Sicherheit im Urlaub: unsichere Hotel-Safes knacken

In fast allen Hotels findet man heutzutage einen kleinen elektronischen Safe im Zimmer, welcher es erlaubt Wertsachen wie Geld und Schmuck oder einen Laptop vor Diebstahl zu schützen.

Die Funktionsweise dieser kleinen Tresore ist sehr einfach. Man legt sein Hab und Gut hinein, verschließt die Tür und gibt ein (selbst ausgedachtes) numerisches Kennwort über ein Tastenfeld ein. Dieses hat üblicherweise vier oder sechs Stellen. Auf den Tasten des Nummernblocks stehen, ähnlich wie bei Mobiltelefonen, auch Buchstaben, damit man sich einfacher ein Passwort überlegen kann.

Der Safe lässt sich nun nur durch die erneute Eingabe des gleichen Kennwortes wieder öffnen. Diese Technologie erlaubt es jedem Hotelgast, sein eigenes Passwort zu benutzen. Doch was passiert, wenn man sein Passwort mal vergessen hat?

Passwort vergessen

Hat man das Passwort für den Hotelsafe vergessen, hat man verloren. Der Safe lässt sich nicht mehr öffnen und muss aufgesprengt werden. Dabei gehen die meisten Wertgegenstände aber kaputt.

Ja, das war ein Scherz. Wenn man das Passwort vergessen hat, kann der Safe immer noch vom Hotelpersonal geöffnet werden. In der Regel gibt es einen Schlüssel, der auch bei Stromausfall funktioniert, und ein Master-Passwort, mit dem sich der Safe unabhängig vom ursprünglich festgelegten Passwort öffnen lässt.

Und genau hier beginnt das Dilemma. Kauft man sich so einen Safe, ist vom Hersteller bereits ein Standard-Masterpasswort voreingestellt. Natürlich kann man dieses ändern, doch viele Hotels tun dies schlicht nicht. Dies führt dazu, dass sich Hotel-Safes oft mit sehr simplen Passwörtern öffnen lassen, welche man anhand des Gerätenamens (steht auf dem Safe) problemlos im Internet findet.

Sicherheitsrisiko Master Passwort

Das Masterpasswort der meisten handelsüblichen Safes lautet 000000, gefolgt von 800000 und 111111. Ansonsten wären da noch: 222222, 333333, ..., 999999 und 100000, 200000 bis 900000.

Einige Hotels sind zwar schlau genug das Passwort zu ändern und vergeben sogar für jedes Zimmer ein eigenen Mastercode, nutzen für diesen aber schlicht die Zimmernummer (Zimmer 23 → 000023, 230000, 002300 oder 232323).

In anderen Hotels (wohl eher die Regel) ist es hingegen üblich, dass ein hauseigenes Masterpasswort genutzt wird, welches aber für alle Zimmer gleich ist und nur sehr selten oder nie geändert wird. Manche Hotels benutzen den eigenen Firmennamen oder -standort als Mastpasswort (eingegeben wie beim SMS-Schreiben: "Berlin" → 237546).

Um zu gewährleisten, dass kein neu eincheckender Hotelgast vor einem verschlossenen Safe steht, ist es nötig, dass alle Zimmermädchen das Master-Passwort kennen. Sehr oft handelt es sich bei diesen Bediensteten um schlecht verdienende Zuwanderer, die sich kaum über Wasser halten können und die sehr unfairen Arbeitsbedingungen ausgesetzt sind (auch in Deutschland). Folglich gibt es im Personal meist eine starke Fluktuation. Man kann also davon ausgehen, dass bald sehr viele Leute den Mastercode des Hotels kennen, auch solche, die nicht im Hotel arbeiten und die mit massiver Geldnot zu kämpfen haben.

Fazit: Hotelsafes sind unsafe

Viele Hotels legen zu wenig wert auf Sicherheit. Spricht man dieses Thema an, denkt man zunächst an sichere Fenster und Schließanlagen, das Thema IT-Sicherheit bleibt auf der Strecke. Unsichere Hotelsafes sind ebenso üblich wie un- oder schlecht verschlüsselte WLAN-Netze. Ein Hotel, das seine Gäste schützen will, sollte für jeden Safe ein eigenes Masterpasswort festlegen und dieses regelmäßig ändern. Eine faire Bezahlung der Bediensteten, und ein menschenwürdiger Umgang mit ihnen, trägt auch zur Sicherheit bei.

Als Hotelgast empfiehlt es sich immer erst einmal prüfen, ob sich das Masterpasswort des Safes leicht herausfinden lässt (Standard-Passwörter, Zimmernummer, Hotelname, Google). Ist dies der Fall, sollte man sich sofort beim Hotelpersonal beschweren und dieses dazu auffordern, das Masterpasswort zu ändern. Man leistet damit einen Beitrag zur Sicherheit aller Gäste.

Geschnatter