Wie Tourismus-Unternehmen die Passagierdaten schützen können Reisen in Zeiten der Abhöraffären

Wie gut sind Daten von Geschäftsreisenden und Touristen in Zeiten der Abhörskandale geschützt? Um ausreichende Sicherheit zu bieten, sollten Unternehmen und Dienstleister der Reiseindustrie strenge Sicherheitsstandards erfüllen und diese regelmäßig überprüfen lassen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Cohesity GmbH

„Schließen Sie die Sicherheitsgurte und stellen Sie Ihre Rückenlehne senkrecht.“ Wenn dieser Satz im Flugzeug ertönt, sind die Passagiere an Bord ein Stück weit für ihre eigene Sicherheit verantwortlich. Für die Sicherheit ihrer Daten sind aber schon viel früher Maßnahmen notwendig.

Lange vor dem Abflug haben Reisende ihr Profil mit Namen, Adresse, E-Mail, Telefonnummer und wahrscheinlich auch Kreditkartendetails online übermittelt. Wenn ein interkontinentaler Flug ansteht, mussten sie weitere Details wie Reisepass- und Visa-Informationen offenlegen. Die Daten sind also mindestens im Buchungssystem der Fluglinien und im globalen Distributionssystem hinterlegt.

Über letzteres fragen Reisebüros und andere Unternehmen der Tourismusbranche Vakanzen ab und erfassen sowie Kundendaten als auch Leistungen. Wenn der Reisende zusätzlich ein Hotel, einen Mietwagen oder andere Services bucht, werden die Daten mit weiteren Anbietern geteilt. Leider sind in all diesen Buchungssystemen Sicherheitslücken nie ausgeschlossen.

Wie können Touristen und Geschäftsreisende also wissen, dass ihre Daten diskret behandelt und nicht missbraucht werden? Wie können die bei Dienstreisen verantwortlichen Unternehmen die Daten ihrer Mitarbeiter schützen, wie es zum Beispiel die EU Privacy Directive 95/46/EC und andere lokale Gesetze vorschreiben? Sicherheitsstandards auf allen Ebenen sind hier das A und O.

Schutz vor Hacking-Attacken ist Pflicht!

Rechenzentren, auf deren Systemen personenbezogene Daten gespeichert und verarbeitet werden, sind immer wieder Ziel von Hackerangriffen. Um diesen zu trotzen, sind wirkungsvolle Maßnahmen zur Sicherheit auf Netzwerk-, Server- und Applikationsebene zu ergreifen.

Dies gilt insbesondere auch dann, wenn Reisenden ein mobiler Zugriff auf ihre Reiseinformationen ermöglicht wird. Ein Beispiel dafür ist die App TripIt, mit der Nutzer Reisepläne und aktuelle Fluginformationen via Smartphone und Tablet abrufen können.

Mehrstufige Firewall-Architekturen und Intrusion-Detection-Systemen sowie der Schutz vor Schadsoftware sind deswegen unerlässlich. Server und Datenbanken mit sensiblen Daten werden auf diese Weise komplett von Zugriffen über das Internet abgeschirmt und vor unautorisierten Zugriffen „von außen“ geschützt.

Vertraulichkeit dank Verschlüsselung

Für den Fall, dass trotz aller Vorsicht personenbezogene Daten entwendet werden, sollten diese immer sicher verschlüsselt werden. Concur, ein Unternehmen, das Software as a Service- (SaaS-) Lösungen im Bereich des Reisemanagements anbietet, verschlüsselt beispielsweise alle personenbezogene Daten, bevor sie gespeichert werden.

Besonders sicherheitskritische Daten werden mit256 Bit starken Schlüsseln kodiert, die für jedes Datum individuell sind. Selbst wenn es einem Hacker gelingen sollte, an sensible Daten aus der Datenbank zu kommen, wären diese unbrauchbar.

Organisatorische Maßnahmen zur Datensicherheit

Auch organisatorische Maßnahmen zur Datensicherheit müssen umgesetzt werden – zum Beispiel, um den Zugriff auf Daten durch Mitarbeiter zu beschränken. Zunächst sollte die physische Sicherheit in einem Rechenzentrum gewährleistet werden.

Dazu muss der Zugang zu Server-Umgebungen kontinuierlich kontrolliert werden – und zwar mithilfe von elektronischen Zutrittssystemen, Videoüberwachung und Alarmanlagen. Bei Concur hat darüber hinaus selbst das Personal, das für die Wartung und den Betrieb der SaaS-Lösung autorisiert ist, keinen Zugriff auf unverschlüsselte Kundendaten. Selbst deren verschlüsselte Speicherung auf Arbeitsplatzrechnern und Speichermedien ist strikt untersagt.

Außerdem sind Maßnahmen zum Datenschutz bei der Entwicklung von Software-Angeboten und der Erbringung von Services notwendig, bei denen der Umgang mit Daten von Reisenden unerlässlich ist. Sie müssen integraler Bestandteil von Arbeitsanweisungen und -abläufen sein, um alle wichtigen Sicherungsmaßnahmen zu berücksichtigen.

Standards stehen für Sicherheit

Die beschriebenen Sicherheitsmaßnahmen sind sehr komplex und von Unternehmen und besonders von Reisenden schwer einzuschätzen. Vorgaben dazu, wie persönliche Anwenderdaten sicher gespeichert und gehandhabt werden, sind in Form von Sicherheitsstandards auf internationaler Ebene etabliert worden. Sie bilden für Softwarehersteller und -betreiber Rahmenwerke, die regelmäßig von unabhängiger Stelle überprüft werden können.

Concurs Sicherheitsmaßnahmen sind nach ISO27001 zertifiziert, die Speicherung von sensiblen Daten entspricht darüber hinaus dem Standard PCI DDS, der von der Kreditkartenindustrie entwickelt wurde. Die Softwareentwicklung und die vom Unternehmen erbrachten Services sind außerdem nach ISO20000 und SOC1 (SSAE16) zertifiziert, um auch die Qualität der sicherheitsrelevanten internen Abläufe zu gewährleisten.

Die Einhaltung dieser Standards wird regelmäßig ein- bis zweimal pro Jahr von externen Auditoren überprüft und bestätigt. Alle neuen Mitarbeiter von Concur erhalten darüber hinaus Trainings zum Thema Sicherheitsbewusstsein. Ausgewählte Mitarbeiter erhalten diese Schulung jährlich, Entwickler unterziehen sich regelmäßig Trainings für die Entwicklung sicherer Software.

Zu Hause bleiben ist keine Alternative

Auch wenn Geschäftsreisende und Touristen durch die NSA-Affäre verunsichert sind, kann es keine Alternative sein, auf Reisen zu verzichten oder diese zu reduzieren. Neben neuen Gesetzgebungen, die gerade von der Europäischen Kommission verabschiedet werden, müssen Reise-Unternehmen mit Sicherheitsstandards und Tests beweisen, dass sie alles dafür tun, die sensiblen Daten der Anwender zu schützen.

Über die Autoren

Dr. Stefan Stille, Senior Technical Consultant

Dr. Stefan Stille ist zuständig für die Beratung von Kunden zu den Themen Datensicherheit, Datenschutz und Integration bei der Einführung der Cloud-basierten Travelmanagement Software von Concur.Dr. Stille ist bereits seit mehr als 20 Jahren in der IT-Branche tätig. In dieser Zeit hat er fundierte Erfahrungen bei verschiedenen Software-Firmen und Fertigungsunternehmen gesammelt. Im Jahr 2013 kam der Diplom-Informatiker zu Concur.

Adrian Higgins, Senior Technology Consultant

Adrian Higgins ist seit fünf Jahren für Concur tätig. Zu seinem Aufgabengebiet gehört es, die Datenintegrationsprozesse für Sales Teams, Kunden und potentielle Neukunden zu vereinfachen. Als Sicherheitsexperte versteht er es, seine Zielgruppen darüber zu unterrichten, wie Concur nicht nur Kunden-, sondern auch Anwenderdaten schützt.Vor seinem Start bei Concur hat Adrian Higgins die vorausgegangenen zehn Jahre damit verbracht, Sicherheitslösungen für Unternehmen und Konsumenten zu entwickeln und zu verkaufen: von Desktop Antivirus bis Security Incident und Event Management Lösungen.

(ID:42464703)