Urlaubsbuchungen gelten für Cyberkriminelle zunehmend als lukratives Angriffsziel. Besonders perfide sind derzeit Betrugsversuche, bei denen die Täter über erstaunlich genaue Informationen verfügen. Betroffene erhalten Nachrichten mit dem korrekten Hotelnamen, dem tatsächlichen Reisezeitraum, der richtigen Buchungsnummer und persönlichen Angaben. Gerade diese Echtheit der Daten sorgt dafür, dass viele Reisende die Warnsignale übersehen – und ihre Kreditkartendaten auf gefälschten Internetseiten eingeben.
Die Masche richtet sich vor allem an Kunden, die ihre Unterkunft über Booking.com reserviert haben. Die Betrüger kontaktieren ihre Opfer häufig über mehrere Kanäle gleichzeitig. Die Zahlungsaufforderung kann im Nachrichtensystem der Buchungsplattform erscheinen und zusätzlich per E-Mail oder WhatsApp versendet werden. Dadurch entsteht der Eindruck, dass es sich um eine offizielle Mitteilung der Unterkunft oder der Buchungsplattform handelt.
In den Nachrichten behaupten die Täter meist, dass eine Zahlung fehlgeschlagen sei, die hinterlegte Kreditkarte erneut überprüft werden müsse oder zur Bestätigung der Reservierung noch eine Kartengarantie erforderlich sei. Gleichzeitig setzen sie ihre Opfer unter Zeitdruck. Wird die angebliche Verifizierung nicht kurzfristig durchgeführt, drohe die Stornierung der Buchung. Gerade kurz vor Urlaubsbeginn löst eine solche Nachricht bei vielen Reisenden erhebliche Verunsicherung aus.
Echte Buchungsdaten schaffen Vertrauen
Besonders gefährlich ist, dass die Nachrichten zahlreiche korrekte Informationen enthalten. Hotelname, Reisezeitraum, Buchungsnummer und persönliche Daten stimmen häufig mit der tatsächlichen Reservierung überein. Für viele Betroffene wirkt dies wie ein eindeutiger Beweis dafür, dass die Nachricht echt sein muss.
Doch genau darin liegt die Raffinesse des Betrugs. Kriminelle benötigen längst keine frei erfundenen Angaben mehr. Bereits wenige zutreffende Informationen reichen aus, um das Vertrauen der Opfer zu gewinnen und sie zu einer unüberlegten Handlung zu bewegen.
Wie gelangen Täter an diese Informationen?
Booking.com informierte im April 2026 einzelne Nutzer darüber, dass im Zusammenhang mit verdächtigen Aktivitäten Informationen zu konkreten Buchungen möglicherweise in fremde Hände gelangt seien. Nach Unternehmensangaben könnten Namen, E-Mail-Adressen und Telefonnummern betroffen gewesen sein. Passwörter sowie Zahlungs- oder Finanzdaten seien dagegen nicht kompromittiert worden.
Doch selbst diese vergleichsweise begrenzten Informationen reichen aus, um täuschend echte Phishing-Nachrichten zu erstellen. Wer bereits weiß, welches Hotel gebucht wurde und wann die Reise beginnt, kann seine Betrugsversuche wesentlich glaubwürdiger gestalten.
Hinzu kommt ein weiteres Risiko: Bereits in der Vergangenheit hatte Booking.com darauf hingewiesen, dass Zugangsdaten von Hotels und Unterkunftspartnern durch Phishing-Angriffe ausgespäht wurden. Gelangen Täter in die Konten eines Unterkunftsanbieters, können sie Nachrichten direkt über das offizielle Kommunikationssystem der Plattform versenden. Für Reisende ist dann kaum noch auf den ersten Blick erkennbar, dass sie mit Kriminellen kommunizieren.
Gefälschte Zahlungsseiten wirken täuschend echt
Der eigentliche Betrug beginnt meist erst nach dem Klick auf den mitgesendeten Link. Dieser führt auf eine professionell gestaltete Internetseite, die der offiziellen Booking.com-Website oder der Seite der Unterkunft zum Verwechseln ähnlich sieht.
Dort werden die Opfer aufgefordert, ihre Kreditkartennummer, das Ablaufdatum, die Kartenprüfnummer oder weitere persönliche Angaben einzugeben. Teilweise verlangen die Täter zusätzlich Einmalcodes oder Bestätigungen aus Banking-Apps. Werden diese Daten übermittelt, können Kriminelle innerhalb kurzer Zeit missbräuchliche Abbuchungen vornehmen oder die Kartendaten für weitere Betrugsdelikte nutzen.
Korrekte Daten sind kein Echtheitsnachweis
Verbraucherschützer weisen ausdrücklich darauf hin, dass selbst vollständig korrekte Buchungsinformationen keine Garantie für die Echtheit einer Nachricht darstellen. Entscheidend ist vielmehr, wohin ein enthaltenes Internetlink führt.
Vor einer Eingabe sensibler Daten sollte deshalb immer die vollständige Internetadresse überprüft werden. Bereits kleine Abweichungen von der offiziellen Domain können auf eine Phishing-Seite hindeuten. Statt auf einen Link in einer Nachricht zu klicken, empfiehlt es sich, Booking.com ausschließlich über die offizielle App oder durch Eingabe der Internetadresse im Browser aufzurufen.
Ebenso sollten Reisende bei ungewöhnlichen Zahlungsaufforderungen direkt Kontakt mit der Unterkunft aufnehmen – allerdings ausschließlich über eine unabhängig recherchierte Telefonnummer und nicht über die in der verdächtigen Nachricht angegebenen Kontaktdaten.
Nach Angaben der Verbraucherzentrale fordert Booking.com Kunden grundsätzlich nicht dazu auf, Kreditkartendaten per E-Mail, SMS, WhatsApp oder Telefon zu übermitteln. Auch Zahlungsaufforderungen, die von den ursprünglich vereinbarten Zahlungsbedingungen abweichen, sollten grundsätzlich misstrauisch machen.
Sofort handeln, wenn Daten eingegeben wurden
Wer bereits Kreditkartendaten auf einer verdächtigen Internetseite eingegeben hat, sollte unverzüglich seine Bank oder den Kreditkartenanbieter informieren. In vielen Fällen kann die Karte sofort gesperrt und unberechtigte Abbuchungen verhindert werden.
Darüber hinaus empfiehlt es sich, sämtliche Beweise zu sichern. Dazu gehören Screenshots der Nachrichten, Internetadressen, Telefonnummern sowie der gesamte Kommunikationsverlauf. Anschließend sollte Strafanzeige bei der Polizei erstattet werden. Auch Booking.com und die betroffene Unterkunft sollten informiert werden, damit mögliche kompromittierte Zugänge überprüft und weitere Gäste gewarnt werden können.
Betrugsmaschen werden immer professioneller
Cybersicherheitsexperten beobachten seit Längerem, dass Phishing-Angriffe zunehmend personalisiert werden. Während betrügerische Nachrichten früher häufig an schlechter Sprache oder offensichtlichen Fehlern zu erkennen waren, setzen Täter heute auf professionelle Gestaltung und authentisch wirkende Inhalte. Mithilfe echter Buchungsdaten gelingt es ihnen immer häufiger, selbst vorsichtige Verbraucher zu täuschen.
Fazit: Der aktuelle Booking-Betrug zeigt, dass korrekte Hotelnamen, Buchungsnummern und Reisezeiträume heute kein verlässlicher Echtheitsbeweis mehr sind. Reisende sollten Zahlungsaufforderungen grundsätzlich kritisch hinterfragen, niemals Links aus unerwarteten Nachrichten nutzen und Kreditkartendaten ausschließlich über die offiziellen Zahlungswege der Buchungsplattform eingeben. Wachsamkeit bleibt der wirksamste Schutz vor dieser besonders raffinierten Form des Online-Betrugs.
