Urlauber sollten derzeit besonders vorsichtig sein, wenn sie nach einer bereits vorgenommenen Buchung unerwartet Nachrichten zu ihrer Reise erhalten. Hintergrund ist ein Cyberangriff, bei dem Gästedaten von Hotels, Campingplätzen und Ferienwohnungen gestohlen wurden. Genau solche Daten können für Betrüger besonders wertvoll sein, weil sich damit Nachrichten erstellen lassen, die wesentlich glaubwürdiger wirken als gewöhnliche Phishing Mails.
Das Gefährliche an dieser Betrugsform ist, dass die Täter ihre Opfer möglicherweise nicht mehr mit völlig frei erfundenen Geschichten kontaktieren müssen. Verfügen Kriminelle über echte Daten aus einer Buchung, können sie ihre Nachrichten gezielt auf einen tatsächlich bevorstehenden Urlaub abstimmen.
Für Reisende entsteht dadurch eine schwierige Situation. Eine Nachricht kann sich auf eine Unterkunft beziehen, die tatsächlich gebucht wurde. Stimmen zusätzlich persönliche Daten oder Reisedetails, sinkt schnell das Misstrauen. Genau dieser Vertrauensvorsprung kann für einen Betrugsversuch ausgenutzt werden.
Grundsätzlich können gestohlene Buchungsdaten beispielsweise dazu verwendet werden, täuschend echt wirkende Zahlungsaufforderungen oder Sicherheitsnachrichten zu erstellen. Welche konkreten Daten bei dem aktuellen Cyberangriff entwendet wurden und welche Betrugsvarianten damit im Einzelnen durchgeführt werden, geht aus den vorliegenden Informationen allerdings nicht hervor.
Verbraucher sollten deshalb vor allem bei unerwarteten Aufforderungen zu Zahlungen oder zur Eingabe persönlicher Daten vorsichtig sein. Das gilt selbst dann, wenn eine Nachricht Informationen enthält, die eigentlich nur der Unterkunft oder dem Buchungsportal bekannt sein dürften.
Genau darin liegt der entscheidende Unterschied zu vielen klassischen Phishing Angriffen. Früher ließen sich betrügerische Nachrichten häufig bereits daran erkennen, dass sie sehr allgemein formuliert waren. Bei Angriffen auf Buchungssysteme können Kriminelle dagegen möglicherweise auf reale Informationen zurückgreifen.
Eine korrekte Buchungsnummer, der Name einer Unterkunft oder der tatsächliche Reisezeitraum wären deshalb für sich genommen kein ausreichender Beweis mehr dafür, dass eine Nachricht wirklich vom Hotel, Campingplatz, Ferienwohnungsanbieter oder Buchungsportal stammt.
Besonders kritisch sollten Reisende reagieren, wenn plötzlich behauptet wird, eine bereits bestehende Buchung müsse erneut bestätigt werden oder es gebe Probleme mit einer Zahlung. Auch unerwartete Aufforderungen, Kreditkartendaten erneut einzugeben oder über einen zugesandten Link eine Zahlung vorzunehmen, sollten zunächst unabhängig überprüft werden.
Dabei gilt eine einfache Sicherheitsregel: Nicht den Kontaktweg verwenden, den eine verdächtige Nachricht vorgibt.
Wer beispielsweise eine überraschende Nachricht über eine angeblich notwendige Zahlung erhält, sollte nicht auf den darin enthaltenen Link klicken. Stattdessen sollte das Buchungsportal über die bekannte App oder durch selbstständiges Aufrufen der bekannten Internetseite geöffnet werden. Alternativ kann die gebuchte Unterkunft über bereits vorhandene und unabhängig überprüfte Kontaktdaten angesprochen werden.
Verbraucher sollten sich auch nicht durch Zeitdruck zu einer schnellen Entscheidung drängen lassen. Behauptungen, eine Buchung werde innerhalb weniger Stunden storniert oder eine Zahlung müsse sofort wiederholt werden, können dazu dienen, das Opfer zu unüberlegtem Handeln zu bewegen.
Gerade bei einer bevorstehenden Urlaubsreise funktioniert dieser psychologische Druck besonders gut. Wer bereits Flüge, Unterkunft und weitere Leistungen bezahlt hat, möchte verständlicherweise verhindern, dass die Reise wegen eines angeblichen Zahlungsproblems scheitert. Betrüger können genau diese Sorge ausnutzen.
Wer eine verdächtige Nachricht erhält, sollte deshalb zunächst seine tatsächliche Buchung kontrollieren. Ist dort weiterhin alles ordnungsgemäß bestätigt und gibt es keine entsprechende Zahlungsaufforderung innerhalb des bekannten Kundenkontos, ist besondere Vorsicht angebracht.
Wurde bereits auf einen verdächtigen Link geklickt, bedeutet dies allein noch nicht zwangsläufig einen finanziellen Schaden. Wurden dort jedoch Zugangsdaten, Kreditkartendaten oder andere sensible Informationen eingegeben, sollte schnell reagiert werden.
Abhängig von den preisgegebenen Informationen kann es erforderlich sein, Passwörter zu ändern, Zahlungsanbieter oder Bank zu informieren und Kredit beziehungsweise Debitkarten sperren zu lassen. Betroffene sollten außerdem ihre Kontobewegungen kontrollieren und verdächtige Abbuchungen unverzüglich melden.
Auch Beweise sollten gesichert werden. Dazu gehören verdächtige Nachrichten, E Mails, Absenderinformationen, Telefonnummern, Screenshots und gegebenenfalls die Adresse der aufgerufenen Internetseite. Solche Informationen können später für Bank, Buchungsanbieter oder Ermittlungsbehörden wichtig sein.
Der Vorfall zeigt ein grundsätzliches Problem der zunehmenden Digitalisierung des Tourismus. Hotels, Ferienwohnungen, Campingplätze und Buchungsplattformen verarbeiten umfangreiche Daten ihrer Gäste. Gelangen solche Informationen in die Hände von Kriminellen, droht nicht nur der unmittelbare Missbrauch der Daten. Sie können anschließend auch als Grundlage für gezielte Betrugsversuche dienen.
Für Verbraucher bedeutet das eine neue Sicherheitsrealität: Eine Nachricht ist nicht automatisch echt, nur weil sie überraschend viele korrekte Informationen über die eigene Reise enthält.
Gerade das macht diese Form des Betrugs gefährlich. Der wichtigste Schutz besteht deshalb darin, Zahlungsaufforderungen und Änderungen einer bestehenden Buchung grundsätzlich über einen zweiten, unabhängig gewählten Kommunikationsweg zu überprüfen.
Wer nach einer Hotel, Campingplatz oder Ferienwohnungsbuchung plötzlich aufgefordert wird, erneut zu bezahlen, Kreditkartendaten zu bestätigen oder persönliche Informationen einzugeben, sollte zunächst nichts tun. Stattdessen sollte die Buchung direkt im eigenen Kundenkonto überprüft oder die Unterkunft über bekannte Kontaktdaten angesprochen werden.
Gestohlene Gästedaten können Betrügern einen entscheidenden Vorteil verschaffen: Sie kennen möglicherweise Informationen, die eine falsche Nachricht echt erscheinen lassen. Genau deshalb gilt bei Urlaubsbuchungen künftig noch stärker als bisher: Richtige persönliche Daten in einer Nachricht sind kein Beweis dafür, dass auch der Absender echt ist.
