--- title: "Gemanagtes Hotelnetz: Saisonzugänge, VLANs und PCI DSS" description: "Namentliche PMS-Benutzer, VLANs für Gäste, Personal, Zahlungen und CCTV, PCI DSS ohne Fachjargon und Zugangssperre am Austrittstag. Unverbindlich." language: de url: https://www.dataroad-it.com/de/hotel-netzwerk-vlans-pci-dss-saisonpersonal/ source: https://www.dataroad-it.com/de/hotel-netzwerk-vlans-pci-dss-saisonpersonal/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Namentliche PMS-Benutzer, VLANs für Gäste, Personal, Zahlungen und CCTV, PCI DSS ohne Fachjargon und Zugangssperre am Austrittstag. Unverbindlich. # Gemanagtes Hotelnetz: Saisonzugänge, VLANs und PCI DSS Auf einen Blick Für Entscheider mit wenig Zeit. - 01 Ein persönlicher Nutzer pro Mitarbeitendem in jedem System; keine geteilten Konten an der Rezeption. - 02 Gäste, Team, Betrieb, Zahlungen und Kameras in getrennten VLANs, mit Regeln in der Firewall. - 03 Jedes Hotel, das Karten akzeptiert, fällt unter PCI DSS; Zugänge Ausscheidender am selben Tag schließen. ### In diesem Artikel Für die Leitung eines Hotels bringt die Hochsaison ein Risiko mit sich, das selten im Budget auftaucht: Dutzende neue Personen, die in wenigen Wochen Zugang zu den Systemen erhalten, und viele davon, die gehen, ohne dass ihnen jemand den Zugang entzieht. Kontrolle entsteht durch vier Entscheidungen, eine eigene Identität für jeden Mitarbeitenden, nach Funktion gestaltete Berechtigungen, ein segmentiertes Netzwerk und ein Austrittsprotokoll, das am selben Tag umgesetzt wird, auch wenn dieser Tag ein Sonntagabend ist. ## Wo liegt das Risiko in einem Hotel mitten in der Saison? In drei Merkmalen, die keine andere Branche in derselben Intensität vereint. - **Teams, die sich das ganze Jahr ändern** Rezeption, Housekeeping, F&B und Praktikanten kommen und gehen ständig, mit den größten Spitzen zwischen Frühjahr und Sommer. - **Ein Haus, das nie schließt** Es gibt Nachtschichten, Wochenenden und Feiertage, an denen niemand aus der IT im Gebäude ist. - **Verstreute kritische Informationen** Das PMS (die Hotelmanagement-Plattform mit Reservierungen und Gästedaten), die Kartenterminals, die Reservierungs-E-Mail, die Videoüberwachung und das WLAN. Das typische Symptom ist ein generischer Nutzer wie „rezeption1“, den das ganze Team teilt. Damit lässt sich nicht mehr nachvollziehen, wer eine Reservierung geändert, eine Stornierung vorgenommen oder die Akte eines Gastes geöffnet hat. Schlimmer noch: Wer gegangen ist und das Passwort kennt, hat die Tür von überall aus weiterhin offen. ## Welche Zugänge sollte jede Funktion haben? Der Ausgangspunkt ist einfach: ein persönlicher Nutzer pro Person in jedem System und nur die Berechtigungen, die der Arbeitsplatz erfordert. Eine Referenzmatrix: | Position | Im PMS | In der E-Mail | Bei Zahlungen | WLAN-Netz | | --- | --- | --- | --- | --- | | Rezeption (Saisonvertrag) | Check-ins, Check-outs und Reservierungsverwaltung | Greift mit eigenem Nutzer auf das gemeinsame Postfach der Rezeption zu | Kassiert am Terminal; kann nicht stornieren oder erstatten | Team | | Rezeptionsleitung | Zusätzlich Preise und Korrekturen | Persönliche Adresse | Kann stornieren und erstatten | Team | | Housekeeping und F&B | Zimmerstatus oder Buchung von Verzehr, falls nötig | Nur wenn begründet | Keine, oder nur das POS im Restaurant | Team | | Verwaltung und Direktion | Konfiguration und Berichte | Persönliche Adresse mit MFA-Schutz | Einsicht und Abgleich | Verwaltung | Die Matrix wird an das Organigramm jedes Hauses angepasst. Das Kriterium bleibt: minimal notwendige Berechtigung. ### Muss das Reservierungspostfach aufhören, ein gemeinsames Postfach zu sein? Nein. Die Adresse „reservas@“ oder „rececao@“ funktioniert wie immer. Der Unterschied liegt im Zugriff: Jeder Mitarbeitende meldet sich mit seinen eigenen Zugangsdaten an und erhält eine Delegation für dieses Postfach. Am Tag des Austritts wird die Delegation entfernt, Postfach und Verlauf bleiben, und kein Passwort ist von Hand zu Hand gegangen. Manche Zugangsdaten lassen sich nicht personalisieren, etwa die für das Portal eines Reiseveranstalters. Dafür ermöglicht ein [Passwort-Tresor für Unternehmen](https://www.dataroad-it.com/de/passwortmanager-unternehmen-team-tresore/), das Passwort zu nutzen, ohne es anzuzeigen, und den Zugang sofort zu entziehen. Für die Direktion und für E-Mail ist die [Zwei-Faktor-Prüfung (MFA)](https://www.dataroad-it.com/de/mfa-multi-faktor-authentifizierung-14-tage/) nicht optional. ## Wie werden Gäste, Team, Zahlungen und Videoüberwachung getrennt? Mit VLAN-Segmentierung. Über dieselbe Verkabelung und dieselben Access Points laufen mehrere logische Netze, die sich gegenseitig nicht sehen, wie Gebäudeflügel mit Sicherheitstüren dazwischen. Der Laptop eines Gastes bleibt auf seinen Flügel beschränkt und hat keinen Weg zum PMS, zu den Terminals oder zu den Kameras. Die Mindestkonfiguration, die wir für ein Hotel empfehlen, hat fünf Segmente: - **Gästenetz** Zugang zum Internet und zu nichts anderem. - **Teamnetz** Smartphones und Tablets des Personals, mit eigenem Passwort, das bei jedem Austritt erneuert wird. - **Betriebsnetz** PMS und Arbeitsplätze von Rezeption und Backoffice. - **Zahlungsnetz** Terminals und POS, mit auf das unbedingt Notwendige beschränkter Kommunikation. - **Videonetz** Isolierte Videoüberwachung, mit eingeschränktem und protokolliertem Zugriff auf die Aufnahmen. Die Regeln zwischen den Segmenten setzt die Firewall durch. Wie eine [von DataRoad verwaltete Firewall](https://www.dataroad-it.com/de/firewall-it-sicherheit-portugal/) funktioniert und was das Gästenetz bieten sollte, erklären wir unter [wie man das Business-WLAN und das Gästenetz schützt](https://www.dataroad-it.com/de/sicheres-wlan-gaestenetz-segmentierung/). ## Was verlangt PCI DSS von einem Hotel? PCI DSS bündelt die Sicherheitsanforderungen für Kartendaten, festgelegt vom PCI Security Standards Council, einer von den Kartennetzwerken gegründeten Organisation. Das Council stellt selbst klar, dass der Standard jede Organisation erfasst, die diese Daten speichert, verarbeitet oder überträgt, unabhängig von ihrer Größe. Karten zu akzeptieren genügt, um darunter zu fallen; wie die Konformität nachzuweisen ist, sofern gefordert, bestimmt die Bank, die die Terminals stellt. Übertragen auf den Hotelalltag lassen sich die Empfehlungen des Council für Händler auf vier Praktiken zusammenfassen: - **Starke, persönliche Zugangsdaten** in allen Systemen, die mit Zahlungen verbunden sind. - **Fernzugriff als Ausnahme**: nur bei Bedarf und immer mit MFA. - **Software stets aktuell**: Patches werden eingespielt, sobald sie verfügbar sind. - **Regelmäßige Prüfung der Terminals**: um physische Manipulationen zu erkennen. Die Zahlungen in einem eigenen Netz zu isolieren, verringert die exponierte Fläche. Die anderen drei Praktiken bleiben verpflichtend. ## Wie sieht das in einem realen Hotel aus? In der Baixa von Lissabon, zwischen Rossio und Restauradores, betreut DataRoad - IT Services and Consulting das Netzwerk von sechs Häusern: Ouro Rossio Hotel, LX Arch Rossio Hotel, Nicola Rossio Hotel, Rossio Plaza Hotel, BeHotel und BePoet Hotel. Das Gästenetz jedes Hauses ist vom Betrieb getrennt, sodass ein Gerät eines Gastes weder PMS noch POS, Videoüberwachung oder Backoffice-Arbeitsplätze erreicht. Das Video läuft in einem eigenen logischen Segment auf derselben physischen Verkabelung, und es wird protokolliert, wer die Aufnahmen einsieht. [Lernen Sie das Projekt in den sechs Häusern der Baixa kennen](https://www.dataroad-it.com/de/sechs-hotels-rossio-netzwerk-wlan-cctv/). Die [Referenz Ouro Rossio Hotel](https://www.dataroad-it.com/de/ouro-rossio-hotel-verwaltetes-netzwerk/) zeigt die Größenordnung: 6 Etagen, 30 Access Points, 55 Kameras und 10 Switches, mit einer Business-Firewall, die für die Segmentierung und die Datenverkehrskontrolle nach dem Profil jedes Nutzers verantwortlich ist. Nach Abschluss der Installation ging das Hotel in einen IT-Unlimited-Vertrag über. ## Welches Protokoll gilt bei Ein- und Austritten? ### Eintritt - **Schriftliche Genehmigung** Von der Direktion ausgestellt, mit Position und voraussichtlichem Enddatum. - **Nutzer im PMS** Persönlich, mit dem Profil der Position. - **E-Mail-Konto** Microsoft 365 oder vergleichbar, mit MFA, nur wenn die Position es erfordert. - **Delegation für das gemeinsame Postfach** Ohne Weitergabe von Passwörtern. - **WLAN des Teams** Und niemals das Betriebssegment. - **15-minütige Sensibilisierung** Phishing, Passwörter und wie man auf eine ungewöhnliche Anfrage reagiert. ### Austritt, immer am selben Tag - **Nutzer sperren** PMS und E-Mail deaktiviert, aktive Sitzungen beendet. - **Delegationen entfernen** Gemeinsame Postfächer und freigegebene Ordner. - **Tresor schließen** Zugänge zum Passwortmanager entzogen und der Person bekannte Passwörter erneuert. - **Passwort des Team-WLAN erneuern** Wenn es für alle gleich ist. - **Material einsammeln** Karten, Schlüssel, Alarmcodes und Geräte. - **Dokumentieren** Wann es erledigt wurde und von wem. Die Bedingung, die am häufigsten scheitert, ist „am selben Tag“. Ein Austritt in einem Hotel kann an einem Samstag um 23 Uhr erfolgen, und das Protokoll funktioniert nur, wenn es schriftlich vorliegt und der IT-Partner in diesem Moment erreichbar ist. Für genau diese Realität gibt es den [Plan Premium 365](https://www.dataroad-it.com/de/it-unlimited-premium-365-24-7/), mit Abdeckung nachts, an Wochenenden und Feiertagen. ## Häufige Fragen ### Ist ein eigener PMS-Nutzer für jede Rezeptionskraft möglich? Ja, bei den meisten professionellen PMS, die persönliche Nutzer mit Profilen unterstützen. Lässt Ihr System das nicht zu oder reichen die Lizenzen nicht, klären Sie das vor der nächsten Saison mit dem Anbieter. ### Reicht es, das Passwort des Gäste-WLAN jeden Monat zu ändern? Nein. Echter Schutz entsteht durch Segmentierung: Selbst wenn ein Gast das Passwort kennt, darf er keinen Weg zum PMS, zu den Terminals oder zur Videoüberwachung haben. ### Fällt ein kleines Hotel unter PCI DSS? Ja. Das PCI Security Standards Council nimmt niemanden aufgrund der Größe aus; wie die Konformität nachzuweisen ist, legt die Bank der Terminals fest. ### Wie lange dauert die Umsetzung? Persönliche Nutzer und Austrittsprotokoll sind in wenigen Tagen bereit. Die Segmentierung hängt vom aktuellen Netzwerk ab und kann eine Neukonfiguration von Firewall und Access Points erfordern, Arbeiten, die wir in die Zeiten mit dem geringsten Betrieb legen. ## Nächster Schritt: Audit von Zugängen und Netzwerk Ihres Hotels in 10 Werktagen Vor der nächsten Saison analysieren wir die Nutzer von PMS, E-Mail und WLAN, die Segmentierung und das Austrittsprotokoll und liefern die Korrekturen nach Priorität geordnet. Unverbindliches Angebot. Ab 10 Arbeitsplätzen · Wartungsvertrag · Support per Fernwartung, vor Ort und telefonisch. Sehen Sie, wie wir [IT und verwaltete Netzwerke für die Hotellerie](https://www.dataroad-it.com/de/hotel-it-wlan-netzwerke/) umsetzen. Rufen Sie +351 211 459 950 * an oder schreiben Sie an sales@dataroad.pt. **Anruf ins portugiesische Festnetz.* ## Quellen - Ressourcen für Händler des PCI Security Standards Council: [pcisecuritystandards.org](https://www.pcisecuritystandards.org/merchants/) Gewählt von renommierten und internationalen Unternehmen ★★★★★ 5,0 · 52 Google-Bewertungen ★★★★★ 5,0 · 52 Google-Bewertungen DataRoad ## Verwandte Artikel [Business-WLANWie viele Access Points braucht Ihr Business-WLAN?Zu viele Access Points verschwenden Budget, zu wenige lassen Räume ohne Signal. Wände, Dichte und Nutzung zählen so viel wie die Fläche, und…27. August 2026 · 2 Min. Lesezeit](https://www.dataroad-it.com/de/access-points-anzahl-wlan-dimensionierung/)[Business-WLANHotel-WLAN: von Gästebeschwerden zu GästelobEine Zwei-Sterne-Bewertung wegen WLAN bleibt jahrelang online. Ein gut geplantes Hotel-WLAN macht aus einem Beschwerdegrund ein Verkaufsargu…27. August 2026 · 2 Min. Lesezeit](https://www.dataroad-it.com/de/hotel-wlan-bewertungen-gaesteportal/)[Business-WLANWLAN-Ausleuchtung: messen, bevor Sie in Business-WLAN investierenEine Ausleuchtung misst die reale WLAN-Abdeckung eines Raums und zeigt, wie viele Access Points nötig sind und wo. Das ist der Unterschied z…27. August 2026 · 2 Min. Lesezeit](https://www.dataroad-it.com/de/wlan-site-survey-heatmap-messung/)[Business-WLANFunklöcher im Firmen-WLAN: messen, beheben, betreibenEin WLAN-Funkloch entsteht fast immer durch schlechte Netzplanung, nicht durch fehlende Hardware. Erst mit einem Site Survey messen, dann ge…27. August 2026 · 2 Min. Lesezeit](https://www.dataroad-it.com/de/wlan-funkloecher-site-survey-buero/)[Business-WLANHeimrouter oder Business-WLAN: die 5 entscheidenden UnterschiedeDer Router, der zu Hause funktioniert, ist ein einzelner Punkt für wenige Geräte. Im Büro nutzt Business-WLAN mehrere gemanagte Access Point…27. August 2026 · 2 Min. Lesezeit](https://www.dataroad-it.com/de/heimrouter-vs-business-wlan-buero/)[Business-WLANNearshoring in Portugal: Netzwerk und IT auf KonzernniveauWer mitten im Meeting mit New York die Verbindung verliert, gibt nicht dem Provider die Schuld, sondern zweifelt am Standort. Das Büro in Po…17. August 2026 · 2 Min. Lesezeit](https://www.dataroad-it.com/de/nearshoring-portugal-it-standard-zentrale/)[Business-WLANInstabiles Business-WLAN: die 7 Planungsfehler dahinterEin schlechtes WLAN scheitert selten aus Pech, sondern am Tag der Installation. Alle sieben Fehler haben denselben Ursprung: Ausleuchtung un…17. August 2026 · 2 Min. Lesezeit](https://www.dataroad-it.com/de/wlan-planungsfehler-sieben-fehler/)[Business-WLANManaged Firmen-WLAN: warum Installieren nicht reichtEin Netz ohne Verantwortlichen verschlechtert sich unbemerkt. Mit Managed WLAN zahlt man einen Festpreis und erhält einen Service, nicht nur…17. August 2026 · 2 Min. Lesezeit](https://www.dataroad-it.com/de/verwaltetes-wlan-laufende-betreuung/)[Business-WLANIndustrie-WLAN für Lager: ausgelegt auf den vollen BestandIn der Logistikhalle ist das WLAN die Produktionslinie. Ein volles Lager verhält sich anders als ein leeres, deshalb wird das Netz für den T…17. August 2026 · 2 Min. Lesezeit](https://www.dataroad-it.com/de/industrie-wlan-lager-fabrik/) Zahlen, die Sie prüfen können **11** Jahre am Markt **232** Kunden **< 10 Min.** durchschnittliche Reaktionszeit **15+** IT-Herstellerzertifizierungen **10+** Länder mit betreuten Kunden **5,0 ★** 52 Google-Bewertungen Transparenz ## Was viele Anbieter verschweigen, veröffentlichen wir. [Pläne und Preise ansehen →](https://www.dataroad-it.com/it-unlimited/) - **Preise offen** Essential ab 395 €/Monat zzgl. MwSt., Premium ab 750 € und Premium 365 ab 1.200 €. - **Keine Bindung** Jahresvertrag, keine Bindung und keine Einrichtungskosten. - **Alles schriftlich** Leistungsumfang und Preis, bevor Sie unterschreiben. - **Support ohne Stundenzählung** Remote und telefonisch in jedem Plan; Vor-Ort-Support ab Premium. Partner und Zertifizierungen DataRoad · Branchen ## One StepAhead of IT. Dieselbe Sorgfalt in jeder Branche, mit ihren eigenen Regeln: getrennte Netze, geschützte Daten und ein namentlich verantwortlicher Ansprechpartner. - **Top 5%** KMU · scoring.pt - **15+** IT-Herstellerzertifizierungen - **5 ★** bei Google · 52 Bewertungen We do **IT** right. DataRoad IT Unlimited ## Hängt Ihre IT von einer einzigen Person ab? Dokumentation, Inventar und ein Ansprechpartner, der für alles geradesteht. [Unverbindliches Angebot anfordern →](https://www.dataroad-it.com/de/#contact)+351 211 459 950 **Anruf ins portugiesische Festnetz · Mehr als 10 Arbeitsplätze · Supportvertrag · Remote-, Vor-Ort- und Telefonsupport[Unsicher, was Sie brauchen? Sprechen Sie mit dem Assistenten →](https://www.dataroad-it.com/de/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/de/hotel-netzwerk-vlans-pci-dss-saisonpersonal/