c’t-Magazin: Betrug mit echten Buchungsdaten

Phishing-Angriffe bei Booking.com

Hannover, 24. Juli 2026 – Wer kurz vor der Reise unerwartet eine WhatsApp-Nachricht seines gebuchten Hotels erhält, sollte misstrauisch werden. Dahinter steckt oft kein technischer Fehler, sondern raffinierter Betrug mit echten Buchungsdaten, berichtet Europas führendes IT- und Technikmagazin c’t. Die Ursache sind kompromittierte Hotelkonten im Verwaltungssystem von Booking.com. Die Experten raten: niemals auf Links in solchen Nachrichten klicken – im Zweifel direkt beim Hotel anrufen.

Die Masche ist perfide: Kriminelle verschaffen sich Zugang zu den sogenannten Extranet-Konten der Unterkünfte – dem Teil der Plattform, über die Hotels ihre Buchungen bei Booking.com verwalten. Dort finden sie vollständige Buchungsdaten: Namen, Reisedaten, Telefonnummern. Mit diesen Informationen geben sie sich als Hotel aus und fordern Gäste auf, eine angeblich fehlerhafte Zahlung über einen Link nachzuholen. Die Nachrichten wirken authentisch, weil sie auf echten Daten basieren.

Besonders gefährlich: Die Nachrichten kommen per WhatsApp oder E-Mail kurz vor Reisebeginn, wenn Urlauber unter Zeitdruck stehen. Der Link führt zu gefälschten Zahlungsseiten, auf denen Kreditkartendaten abgegriffen werden. Im April 2026 häuften sich solche Fälle. Zahlreiche Gäste erhielten sowohl echte Warnungen von Booking.com als auch Phishing-Nachrichten der Betrüger.

Predrag Vuckovic, Leiter der IT-Sicherheit bei Booking.com, bestätigt gegenüber c’t das Problem. Die Schwachstelle liegt im Extranet-System: Viele und nicht nur kleinere Unterkünfte fallen selbst auf Phishing-Angriffe herein. Sind die Zugangsdaten erbeutet, haben Kriminelle direkten Zugriff auf Gästeinformationen. Die Zwei-Faktor-Authentifizierung gibt es bei Booking.com zwar obligatorisch, sie hilft bei diesen Angriffen aber nur bedingt.

Hoteliers berichten von Hilflosigkeit, wenn ihre Konten gekapert werden. „System- und branchenbedingt gibt es einfach viele Angriffsflächen“, sagt c’t-Redakteur Markus Montz. Die Plattform verschickt bei Verdacht Warnungen an betroffene Gäste, doch die Angriffe häufen sich.

So schützen sich Urlauber: Zahlungsaufforderungen per WhatsApp sind grundsätzlich unüblich. Seriöse Hotels fordern Zahlungen über die offiziellen Kanäle der Plattform oder direkt vor Ort. Verdächtige Nachrichten sollten umgehend an Booking.com gemeldet werden. Die Buchung lässt sich jederzeit über die offizielle App prüfen. Wer bereits auf einen Link geklickt und Daten eingegeben hat, sollte sofort die Kreditkarte sperren und Anzeige erstatten.