Eine Anmerkung an den Leser vor dem Einstieg in den Band.

Ein Hotel ist das einzige Unternehmen, mit dem die meisten Menschen zu tun haben, das jeden Kunden bei der Ankunft nach einem Ausweis und einer Zahlungskarte fragt und dann beides behält.

Es behält sie länger, als der Gast sich vorstellt, an mehr Orten, als das Haus gewöhnlich weiß, und es vertraut sie einer Kette von Menschen und Unternehmen an, die der Gast nie treffen wird: der Rezeptionistin an ihrem zweiten Tag, dem Nachtportier, dem Verwaltungssystem in einem Rechenzentrum in einem anderen Land, dem Channel Manager, dem Zahlungsdienstleister, der Firma, die die Türschlösser wartet, dem IT-Dienstleister, der Buchungsplattform, über die die Reservierung kam. Keiner von ihnen ist nachlässig. Jeder hält ein Stück von etwas, das der Gast einmal über einen Tresen gereicht hat, meistens in Eile.

Die Schriftenreihe «Das Steuer und die Lupe» behandelt die großen Normen des Managements, jede aus zwei Blickwinkeln: dem Steuer, der Hand, die das Haus führt und für es haftet, und der Lupe, dem Auge, das prüft, ob die Führung hält, was sie verspricht. Die ersten vier Bandpaare galten der Umwelt, der Qualität, der Sicherheit und Gesundheit bei der Arbeit und der Energie. Dieser fünfte Band gilt der ISO/IEC 27001, der internationalen Norm für Informationssicherheitsmanagementsysteme, und er behandelt eine Obhut, die älter ist als jede Norm: die Obhut des Gastwirts über das, was der Gast ihm anvertraut.

Eine Norm, die eine Entscheidung verlangt

Diese Norm verlangt von einem Hotel nicht, eine Bank zu werden. Sie verlangt, dass jemand für jedes Ding, das der Gast anvertraut, entschieden hat, wer es hält, wer es erreichen kann, wie lange es aufbewahrt wird und was geschieht, wenn etwas schiefgeht, und dass sich diese Entscheidung jemandem zeigen lässt, der nicht im Raum war, als sie getroffen wurde. Alles in diesem Buch folgt aus diesem Satz.

Ein zweiter Punkt gehört zum Gegenstand und nicht zur Norm. Die Informationssicherheit ist die Disziplin dieser Reihe, die am bereitwilligsten weggegeben wird. Die Energie geht an die Haustechnik, aber die Eigentümerschaft sieht noch die Rechnung. Die Informationssicherheit geht an die IT-Abteilung oder an den IT-Dienstleister, und sie verschwindet ganz aus dem Blick der Eigentümerschaft, als wäre sie eine technische Frage mit einer technischen Antwort. Das ist sie nicht. Die Entscheidungen, die am stärksten bestimmen, wie sicher die Information eines Gastes in einem Hotel ist, betreffen Lizenzen, Personalstärken, Dienstpläne, Lieferanten, das, was der Empfang in seiner vollsten Stunde tut, welche Liste nachts gedruckt wird und welche Software nach dem Preis gekauft wird. Sie werden in Budgetsitzungen und am Empfang getroffen, von Menschen, die sie nicht für Sicherheitsentscheidungen halten, und die Norm stellt sie dorthin, wo sie hingehören: zur obersten Leitung.

Darum ist dieser Band das Steuer. Und darum trägt er seinen Untertitel. Das Recht kennt seit Jahrhunderten die Obhut des Gastwirts über die Sachen, die der Gast ins Haus bringt, und es haftet ihn dafür. Die Obhut über das, was der Gast von sich selbst ins Haus bringt, seinen Namen, seinen Ausweis, seine Karte, seine Anwesenheit und seine Begleitung, ist dieselbe Pflicht in einem anderen Stoff. Sie ist nicht neu. Neu ist nur, dass sie heute durch ein Dutzend Systeme wandert, an Orte, die das Haus nicht sieht.

Woher diese Norm kommt

Hotels haben Geheimnisse gehütet, lange bevor jemand eine Norm darüber schrieb. Das Gästebuch am Empfang, der Tresor dahinter, der Concierge, der wusste, welche Gäste nicht angekündigt werden: Das Gewerbe hatte Maßnahmen für Information, bevor es das Wort hatte. Was sich geändert hat, ist nicht die Pflicht, sondern der Träger. Das Gästebuch wurde eine Datenbank, die von überall erreichbar ist, der Schlüssel eine Karte und dann ein Code auf einem Telefon, und die Angaben des Gastes begannen zu reisen.

Die Norm selbst begann Mitte der neunziger Jahre als britischer Leitfaden für Organisationen jeder Art und wurde um die Jahrtausendwende international. Ihre Anforderungen, der Teil, nach dem eine Organisation zertifiziert werden kann, erschienen 2005 als ISO/IEC 27001 und wurden 2013 und 2022 überarbeitet. Das Wichtigste, was unterwegs geschah, war ein Wechsel des Gegenstands: von der Sicherheit von Systemen zur Sicherheit von Information, in welcher Form auch immer sie vorliegt. Das zählt in einem Hotel mehr als fast überall, denn im Hotel steht die Information auf einem Bildschirm, auf einer gedruckten Liste im Office, auf einem Foto im Telefon einer Aushilfe und in einem Gespräch an der Bar, und ein System, das nur das erste davon schützt, schützt den Teil, der am wenigsten wahrscheinlich abfließt.

Hotels kamen spät zur Norm, und die meisten, die kamen, wurden geschoben: vom Fragebogen eines Firmenkunden, von der Richtlinie einer Gruppe, von der Datenschutz-Grundverordnung, die seit Mai 2018 verlangt, nachzuweisen, was man vorher nur behauptete. Das Datenschutzrecht sagt, was zu schützen ist und worauf ein Gast Anspruch hat. Die Norm liefert eine Art, den Schutz so zu führen, dass er sich nachweisen lässt. Dieser Band benutzt beide und hält sie auseinander.

Der Rechtsstand dieses Bandes

Dieser Band gibt das Recht in Deutschland, Österreich und der Schweiz mit dem Stand vom 27. September 2026 wieder. Jede Aussage über eine Frist, eine Schwelle oder eine Pflicht gilt zu diesem Datum und ist so zu lesen. Die folgende Übersicht nennt, was zu diesem Tag feststand und was in Bewegung war. Selten hat sich das Recht um eine Norm so dicht vor der Drucklegung bewegt wie hier: Das österreichische Gesetz zur Cybersicherheit trat vier Tage vor dem Stichtag in Kraft, die Meldepflichten des europäischen Gesetzes über die Cyberresilienz zwei Wochen vorher.   …

Leitfrage Fragen Sie drei Menschen an Ihrem Empfang, jeden für sich, was sie tun würden, wenn ein Anrufer vom Support des Buchungssystems sie bäte, den Code vorzulesen, der gerade auf ihrem Telefon angekommen ist. Zögert einer von ihnen, dann hat die Schulung, die sie letzten Monat abgeschlossen haben, sie gelehrt, einen Kurs zu beenden, aber nicht, den Hörer aufzulegen.

Eröffnung

Acht Tage nachdem das ganze Haus seine jährliche Sicherheitsschulung abgeschlossen hatte, las eine Rezeptionistin einem Fremden am Telefon einen sechsstelligen Code vor.

Das Hotel hat hundertsechzig Zimmer am Ortsrand von Mayrhofen im Zillertal, ein Haus mit Spa, das im Winter von den Skigebieten und im Sommer von den Wanderern lebt. Sein Personal ist so vielsprachig wie die Täler, in denen es arbeitet: Im Winter sprechen die Beschäftigten untereinander Deutsch, Ungarisch, Slowakisch, Rumänisch, Kroatisch und Bosnisch, einige Portugiesisch und Italienisch, und am Empfang mit den Gästen Deutsch, Englisch und Niederländisch. Die Direktorin, Barbara Kröll, nahm die Informationssicherheit ernst und hatte einen Onlinekurs eingeführt, fünfundvierzig Minuten lang, auf Deutsch und Englisch, den jeder Beschäftigte zu Beginn der Wintersaison absolvierte. In der Woche vor dem Vorfall hatte der Abschluss hundert Prozent erreicht, und sie hatte es der Eigentümerfamilie mit einigem Stolz berichtet.

Der Anruf kam an einem Samstag im Dezember um sieben Uhr abends an den Empfang. Der Anrufer sagte, er sei vom Support der Buchungsmaschine, über die Gäste auf der Website des Hauses direkt buchten und im Voraus bezahlten. Es gebe ein Problem mit dem Administratorkonto des Hauses, sagte er, in fließendem Deutsch, und er müsse es zurücksetzen, bevor die Buchungen des Abends betroffen seien. Die Rezeptionistin werde gleich einen Code auf ihr Telefon bekommen; ob sie ihn ihm vorlesen könne? Réka, die seit zwei Wintern im Haus war, zögerte, und dann las sie ihn vor. Der Anrufer bedankte sich und legte auf.

Mit dem Code schloss der Anrufer die Anmeldung auf den Verwaltungsseiten der Buchungsmaschine ab, mit einem Passwort, das er einige Tage zuvor über eine gefälschte Anmeldeseite aus dem Postfach der Reservierung erbeutet hatte. Er änderte das Bankkonto, auf das der Anbieter der Buchungsmaschine dem Haus das Geld auszahlte, das Gäste im Voraus bezahlt hatten. Zwei Wochen lang, in der Zeit zwischen Weihnachten und Neujahr, bis der Buchhaltung auffiel, dass die wöchentliche Auszahlung ausblieb, gingen rund hundertvierzigtausend Euro Umsatz des Hauses auf ein Konto im Ausland.

Als Barbara sich den Kurs ansah, fand sie, dass er Phishing-E-Mails mit Beispielen von Banken behandelte, die Bedeutung starker Passwörter und die Gefahren öffentlicher WLANs. Er erwähnte weder Telefonanrufe noch Bestätigungscodes, weder Buchungsmaschinen noch die besonderen Wege, auf denen Menschen versuchen, das Personal eines Hotels zu täuschen. Réka hatte das Quiz am Ende mit voller Punktzahl bestanden. Nichts darin hatte sie auf den Anruf vorbereitet, und nichts im Haus hatte ihr gesagt, dass kein echter Lieferant je nach einem Code fragt.

Der Kurs hatte sie über Banken belehrt, und niemand hatte ihr gesagt, dass kein echter Lieferant je nach einem Code fragt.

Das Problem

Der erste Fehler ist, wie das Bewusstsein gemessen wurde. Hundert Prozent Abschluss wurden als Erfolg berichtet, und sie waren ein genaues Maß für etwas: dass jeder Beschäftigte fünfundvierzig Minuten mit dem Kurs verbracht hatte. Sie sagten nichts darüber, ob sich irgendjemand um sieben Uhr abends, mit einem Anrufer in der Leitung, anders verhalten würde, und nur dafür ist Bewusstsein da.

Der zweite Fehler ist der Inhalt. Der Kurs war von einem Anbieter gekauft worden, der ihn Unternehmen jeder Art verkaufte, und seine Beispiele kamen aus Banken, Büros und dem Onlinehandel. Das Personal eines Hotels begegnet anderen Versuchen: Anrufern, die sich als Lieferanten, Buchungsplattformen oder Gäste ausgeben; Nachrichten, die aussehen, als kämen sie von einer Buchungsplattform; Gästen, die nach dem Zimmer eines anderen Gastes fragen; Besuchern, die sagen, sie würden erwartet. Ein Kurs, der die Versuche nicht beschreibt, denen das Personal begegnen wird, bereitet es nicht darauf vor, sie zu erkennen.

Der dritte Fehler sind Form und Sprache. Der Kurs war eine Folge von Folien und ein Quiz, auf Deutsch oder Englisch, allein an einem Bildschirm absolviert. Der Empfang lernt seine Arbeit durch Gespräche, durch Zusehen bei Kolleginnen und durch Gesagtbekommen, oft in der Sprache, die zu Hause gesprochen wird. Ein Kurs, der zu einer Büroangestellten am Schreibtisch passt, erreicht eine Rezeptionistin im Zillertal nur teilweise, eine Hausdame aus Siebenbürgen kaum und einen Abwäscher aus Bosnien gar nicht.

Der vierte Fehler ist die Häufigkeit. Der Kurs wurde einmal im Jahr absolviert, zu Beginn der Saison. Versuche, den Empfang zu täuschen, kommen jede Woche. Eine Botschaft, die einmal im Jahr überbracht wird, konkurriert mit einundfünfzig Wochen Arbeit, in denen nichts sie auffrischt, und wenn der Anruf kommt, ist der Kurs eine vage Erinnerung an Folien über Banken.

Der fünfte Fehler ist das Fehlen von Übung. Niemand im Haus hatte je einen Testanruf oder eine Testnachricht erhalten und danach freundlich gezeigt bekommen, was ihm entgangen war. Übung ist das, was Verhalten verändert. Zu wissen, was ein Täuschungsversuch ist, hilft wenig in dem Moment, in dem ein glaubwürdiger Mensch um Hilfe bittet. Der Kurs gab Wissen und keine Übung.

Der sechste Fehler ist, dass niemandem gesagt worden war, was das Haus und seine Lieferanten nie tun. Der Anbieter der Buchungsmaschine fragt nie am Telefon nach Codes. Der IT-Dienstleister bittet das Personal nie, auf Wunsch eines Anrufers Software zu installieren. Das Haus fragt Gäste nie am Telefon oder per E-Mail nach Kartendaten. Das sind einfache Sätze, und sie sind die wirksamste Verteidigung, die ein Haus seinem Personal und seinen Gästen geben kann, weil sie aus einer Beurteilung unter Druck eine Regel machen, die kein Urteil braucht. Sie waren nie ausgesprochen worden.

Der siebte Fehler ist eine Kultur der Hilfsbereitschaft ohne Erlaubnis zu prüfen. Réka zögerte, weil sich etwas falsch anfühlte. Sie las den Code vor, weil es unhöflich wirkt, einen Anrufer abzuweisen, der sagt, er wolle dem Haus helfen, und weil ihr niemand gesagt hatte, dass es nicht nur erlaubt, sondern erwartet war, das Gespräch zu beenden und den Lieferanten unter seiner bekannten Nummer zurückzurufen. In der Gastlichkeit ist Hilfsbereitschaft der Reflex. Ohne ausdrückliche Erlaubnis zu prüfen, wird sie gegen die Menschen verwendet, die sie haben.

Unter allen sieben liegt eine einzige strukturelle Tatsache. Bewusstsein ist nicht Wissen über Bedrohungen. Es ist Verhalten im Moment des Drucks, wenn ein glaubwürdiger Mensch um etwas bittet, das das Haus nie geben sollte. Dieses Verhalten entsteht aus bestimmten Regeln, oft wiederholt, in der Sprache und am Ort der Arbeit, geübt und gedeckt durch die ausdrückliche Erlaubnis der Führung, Nein zu sagen und zu prüfen.

Tabelle 1 — Was der Kurs behandelte, und was am Samstagabend geschah

Drei Zeilen der Tabelle waren im Kurs, und keine davon hat den Angriff aufgehalten. Die vier Zeilen, auf die es ankam, standen nicht darin. Das ist kein Versagen des Anbieters, der einen ordentlichen allgemeinen Kurs verkaufte. Es ist das Versagen der Annahme, ein allgemeiner Kurs könne das Personal eines Hotels auf die Angriffe vorbereiten, die ein Hotel treffen. Die Angreifer kannten die Buchungsmaschine, den Rhythmus der Wintersaison und die Hilfsbereitschaft eines Empfangs am Samstagabend. Der Kurs kannte nichts davon.

Das Prinzip

Eine kurze Liste der Dinge lehren, die das Haus nie tut, und sie üben, bis das Ablehnen ein Reflex ist. Die Liste ist dem Haus und jeder Rolle eigen: Wir lesen nie Codes vor; wir installieren nie Software auf Wunsch eines Anrufers; wir ändern nie Bankverbindungen, ohne unter einer bekannten Nummer zurückzurufen; wir bestätigen nie, wer bei uns wohnt; wir fragen Gäste nie am Telefon nach Kartendaten. Jeder Satz wird mit den Worten gelehrt, die man benutzt, jeden Monat in fünf Minuten bei der Schichtbesprechung wiederholt, gelegentlich mit Testanrufen und Testnachrichten geübt und gedeckt von der klaren Aussage der Direktion, dass es immer richtig ist, einen verdächtigen Anruf zu beenden und zu prüfen.   …