Gefahr im Posteingang: Wie Kriminelle Booking.com-Nutzer mit echten Daten täuschen

Kurz vor Reiseantritt erreicht viele Urlauber eine Nachricht, die absolut authentisch wirkt. Das gebuchte Hotel meldet sich, nennt die korrekte Buchungsnummer, den richtigen Reisezeitraum und bittet aufgrund angeblicher technischer Probleme um eine erneute Bestätigung der Zahlung.

Was wie ein Routinevorgang aussieht, ist eine perfide Masche. Kriminelle nutzen derzeit gehackte Extranet-Konten von Hotels, um Reisende gezielt in die Falle zu locken. Prof. Dr. Dennis-Kenji Kipker, Direktor des cyberintelligence.institute, warnt regelmäßig vor solchen Angriffen auf die digitale Resilienz von Reisenden.

Die Schwachstelle: Das Extranet der Hotels

Der Betrug funktioniert, weil die Täter Zugriff auf das Backend erlangen, über das Hotels ihre Buchungen auf Booking.com verwalten. Sobald die Angreifer diesen Zugang haben, verfügen sie über hochsensible Informationen: Namen, Reisedaten, Telefonnummern und individuelle Buchungscodes.

Da die Täter in den Nachrichten echte Daten verwenden, schöpfen viele Reisende keinen Verdacht. Die professionell wirkende Kommunikation sorgt dafür, dass die Nachricht auf den ersten Blick vollkommen plausibel erscheint.

Der Ablauf des Angriffs

Die Kommunikation erfolgt nicht nur per E-Mail oder WhatsApp. Häufig nutzen die Kriminellen den offiziellen Nachrichtenkanal innerhalb der Booking.com-App. Dies erhöht die Glaubwürdigkeit massiv.

In der Nachricht wird behauptet, die Zahlung sei fehlgeschlagen oder müsse aus Sicherheitsgründen erneut verifiziert werden. Ein beigefügter Link führt auf eine täuschend echte Bezahlseite. Wer dort seine Kreditkartendaten eingibt, übermittelt diese direkt an die Betrüger. Der eigentliche Hotelbetreiber bemerkt davon meist zunächst nichts.

So entlarven Sie die Phishing-Falle

Schützen Sie sich, indem Sie bei Zahlungsaufforderungen über Links grundsätzlich skeptisch bleiben. Egal, wie professionell die Nachricht gestaltet ist: Geben Sie niemals Ihre Zahlungsdaten über externe Links aus einer Nachricht ein.

Wenn Ihnen eine Aufforderung ungewöhnlich vorkommt – etwa weil Sie vor Ort bezahlen sollten –, gehen Sie auf Nummer sicher:

• Kontaktieren Sie das Hotel direkt über die auf der offiziellen Website hinterlegten Telefonnummer.
• Wenden Sie sich bei Zweifeln direkt an den offiziellen Kundenservice der Buchungsplattform.
• Sollten Sie bereits Daten preisgegeben haben, lassen Sie Ihre Bankkarte umgehend sperren und kontrollieren Sie Ihre Kontoauszüge auf unautorisierte Abbuchungen.