Phishing über Buchungsportale: wie Betrüger Hotels und Gäste angreifen

Was Phishing über Buchungsportale bedeutet

Beim Phishing versenden Kriminelle gefälschte Nachrichten, um Passwörter und persönliche Daten zu erbeuten. So beschreibt es das Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Absender ahmen Logo und Design bekannter Anbieter täuschend echt nach und erzeugen Zeitdruck.

Bei Buchungsportalen gibt es zwei Opfergruppen. Gäste erhalten angebliche Hotelnachrichten mit Zahlungsaufforderung. Hotels erhalten angebliche Portalnachrichten, die auf eine nachgebaute Anmeldeseite führen. Beides hängt zusammen: Wer den Hotelzugang übernimmt, sieht echte Buchungen und kann Gäste überzeugend anschreiben.

Dieser Ratgeber gilt für Betriebe im deutschsprachigen Raum. Die genannten Warnungen stammen aus Deutschland, die Mechanik ist in Österreich und der Schweiz dieselbe. Stand: Oktober 2026.

Die Masche: gefälschte Hotelnachricht an den Gast

Die Verbraucherzentrale NRW beschreibt den Ablauf so (Stand der Seite: 13. April 2026). Die Täter besitzen echte Buchungsdaten, etwa Name, Buchungsnummer, Reisezeitraum und Hotelname. Damit melden sie sich im Nachrichtenbereich des Portals scheinbar als Unterkunft und bitten um eine Verifizierung der Zahlungsdaten oder eine zusätzliche Kartengarantie.

Parallel kommt häufig eine WhatsApp-Nachricht mit demselben Inhalt, die den echten Namen des Gastes und den Hotelnamen nennt. Der Link führt auf eine Seite, die der Portalseite fast gleicht.

Auch Angebote außerhalb des Portals gehören dazu. Die Verbraucherzentrale schildert einen Fall aus dem Januar 2024, in dem ein Gast auf eine Adresse gelockt wurde, die mit „booking.com“ begann. Tatsächlich war das nur der vordere Teil einer fremden Domain mit der Endung „.live“.

Für dein Haus heißt das: Gäste glauben die Nachricht, weil sie deinen Namen und ihre Buchungsdaten enthält. Rufen sie dann bei dir an, sind sie oft schon misstrauisch oder haben bereits Daten eingegeben.

Woher die Täter die Buchungsdaten haben

Die Herkunft der Daten ist nicht abschließend geklärt. Booking.com führte die Fälle 2023 darauf zurück, dass Mitarbeitende von Unterkünften auf Phishing hereinfielen und Dritten Zugriff auf das Partnerkonto ermöglichten. Ein Hotel, das die Verbraucherzentrale NRW schildert, fand nach eigener IT-Prüfung keine Sicherheitslücke. Die Verbraucherzentrale hält beide Erklärungen für plausibel.

Am 12. April 2026 informierte Booking.com laut Verbraucherzentrale NRW einige Nutzer über verdächtige Aktivitäten. Möglicherweise betroffen sind Namen, E-Mail-Adressen und Telefonnummern zu einzelnen Buchungen. Die PINs betroffener Buchungen wurden vorsorglich geändert. Booking.com gibt an, Unbefugte hätten keinen Zugriff auf Passwörter oder Zahlungsdetails gehabt. Wie viele Buchungen betroffen sind, blieb offen.

Als Hotel kannst du daraus ableiten: dein eigener Zugang ist der Teil der Kette, den du kontrollierst. Ein übernommenes Partnerkonto liefert Angreifern alle Daten, die sie für eine überzeugende Nachricht brauchen.

Warnsignale für Hotelteam und Gäste

Phishing erkennst du weniger am Text als an der Aufforderung. Das BSI nennt Dringlichkeit, die Bitte um Dateneingabe und Links auf nachgebaute Seiten als typische Merkmale. Schule dein Team deshalb auf Situationen, nicht auf Rechtschreibfehler, denn gute Fälschungen haben keine.

Die folgende Tabelle ordnet gängige Auslöser dem richtigen Verhalten zu. Sie ersetzt keine Sicherheitsrichtlinie, hilft aber der Rezeption im Spätdienst, in Sekunden zu entscheiden.

So sicherst du den Portalzugang deines Hauses ab

Drei Maßnahmen nehmen Angreifern den einfachsten Weg: der zweite Faktor bei der Anmeldung, ein eigener Zugang je Mitarbeitenden und eine selbst eingetippte Anmeldeadresse. Geteilte Zugangsdaten lassen sich nicht einer Person zuordnen und nach einem Personalwechsel kaum sauber entziehen. Booking.com bündelt seine Sicherheitshinweise für Unterkünfte im Partnerbereich; prüfe dort die aktuelle Fassung.

Im Hotel Nordlicht mit 24 Zimmern setzt die Inhaberin die Punkte an einem Vormittag um. Sie ist Administratorin, Früh- und Spätdienst haben je einen eigenen Zugang mit eingeschränkten Rechten. Die Aushilfe aus dem Sommer wird entfernt, sobald ihr letzter Dienst vorbei ist.

Regeln für Rezeption und Gäste, die jeder kennen sollte

Die einfachste Schutzmaßnahme ist eine schriftliche Hausregel: Das Hotel fragt Kartendaten nie per Chat, E-Mail, SMS oder WhatsApp ab. Die Verbraucherzentrale NRW gibt dazu die Auskunft von Booking.com weiter: Das Portal fragt Kartendaten nie per E-Mail, Chat, SMS, WhatsApp oder Telefon ab.

Schreibe diese Regel in deine Buchungsbestätigung und auf die Website. So hat ein Gast, der später eine verdächtige Nachricht sieht, einen Maßstab. Nenne außerdem den Weg, auf dem du tatsächlich Kontakt aufnimmst, etwa die Telefonnummer der Rezeption.

Biete wenn möglich „Zahlung im Haus“ an. Die Verbraucherzentrale empfiehlt Gästen, diese Option zu wählen und nur Zahlungswege der Plattform zu nutzen. Wer vorab zahlen lässt, sollte den Link zur Zahlung ausschließlich über den eigenen Buchungsweg senden.

Im Ernstfall: die ersten 60 Minuten

Wenn die Rezeption am Samstagmorgen um 8:15 Uhr merkt, dass ein Gast eine Nachricht erhielt, die das Haus nie gesendet hat, zählt die Reihenfolge. Die ersten Schritte sind immer dieselben: Passwort ändern, Konto auf fremde Änderungen prüfen, den Vorfall dem Portal melden.

Ob eine Meldung an die Datenschutzbehörde nötig ist, hängt vom Einzelfall ab. Kläre das mit deiner Datenschutzbeauftragten oder deiner Rechtsberatung. Verbindliche Vorgaben findest du bei der Behörde deines Landes.