Ab Mai 2026 erzwingt Access Hospitality den sogenannten Trusted-Browser-Modus für alle Guestline-PMS-Installationen weltweit. Hintergrund: Phishing-Angriffe auf Hotel-Mitarbeitende nehmen branchenweit zu. Wer sein Guestline-System nicht rechtzeitig konfiguriert, riskiert den Zugriffsverlust.
Die Ansage ist klar: Guestline, das Property-Management-System von Access Hospitality, schaltet im Mai 2026 den Trusted-Browser-Secure-Mode für alle angeschlossenen Häuser verbindlich frei. Optional war das Feature bereits vorher, jetzt wird es Pflicht – für jede Site, jeden User, jeden Login.
Was Trusted Browsers konkret bedeuten
Das Konzept ist kein neues, aber im Hotelbetrieb noch längst nicht überall angekommen. Ein Trusted Browser funktioniert als zweiter Authentifizierungsfaktor: Der Mitarbeitende loggt sich nicht nur mit Nutzername und Passwort ein, sondern ausschließlich über einen vorab genehmigten Browser auf einem registrierten Gerät. Meldet sich jemand von einem unbekannten Gerät oder Browser aus an – etwa nach einem erfolgreichen Phishing-Angriff – blockiert das System den Zugang automatisch.
- Jeder Browser, der auf Guestline zugreifen soll, muss vorab als vertrauenswürdig registriert werden.
- Nicht registrierte Geräte oder Browser erhalten keinen Zugang – auch bei korrektem Passwort.
- Admins können über Guestline Rezlynx Verwaltungsrechte für Trusted-Browser-Einstellungen an bestimmte Nutzer delegieren.
- Ab Mai 2026: Secure Mode ist kein optionales Feature mehr, sondern systemweit erzwungen.
Warum gerade jetzt – und warum Hotels besonders gefährdet sind
Phishing ist in der Hotellerie kein Randproblem. Mitarbeitende an der Rezeption oder im Reservierungsbüro arbeiten unter Zeitdruck, wechseln häufig, und viele Betriebe verzichten auf strukturierte IT-Security-Schulungen. Das macht sie zu einem bevorzugten Ziel. Angreifer setzen auf täuschend echte E-Mails, die zur Eingabe von Login-Daten auffordern – oft mit dem Absender angeblicher Buchungsplattformen oder Lieferanten.
Haben Angreifer die Zugangsdaten, können sie ohne eine Gerätebeschränkung sofort auf das PMS zugreifen: Gästedaten, Zahlungsinformationen, interne Betriebsdaten. Der finanzielle und reputationelle Schaden ist erheblich. Genau diese Angriffsfläche schließt der Trusted-Browser-Ansatz.
Was Hotels jetzt tun müssen
Wer Guestline betreibt, sollte die verbleibende Zeit bis Mai 2026 konkret nutzen. Das ist kein Selbstläufer: Jeder Browser auf jedem Arbeitsgerät muss manuell registriert werden. Wer das verschläft, sperrt sich und sein Team aus dem eigenen System aus.
- Inventar aller Geräte erstellen, die auf Guestline zugreifen (Rezeption, Reservierung, Backoffice, mobile Geräte)
- Verwaltungsrechte für Trusted-Browser-Settings gezielt vergeben (Rezlynx-Rechteverwaltung nutzen)
- Alle relevanten Browser auf allen Geräten als vertrauenswürdig registrieren – vor dem Stichtag
- Mitarbeitende schulen: Was ist Phishing, woran erkenne ich gefälschte E-Mails?
- Prozess für neue Mitarbeitende und neue Geräte definieren (Onboarding-Routine anpassen)
- IT-Dienstleister oder Guestline-Support frühzeitig einbinden, wenn intern die Kapazität fehlt
Phishing in der Hotellerie: Ein strukturelles Problem
Die Entscheidung von Access Hospitality kommt nicht im Vakuum. Branchenweit berichten Hotels von einer spürbaren Zunahme gezielter Cyberangriffe. Besonders betroffen: Buchungs- und Check-in-Prozesse, über die sensible Gästedaten laufen. Phishing-Mails imitieren dabei häufig bekannte Buchungsplattformen oder interne IT-Benachrichtigungen – professionell gestaltet, schwer zu erkennen.
Das Muster ist immer ähnlich: Ein Mitarbeitender klickt auf einen Link, gibt seine Zugangsdaten ein, und der Angreifer übernimmt den Account. Ohne zusätzliche Sicherheitsschicht wie Trusted Browsers oder klassische Multi-Faktor-Authentifizierung (MFA) reicht ein einziges kompromittiertes Passwort, um ins System einzudringen.
Typische Einfallstore laut Branchenberichten:
- Phishing per E-Mail: Gefälschte Absender-Adressen, die interne IT oder Buchungsplattformen imitieren
- Credential Stuffing: Gestohlene Passwörter aus anderen Datenlecks werden automatisiert auf Hotel-Systemen ausprobiert
- Ungesicherte Shared Devices: Geteilte Rezeptionsrechner ohne Geräteregistrierung
- Hohe Fluktuation: Ehemalige Mitarbeitende mit nicht deaktivierten Accounts
Kein Sonderfall: Die gesamte Branche zieht nach
Guestline ist nicht das erste PMS, das Gerätesicherheit als Standard setzt. Systeme wie Mews oder Apaleo setzen schon länger auf rollenbasierte Rechtevergabe und empfehlen MFA aktiv. Der Unterschied: Access Hospitality macht daraus eine erzwungene technische Maßnahme – kein freundlicher Hinweis, kein optionales Häkchen, sondern ein harter Systemzwang.
Für Hotels mit mehreren Standorten oder wechselndem Personal ist das ein spürbarer Verwaltungsaufwand. Für die IT-Sicherheit ist es ein sinnvoller Schritt, der längst hätte Standard sein sollen.