Cyberkriminelle haben eine neue, besonders perfide Betrugsmasche entwickelt: Sie nutzen echte Buchungsplattformen wie Booking.com, um Urlauberinnen mit täuschend echten Nachrichten in die Falle zu locken. Die Watchlist Internet warnt: Phishing hat ein neues Niveau erreicht – und es trifft zunehmend echte Buchungen.*
Was diese Betrugswelle so gefährlich macht: Anders als bei klassischen Phishing-Versuchen setzen die Täter nicht auf plumpe Fake-Webseiten oder betrügerische Angebote. Stattdessen hacken sie sich in die Konten realer Unterkunftsanbieter ein – und verschicken dann über das offizielle Nachrichtensystem der Plattform Mitteilungen, die scheinbar von der gebuchten Unterkunft selbst stammen.
Echte Daten, echter Name – aber falsche Nachricht
„Die Opfer erhalten Nachrichten, in denen sie persönlich mit ihrem Namen angesprochen werden. Es geht um reale Buchungsnummern und konkrete Reiseziele. Das macht die Täuschung nahezu perfekt“, erklärt Thorsten Behrens, Leiter der Watchlist Internet. Der Inhalt wirkt harmlos, aber dringlich: Oft wird behauptet, es fehle noch eine Zahlung oder ein Identitätsnachweis – andernfalls drohe eine Stornierung der Reise.
Die Täter nutzen gezielt den Zeitdruck: Wer kurz vor der Abreise steht oder gerade im Urlaub ist, reagiert oft instinktiv – und klickt auf den in der Nachricht enthaltenen Link, ohne Verdacht zu schöpfen. So gelangen Betrüger an Zahlungs- oder Ausweisdaten, mit denen sie erheblichen Schaden anrichten können.
Sicherheitslücken bei den Vermieter-Konten
Die Plattformen selbst, etwa Booking.com, bieten zwar Zwei-Faktor-Authentifizierung (2FA) für Unterkunftsanbieter an – doch deren Nutzung ist bisher freiwillig. Gerade kleine Hotels oder Privatvermieter sichern ihre Konten oft nur mit einem einfachen Passwort, was sogenannte Account-Takeovers erleichtert. Sobald die Täter Zugang haben, sehen sie sämtliche Buchungsdetails – und können problemlos im Namen des Vermieters schreiben.
Behrens fordert deshalb eine verpflichtende 2FA für Anbieter, die mit sensiblen Kundendaten arbeiten: „Wenn über diese Konten Geldflüsse und persönliche Informationen laufen, muss ein höheres Maß an Sicherheit Standard sein.“
So schützt man sich vor Betrug
Wer eine verdächtige Nachricht zu seiner Buchung erhält, sollte niemals direkt auf Links klicken. Stattdessen gilt: Über die offizielle Website oder App einloggen und dort den Nachrichtenverlauf oder Buchungsstatus prüfen. Ist dort keine Auffälligkeit zu sehen, kann die Nachricht als Betrugsversuch eingeordnet und ignoriert werden.
Diese Grundregel gilt nicht nur für Reisen, sondern auch bei Mails von Banken, Paketdiensten oder Onlineshops. Im Zweifelsfall: Ruhe bewahren, nicht unter Druck setzen lassen – und stets über offizielle Kanäle prüfen, bevor man Daten preisgibt.
Fazit: Phishing wird smarter – wir müssen es auch werden
Phishing ist längst keine Masche für Leichtgläubige mehr. Die Täter agieren gezielt, professionell und datenbasiert. Umso wichtiger ist es, aufmerksam zu bleiben, skeptisch bei Zahlungsaufforderungen zu sein – und das Sicherheitsbewusstsein auch in den Urlaub mitzunehmen.
