Hotellerie unter Beschuss: Cyberangriffe in Zeiten von KI

Die Hochsaison stellt die Hotellerie jedes Jahr vor Herausforderungen: Tausende von Gästen, Aushilfskräften, Lieferanten und Geschäftspartnern nutzen täglich Reservierungssysteme, Verwaltungsplattformen, mobile Apps und Treueprogramme. Aufgrund dieser operativen Komplexität werden Hotels zu einem besonders attraktiven Ziel für Cyberkriminelle.

In dem Zusammenhang schafft künstliche Intelligenz kein neues Problem, sondern befeuert lediglich ein bereits bestehendes: identitätsbasierte Angriffe. Angreifer setzen nach wie vor auf Phishing, den Diebstahl von Zugangsdaten und Social Engineering. Mit KI können sie diese Techniken nun jedoch in beispiellosem Tempo und Ausmaß automatisieren.

Sie müssen nicht mehr stundenlang überzeugende E-Mails verfassen, nach Opfern recherchieren oder gestohlene Zugangsdaten manuell testen. Dank KI können Angreifer ihre Kampagnen innerhalb von Sekunden personalisieren, riesige Mengen öffentlicher Daten analysieren, ihre Angriffe in Echtzeit anpassen und sogar große Teile des Angriffszyklus automatisieren.

Für die Gastronomie- und Hotelleriebranche, die auf Vollzeit- und Saisonkräfte, Drittanbieter sowie zahlreiche miteinander vernetzte Plattformen angewiesen ist, hat dieser Wandel eine klare Konsequenz: Identitäten sind zum wertvollsten Ziel von Angreifern und zur ersten Verteidigungslinie für Unternehmen geworden.

Deshalb besteht die eigentliche Herausforderung nicht einfach darin, neue IT-Security-Lösungen zu integrieren. Vielmehr geht es darum, zu erkennen, dass die Angriffe der nächsten Generation schneller, automatisiert und anpassungsfähig sein werden und dass die Verteidiger ebenso fortschrittliche Technologien einsetzen müssen, um Identitäten zu schützen, anomales Verhalten zu erkennen und Reaktionszeiten zu verkürzen.

Identität ist der neue Sicherheitsperimeter

Durch die digitale Transformation hat sich die Anzahl der Systeme, auf die Mitarbeitende und Partner zugreifen, vervielfacht – das Spektrum reicht von Property-Management-Systemen (PMS) über Verwaltungslösungen, Gäste-Apps, Zahlungssysteme, Treueprogramme, WLAN-Captive-Portale für die Hotellerie bis hin zu einschlägigen Cloud-Lösungen.

Gleichzeitig agieren Hotels personell in einem komplexen Umfeld, in dem Vollzeitmitarbeiter, Saisonkräfte, Reinigungsdienstleister, Catering-Teams, Wartungspersonal und IT-Dienstleister alle zu ganz bestimmten Zeiträumen Zugriff auf unterschiedliche Systeme benötigen. Die Steuerung, wer wann und von welchem Gerät aus auf welche Systeme zugreifen darf, ist sowohl zu einer geschäftlichen Herausforderung als auch zu einem Problem der Cybersicherheit geworden.

Folglich ist es für einen Angreifer weitausvielversprechender, gültige Zugangsdaten zu stehlen, als eine technische Schwachstelle auszunutzen. Sobald er sich unter einer legitimen Identität Zugang verschafft hat, kann er sich lateral im Netzwerk bewegen und dabei dieselben vertrauenswürdigen Mechanismen ausnutzen, die Mitarbeitenden und Gästen täglich zur Verfügung stehen. Erst kürzlich wurden entsprechende Aktivitäten beobachtet. Untersuchungen zeigen auf, wie Angreifer öffentliche WLAN-Gateways in Hotels, Konferenzzentren und anderen öffentlich zugänglichen Einrichtungen kompromittieren, um die Konten von auf Geschäftsreise befindlichen Personen zu kapern. Im konkreten Fall wurden Nutzer, sobald sich die Angreifer Kontrolle über das WLAN-Gateway verschafft hatten, unbemerkt auf eine von den Cyberkriminellen kontrollierte Infrastruktur umgeleitet, um in den Besitz persönlicher Zugangsdaten zu gelangen.

KI ändert an solchen Szenarios grundsätzlich nichts. Aber durch KI erfolgt das Auffinden, Testen und Wiederverwenden gestohlener Zugangsdaten viel schneller und effizienter.

Das Problem beginnt nicht erst mit der künstlichen Intelligenz

Man könnte leicht annehmen, dass KI eine neue Bedrohung darstellt, doch das ist nicht der Fall.

Automatisierung funktioniert nur, wenn sie schlechte Gewohnheiten findet, die sie ausnutzen kann, und diese Gewohnheiten sind nach wie vor überraschend weit verbreitet.

WatchGuards aktueller Bericht zur Cybersicherheitshygiene offenbart eine besorgniserregende Realität:

• 76 Prozent der befragten Mitarbeitenden geben zu, für mehrere Konten dasselbe Passwort zu verwenden
• 64 Prozent nutzen nicht autorisierte KI-Tools für ihre Arbeit
• 71 Prozent erhalten nur einmal im Jahr – wenn überhaupt – eine Phishing-Schulung

Diese Zahlen zeigen, dass die größte Herausforderung nicht technischer, sondern menschlicher Natur ist. Für einen KI-Angreifer stellt jedes wiederverwendete Passwort, jeder ungeschulte Mitarbeiter und jedes nicht autorisierte Tool eine Chance dar, die sich mithilfe von KI zunehmend automatisiert und in großem Maßstab ausnutzen lässt.

KI muss auch den Verteidigern zugutekommen

In den letzten Monaten wurde viel darüber gesprochen, wie Cyberkriminelle künstliche Intelligenz in ihre Aktivitäten integrieren. Die Diskussion sollte sich jedoch nicht nur darauf konzentrieren, wie Angreifer KI ausspielen, sondern auch darauf, wie Verteidiger sie für sich nutzen können. Unternehmen stehen bereits heute fortschrittliche Modelle zur Verfügung, mit denen sich u.a. die folgenden Aufgaben massiv beschleunigen lassen:

• Bedrohungssuche
• Überprüfung von Sicherheitskontrollen
• Identifizierung von Schwachstellen
• Analyse von Sicherheitsvorfällen
• Automatisierung von Sicherheitstests

Der Wettbewerbsvorteil ergibt sich nicht allein aus dem Einsatz von KI, sondern aus deren schnellerer und effektiverer Integration in die Cybersicherheitsabläufe.

Vertrauen kann nicht mehr allein auf einem Passwort beruhen

In einem Umfeld, in dem die Identität zum Hauptziel geworden ist, reicht es nicht mehr aus, sich ausschließlich auf Anmeldedaten zu verlassen. Gerade der Einsatz von Multifaktor-Authentifizierung (MFA) spannt gegenüber Angreifern wichtige Fallstricke. Denn erbeutete Zugangsdaten sind wertlos, wenn der Zugriff von einem weiteren Faktor abhängig ist.  

Die Authentifizierung ist jedoch nur ein Teil der Lösung. Ein Zero-Trust-Ansatz geht von einer weitaus realistischeren Prämisse aus: Keine Identität sollte allein aufgrund der Tatsache, dass sie sich erfolgreich in einem System einloggen konnte, als vertrauenswürdig eingestuft werden. Jede Zugriffsanfrage muss unter Berücksichtigung des Kontexts, des Geräts, des Standorts und des Verhaltens des Benutzers bewertet werden.

Dieser Ansatz ist besonders relevant für die Hotellerie, wo Mobilität, Personalfluktuation und die Zusammenarbeit mit Dritten zum täglichen Geschäftsbetrieb gehören.

Der nächste Wettlauf um Cybersicherheit hat bereits begonnen

Künstliche Intelligenz wird Cybersicherheitsexperten nicht ersetzen. Noch werden dadurch strenge Identitätsrichtlinien und Schulungsprogramme obsolet. Was KI jedoch bewirken wird, ist eine Beschleunigung im Hinblick auf die Entwicklung von sowohl Angriffen als auch Abwehrmaßnahmen.

Angreifer werden weiterhin auf Phishing, den Diebstahl von Zugangsdaten und Social Engineering zurückgreifen, da diese Methoden nach wie vor funktionieren. Der Unterschied besteht heute darin, dass sie diese Angriffe schneller durchführen, individueller gestalten und in großem Maßstab skalieren können.

Für Hotels sollte die Priorität nicht darin bestehen, sich auf völlig neue Bedrohungen vorzubereiten, sondern die Kontrollmechanismen zu verstärken, die das schützen, worauf Angreifer es am häufigsten abgesehen haben: die digitale Identität.

Unternehmen, die eine robuste Authentifizierung, Zero-Trust-Prinzipien und KI-Fähigkeiten kombinieren, um ihre Sicherheitsmaßnahmen zu stärken, sind gegenüber den aktuellen und zukünftigen Bedrohungen deutlich besser aufgestellt. Moderne Security-Strategien versetzen sie in die Lage, auf Angriffe zu reagieren, die sich nicht nur weiterentwickeln, sondern auch kontinuierlich lernen und sich anpassen.