FTC geht gegen Marriott und Starwood vor

| Hotellerie Hotellerie

Die Federal Trade Commission (FTC) geht gegen Marriott International und deren Tochtergesellschaft Starwood Hotels & Resorts vor. Wie die Kommission mitteilte, wird sie von den Unternehmen die Implementierung eines robusten Programms zur Informationssicherheit verlangen. Dies soll die Vorwürfe beilegen, dass die Unternehmen es versäumt hätten, angemessene Sicherheitsmaßnahmen zu ergreifen. Dies habe zu drei großen Datenschutzverletzungen geführt, die mehr als 344 Millionen Kunden weltweit betrafen (Tageskarte berichtete).

In einem von der FTC angekündigten Vergleich haben Marriott und Starwood zugestimmt, allen US-Kunden eine Möglichkeit zu bieten, die Löschung persönlicher Daten zu beantragen. Darüber hinaus verpflichtet der vorgeschlagene Vergleich Marriott, auf Anfrage von Kunden Loyalitätskonten zu überprüfen und gestohlene Bonuspunkte wiederherzustellen.

In einer separaten Vereinbarung, die ebenfalls heute bekannt gegeben wurde, erklärte sich Marriott bereit, eine Strafe von 52 Millionen US-Dollar an 49 Bundesstaaten und den District of Columbia zu zahlen, um ähnliche Vorwürfe im Zusammenhang mit der Datensicherheit beizulegen. Die FTC und die Staaten arbeiteten bei der Untersuchung parallel zusammen. Die FTC hat in diesem Fall keine rechtliche Befugnis, zivilrechtliche Strafen zu verhängen.

„Die mangelhaften Sicherheitspraktiken von Marriott führten zu mehreren Datenschutzverletzungen, die Hunderte von Millionen Kunden betrafen“, sagte Samuel Levine, Direktor des FTC-Büros für Verbraucherschutz. „Die heutige Maßnahme der FTC in Zusammenarbeit mit unseren staatlichen Partnern wird sicherstellen, dass Marriott seine Datensicherheitspraktiken in Hotels weltweit verbessert.“

Sicherheitsfehler von Marriott und Starwood

Marriott verwaltet und lizenziert mehr als 7.000 Hotels in den USA und in mehr als 130 weiteren Ländern. Nach der Übernahme von Starwood im Jahr 2016 war Marriott für die Datensicherheitspraktiken beider Marken verantwortlich.

In einer Beschwerde erklärt die FTC, dass Marriott und Starwood Verbraucher getäuscht hätten, indem sie behaupteten, über angemessene Datensicherheitsmaßnahmen zu verfügen. Trotz dieser Behauptungen hätten die Unternehmen es unterlassen, angemessene Sicherheitsmaßnahmen zu ergreifen, um persönliche Informationen zu schützen. Die Beschwerde wirft den Unternehmen vor, keine geeigneten Passwort-, Zugriffs-, Firewall-Kontrollen oder Netzwerksegmentierungen zu implementieren, veraltete Software und Systeme nicht zu aktualisieren, Netzwerke nicht ausreichend zu protokollieren und zu überwachen sowie keine ausreichende Mehrfaktorauthentifizierung eingesetzt zu haben.

Die FTC behauptet, dass die Sicherheitsfehler von Marriott und Starwood zu mindestens drei separaten Datenschutzverletzungen führten, bei denen böswillige Akteure Passdaten, Zahlungskartennummern, Loyalitätsnummern, Geburtsdaten, E-Mail-Adressen und/oder persönliche Informationen von Hunderten von Millionen Verbrauchern erlangten.

Die erste Verletzung begann im Juni 2014 und betraf die Zahlungskarteninformationen von mehr als 40.000 Starwood-Kunden. Der Vorfall blieb 14 Monate unbemerkt, bis Starwood die Kunden im November 2015 benachrichtigte – nur vier Tage nach der Bekanntgabe der Übernahme durch Marriott.

Die zweite Verletzung begann im Juli 2014 und blieb bis September 2018 unbemerkt. In diesem Zeitraum erlangten böswillige Akteure Zugriff auf 339 Millionen Starwood-Gästekonten weltweit, darunter 5,25 Millionen unverschlüsselte Passnummern.

Die dritte Verletzung blieb von September 2018 bis Februar 2020 unentdeckt und betraf das Netzwerk von Marriott selbst. Hacker griffen auf 5,2 Millionen Gästekonten weltweit zu, darunter Daten von 1,8 Millionen Amerikanern. Die kompromittierten Datensätze enthielten eine erhebliche Menge persönlicher Informationen, darunter Namen, Postadressen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Loyalitätskontoinformationen.

Anforderungen des Vergleichs

Gemäß dem vorgeschlagenen Vergleich wird Marriott und Starwood untersagt, falsche Angaben dazu zu machen, wie sie persönliche Daten von Verbrauchern erfassen, verwalten, nutzen, löschen oder offenlegen. Weitere Bestimmungen des Vergleichs umfassen:

Datenminimierung: Die Unternehmen müssen eine Richtlinie implementieren, die sicherstellt, dass persönliche Daten nur so lange gespeichert werden, wie dies für den ursprünglichen Zweck erforderlich ist. Zudem müssen die Unternehmen den Grund für die Erfassung und die Notwendigkeit der Speicherung mitteilen.

Umfassendes Informationssicherheitsprogramm: Marriott und Starwood sind verpflichtet, ein umfassendes Informationssicherheitsprogramm zu etablieren, zu implementieren und dieses der FTC 20 Jahre lang jährlich zu bestätigen. Das Programm muss strenge Sicherheitsvorkehrungen beinhalten und alle zwei Jahre einer unabhängigen Überprüfung durch Dritte unterzogen werden.

Überprüfung des Loyalitätsprogramms: Die Unternehmen müssen eine Methode anbieten, mit der Verbraucher eine Überprüfung auf unbefugte Aktivitäten in ihren Marriott-Bonvoy-Loyalitätskonten anfordern können, und Marriott muss gestohlene Bonuspunkte wiederherstellen.

Datenlöschung: Die Unternehmen müssen einen Link zur Verfügung stellen, über den Kunden die Löschung persönlicher Daten beantragen können, die mit einer E-Mail-Adresse und/oder einer Loyalitätskontonummer verknüpft sind.


 

Zurück

Vielleicht auch interessant

Aiden by Best Western​​​​​​​ kommt nach Velbert: An der Autobahn zum Düsseldorfer Flughafen gelegen eröffnet nach 18 Monaten Bauzeit im Juli 2025 das neue Aiden by Best Western Velbert.

Die Hotel- & Restaurantvereinigung Relais & Châteaux begrüßt elf neue Mitglieder – und das in Europa, im Mittleren Osten, in Asien, in den USA, in der Karibik und in Mittelamerika.

Seit anderthalb Jahren steht das Hotel auf der Wartburg leer, was der Wartburg-Stiftung massive finanzielle Probleme bereitet. Die einst stabilen Pachteinnahmen sind versiegt, und eine angemessene Sanierungsrücklage wurde nie gebildet. Nun fehlt das Geld für dringend notwendige Investitionen, wie der MDR berichtet.

An der portugiesischen Atlantikküste entsteht ein neues Resort: Das Six Senses Comporta soll 2028 eröffnet werden. Auf dem 400 Hektar großen Anwesen, das bisher in Privatbesitz war, werden neben einem Hotel mit 70 Zimmern auch 58 Residenzen entstehen.

Zum vierten Mal in Folge kürt die Ferienhausplattform FeWo-direkt die Ferienhäuser des Jahres. Insgesamt elf Ferienhäuser werden 2025 ausgezeichnet, darunter sechs Unterkünfte in Deutschland.

In den vergangenen Wochen wurden die Bankett- und Eventbereiche des Holiday Inn Lübeck renoviert und Neuerungen eingeführt – immer mit dem Fokus auf Nachhaltigkeit. Auch die Mitarbeitenden haben ihre Ideen für Mobiliar und Design eingebracht.

Das Kimpton Main Frankfurt ist eröffnet. Unter der kreativen Leitung des Londoner Architekturbüros Waldo Works bringt das neue Hotel im Quartier FOUR Frankfurt Design und zeitgenössische Architektur in die Finanzmetropole.

Die DRIA GmbH setzt ihren Expansionskurs mit der Planung eines neuen Hotels in Homburg fort. Es ist das dritte Hotelprojekt des Unternehmens, ein viertes befindet sich noch in der Pipeline. Als Pächter konnte B&B Hotels gewonnen werden.

Die The Chocolate on the Pillow Group bringt mit der Eröffnung des Four Points Flex by Sheraton Bochum eine neue Hotelmarke erstmals nach Deutschland. Das bisherige GHOTEL hotel & living Bochum wird nach Neuausrichtung als erstes Hotel der Marke in Deutschland seine Türen öffnen. 

Der Grüne Bunker auf St. Pauli hat eine besondere Auszeichnung erhalten: Auf der internationalen Immobilienmesse MIPIM in Cannes wurde das Hamburger Projekt mit dem MIPIM Award in der Kategorie "Best Conversion". Das Gebäude beherbergt auch ein Hotel.