Marriott und Starwood: Die Reservierungsdatenbank, die Marriott kaufte, und die Sicherheitswahrheit, die es erbte

Zusammenfassung

• Geerbte betriebliche Wahrheit:Der Eindringling gelangte Ende Juli 2014 in die Starwood-Umgebung, mehr als zwei Jahre bevor Marriott die Übernahme von Starwood am 23. September 2016 abschloss. Marriott hat den anfänglichen Kompromittierungsvorfall nicht verursacht. Nach dem Abschluss kontrollierte es jedoch ein Unternehmen, dessen noch betriebenes Reservierungssystem und globale Gästedatensätze als Marriott-Vermögenswerte verwaltet werden mussten, auch wenn die Legacy- und Marriott-Netzwerke getrennt blieben.
• Zeitplan und Umfang:Eine Datenbank-Überwachungswarnung wurde am 7. September 2018 generiert und am 8. September an Marriott weitergeleitet. Ermittler fanden am 17. September einen Trojaner für den Fernzugriff, identifizierten am 13. November gelöschte verschlüsselte Exportdateien, entschlüsselten am 19. November zwei Dateien, benachrichtigten am 22. November die britische Regulierungsbehörde und machten die Informationen am 30. November öffentlich. Marriotts anfängliche Obergrenze von 500 Millionen Gästen wurde zu einer Obergrenze von 383 Millionen Datensätzen, und später verwendeten Regulierungsunterlagen 339 Millionen weltweit; keine dieser Zahlen ist eine exakte Zählung einzelner Personen.
• Daten- und Kontrollfeststellungen:Die offengelegten Kombinationen umfassten Kontaktdaten, Geburtsdaten, Pass-Identifikatoren, Treuedaten, Reservierungs- und Aufenthaltsinformationen sowie Zahlungskartendaten. Das britische Information Commissioner's Office traf vier wesentliche Feststellungen nur für den GDPR-Zeitraum: unzureichende Überwachung privilegierter Konten, unzureichende Datenbanküberwachung, unzureichende Kontrolle kritischer Systeme und Versäumnis, alle Passnummern zu verschlüsseln. Es traf keine abschließenden Feststellungen gemäß GDPR-Artikel 33 oder 34 und schloss die unvollständige Abdeckung der Multi-Faktor-Authentifizierung nach Prüfung von Marriotts Stellungnahmen von der Strafe aus.
• Rechenschaftspflicht nach der Durchsetzung:Die ICO verhängte im Jahr 2020 eine Strafe von 18,4 Millionen Pfund. Im Jahr 2024 erzielten die Generalstaatsanwälte der Bundesstaaten einen Vergleich in Höhe von 52 Millionen Dollar, und die Federal Trade Commission erließ eine 20-jährige Anordnung, die Sicherheitsgovernance, Bewertung erworbener Unternehmen, Überwachung, Zugriff, Härtung, Kryptografie, Datenaufbewahrung und unabhängige Bewertung umfasst. Marriott hat weder im ICO-Verfahren noch im Vergleich mehrerer Bundesstaaten eine Haftung anerkannt. Diese verfahrensrechtlichen Grenzen sind wichtig, schmälern jedoch nicht die betriebliche Lehre: Eine Übernahme schließt ein Rechtsgeschäft ab; sie bescheinigt nicht die Wahrheit der erworbenen Umgebung.

Das Vermögen war ein Unternehmen, eine Datenbank und eine unvollendete Sicherheitsgeschichte

Marriott gab seine Vereinbarung zur Übernahme von Starwood am 16. November 2015 bekannt. Vier Tage später legte Starwood einen separaten Zahlungskartenvorfall offen, der Point-of-Sale-Systeme in einer begrenzten Anzahl nordamerikanischer Hotels betraf. Starwoods Jahresbericht 2015 sagte, dass Malware Restaurant-, Geschenkartikel- und andere Point-of-Sale-Systeme erreicht hatte; es gab zu diesem Zeitpunkt keinen Hinweis darauf, dass das Reservierungs- oder Starwood Preferred Guest-System betroffen war. (Starwood 2015 Form 10-K)

Diese Offenlegung war keine Mitteilung über den später von Marriott bekannt gegebenen Einbruch in die Reservierungsdatenbank. Die beiden Vorfälle betrafen unterschiedliche Systeme und öffentliche Konten. Es war jedoch ein Hinweis darauf, dass Starwoods Umgebung eine Sicherheitsgeschichte hatte. Die Beschwerde der Federal Trade Commission von 2024 besagt, dass der Point-of-Sale-Kompromittierungsvorfall etwa 14 Monate dauerte, mehr als 40.000 Verbraucher betraf und mit unzureichender Segmentierung, Zugriffskontrollen, nicht unterstützter Software und fehlender Multi-Faktor-Authentifizierung verbunden war. Dieselbe Beschwerde besagt, dass Marriott Starwoods Informationssicherheitsprogramm in den zehn Monaten zwischen Ankündigung und Abschluss überprüfte, einschließlich der mit diesem ersten Vorfall verbundenen Mängel. Diese Aussagen sind FTC-Behauptungen in einer Zustimmungsangelegenheit, keine Feststellungen aus einem streitigen Verfahren. (FTC-Beschwerde)

Marriotts Darstellung fügt eine wichtige Einschränkung hinzu. In einer Aussage vor einem US-Senatsunterausschuss im Jahr 2019 sagte der damalige Chief Executive Arne Sorenson, dass Marriott Informationen über Starwoods Technologie erhalten und die Integration in der Zeit vor dem Abschluss bewertet habe, die Untersuchung jedoch rechtlich und praktisch eingeschränkt war, da die Unternehmen weiterhin Wettbewerber waren. Marriott beschloss, seine eigene Reservierungsplattform zu behalten und Starwoods auszumustern. Die Verlagerung von 1.270 Hotels ohne Unterbrechung der Reservierungen dauerte zwei Jahre, sodass das Starwood-System nach dem Abschluss weiterbetrieben wurde, während Marriott nach eigenen Angaben in zusätzliche Sicherheit investierte. (Sorenson Senatsaussage)

Beide Tatsachen können wahr sein. Der Zugang vor dem Abschluss kann eingeschränkt sein, und ein Käufer kann dennoch ein lebendiges Kontrollproblem erben. Der Fehler besteht darin, die Due Diligence als einmaliges Zertifikat zu behandeln, anstatt als eine Änderung der Beweislast. Vor dem Abschluss fragt der Käufer, was er rechtmäßig prüfen kann, was der Verkäufer zusichert und welchen vertraglichen Schutz er benötigt.

Nach dem Abschluss kann der Eigentümer privilegierte Identitäten erneut validieren, Protokollierung prüfen, nach Persistenz suchen, Datenbankexporte kartieren, Segmentierung testen, kryptografische Methoden inventarisieren und entscheiden, ob ein Altsystem weiterhin personenbezogene Daten verarbeiten darf. Die Autorität ändert sich. Das muss auch die Evidenz.

Marriott schloss die Übernahme am 23. September 2016 ab. Starwood wurde eine indirekte hundertprozentige Tochtergesellschaft, und die kombinierte Gruppe beschrieb fast 6.000 Hotels, mehr als 1,1 Millionen Zimmer und 30 Marken in 120 Ländern und Territorien. (Marriott Übernahme Form 8-K) Der Umfang ist nicht als Spektakel relevant, sondern als Karte der Abhängigkeiten. Eine Reservierungsdatenbank war keine periphere Büroanwendung. Sie verband Hotels, Kontaktzentren, Treueprozesse, Gästeservice und Reisedaten in einem globalen Franchise- und Verwaltungssystem.

Die öffentlichen Unterlagen legen auch ein schmales, aber wichtiges Architekturfakt fest. Die ICO stellte fest, dass die vom Angreifer angegriffenen Systeme vom breiteren Marriott-Netzwerk getrennt blieben. Sie sagte, der Angriff habe keinen Zugriff auf personenbezogene Daten ermöglicht, die nur auf Nicht-Starwood-Systemen verarbeitet wurden. Die Trennung begrenzte daher den Explosionsradius. Sie machte die erworbene Umgebung nicht sicher. Die Starwood-Seite blieb in der Produktion, und Trennung ohne effektive Überwachung kann einen Eindringling ebenso leicht bewahren wie eindämmen.

Zeitplan: Eintritt, Eigentum, Erkennung und Offenlegung sind unterschiedliche Daten

Der Vorfall wird oft auf den Satz "unbefugter Zugriff seit 2014" komprimiert. Dieser Satz verliert die für die Rechenschaftspflicht erforderliche Abfolge. Mindestens sechs Uhren sind wichtig: der anfängliche Einbruch, die Übernahme durch Marriott, der Beginn der GDPR-Abdeckung, die Warnung, die Bestätigung, dass Gästedaten betroffen waren, und die öffentliche Offenlegung.

Juni 2014 bis 2015: ein separater Starwood-Zahlungskartenvorfall.Die spätere FTC-Beschwerde beschreibt einen 14-monatigen Einbruch, bei dem ein Angreifer das Starwood-Netzwerk erreichte und Malware zur Zahlungskartenerfassung an mehr als 100 eigenen oder verwalteten Hotels installierte. Starwood legte im November 2015 ein engeres Point-of-Sale-Ereignis auf Immobilienebene offen und sagte, dass seine Gästereservierungs- und Treuesysteme nicht als betroffen angezeigt wurden. Dieses frühere Ereignis ist relevant, weil es Netzwerkschwächen in den Übernahmekontext stellt. Es sollte nicht rückwirkend mit dem Datenbankeinbruch zusammengelegt werden, als ob jedes Fakt oder jeder betroffene Verbraucher identisch wäre.

28.–29. Juli 2014: Eintritt in die Umgebung, die später mit dem Reservierungseinbruch in Verbindung gebracht wurde.Die FTC-Beschwerde datiert die Kompromittierung eines außenwirksamen Webservers auf den oder um den 28. Juli. Die ICO-Strafmitteilung sagt, dass am 29. Juli eine Web-Shell auf einem Gerät installiert wurde, das eine von Starwood-Mitarbeitern verwendete Anwendung zur Anforderung von Website-Inhaltsänderungen unterstützt. Die Shell ermöglichte Fernzugriff und die Installation von Trojanern für den Fernzugriff. Der Unterschied von einem Tag spiegelt die Genauigkeit zweier öffentlicher Rekonstruktionen wider, nicht unbedingt einen faktischen Widerspruch. Die sichere Schlussfolgerung ist Ende Juli 2014.

Der Eindringling sammelte privilegierte und Benutzer-Anmeldeinformationen und bewegte sich durch die Starwood-Umgebung. Die FTC behauptete, dass Keylogger, Memory-Scraping-Malware und Trojaner für den Fernzugriff schließlich auf mehr als 480 Systemen an 58 Unternehmens-, Rechenzentrums-, Kontaktzentrums- und Hotelstandorten auftauchten. Die ICO beschrieb die Verwendung legitimer Konten, Mimikatz-Anmeldeinformationsextraktion und den Export ganzer Datenbanktabellen in Dump-Dateien.

Keiner der Datensätze veröffentlicht den zugrunde liegenden forensischen Bericht, eine vollständige Liste der betroffenen Hosts oder die genaue Schwachstelle, die den öffentlich zugänglichen Server erstmals ausnutzbar machte.

November 2015: Marriott gibt den Deal bekannt; Starwood legt den anderen Vorfall offen.Dies ist der Moment, in dem das vererbte Cyberrisiko als Transaktionsproblem sichtbar wurde. Es enthüllte nicht den versteckten Reservierungsangreifer. Es gab dem Käufer jedoch Grund, technische Zusicherungen, Abhilfebehauptungen, Zahlungskarten-Compliance und Netzwerksegmentierung als Vorschläge zu behandeln, die nach dem Kontrollwechsel einer unabhängigen Überprüfung bedürfen.

23. September 2016: Marriott schließt die Übernahme ab.Der Reservierungseindringling war bereits anwesend. Marriott sagt, es habe Sicherheitsverbesserungen vorgenommen, während es das Starwood-System weiterbetrieb, bis zur Migration. Die ICO vermerkt, dass die beiden Netzwerke während des relevanten Zeitraums getrennt blieben. Die FTC behauptete später, dass Marriott nach dem Abschluss für die Einrichtung, Überprüfung und Umsetzung von Sicherheitspraktiken für beide Unternehmen verantwortlich war.

25. Mai 2018: Die GDPR wird anwendbar.Dieses Datum definiert die rechtliche Reichweite der ICO-Entscheidung. Der Angriff begann Jahre zuvor, aber die Strafmitteilung befasste sich mit Marriotts Verarbeitung vom 25. Mai bis 17. September 2018. Die ICO sagte ausdrücklich, dass sie keine Feststellung eines Verstoßes für den Zeitraum zwischen dem Erwerb und der Anwendbarkeit der GDPR trifft und auch nicht entscheidet, ob während der Übernahme eine tiefere Sorgfalt möglich gewesen wäre. Diese Grenze ist wesentlich. Die ICO nutzte das geerbte System, um Marriotts fortlaufende Verantwortlichkeiten als Verantwortlicher nach Inkrafttreten der GDPR zu bewerten, nicht um eine rückwirkende GDPR-Haftung für das Verhalten von 2014 oder 2016 zu erfinden. (ICO Strafmitteilung)

7.–8. September 2018: eine Zählabfrage generiert eine Warnung.Am 7. September fragte ein Administratorkonto die Zeilenanzahl einer geschützten Gästeprofil-Tabelle ab. IBM Guardium generierte eine Warnung. Accenture, die die Starwood-Gästereservierungsdatenbank verwaltete, kontaktierte am 8. September Marriotts IT-Team. Marriott erfuhr, dass die Person, deren Anmeldeinformationen verwendet wurden, die Abfrage nicht durchgeführt hatte. Die Warnung betraf eine Tabelle, die überwacht wurde, weil sie Kartendaten enthielt; die ICO sagte, dass andere Tabellen ohne Zahlungskartendaten keine entsprechenden Warnungen hatten.

Dies war die Erkennung einer anomalen Aktion, nicht sofortiges Wissen über den gesamten Vorfall. Die Abfrage gab eine Anzahl zurück, keinen Zeileninhalt. Derselbe Tag wurde später in der ICO-Analyse, wann Marriott für Benachrichtigungszwecke nach Artikel 33 Kenntnis von einer personenbezogenen Datenverletzung hatte, bestritten. Nach Prüfung von Marriotts Stellungnahmen traf die ICO keine abschließende Feststellung eines Verstoßes gegen Artikel 33.

9.–12. September: Incident Response und fortgesetzte Angreiferaktivität.Marriott aktivierte seinen Informationssicherheits- und Datenschutz-Notfallplan um den 9. oder 10. September und zog am 10. September externe Ermittler hinzu. Die ICO sagt, dass an diesem Tag eine weitere passtabelle in eine Dump-Datei exportiert wurde. Am 12. September begann Marriott mit der Bereitstellung von Echtzeitüberwachung und forensischen Tools auf rund 70.000 Legacy-Starwood-Geräten. Die Tatsache, dass ein Datencxport nach der ersten Warnung erfolgte, ist wesentlich; es zeigt, warum Warnungsgenerierung, Analysteneskalation, Eindämmung und Beseitigung getrennt gemessen werden müssen.

15.–18. September: Anmeldeinformationen, Malware und Governance-Eskalation.Ermittler identifizierten unbefugte Aktivitäten unter Verwendung von Anmeldeinformationen von Accenture-Mitarbeitern aus dem Juli. Sie fanden am 17. September einen Trojaner für den Fernzugriff und blockierten Command-and-Control-Adressen. Sorenson sagte aus, dass er an diesem Tag informiert wurde und der Vorstand am 18. September benachrichtigt wurde. Die ICO wählte den 17. September als Ende des Verstoßzeitraums für ihre Strafanalyse, weil der Trojaner an diesem Tag identifiziert und eingedämmt wurde, nicht weil jede forensische Frage geklärt war.

Oktober 2018: Der historische Einbruch wird sichtbar.Ermittler fanden Beweise für Mimikatz und Memory-Scraping-Malware und verfolgten die unbefugte Präsenz bis Juli 2014 zurück. Marriott kontaktierte das FBI am 29. Oktober. In diesem Stadium hatten die Ermittler laut der Senatsaussage des Unternehmens Beweise für einen langen Einbruch, aber noch keine Beweise dafür, dass auf Gästedaten in der Reservierungsdatenbank zugegriffen wurde.

13.–19. November: Gelöschte Dateien werden zu Beweisen für den Gästedatenexport.Am 13. November fanden Ermittler Spuren von zwei komprimierten, verschlüsselten und gelöschten Dateien. Sie entschlüsselten sie am 19. November und fanden Exporte von Gästeprofil- und passtabellen. Dies war das Datum, an dem Marriott nach eigenen Angaben feststellte, dass die Dateien personenbezogene Informationen aus der Starwood-Gästereservierungsdatenbank enthielten. Die Unterscheidung zwischen der September-Anomalie und der November-Bestätigung erklärt die Ermittlungsverzögerung, ohne selbst zu beweisen, dass jede Benachrichtigungsentscheidung rechtzeitig war.

22.–30. November: Regulierungsmitteilung und öffentliche Offenlegung.Marriott benachrichtigte die ICO am 22. November. Es fand Beweise für zusätzliche historische Tabellenkopien am 25. und 26. November, benachrichtigte Zahlungskartennetzwerke und eine Reihe von Behörden und gab den Vorfall am 30. November öffentlich bekannt. Seine erste Mitteilung sagte, dass die Datenbank in den Vereinigten Staaten stand und Aufzeichnungen über Reservierungen in Starwood-Hotels am oder vor dem 10. September 2018 enthielt. (Marriott Vorfallmitteilung November 2018)

18.–31. Dezember 2018: Stilllegung.Sorenson sagte, Marriott habe die Starwood-Gästereservierungsdatenbank am 18. Dezember für den Geschäftsbetrieb nicht mehr genutzt. Marriotts Januar-Update beschrieb die Ausphasung als bis Jahresende wirksam. Die Stilllegung beendete ihre Rolle bei Live-Reservierungen, aber eine sichere Stilllegung erfordert auch die Entsorgung von Kopien, Anmeldeinformationen, Schlüsseln, forensischen Bildern, Backups und rechtlichen Verfügungen. Die öffentlichen Unterlagen enthalten kein vollständiges Vernichtungsprotokoll.

2019–2020: Umfangsänderungen und eine endgültige UK-Strafe.Marriott revidierte seine Zahlen im Januar und in seinem Jahresbericht. Die ICO gab im Juli 2019 eine Absichtserklärung heraus, die 99.200.396 Pfund vorschlug. Nach schriftlichen Stellungnahmen von Marriott, Konsultationen mit anderen europäischen Behörden, einer Minderungsanalyse und einer COVID-19-Anpassung betrug die endgültige Strafe am 30. Oktober 2020 18,4 Millionen Pfund. Marriott sagte, es werde kein Rechtsmittel einlegen, gab jedoch keine Haftungsanerkennung. (Marriott Antwort auf die endgültige ICO-Entscheidung)

April 2024: Eine fünf Jahre alte kryptografische Beschreibung ändert sich.Marriott fügte ein Update zu seinen Mitteilungen von 2018 und 2019 hinzu: Zahlungskartennummern und einige Passnummern, die es als mit AES-128-Verschlüsselung geschützt beschrieben hatte, waren stattdessen mit SHA-1 geschützt. Diese Korrektur ändert nichts an der Tatsache des unbefugten Zugriffs. Sie ändert, wie Leser die alten Aussagen über Verschlüsselung und Schlüssel interpretieren sollten.

Oktober–Dezember 2024: Parallele US-Lösungen werden durchsetzbar.Eine Koalition von 50 Generalstaatsanwälten kündigte einen Vergleich in Höhe von 52 Millionen Dollar an, der 131,5 Millionen US-bezogene Gästedatensätze und langfristige Sicherheitsvorkehrungen abdeckt. Die FTC kündigte im Oktober einen parallelen Zustimmungsvergleich an und schloss ihre Entscheidung und Anordnung am 20. Dezember ab. Die FTC-Angelegenheit betraf drei Verstöße von 2014 bis 2020, sodass nicht jede Behauptung oder Abhilfemaßnahme in diesem Verfahren ausschließlich dem Starwood-Reservierungsvorfall zuzuordnen ist.

2025–2026: Privatklagen bleiben eine separate Spur.Im Juni 2025 bestätigte der Vierte Gerichtsbezirk eine Class-Action-Verzichtserklärung und hob die Zertifizierung von Klassen gegen Marriott auf; er entschied nicht über die zugrunde liegenden Vorwürfe nach einem Gerichtsverfahren. (Vierte Gerichtsbezirk Stellungnahme) Marriotts Form 10-K, eingereicht am 10. Februar 2026, sagt, dass einige Kläger individuelle Klagen in New York eingereicht haben, Mediationsgespräche im Bundes-MDL fortgesetzt wurden, die kanadischen Angelegenheiten effektiv in Ontario konsolidiert wurden und Marriott die Vorwürfe bestreitet. (Marriott 2025 Form 10-K)

Die Zahlen sind Datensätze, Personen, Regionen und Verfahrenspopulationen

Keine einzelne Vorfallzahl kann sicher für jeden Zweck stehen. Marriotts Schätzungen änderten sich, als Ermittler Tabellen deduplizierten und klassifizierten. Regulierungsbehörden und Gerichte verwendeten später unterschiedliche Populationen, die an ihre Zuständigkeit oder ihr Verfahren gebunden waren.

Der Unterschied zwischen einem Datensatz und einer Person ist keine redaktionelle Haushaltsführung. Ein Gast kann mehrere Aufenthalte, Adressen, Begleitpersonen, Treueeinträge oder duplizierte Profile haben. Verschiedene Tabellen können dieselbe Person auf inkonsistente Weise identifizieren. Marriott teilte dem Senat mit, dass es nicht sicher entscheiden könne, ob übereinstimmende oder ähnliche Namen und Adressen zu einer Person oder mehreren gehörten.

Ein vertretbares Dateninventar sollte genug von diesem Identitätsproblem vor einem Vorfall lösen, nicht erst während der Benachrichtigung entdecken, dass es nicht angeben kann, wie viele Personen es verwaltet.

Die Kategorien variierten ebenfalls. Marriotts erste Mitteilung sagte, dass etwa 327 Millionen Datensätze eine Kombination aus Name, Postanschrift, Telefonnummer, E-Mail-Adresse, Passnummer, Starwood Preferred Guest-Informationen, Geburtsdatum, Geschlecht, Ankunfts- und Abreiseinformationen, Reservierungsdatum und Kommunikationspräferenzen enthielten. Einige enthielten Zahlungskartennummer und -ablaufdatum. Der Rest wurde als Name plus, in einigen Fällen, ein weiteres Feld wie Adresse oder E-Mail beschrieben. "Irgendeine Kombination" ist eine Warnung davor, jedes aufgeführte Feld als für jeden Gast vorhanden zu betrachten.

Die tabellarische Darstellung der ICO fügt betriebliche Details hinzu. Eine Reservierungsteilungstabelle enthielt Gast- und Treuekennungen, VIP-Flags, Passland und -nummer, Ankunfts- und Abreiseinformationen, Kontaktdaten, Flugnummer, Fluggesellschaftscode, Check-in-Status und die Anzahl der Gäste in einem Zimmer. Eine andere Tabelle enthielt Zimmertyp, Anzahl der Erwachsenen und Kinder und angeforderte Kinderbetten oder Zusatzbetten. Diese Felder können den Haushalts- und Reisekontext offenbaren, selbst ohne finanzielle Berechtigungsnachweise.

Pass- und Zahlungskartenzahlen bewegten sich ebenfalls. Marriotts Update vom 4. Januar 2019 listete etwa 5,25 Millionen unverschlüsselte Passnummern und 20,3 Millionen damals als verschlüsselt beschriebene Passnummern auf. Es listete etwa 8,6 Millionen damals als verschlüsselt beschriebene Zahlungskarten auf, von denen 354.000 im September 2018 nicht abgelaufen waren, und weniger als 2.000 15- oder 16-stellige Werte in anderen Feldern, die unverschlüsselte Kartennummern sein könnten. (Marriott Januar 2019 Update)

Bis zum Form 10-K 2018 und der März 2019 Aussage verwendete das Unternehmen etwa 18,5 Millionen geschützte Passnummern, 9,1 Millionen geschützte Zahlungskarten und 385.000 Karten, die bis September 2018 nicht abgelaufen waren. Es sagte, dass die Daten einige tausend unverschlüsselte Zahlungskartennummern enthalten könnten. Der Jahresbericht verbuchte auch 28 Millionen Dollar an Vorfallkosten für 2018, teilweise ausgeglichen durch 25 Millionen Dollar an aufgelaufenen Versicherungserstattungen; diese Buchhaltungseinträge messen Reaktionskosten, nicht Gästeschaden. (Marriott 2018 Form 10-K)

Die korrekte Darstellung ist daher eine Menge begrenzter Schätzungen, kein Wettbewerb, um die größte oder neueste Zahl zu wählen. Es ist auch wichtig, Unsicherheit in beide Richtungen zu erhalten. Doppelte Datensätze machen die Anzahl der eindeutigen Personen niedriger als die Gesamtzahl der Datensätze. Unbekannte oder nicht wiederhergestellte Dateien, unvollständige historische Telemetrie und Freitextfelder können eine präzise feldebenen Rekonstruktion erschweren.

Was die ICO festgestellt hat und was sie bewusst nicht festgestellt hat

Die ICO-Strafmitteilung ist der stärkste öffentliche behördliche Datensatz für Sicherheitsversagen in der Starwood-Reservierungsumgebung. Sie ist auch enger, als viele Zusammenfassungen implizieren.

Erstens stellte die ICO fest, dass Marriott als Verantwortlicher gegen GDPR-Artikel 5(1)(f) und Artikel 32 verstieß, indem es personenbezogene Daten nicht mit angemessener Sicherheit verarbeitete. Die Entscheidung deckte den Zeitraum vom 25. Mai bis 17. September 2018 ab. Deroffizielle Text der GDPRmacht Sicherheit risikobasiert: angemessene Maßnahmen hängen vom Stand der Technik, Implementierungskosten, Verarbeitungskontext und Risiko für die Rechte und Freiheiten der Personen ab. Die Verpflichtung ist keine Garantie, dass kein Angreifer Erfolg hat. Sie ist eine Verpflichtung, Maßnahmen zu implementieren und zu testen, die den tatsächlichen Daten und Systemen angemessen sind.

Zweitens identifizierte die endgültige Mitteilung vier Hauptversäumnisse.

Unzureichende Überwachung privilegierter Konten.Der Angreifer verwendete legitime Anmeldeinformationen für unbefugte Aktivitäten. Die ICO stellte fest, dass Marriott keine angemessene fortlaufende Überwachung der Benutzeraktivität, insbesondere privilegierter Konten, innerhalb der Karteninhaberdatenumgebung hatte. Marriott hatte ein Sicherheitsoperationszentrum, jährliche Penetrationstests und Zahlungskarten-Compliance-Berichte. Der Regulierer kam zu dem Schluss, dass diese Kontrollen die relevanten Protokollierungskonfigurationen nicht bewerteten und nicht die Notwendigkeit ersetzten, anormale Nutzung nach der Authentifizierung zu erkennen.

Unzureichende Überwachung von Datenbanken.Guardium protokollierte und warnte bei ausgewählten Aktivitäten, aber die ICO stellte unvollständige Datenbankwarnungen, unzureichende Protokollaggregation und das Versäumnis fest, Aktionen wie Dateierstellung und vollständigen Tabellenexport zu protokollieren. Die letztlich relevante Warnung wurde auf eine Tabelle mit Kartendaten angewendet. Andere personenbezogene Datentabellen hatten keine entsprechenden Warnungen. Die Sensibilität von Zahlungskarten kann stärkere Kontrollen rechtfertigen, aber der Regulierer sagte, dass sie kein Fehlen von Warnungen bei anderen personenbezogenen Daten rechtfertigt.

Unzureichende Kontrolle kritischer Systeme.Die ICO stellte fest, dass eine angemessene Serverhärtung, wie Ausführungskontrolle oder gleichwertige Whitelisting auf kritischen Systemen, Aufklärung, Privilegieneskalation und Malware-Ausführung hätte einschränken können. Die Entscheidung schrieb Whitelisting nicht überall vor. Sie konzentrierte sich auf kritische Geräte und Systeme, die große oder sensible personenbezogene Datenspeicher erreichen können.

Versäumnis, alle Passnummern zu verschlüsseln.Etwa 5,25 Millionen Passnummern waren unverschlüsselt. Die ICO fand keine dokumentierte Risikobewertung, die erklärte, warum einige Passnummern kryptografischen Schutz erhielten und andere nicht. Ihr breiterer Punkt war nicht, dass jedes Feld immer verschlüsselt sein muss. Es war, dass selektiver Schutz eine evidenzbasierte Begründung und eine sinnvolle Implementierung erfordert.

Die SHA-1-Korrektur von 2024 verkompliziert die technische Sprache des letzten Befunds. Die Strafmitteilung diskutierte AES-128 auf der Grundlage der damaligen Aktenlage. Marriott sagte später, dass Zahlungskartennummern und einige Passnummern in den Tabellen stattdessen mit SHA-1 geschützt waren. Diese spätere Aussage sollte die alte Algorithmusbeschreibung für diese Teilmengen ersetzen; sie löscht nicht die ICO-Feststellung, dass Millionen von Passnummern unverschlüsselt blieben, oder ihre Schlussfolgerung, dass Marriott keine konsistente Risikobewertung gezeigt hatte.

Die Ausschlüsse sind ebenfalls wichtig.

Die ICO hat Marriottnichtfür die unvollständige Abdeckung der Multi-Faktor-Authentifizierung bestraft. Marriott hatte sich auf Managementzusicherungen und Zahlungskarten-Compliance-Berichte von 2016 und 2017 verlassen, die besagten, dass MFA den Zugriff in die segmentierte Karteninhaberumgebung schützte. Die Implementierung war tatsächlich unvollständig, aber nach Prüfung von Marriotts Stellungnahmen akzeptierte die ICO dieses Vertrauen für den spezifischen Zweck und entfernte MFA aus den endgültigen Strafbefunden. Ein sorgfältiger Bericht kann immer noch die betriebliche Lücke diskutieren; er kann diese Lücke nicht als einen der vier endgültigen ICO-Verstöße bezeichnen.

Die ICO hatkeineabschließende Feststellung bezüglich einer Verletzung der Benachrichtigungspflicht nach Artikel 33 getroffen. Sie lehnte einen Teil von Marriotts rechtlicher Argumentation zum Kenntnisstand ab, berücksichtigte jedoch die begrenzte September-Warnung, Marriotts fehlende Kenntnis des Tabellenexports bis zum 13. November und die Entschlüsselung am 19. November und ließ dann den vorgeschlagenen Befund fallen. Sie traf auchkeine abschließende Feststellung nach Artikel 34zur Kommunikation mit betroffenen Personen. Der Regulierer kritisierte eine E-Mail, die sich auf ein Callcenter bezog, ohne die Telefonnummer anzugeben, akzeptierte jedoch, dass die E-Mail auf die spezielle Website verlinkte, auf der die Nummer verfügbar war.

Die ICO hatnichtentschieden, dass Marriotts Due Diligence vor dem Abschluss rechtlich unzureichend war. Sie erkannte an, dass eine eingehende Sorgfaltspflicht bei einem Wettbewerber eingeschränkt sein kann, und schloss das Verhalten vor der GDPR aus der Entscheidung aus. Sie kam zu dem Schluss, dass Due Diligence kein einmaliges Ereignis ist und dass Marriott die Verarbeitung unter der GDPR nicht auf mangelhaften geerbten Systemen fortsetzen konnte, nur weil die Schwachstellen vor dem Gesetz oder dem Erwerb bestanden.

Schließlich sollte die Zahl von 18,4 Millionen Pfund nicht mit dem Vorschlag von 2019 verwechselt werden. Die endgültige Mitteilung berücksichtigte Marriotts Einreichungen, die schnelle Reaktion nach der Warnung, die Zusammenarbeit, das Fehlen von Hinweisen auf finanziellen Schaden aus Sicht der ICO, andere mildernde Faktoren und die Auswirkungen von COVID-19. Marriott legte kein Rechtsmittel ein. Seine Erklärung, keine Haftung anzuerkennen, koexistiert mit einer endgültigen Regulierungsentscheidung, die ausdrücklich Verstöße feststellte.

"Keine Haftungsanerkennung" beschreibt Marriotts Verfahrensposition; es wandelt die ICO-Feststellungen nicht in Behauptungen um.

Die Korrektur von 2024 macht Schlüsselverwaltung zu einem Inventarproblem

Marriotts ursprüngliche Mitteilung sagte, dass Zahlungskartenwerte mit AES-128 verschlüsselt waren und zwei Komponenten zur Entschlüsselung benötigten; zu diesem Zeitpunkt konnte das Unternehmen nicht ausschließen, dass beide entwendet wurden. Das Update vom Januar 2019 sagte, dass es keine Hinweise darauf gab, dass der Angreifer auf den für geschützte Passnummern benötigten Hauptschlüssel oder auf eine der beiden für geschützte Kartennummern benötigten Komponenten zugegriffen hatte. In einer Aussage im März sagte Sorenson, dass Marriott keine Beweise für einen Zugriff auf den Hauptschlüssel gefunden habe, dies aber nicht ausschließen könne.

Diese Aussagen stellten das Risiko als Chiffretext plus möglichen Schlüsselkompromiss dar. Marriotts Update vom April 2024 änderte den Rahmen: Zahlungskartennummern und einige Passnummern in den betroffenen Tabellen waren mit SHA-1 geschützt, nicht mit AES-128. SHA-1 ist eine Hashfunktion, kein Verschlüsselungsschema. NIST beschreibt einen Hash als Abbildung von Daten auf einen Digest fester Größe und hat sich von SHA-1 für kryptografischen Schutz entfernt. (NIST Hashfunktionen Übersicht,NIST SHA-1 Übergangshinweis)

Diese Unterscheidung ist wichtig. Verschlüsselung ist darauf ausgelegt, mit einem autorisierten Geheimnis oder Prozess umkehrbar zu sein. Hashing wird normalerweise verwendet, um einen Digest zu erzeugen, und wird nicht mit dem in den früheren Mitteilungen beschriebenen Hauptschlüssel "entschlüsselt". Die öffentliche Korrektur legt jedoch nicht offen, ob die Werte gesalzen, geschlüsselt, abgeschnitten, in einer anderen Schicht tokenisiert, mit Nachschlagetabellen kombiniert oder anderweitig transformiert wurden.

Sie identifiziert auch nicht die genauen Pass- und Kartenteilmengen, auf die SHA-1 angewendet wurde, oder sagt, ob jemand die zugrunde liegenden Identifikatoren aus diesen Werten wiederhergestellt hat. Es wäre unverantwortlich, diese Details zu erfinden.

Der Befund zur Rechenschaftspflicht ist enger und dennoch bedeutsam: Fünf Jahre nach der Offenlegung änderte die öffentliche Beschreibung eines Kernschutzmechanismus die Kategorie. Das deutet auf ein Versagen des kryptografischen Inventars, der Evidenzübersetzung oder beides hin. Eine Organisation sollte pro Feld und Kopie wissen, ob Daten als Klartext, verschlüsselt, tokenisiert oder gehasht vorliegen; welcher Algorithmus und Modus angewendet werden; wo Schlüssel oder Geheimnisse gespeichert sind; wer sie aufrufen kann; welcher Migrationsstatus besteht; und wie diese Fakten getestet wurden.

Dies ist besonders wichtig während einer Übernahme. Ein Policy-Dokument, das besagt, dass "vertrauliche Felder verschlüsselt sind", ist kein Inventar auf Feldebene. Ein Zahlungskarten-Compliance-Bericht ist kein Beweis dafür, dass jedes Passfeld in jeder Legacy-Tabelle die gleiche Behandlung erhält. Ein Algorithmusname in einer Vorfallmitteilung ist nicht zuverlässig, bis Ermittler Anwendungscode, -Konfiguration, Schlüsseldienste, gespeicherte Werte und historische Versionen verfolgen.

Gutes Schlüsselmanagement kann auch nicht die unkontrollierte Nutzung durch eine autorisierte Anwendung kompensieren. Wenn ein Angreifer ein privilegiertes Konto oder einen Datenbankprozess kontrolliert, der Klartext anfordern kann, bietet die Ruhendverschlüsselung während Live-Abfragen oder Exports möglicherweise wenig Schutz. Die ICO machte diesen Punkt indirekt: MFA an der äußeren Grenze beseitigte nicht die Notwendigkeit der Protokollierung im Inneren, und Verschlüsselung hing von einer sinnvollen Architektur und Schlüsselverwaltung ab. Kontrollen müssen um die Nutzung herum geschichtet sein, nicht nur an den Speicher angehängt.

Daten in den Vereinigten Staaten blieben von Menschen und Gesetzen anderswo regiert

Marriotts erste Mitteilung sagte, dass die Starwood-Gästereservierungsdatenbank in den Vereinigten Staaten war. Die Datensätze waren global. Die ICO zählte 30,1 Millionen Datensätze aus EWR-Staaten und 7 Millionen aus dem Vereinigten Königreich. Die Bundesstaaten verwendeten später 131,5 Millionen US-bezogene Datensätze. Der physische Datenbankstandort beantwortete daher eine Frage: wo ein bestimmtes System betrieben wurde.

Er beantwortete nicht, wer die Menschen waren, welche Einrichtungen ihre Daten verarbeiteten, welche Behörden Zuständigkeit hatten oder welches Hotel, Franchisenehmer, Dienstleister und Unternehmensteam darauf zugreifen konnten.

Datensouveränität und -lokalität sollten in mindestens vier Ebenen unterteilt werden.

Speicherlokalitätist der Ort, an dem sich primäre Datenbanken, Replikate, Backups, Exportdateien, Protokolle und forensische Kopien befinden. Die öffentlichen Unterlagen identifizieren die Reservierungsdatenbank als in den USA ansässig, liefern jedoch keine vollständige Karte jeder Kopie oder jedes Backups.

Zugriffslokalitätist der Ort, von dem aus Benutzer, Dienste und Administratoren Autorität über die Daten ausüben können. Accenture verwaltete die Datenbank; Starwood- und Marriott-Betriebe erstreckten sich über viele Länder; Hotel- und Kontaktzentrumsprozesse speisten das Reservierungssystem. Eine Datenbank kann auf US-amerikanischer Hardware verbleiben, während privilegierter Zugriff und operative Entscheidungen Grenzen überschreiten.

Rechtliche Lokalitätfolgt Personen, Niederlassungen, Verarbeitung und anwendbarem Recht, nicht nur Racks. Die ICO handelte als federführende Aufsichtsbehörde für die grenzüberschreitende Verarbeitung im Rahmen des GDPR-Kooperationsmechanismus. US-Bundesstaaten machten ihre eigenen Verbraucherschutz- und Datenschutzgesetze geltend. Eine zentrale Datenbank kann daher einen verteilten rechtlichen Umfang ansammeln.

Geschäftliche Lokalitätist der Ort, an dem der Datensatz Bedeutung hat. Ankunftsdaten, Begleitpersonen, VIP-Status, Fluggesellschaft und Hotelstandort sind mit der Bewegung und den Beziehungen eines Reisenden verbunden. Ihre Zentralisierung mag den globalen Service unterstützen, schafft aber auch eine konzentrierte Beschreibung von Aktivitäten über Gerichtsbarkeiten hinweg.

Marriotts aktuelles globales Datenschutzstatement sagt, dass internationale Überweisungen für seinen globalen Service wesentlich sind, dass Daten in Länder mit unterschiedlichen Schutzstandards übertragen werden können und dass genehmigte Überweisungsmechanismen verwendet werden, wo angemessen. Es enthält auch zweck- und gesetzesbasierte Aufbewahrungskriterien. (Marriott Group Global Privacy Statement) Dies ist ein nützlicher Hinweis auf das gegenwärtige Governance-Modell, kein Beweis für die Starwood-Architektur von 2014–2018 oder die historische Compliance.

Die Lehre ist nicht, dass globale Reservierungsdaten immer im Land des Reisenden verbleiben müssen. Die Beweise stützen eine praktischere Regel: Ein globaler Verantwortlicher benötigt eine Datensatzebenen-Karte, die Zweck, Person, Quelle, Speicher, Zugriff, Überweisungsmechanismus, Aufbewahrung, Sicherheitskontrollen und verantwortliche Rechtsperson verbindet. Ohne diese Karte wird "Die Datenbank ist in den Vereinigten Staaten" zu einer Standorttatsache, die als Governance-Antwort präsentiert wird.

Der offengelegte Datensatz senkte die Kosten für überzeugende Kontaktaufnahme

Zahlungskarten und Pässe ziehen sofortige Aufmerksamkeit auf sich, weil sie vertraute Identitäts- und Finanzinstrumente sind. Die Starwood-Tabellen enthielten auch eine leisere Schadensquelle: die Zutaten für glaubwürdige Kontaktaufnahme.

Eine gewöhnliche Phishing-Nachricht zahlt eine Glaubwürdigkeitssteuer. Der Absender muss den Empfänger davon überzeugen, dass die Nachricht eine echte Beziehung, ein Ereignis oder eine Transaktion betrifft. Ein Reservierungsdatensatz kann diese Kosten senken. Eine Nachricht kann einen Hotelmarkennamen, einen ungefähren Aufenthalt, eine Treuebeziehung, ein Ankunftsfenster, ein Reiseziel, einen Begleitkontext, eine Kommunikationspräferenz oder einen Flug nennen. Kontaktdaten liefern den Weg; Reisedaten liefern den Vorwand; Status- und Präferenzfelder helfen, den Ton zu wählen.

Dies ist die Ökonomie des Missbrauchskontakts. Der Datensatz muss einem Angreifer nicht direkt den Zugriff auf ein Bankkonto ermöglichen, um nützlich zu sein. Er kann die nächste Anfrage billiger zu personalisieren und für den Empfänger schwerer abzuweisen machen. CISA definiert Spearphishing als die gezielte Ansprache einer Person mit Schlüsselinformationen über diese Person. (CISA Phishing-Leitfaden) Die FTC-Verbraucherwarnung zu Marriott warnte davor, dass Betrüger die Vorfallankündigung selbst ausnutzen könnten, indem sie sich als Marriott ausgeben und Empfänger auf gefälschte Websites leiten. (FTC Marriott Vorfallberatung)

Die Datenbank kombinierte mehrere Missbrauchspfade:

• Ein Name, eine E-Mail und eine Telefonnummer reduzieren die Ermittlungskosten und ermöglichen den Kanalwechsel von E-Mail zu Text oder Sprache.
• Reservierungs- und Aufenthaltsdetails liefern eine plausible Serviceproblem-, Rückerstattungs-, Rechnungs-, Treueanpassungs- oder Sicherheitswarnungsstory.
• Ankunfts-, Abreise-, Fluggesellschafts- und Standortdaten können Dringlichkeit zeitgenössisch erscheinen lassen.
• Treuekennungen schaffen eine zweite Anlageklasse: Punkte, Kontozugriff und eine langlebige Kundenbeziehung.
• Passnummern und Geburtsdaten können Identitätsdiebstahlversuche verstärken oder Verifizierungsfragmente liefern, obwohl eine Passnummer allein kein physischer Pass ist.
• VIP-Status, Arbeitgeber- oder Präferenzkontext können helfen, Ziele zu priorisieren oder Kontakt im Führungsstil anzupassen.
• Begleit- und Kinderanzahlen können relationalen Kontext offenlegen, von dem die betroffene Person nicht erwartete, dass er außerhalb des Hotelbetriebs verwendet wird.

Dies sind plausible Missbrauchsmechanismen, die durch die Felder und allgemeine Betrugsleitlinien gestützt werden. Sie sind kein Beweis dafür, dass eine benannte Kampagne die Starwood-Datensätze verwendet hat. Im März 2019 sagte Sorenson aus, dass Marriott keine bestätigten Betrugsschadensansprüche im Zusammenhang mit dem Vorfall erhalten habe und die betroffenen Tabellen in seiner Überwachung nicht zum Verkauf angeboten gefunden habe. Die ICO sagte später, dass sie keine Hinweise auf finanziellen Schaden gesehen habe.

Die FTC-Beschwerde behauptete dagegen, dass die detaillierten Datensätze einen erheblichen Schaden verursacht haben oder wahrscheinlich verursachen würden, einschließlich Phishing, Identitätsmissbrauch und der Belastung durch Überwachung und Austausch von Anmeldeinformationen. Der Unterschied ist teilweise rechtliche Haltung und teilweise Zeit: Das Fehlen beobachteten Missbrauchs ist kein Beweis für fehlende Gefährdung, aber wahrscheinlicher Schaden ist kein Beweis für abgeschlossenen Betrug.

Die Kontaktökonomie wirkt sich auch auf die Benachrichtigung aus. Marriott musste betroffene Gäste per E-Mail benachrichtigen, aber die bloße Existenz einer weithin publizierten Benachrichtigungskampagne schuf einen Vorwand für Betrüger. Die echten Mitteilungen des Unternehmens mussten unterscheidbar, mehrsprachig und über unabhängig überprüfbare Kanäle erreichbar sein. Die Diskussion der ICO über die weggelassene Callcenter-Telefonnummer zeigt, dass die Benachrichtigungsqualität eine Sicherheitskontrolle ist, kein PR-Zubehör.

Das langfristige Heilmittel ist Datenminimierung. Wenn ein Feld nicht mehr für Service, Recht, Betrugsprävention oder einen definierten betrieblichen Zweck benötigt wird, bewahrt seine Aufbewahrung eine Angreifersubvention. Die endgültige FTC-Anordnung verlangt eine Aufbewahrungsrichtlinie, die an den Erhebungszweck und den spezifischen Geschäftsbedarf gebunden ist, einen Löschweg für US-Verbraucher und Grenzen für die Verwendung gelöschter Informationen für Marketing. Die Anordnung verwandelt eine reduzierte Missbrauchsoberfläche in eine Governance-Verpflichtung.

Drei Vollstreckungsakten, drei verschiedene Arten der Rechenschaftspflicht

Die ICO-Strafe, der Vergleich mehrerer Bundesstaaten und die FTC-Anordnung sollten nicht zu einer undifferenzierten Geldstrafe vermischt werden.

DieICO-Strafeist eine endgültige Verwaltungsentscheidung, die GDPR-Verstöße für einen definierten Zeitraum 2018 feststellt. Sie verhängte 18,4 Millionen Pfund. Marriott legte kein Rechtsmittel ein, sagte aber, es übernehme keine Haftung. Die Feststellung, Strafberechnung und Ausschlüsse sind in einer 91-seitigen Mitteilung enthalten.

DerVergleich mehrerer Bundesstaatenlegte staatliche Vorwürfe bei und verlangte eine Zahlung von 52 Millionen Dollar. Die Ankündigung Connecticuts sagt, dass die Koalition Verstöße gegen Verbraucherschutz-, Datenschutz- und gegebenenfalls Benachrichtigungsgesetze behauptete. Er verlangt ein umfassendes Informationssicherheitsprogramm, Null-Vertrauens-Prinzipien, Asset-Inventar, Härtung, Verschlüsselung, Segmentierung, Patch-Management, Überwachung, Lieferanten- und Franchisenehmer-Aufsicht, Verbraucherlöschung und Treueschutz, Bewertung erworbener Unternehmen und zweijährige unabhängige Überprüfungen für 20 Jahre. (Connecticut Generalstaatsanwalt Vergleichsankündigung) Die eingereichten Urteile besagen, dass Marriott keinen Verstoß oder keine Haftung anerkennt; die Vergleichszahlung ist kein Gerichtsurteil für jede betroffene Person. (Vermont Endgültiges Urteil)

DieFTC-Angelegenheitist ein verwaltungsrechtliches Zustimmungsverfahren. Die Beschwerde behauptet irreführende Sicherheitsdarstellungen und unlautere Sicherheitspraktiken im Zusammenhang mit dem früheren Starwood-Point-of-Sale-Vorfall, dem Starwood-Reservierungsvorfall und einem späteren Marriott-Anmeldeinformationsvorfall, der 2020 bekannt gegeben wurde. Behauptungen in der Beschwerde sollten als Behauptungen identifiziert werden. Die endgültige Entscheidung und Anordnung ist bindend, unabhängig davon, ob jede Behauptung vor Gericht geprüft wurde.

Dieendgültige FTC-Anordnungverlangt ein schriftliches Sicherheitsprogramm, jährliche und nach einem Vorfall durchzuführende Risikobewertungen, Berichterstattung an das Board, aktive Überprüfung von Protokollen innerhalb von 24 Stunden, Kontrollen über den Missbrauch gültiger Anmeldeinformationen, Least Privilege, Multi-Faktor-Authentifizierung, Konfigurationshärtung, Asset- und personenbezogenes Dateninventar, Verschlüsselung oder gleichwertige Schutzentscheidungen, Patch-Management, Segmentierung und Penetrationstests, Lieferantenkontrollen, Franchisenehmer-Aufsicht, Vorfallberichterstattung, CEO-Zertifizierung und unabhängige Bewertungen alle zwei Jahre für 20 Jahre.

Eine Bestimmung macht die Übernahmelehre explizit. Nachdem Marriott eine Übernahme einer Entität abschließt, die personenbezogene Daten verarbeitet, muss sie bewerten, ob das Programm des erworbenen Unternehmens der Anordnung entspricht, einen Plan und Zeitplan für Lücken erstellen und Mängel in erworbenen IT-Assets beheben, bevor sie als Marriott-Produktionsanlagen verwendet werden. Dies erfordert keine Allwissenheit vor dem Abschluss. Es erfordert einen kontrollierten Zugang zur Produktion nach dem Abschluss.

Die Anordnung gibt US-Verbrauchern auch einen Löschungsantragspfad, der an die E-Mail-Adresse oder Treuekontonummer gebunden ist, und verlangt von Marriott, mutmaßliche unbefugte Treueaktivitäten zu überprüfen und Punkte wiederherzustellen, wenn es feststellt, dass unbefugte Aktivitäten Dritter zu einer Reduzierung geführt haben, vorbehaltlich der Bedingungen der Anordnung. DieFTC-Verbrauchererklärungmacht diese Abhilfemaßnahmen leichter erkennbar als das Rechtsdokument.

Die Durchsetzung beweist nicht die gegenwärtige Kontrollwirksamkeit. Eine Anordnung legt Pflichten fest; ein Prüfer testet die Implementierung; eine Zertifizierung weist Verantwortung zu. Öffentliche Leser haben immer noch nicht die unabhängigen Bewertungsberichte, detaillierten Ausnahmeregister oder kryptografischen Inventare auf Feldebene. Marriotts Jahresbericht 2025 sagt, dass die Lösungen langfristige Anforderungen schaffen und dass Nichteinhaltung zu weiteren Durchsetzungsmaßnahmen führen könnte. Er beschreibt auch einen Technology and Information Security Oversight Committee des Boards und fortlaufende Cyber-Risikoprozesse.

Dies sind Governance-Strukturen und Unternehmensdarstellungen, keine öffentliche Bestätigungsmeinung.

Privatklagen fügen eine weitere Rechenschaftsebene hinzu, aber kein sauberes Haftungsurteil. Die Entscheidung des Vierten Gerichtsbezirks von 2025 drehte sich um die Durchsetzbarkeit einer Class-Action-Verzichtserklärung in den Treuebedingungen. Die Dekertifizierung ändert, wie Ansprüche aggregiert werden können; sie entscheidet nicht, ob die Sicherheit angemessen war, ob eine bestimmte Person einen Verlust erlitten hat oder ob jeder einzelne Anspruch scheitert. Marriotts neuester Jahresbericht sagt, dass es die Vorwürfe bestreitet und dass die Verfahren zum Jahresende 2025 fortgesetzt wurden.

Eine Kontrollbewertung nach der Übernahme

Die nützliche Board-Frage ist nicht "Hat die Due Diligence stattgefunden?" Sie ist "Welche geerbten Behauptungen wurden unabhängig in Betriebsnachweise umgewandelt?"