Ausgerechnet 10 Downing Street, der Amtssitz des britischen Premierministers, wurde plötzlich zur Ferienwohnung. Ein Schlafzimmer, beste Innenstadtlage, Big Ben nur wenige hundert Meter entfernt – und offenbar ganz normal über eine der weltweit bekanntesten Buchungsplattformen buchbar.
Was wie eine absurde Urlaubsidee klingt, war ein gezielter Sicherheitstest der britischen Verbraucherorganisation Which?. Das Ergebnis wirft unangenehme Fragen über die Kontrollmechanismen von Booking.com auf: Den Testern gelang es nicht nur, eine offensichtlich falsche Unterkunft unter einer der bekanntesten Adressen der Welt anzulegen. Sie konnten auch eine Testbuchung durchführen, über das Nachrichtensystem einen externen Zahlungslink verschicken und später sogar eine scherzhafte Spitzenbewertung veröffentlichen.
Die Verbraucherorganisation spricht deshalb von gravierenden Schwächen. Booking.com weist dagegen darauf hin, dass der Test nur sehr eingeschränkt die Millionen realer Unterkünfte und Bewertungen auf der Plattform widerspiegele und die gefälschte Unterkunft während des größten Teils des betreffenden Zeitraums gar nicht tatsächlich buchbar gewesen sei.
Gerade diese unterschiedlichen Sichtweisen machen den Fall interessant. Denn es geht weniger darum, ob tatsächlich jemand ernsthaft glaubte, beim britischen Regierungschef übernachten zu können. Die entscheidende Frage lautet vielmehr: Wie weit kann ein offensichtlich falsches Angebot auf einer großen Buchungsplattform gelangen, bevor die Sicherheitssysteme eingreifen?
Aus dem Regierungssitz wird ein „1-Zimmer-Apartment“
Die Which?-Redaktion stellte das falsche Angebot am 18. Juni 2026 ein. Beworben wurde es als „1 bedroom apartment in the heart of London“ – also als Ein-Zimmer-Unterkunft mitten im Herzen Londons.
Die angegebene Adresse ließ dabei wenig Raum für Missverständnisse: 10 Downing Street, London.
Auch beim Bildmaterial versuchten die Tester offenbar nicht, die wahre Adresse zu verschleiern. Verwendet wurde ein Foto der weltberühmten schwarzen Eingangstür mit der Nummer 10. Die Beschreibung pries die Unterkunft als erstklassig gelegene Innenstadtadresse an und verwies darauf, dass Big Ben nur rund 400 Meter entfernt sei.
Mit anderen Worten: Die vermeintliche Ferienwohnung versteckte sich nicht hinter einer erfundenen Adresse in irgendeiner Londoner Seitenstraße. Das Angebot bezeichnete ausdrücklich einen der bekanntesten und sicherheitspolitisch sensibelsten Orte Großbritanniens.
Which? erklärte, das Angebot innerhalb weniger Minuten erstellt zu haben. Nach Darstellung der Verbraucherorganisation verlangen die Regeln der Plattform von Gastgebern nicht zwingend sofort einen Identitäts- oder Eigentumsnachweis; Which? sieht gerade darin ein Einfallstor für falsche Angebote.
Nur 20 Minuten geöffnet – 14 Interessenten melden sich
Besonders bemerkenswert wurde der Versuch, als die Tester das Angebot kurzzeitig für Buchungsanfragen öffneten.
Die Wohnung war nach Angaben der Recherche lediglich während eines 20-minütigen Zeitfensters für entsprechende Anfragen verfügbar.
Das reichte offenbar.
Innerhalb dieser kurzen Zeit sollen sich 14 Menschen gemeldet und nach einem Aufenthalt in der angeblichen Ferienwohnung am Amtssitz des Premierministers gefragt haben.
Das bedeutet nicht, dass alle 14 Interessenten tatsächlich Geld überwiesen hätten oder Opfer eines Betrugs geworden wären. Auch lässt sich daraus nicht ablesen, ob manche die ungewöhnliche Anzeige möglicherweise nur aus Neugier ausprobierten.
Aber der Test zeigt: Ein falsches Angebot kann Aufmerksamkeit realer Nutzer erzeugen – selbst wenn die angegebene Immobilie eine weltbekannte Regierungsadresse ist.
Which? akzeptierte schließlich ausschließlich die Buchungsanfrage eines eigenen Mitarbeiters beziehungsweise Testers. Echte Kunden sollten nach Darstellung der Organisation nicht tatsächlich in die Falle gelockt werden.
Noch problematischer: Der externe Zahlungslink
Der für Verbraucher möglicherweise wichtigere Teil des Experiments folgte anschließend.
Die Tester verschickten über das Booking.com-Nachrichtensystem eine Nachricht an den eigenen vermeintlichen Gast. Darin wurde dieser aufgefordert, über einen externen Link Zahlungsinformationen zu bestätigen.
Genau solche Nachrichten sind bei realen Betrugsfällen besonders gefährlich.
Denn eine Nachricht, die innerhalb eines vertrauten Buchungssystems erscheint und sich scheinbar auf eine tatsächlich vorgenommene Reservierung bezieht, kann wesentlich glaubwürdiger wirken als eine beliebige Phishing-Mail.
Which? kritisiert, dass der im Test verschickte externe Link nicht automatisch blockiert oder entfernt worden sei. Die Verbraucherorganisation verweist darauf, dass externe Zahlungslinks ein typisches Instrument für Phishing sein können.
Booking.com erklärt dagegen, dass es technische Schutzmaßnahmen gebe, mit denen Links in Nachrichten begrenzt werden könnten. Zudem würden Nutzer sichtbar davor gewarnt, auf Links zu klicken, denen sie nicht vertrauten. Buchungsbestätigungen enthielten außerdem Hinweise zum vereinbarten Zahlungsablauf.
Damit wird der Test von einer kuriosen Geschichte über Downing Street zu einem ernsthaften Verbraucherschutzthema.
Denn ein gefälschtes Ferienhaus ist ärgerlich. Ein gefälschtes Ferienhaus, das anschließend dazu genutzt werden kann, einen vermeintlichen Gast auf eine externe Zahlungsseite zu schicken, eröffnet theoretisch eine ganz andere Risikodimension.
Selbst die Spaßbewertung kommt durch
Doch Which? ging noch einen Schritt weiter.
Nachdem die Testbuchung durchgeführt worden war, hinterließen die Tester eine offensichtlich scherzhafte Bewertung.
Die vermeintliche Unterkunft erhielt 10 von 10 Punkten – „Exceptional“. In der Rezension wurde sinngemäß die Überraschung darüber beschrieben, dass Booking.com einen Aufenthalt im Zuhause des britischen Premierministers ermöglicht habe. Als besonderer Höhepunkt wurde das Zusammensein mit Larry the Cat, dem berühmten Kater von Downing Street, genannt.
Gerade diese absurde Bewertung war Teil des Tests.
Nach Angaben von Which? kündigte Booking.com zwar an, die Rezension werde durch Moderatoren geprüft. Dennoch erschien sie kurz darauf beim Angebot.
Damit hatte die fiktive Ferienwohnung nicht nur eine Adresse, Fotos und eine erfolgreiche Testbuchung – sondern auch noch eine Spitzenbewertung.
Das Angebot blieb technisch lange bestehen
Which? hatte das falsche Angebot am 18. Juni angelegt. Vollständig von der Plattform entfernt wurde es nach den vorliegenden Angaben erst am 27. August.
Hier ist allerdings eine wichtige Einschränkung notwendig.
Die Formulierung, Booking.com habe zwei Monate lang eine frei buchbare Ferienwohnung in 10 Downing Street angeboten, wäre irreführend.
Nach Angaben des Unternehmens war das Angebot während dieses Zeitraums nicht dauerhaft live beziehungsweise buchbar. Which? selbst hatte die Buchungsmöglichkeit nach dem kurzen Testfenster wieder geschlossen. Booking.com argumentiert, dass deshalb bestimmte automatische Betrugskontrollen nicht ausgelöst worden seien, die bei einem geöffneten Angebot greifen könnten.
Das ist für eine faire Bewertung des Vorgangs entscheidend.
Der Test beweist also nicht, dass Urlauber zwei Monate lang ungehindert Aufenthalte in Downing Street buchen konnten.
Er zeigt vielmehr, dass der falsche Datensatz über einen längeren Zeitraum im System verblieb und während des gezielt geöffneten Zeitfensters für Nutzer sichtbar und anfragbar war.
Booking.com verteidigt seine Systeme
Booking.com weist die Schlussfolgerung zurück, der einzelne Test bilde die Funktionsweise seiner Plattform insgesamt angemessen ab.
Das Unternehmen erklärte, man setze eine Reihe von Kontrollen und Verifizierungsmaßnahmen ein. Auch Technologien einschließlich künstlicher Intelligenz würden genutzt, um betrügerische Angebote aufzuspüren und zu entfernen.
Nach Angaben des Unternehmens werde die Mehrheit betrügerischer Angebote innerhalb von 24 Stunden erkannt und entfernt.
Zudem argumentiert Booking.com, dass Betrug kein ausschließliches Problem seiner Plattform sei und die Methoden von Betrügern zunehmend ausgefeilter würden. Das Unternehmen kündigt an, seine Schutzmaßnahmen kontinuierlich weiterzuentwickeln.
Die Aussage von Which?, die Sicherheitssysteme seien grundsätzlich ungeeignet, ist deshalb als Bewertung der Verbraucherorganisation zu verstehen – nicht als unabhängige behördliche Feststellung.
Which? sieht dagegen ein grundsätzliches Problem
Für Which? ist gerade die Absurdität des Downing-Street-Experiments der entscheidende Punkt.
Wenn automatisierte Sicherheitssysteme nicht erkennen, dass 10 Downing Street keine gewöhnliche Ferienwohnung ist, stelle sich die Frage, wie zuverlässig weniger offensichtliche Fälschungen erkannt würden.
Which?-Travel-Redakteur Rory Boland bezeichnete die Kontrollen als unzureichend und warnte vor den möglichen Folgen gefälschter Angebote und Phishing-Links für Urlauber.
Diese Kritik gewinnt dadurch Gewicht, dass Which? schon zuvor Probleme mit falschen Ferienunterkünften und betrügerischen Nachrichten untersucht hatte. Bei einer Recherche aus dem Jahr 2025 berichtete die Organisation beispielsweise über zahlreiche Beschwerden zu nicht existierenden Unterkünften und Schwierigkeiten bei Rückerstattungen.
Der aktuelle Downing-Street-Test ist deshalb nicht als Beweis dafür zu verstehen, dass Booking.com generell unsicher wäre. Er ist vielmehr ein besonders spektakuläres Beispiel dafür, welche Schwachstellen die Verbraucherschützer in den Kontrollprozessen sehen.
Jetzt kommt auch die britische Regulierung ins Spiel
Which? fordert deshalb Konsequenzen von der britischen Aufsicht.
Im Zentrum steht der Online Safety Act. Nach Darstellung der Verbraucherorganisation müssen Plattformen Maßnahmen gegen illegale nutzergenerierte Inhalte ergreifen und entsprechend handeln, wenn ihnen solche Inhalte bekannt werden.
Which? fordert die britische Kommunikationsaufsicht Ofcom auf, schärfer gegen Plattformen vorzugehen, wenn Verbraucher nicht ausreichend vor betrügerischen Inhalten geschützt würden.
Ofcom erklärte gegenüber Which?, dass Plattformen bei illegalen nutzergenerierten Inhalten bereits Pflichten hätten und solche Inhalte nach Kenntniserlangung zügig entfernen müssten.
Ob Booking.com im konkreten Fall gegen gesetzliche Verpflichtungen verstoßen hat, ist damit allerdings nicht festgestellt. Die Forderung nach aufsichtsrechtlichem Einschreiten stammt von Which?.
Was Urlauber aus dem Experiment lernen können
Der Fall ist für Reisende vor allem deshalb interessant, weil eine gefälschte Unterkunft nicht zwangsläufig wie eine klassische Betrugsseite aussehen muss. Ein Angebot kann sich innerhalb einer bekannten Plattform befinden und dadurch zunächst vertrauenswürdig erscheinen.
Besonders vorsichtig sollten Nutzer werden, wenn sie nach einer Buchung plötzlich aufgefordert werden, Zahlungs- oder Kreditkartendaten über einen externen Link erneut einzugeben. Selbst Nachrichten, die scheinbar unmittelbar mit einer echten Reservierung zusammenhängen, sollten nicht automatisch als sicher betrachtet werden.
Which? empfiehlt bei verdächtigen Ferienunterkünften unter anderem, Bilder über eine Rückwärtssuche zu überprüfen, neu eingestellte Angebote besonders kritisch zu betrachten und vor allem aktuelle Bewertungen zu lesen.
Der Downing-Street-Test demonstriert außerdem einen wichtigen Punkt: Bewertungen allein sind kein absoluter Echtheitsnachweis. In diesem Experiment konnte schließlich sogar eine absurde 10-von-10-Bewertung für eine Unterkunft am britischen Regierungssitz erscheinen.
Ein lustiger Test mit einem ernsten Hintergrund
Auf den ersten Blick besitzt die Geschichte zweifellos komische Züge: Urlaub im Amtssitz des Premierministers, Big Ben praktisch vor der Haustür und ein Treffen mit Larry the Cat als Höhepunkt des Aufenthalts.
Doch hinter dem Scherz steckt ein ernstes Problem.
Nicht jeder Fake-Eintrag verwendet die Adresse des britischen Premierministers. Professionelle Betrüger können reale Wohnhäuser kopieren, Fotos echter Ferienwohnungen übernehmen oder Unterkünfte erfinden, deren Existenz ein Tourist aus einem anderen Land kaum überprüfen kann.
Gerade deshalb wollte Which? mit einem extrem offensichtlichen Beispiel testen, wann die Schutzmechanismen einer großen Buchungsplattform reagieren.
Das Resultat ist für Booking.com zumindest unangenehm: Eine falsche Unterkunft unter einer der berühmtesten Adressen der Welt konnte angelegt werden, innerhalb eines kurzen Zeitfensters Anfragen realer Nutzer erhalten, für eine Testbuchung genutzt werden, einen externen Zahlungslink über das Nachrichtensystem verschicken und anschließend sogar eine offensichtlich scherzhafte Spitzenbewertung erhalten.
Booking.com hält dagegen, dass dieser begrenzte Versuch nicht repräsentativ für Millionen Angebote und Bewertungen sei und wesentliche automatische Schutzmechanismen wegen der besonderen Testkonstellation nicht vollständig ausgelöst worden seien. Diese Einordnung gehört ebenso zur Geschichte wie die Kritik von Which?.
