Passwort-Manager für Hotels und Pensionen: Zugänge für jede Schicht

Ein Hotel führt seine Zugänge an zwei Stellen: Rezeption und Büro

Einen Teil der Zugänge braucht die Rezeption rund um die Uhr, auch nachts und am Wochenende. Der andere Teil liegt im Büro und hat mit Geld, Ämtern und Verträgen zu tun.

• Hotelsoftware: ein Benutzer für jede Rezeptionskraft und ein Administratorkonto, mit dem jemand Preise, Zimmerkategorien und Schnittstellen einstellt.
• Channel-Manager: Er spielt Verfügbarkeiten und Raten an alle angebundenen Portale aus. Wer hier angemeldet ist, kann die Preise auf allen angebundenen Kanälen auf einmal ändern.
• Partnerbereiche der Buchungsportale: Reservierungen, Nachrichten an Gäste, Antworten auf Bewertungen und die Bankverbindung für Auszahlungen.
• Haus und Technik: die Software zum Codieren der Zimmerkarten, Gäste-WLAN, Telefonanlage, Router, Hotel-TV, die Buchungsmaschine auf der eigenen Website.
• Geld und Ämter: Kundenportal des Kartenterminals, Lohnabrechnung, ELSTER, der Zugang für die monatliche Statistikmeldung und das Portal der Gemeinde für Kurbeitrag oder Beherbergungssteuer, wo es so etwas gibt.

Dazu kommen Konten, die nur eine Person kennt, weil sie sie vor Jahren angelegt hat: das Postfach info@, das Profil auf einer Bewertungsplattform, die Anmeldung beim Webhoster. Fällt diese Person mitten in der Saison aus, beantwortet niemand mehr die Anfragen im Postfach. Wie eine Vertretung im Ernstfall an solche Zugänge kommt, beschreibt der Ratgeber Notfallzugriff auf Firmenpasswörter.

Angriffe auf die Partnerkonten der Buchungsportale

Im Januar 2026 hat die österreichische Wirtschaftskammer Vorarlberg ihre Beherbergungsbetriebe vor einer Welle von Phishing-Angriffen gewarnt, die nach ihren Angaben durch Europa geht. Sie beschreibt unter anderem E-Mails mit Buchungsdetails an Mitarbeitende, deren Anhänge Schadsoftware enthalten und Zugangsdaten ausspähen. Mit den Daten für den Partnerbereich ändern die Täter Auszahlungskonto oder E-Mail-Adresse.

Die Verbraucherzentrale Hamburg schildert solche Fälle aus Sicht der Gäste: Nachrichten mit richtigem Namen, Buchungsnummer und Aufenthaltszeitraum, die zur erneuten Eingabe der Kreditkarte auffordern. Wie die Täter an die Buchungsdaten kamen, blieb dort offen.

Die Kammer rät, die Passwörter für Plattformen, Extranets und angebundene Systeme zu ändern, starke und unterschiedliche Passwörter zu nutzen und die Zwei-Faktor-Anmeldung einzuschalten, wo es sie gibt. An einer Rezeption, an der mehrere Leute dieselben Portale nutzen, brauchen Sie dafür eine gemeinsame Ablage, an die alle Schichten kommen. Mit dem Passwortgenerator der Apps legen Sie für jedes Portal ein langes, eigenes Passwort an, und die Kollegin ruft es im Tresor ab, statt es von einem Zettel abzutippen.

Bestätigungscodes, wenn die Chefin schon schläft

Kommt der Code für ein Portal per SMS, landet er auf dem Handy, dessen Nummer im Konto steht. Meist ist das die Person, die das Konto eingerichtet hat. Um 23 Uhr meldet sich der Nachtdienst an einem neuen Rechner an und wartet auf eine SMS, die im Schlafzimmer der Inhaberin ankommt.

Bietet der Dienst eine Authenticator-App an, legen Sie den geheimen Schlüssel beim Eintrag im Tresor ab. Dann sieht jeder, der die Sammlung öffnen darf, den gerade gültigen Code. SMS oder Anrufe kann kein Passwort-Tresor empfangen. Bleibt ein Portal bei der SMS, hängt der Code an der Rufnummer, und Sie brauchen ein Diensthandy an der Rezeption oder eine feste Absprache, wer nachts erreichbar ist.

Liegen Passwort und Code im selben Tresor, hängt der Schutz am Tresor selbst. Deshalb meldet sich jede Person mit eigenem Master-Passwort an, und wir richten die Zwei-Faktor-Pflicht für alle Mitarbeiter ein. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Mehr dazu im Ratgeber 2FA-Codes im Team teilen.

Meldeschein: seit 2025 nur noch für ausländische Gäste

Deutsche Gäste füllen seit dem 01.01.2025 keinen Meldeschein mehr aus, das Vierte Bürokratieentlastungsgesetz hat das Bundesmeldegesetz entsprechend geändert. Nach § 29 BMG unterschreiben ausländische Gäste weiterhin am Tag der Ankunft einen besonderen Meldeschein und weisen sich mit einem gültigen Dokument aus. Mitreisende Ehegatten, Lebenspartner und minderjährige Kinder stehen nur als Zahl darauf.

Stimmt der Gast zu, darf das Hotel die Daten elektronisch erheben. Der Gast bestätigt sie dann etwa mit einer Kartenzahlung mit starker Kundenauthentifizierung oder mit der Online-Ausweisfunktion. § 30 BMG schreibt vor, Meldescheine ab dem Abreisetag ein Jahr aufzubewahren und danach innerhalb von drei Monaten zu vernichten, für elektronisch erhobene Daten gelten dieselben Fristen. Wer elektronisch arbeitet, muss die Daten mit technischen und organisatorischen Maßnahmen nach der DSGVO schützen.

Meldedaten und Ausweisnummern Ihrer Gäste legen Sie deshalb in der Hotelsoftware ab und nicht im Tresor. Im Tresor liegt der Zugang zu diesem System, das Administratorkonto in einer Sammlung, die nur die Hotelleitung sieht. Nach § 30 Abs. 3 BMG kann Landesrecht für Kur- und Fremdenverkehrsbeiträge weitere Angaben zulassen, fragen Sie bei Ihrer Gemeinde nach. Dieser Text ist keine Rechtsberatung.

Die Monatsmeldung an das Statistische Landesamt

Ein Betrieb, der mindestens zehn Gäste gleichzeitig unterbringen kann, ist nach dem Beherbergungsstatistikgesetz jeden Monat auskunftspflichtig. Er meldet Ankünfte und Übernachtungen, bei Gästen aus dem Ausland getrennt nach Herkunftsland, und die angebotenen Betten. Häuser mit 25 oder mehr Gästezimmern geben außerdem belegte und angebotene Zimmertage an.

Online melden können Sie über IDEV, das Verfahren für Online-Erhebungen des Statistischen Bundesamts und der Landesämter. Beim Amt für Statistik Berlin-Brandenburg zum Beispiel kommen Kennung und Passwort per Post, selbst registrieren kann man sich dort nicht. Liegt dieser Brief nur im Ordner der Person, die immer meldet, fällt die Meldung in deren Urlaub aus. Legen Sie Kennung und Passwort in die Sammlung für das Büro und den Brief als Scan an den Eintrag.

So teilen Sie den Tresor im Hotel auf

Ein Tresor ist in Sammlungen gegliedert, und für jede legen Sie fest, wer sie sieht und ob jemand nur lesen oder auch ändern darf. Im Hotel folgt der Schnitt den Abteilungen und den Schichten.

Eigentümer und Administratoren der Organisation sehen zusätzlich alle Sammlungen. Für das Konto des Hauses gibt es keinen Eintrag im Tresor. Wer Überweisungen erledigt, lässt sich von der Bank einen eigenen Zugang mit Vollmacht einrichten, mehr dazu unter Onlinebanking für Mitarbeiter.

Den Vorschlag passen wir bei der Einrichtung an Ihr Haus an. Wie Sie Zugänge über den Tresor weitergeben statt per Messenger, erklärt der Ratgeber Passwörter im Team teilen. Was beim Kassensystem im Restaurant dazukommt, steht auf der Seite für die Gastronomie.

Schichtwechsel, Saisonkräfte und der letzte Arbeitstag

Am Empfang teilen sich drei Schichten einen Rechner. Jede Person meldet sich mit ihrem eigenen Konto in der App an und zum Schichtende wieder ab, so arbeitet die Frühschicht nie mit den Rechten des Nachtdienstes. Weil der Preis nicht an der Zahl der Nutzer hängt, bekommt auch die Aushilfe für sechs Wochen ein eigenes Konto. Der Verantwortliche im Hotel lädt sie per E-Mail ein.

Am Ende der Saison sperrt die Hotelleitung die Konten der Saisonkräfte. Der Tresor zeigt, welche Sammlungen jemand sehen konnte, und die Passwörter daraus sollten Sie ändern, allen voran einen gemeinsamen Benutzer „Rezeption“ in der Hotelsoftware, falls es ihn noch gibt. Die ganze Reihenfolge steht in der Checkliste für den Abschied eines Mitarbeiters.

Die Firma, die Ihre Schließanlage betreut, kann ein eigenes Konto bekommen, das nur die Sammlung Haustechnik sieht. Für einen einzelnen Zugang reicht ein sicherer Link aus dem Tresor: verschlüsselt und nur für eine begrenzte Zeit abrufbar.

Ein Beispiel: das Hotel garni am See

Ein erfundenes Haus mit 38 Zimmern, geöffnet von März bis November. Ein Inhaberpaar, drei feste Rezeptionistinnen, im Sommer fünf Saisonkräfte. Der Code für das wichtigste Buchungsportal ging an das Handy des Inhabers, der Brief mit der IDEV-Kennung lag im Schreibtisch seiner Frau, und das Passwort für die Hotelsoftware am Empfang klebte seit drei Saisons unter der Tastatur.

Heute sehen die Saisonkräfte die Sammlung Rezeption und dürfen dort nichts ändern. Die drei festen Kräfte öffnen zusätzlich die Portale, deren Codes über die Authenticator-Funktion im Tresor liegen. Büro und Ämter sehen nur die beiden Inhaber. Beide Inhaber sind Eigentümer der Organisation im Tresor. Den Notfallzugang hat das Paar seiner langjährigen Empfangschefin eingeräumt. Am letzten Tag im November sperrt die Inhaberin fünf Konten und ändert das WLAN-Passwort für das Personal.

Kosten für ein Hotel

Die Wartung kostet 16,99 € im Monat inkl. MwSt., egal ob drei oder dreißig Leute im Tresor arbeiten. Die Mindestlaufzeit beträgt 12 Monate, die Einrichtung ist enthalten. Den Server mietet Ihr Hotel selbst bei netcup, ab 3,69 € im Monat inkl. MwSt. Im Beispielhaus mit zehn Nutzern in der Saison sind das zusammen 20,68 € im Monat, rund 2,07 € pro Person. Das Angebot gilt nur für Unternehmer.

Gesichert wird der Tresor nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne das Paket sichern wir nicht, dann exportieren Sie den Tresor selbst verschlüsselt, wie wir es bei der Einrichtung zeigen. Hilfe im Alltag rechnen wir nach Aufwand ab, mit 74,99 € je Stunde inkl. MwSt. und je angefangener Viertelstunde.

Wer statt Zimmern einzelne Wohnungen vermietet, findet eine eigene Seite für Ferienwohnungs-Vermieter. Ob der Tresor zu Ihrem Haus passt, klären wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.

Anlaufstellen