passiert das Unheil.

00:13:59: Durch das Drücken von Steuerung Plus V fügt der Mitarbeiter unbewusst ein bösartiges PowerShell Skript ein, dass die Webseite vorherklammheimlich in seine Zwischenablage kopiert hatte.

00:14:11: Ach du meine Güte!

00:14:13: Ja Mit Enter führt er es dann einfach aus.

00:14:16: Das ist wirklich wie ein digitaler Jedi-Gedankentrick!

00:14:19: Die Kriminellen versuchen gar nicht erst die dicken Firewalls und Sicherheitssysteme von außen einzureißen, sie manipulieren den Mitarbeiter psychologisch einfach so lange bis er die Tür von innen freiwillig meilenweit aufreißt.

00:14:32: Besser kann man das kaum zusammenfassen.

00:14:34: Aber

00:14:35: hier muss ich mal technisch einhaken.

00:14:37: Sind die IT-Systeme in europäischen Hotels wirklich so rudimentär abgesichert, dass ein simpler Befehl aus der Windows Zwischenablage ausreicht um ein komplettes System zu kompromittieren?

00:14:50: Warum schlägt denn da der Windows Defender oder das installierte Antivirenprogramm nicht sofort

00:14:54: Alarm?"?

00:14:55: Das ist vielleicht die wichtigste Frage dieses gesamten Deep Dives.

00:14:59: Denn wie führt uns eine Technik, die die Cybersicherheitswelt aktuell extrem in Atem hält?

00:15:05: Wir nennen das Living of the Land, kurz Lottiell.

00:15:11: Also quasi von dem Leben was das Land einem gibt?

00:15:14: Ganz genau!

00:15:15: Die Hacker bringen in diesem Stadium nämlich überhaupt keine klassische Vierendatei mit die ein Scanner beim Download anhand ihrer Signatur erkennen könnte.

00:15:23: Stattdessen nutzt dieses Skript aus der Zwischenablage harmlose bereits im Windows-Betriebssystem vorhandene Werkzeuge.

00:15:29: Okay hast du da ein Beispiel aus den Reports?

00:15:33: Ein sehr prominentes Beispiel ist die sogenannte MS-Bild.exe.

00:15:37: Okay, was genau macht dieses Werkzeug normalerweise?

00:15:39: Das

00:15:40: ist ein völlig legitives Programm von Microsoft das Softwareentwickler eigentlich nutzen um Quellcode in ausführbare Programme zu übersetzen.

00:15:47: Der Virenschgener sieht also, ah!

00:15:49: MS-Build wird gestartet er erkennt die echte digitale Signatur von Microsoft und stuft den gesamten Vorgang als absolut vertrauenswürdig ein.

00:15:58: Er winkt es einfach durch

00:15:59: Unglaublich

00:16:00: Ja.

00:16:01: Und die Hacker nutzen dieses vertrauenswürdige Werkzeug nun, um den eigentlichen Trojaner in diesen Fällen oft eine Schadsoftware namens G-Red direkt im Arbeitsspeicher des Rechners erst zusammenzubauen.

00:16:12: Sie nutzen quasi die körpereigene Abwehr des Systems gegen das System selbst.

00:16:16: Das

00:16:16: ist ja heimtückisch.

00:16:17: Definitiv!

00:16:19: Wenn der Dezeptionist an diesem PC dann noch mit lokalen Administratorechten angemeldet ist – was leider eine absolute Unart aber gängige Praxis in super vielen Hotels Dann kann dieses Skript unbemerkt die Anti-Viren-Software deaktivieren, sich tief in der Registrierungsdatenbank verankern und gemütlich Passwörter für die Buchungssysteme abgreifen.

00:16:41: Wahnsinn!

00:16:43: Um das nochmal kurz zusammenzufassen – wir haben auf der einen Seite diese hochkomplexen völlig unsichtbare Lieferkette aus Softwaredienstleistern und auf der anderen Seite Angreifer, die sich wie Geister durch das System bewegen weil sie die eigenen Werkzeuge des Betriebssystems als Tarnkappe nutzen.

00:16:59: Das trifft's auf den Punkt, ja.

00:17:02: Wenn wir uns die Konsequenzen in den Berichten mal ansehen wird einem wirklich schwindelig.

00:17:07: ein japanisches Hotel verlor umgerechnet fast neun Millionen Jennen weil Zahlungsströme systematisch umgeleitet wurden.

00:17:13: In Großbritannien registrierten die Behörden hunderte von Fällen mit kumulierten Schäden in Höhe von sieben und dreißig tausend Pfund

00:17:20: Und das ist ja nur der direkte finanzielle Schaden durch den Betrug

00:17:24: Eben.

00:17:25: Wir haben ja noch gar nicht über die Reputationsschäden und dieses ganze regulatorische Minenfeld gesprochen.

00:17:30: Unter der Europäischen Datenschutzgrundverordnung, der DSGVO gilt eine strenge Meldepflicht von zweiundsiebzig Stunden bei solchen Datenabflüssen.

00:17:38: Booking.com musste beispielsweise in den Jahren des Jahrzehntes bereits fast eine halbe Million Euro Strafe zahlen weil sie einen Vorfall zu spät gemeldet haben.

00:17:46: Ja, die Behörden verstehen da mittlerweile absolut keinen Spaß mehr!

00:17:49: Die niederländische Datenschutzbehörde ermittelt ja auch gerade intensiv in diesem aktuellen Hospax-Fall.

00:17:56: Wie können sich Hotels gegen so eine derart asymetrische Bedrohung überhaupt wappnen?

00:18:01: Die Verteidigung muss hier auf mehreren Ebenen gleichzeitig greifen!

00:18:05: Für Hotels ist es absolut kritisch, das Prinzip des Zero Trusts zu implementieren – also Vertraue niemandem überprüfe alles.

00:18:12: Was heißt das konkret für den Alltag einer Rezeption?

00:18:15: Das bedeutet, die Multifaktor-Authentifizierung, also MFA ist für jeden Zugang zu Buchungsportalen oder dem PMS einfach nicht mehr verhandelbar.

00:18:23: Ein gestohlenes Passwort, das allein keinen Wert mehr haben!

00:18:26: Zweitens – strikte Rechtekonzepte.

00:18:29: Ein Mitarbeiter an der Rezeption braucht keine Administratorenrechte auf Windows-Ebene wirklich niemals.

00:18:37: Ist

00:18:37: es aber leider oft nicht?

00:18:38: Drittens müssen Hotels ihre digitale Lieferkette auditieren.

00:18:43: Sie müssen die Verträge mit Dienstleistern prüfen und sicherstellen, dass diese auch nachweisbare Sicherheitsstandards einhalten.

00:18:49: Und zu guter Letzt?

00:18:51: Ein robuster Incident-Response Plan

00:18:54: Also einen Notfallplan für den Ernstfall.

00:18:57: Richtig!

00:18:58: Wenn das Leg auftritt muss das Hotel in der Lage sein sofort und extrem transparent mit den Gästen zu kommunizieren um sie vor anstehenden Fishingwellen zu warnen und zwar bevor die ersten WhatsApp Nachrichten verschickt werden.

00:19:10: Wenn ich mir diese massenhaften Ausfälle anschaue, bei denen gleich hunderte Hotels durch einen einzigen Dienstleister kompromittiert werden – da frage ich mich echt wie die Versicherungsbranche darauf reagiert.

00:19:21: Die müssen doch gerade reinweise den Panikknopf drücken oder?

00:19:25: Wie verändert sich da die Risikolandschaft für Berater und Cyberversicherungen?

00:19:29: Oh enorm!

00:19:30: Die Versicherer müssen ihre Risikkomodelle wirklich grundlegend überarbeiten.

00:19:34: Und zwar insbesondere im Hinblick auf sogenannte Cumulrisiken.

00:19:37: Das musst du genauer erklären, Cumulrisiken.

00:19:40: Ein physisches Cumul-Risiko wäre zum Beispiel ein Hurrikenen der eine gesamte Küstenlinie trifft und Zehntausende Häuser gleichzeitig zerstört.

00:19:48: Ein digitales Cumul Risiko ist genau das was wir hier sehen!

00:19:52: Ein zentraler Software Anbieter in der Lieferkette fällt einem Ransomware oder Fishingangriff zum Opfer... ...und plötzlich reichen fünfhundert Hotels am selben Tag einen Schadensfall bei derselben Versicherung ein.

00:20:01: Oh wow, das ist natürlich ein Albtram für jede Versicherung

00:20:04: Absolut.

00:20:06: Cyberversicherungen müssen dieses Domino-Szenario zwingend in ihre Prämienkalkulation aufnehmen.

00:20:12: Zudem müssen sie sicherstellen, dass nicht nur dieser technische Forensikeinsatz abgedeckt ist sondern eben auch die extrem hohen Kosten für DSGVO-Strafen, die Benachrichtigung von Millionen von Gästen und natürlich der langfristige Reputationsschaden inklusive Betriebsunterbrechung.

00:20:29: Okay, also was bedeutet das alles für uns?

00:20:32: Wir reden jetzt die ganze Zeit über die Unternehmensseite.

00:20:36: Aber versetzen wir uns noch einmal in die Lage des ganz normalen Reisenden!

00:20:48: Aber in diesem speziellen Fall habe ich als Kunde ja absolut nichts falsch gemacht.

00:20:54: Ich habe regulär über eine sichere Verbindung gebucht, ein komplexes Passwort verwendet und meine Daten nicht leichtfertig im Netz geteilt.

00:21:02: Sind wir als Verbraucher dieser unsichtbaren digitalen Lieferkette am Ende des Tages völlig hilflos ausgeliefert?

00:21:10: Hilflos nicht nein!

00:21:11: Wir müssen aber anerkennen dass sich die Spielregeln da draußen grundlegend geändert haben.

00:21:15: Wir können uns einfach nicht mehr darauf verlassen, dass der Besitz unserer echten Daten ein Garant für die Identität des Absenders ist.

00:21:22: Das ist hart aber wahr!

00:21:24: Was können wir also tun?

00:21:26: Hier greift eine simple-aber echt extrem effektive dreißig Sekunden Regel für Reisende.

00:21:31: Erstens Prüfe die Zahlungsart.

00:21:34: Passt die plötzliche Aufforderung per Nachricht überhaupt zu den Bedingungen, die auf deiner ursprünglichen Buchungsbestätigung stehen?

00:21:41: Oft hat man ja schon bezahlt oder zahlt erst vor Ort

00:21:44: Ganz genau.

00:21:45: Zweitens, hinterfrage die Dringlichkeit!

00:21:48: Kein seriöses Hotel der Welt storniert eine lange bestehende Buchung kommentarlos innerhalb von vierundzwanzig Stunden ohne vorherige offizielle Eskalationsstufen.

00:21:59: und drittens überprüfe den Kommunikationskanal.

00:22:02: Die hat das mit WhatsApp ist schon seltsam oder?

00:22:05: Total Warum sollte ein Hotel, das bisher ausschließlich über das sichere Portal der Buchungsplattform oder per E-Mail kommuniziert hat, dich auf einmal über WhatsApp kontaktieren?

00:22:15: Die eisene Regel lautet.

00:22:17: Klicke niemals auf Zahlungslinks in SMS oder Messengern – niemals!

00:22:21: Sehr guter Rat

00:22:23: Wenn du unsicher bist, geh auf die offizielle Webseite des Hotels, such dir dort die Telefonnummer heraus und ruf selbst an.

00:22:29: Diese dreißig Sekunden durchatmen können ein buchstäblich vor einem massiven finanziellen Schaden bewahren.

00:22:36: Wenn wir das Ganze jetzt noch einen Schritt weiter in die Zukunft denken, wird mir ehrlich gesagt wirklich mulmig!

00:22:46: Naja, wenn Cyberkriminelle heute schon unsere nackte digitale Realität also unsere absolut korrekten Buchungsdaten nutzen um uns psychologisch so in die Falle zu locken.

00:22:56: Was passiert eigentlich, wenn in sehr nah Zukunft künstliche Intelligenz in diese Gleichung aufgenommen wird?

00:23:02: Oh, das ist ein beängstigendes Szenario.

00:23:04: Stell dir vor du bekommst keine WhatsApp mehr sondern einen automatisierten Anruf.

00:23:08: die KI nutzt ein deep fake Stimmprofil des echten Rezeptionisten den du vielleicht von einem früheren Aufenthalt sogar kennst.

00:23:15: sie spricht dich mit deinem Namen an rattert deine echte Buchungsnummer herunter und baut diesen Zeitdruck perfekt moduliert am Telefon auf.

00:23:22: wie beweisen wir in ein paar Jahren überhaupt noch uns selbst gegenüber was in der digitalen Welt echt ist?

00:23:28: Und was?

00:23:29: nur eine extrem gut berechnete Täuschung?

00:23:31: Das wirft wirklich eine ganz entscheidende Frage auf.

00:23:34: Es zwingt uns als Gesellschaft eigentlich dazu, den Begriff des Vertrauens im digitalen Raum und in der Kommunikationstechnik von Grund auf neu zu definieren.

00:23:43: Wir werden technische Verifikationsmechanismen entwickeln müssen die weit über das bloße Wissen von Fakten hinausgehen.

00:23:50: Vielen Dank, dass du bei dieser Folge dabei warst.

00:23:53: Denk daran!

00:23:54: Cyber-Sicherheit beginnt nicht erst beim großen Angriff sondern bei den kleinen Entscheidungen im Alltag.

00:23:59: Wenn ihr die Folge gefallen hat abonniere den Podcast und teile ihn gerne mit Freunden, Kolleginnen und Kollegen.

00:24:05: Schreib uns auch gerne deine Gedanken zur Folge oder deine Ideen für eine der nächsten Episoden.

00:24:10: Bis zur nächsten Folge.

00:24:11: bleib aufmerksam und digital sicher.