Booking.com Phishing: EU ermittelt, schützen Sie Gäste

Ein Gast schreibt Ihnen besorgt: Er habe „von Ihnen“ eine Nachricht erhalten, er solle seine Kreditkarte innerhalb von 24 Stunden bestätigen, sonst werde die Buchung storniert. Sie haben nichts geschickt. Dieses Szenario kennen viele Gastgeber auf Booking.com, und es steht jetzt im Mittelpunkt einer europäischen Untersuchung. Am 21. Oktober 2026 hat die Europäische Kommission ein förmliches Verfahren gegen Booking.com nach dem Gesetz über digitale Dienste (Digital Services Act, DSA) eröffnet, unter anderem wegen Phishing, das Buchungsdaten ausnutzt. Hier erfahren Sie, was untersucht wird, was sich für Sie ändert und welche Gewohnheiten Ihr Konto und Ihre Gäste ab sofort schützen.

Dieser Artikel stützt sich auf die dafür gelesenen offiziellen Quellen: die Pressemitteilung der Europäischen Kommission vom 21. Oktober 2026, die Hilfeseiten für Partner von Booking.com zu Phishing und E-Mail-Spoofing, zur unbefugten Nutzung eines Kontos und zur Absicherung des Kontos, die Sicherheitsseite für Gäste von Booking.com, das Merkblatt zu Phishing von Cybermalveillance.gouv.fr (der staatlichen französischen Anlaufstelle für Cybersicherheit), die Analyse im Microsoft Security Blog vom 13. März 2025 und die Airbnb-Hilfeseite zu Zahlungen außerhalb der Plattform. Zitate aus englischen und französischen Quellen sind eigene Übersetzungen.

Letzte Überprüfung der Quellen: 31. Oktober 2026. Dies ist keine individuelle Rechts- oder Sicherheitsberatung: Prüfen Sie die Angaben für Ihre Situation und beim Partnerservice von Booking.com.

Was wirft die Europäische Kommission Booking.com vor?

Die Kommission prüft, ob Booking.com die Risiken gefälschter Inserate und von Phishing ordnungsgemäß bewertet und verringert hat und ob gegen Bezahlung hervorgehobene Inserate klar als Werbung gekennzeichnet sind. Booking.com ist seit dem 25. April 2023 als „sehr große Online-Plattform“ benannt und unterliegt damit den strengsten Pflichten des DSA. Die Untersuchung betrifft drei Punkte:

1. Betrügerische und nicht konforme Inserate: nicht existierende Unterkünfte, Identitätsbetrug, nicht konforme Unterkünfte. Die Kommission prüft, ob die Plattform diese Risiken für Verbraucher erkannt und bewertet hat.
2. Phishing mit Buchungs- und Gästedaten: Die Kommission untersucht, wie Daten mit den Unterkunftsanbietern geteilt werden, wie das Nachrichtensystem von Booking.com gestaltet ist und welche Schutzmaßnahmen verhindern sollen, dass diese Daten für betrügerische Zahlungsaufforderungen missbraucht werden.
3. „Geboostete“ Inserate: Unterkunftsanbieter können gegen eine höhere Provision mehr Sichtbarkeit erhalten. Nutzer müssen erkennen können, dass es sich um Werbung handelt, wer sie bezahlt hat und warum sie angezeigt wird.

Sollten sich diese Verstöße bestätigen, wären die Artikel 34 und 35 des DSA (Bewertung und Minderung systemischer Risiken) sowie Artikel 26 Absatz 1 (Kennzeichnung von Werbung) verletzt.

Foto: EmDee, Wikimedia Commons, Lizenz CC BY-SA 4.0; Bild in WebP umgewandelt und verkleinert.

Wie weit ist das Verfahren, und was kann passieren?

Die Untersuchung hat gerade erst begonnen: Es wurde keine Sanktion verhängt, und der Ausgang steht nicht fest. Die Pressemitteilung betont, dass die Eröffnung eines förmlichen Verfahrens den Ausgang der Untersuchung „nicht vorwegnimmt“. Die Kommission kündigt eine vorrangige, eingehende Untersuchung an, mit weiteren Auskunftsersuchen, Befragungen oder Nachprüfungen. Danach kann sie einstweilige Maßnahmen ergreifen, einen Beschluss über die Nichteinhaltung erlassen oder Verpflichtungszusagen von Booking.com annehmen.

Das Verfahren folgt auf eine Vorprüfung: Die Kommission hat die Risikobewertungsberichte von Booking.com und die Antworten des Unternehmens auf zwei Auskunftsersuchen vom 23. September 2025 und vom 26. Mai 2026 ausgewertet. Sie arbeitet mit der niederländischen Behörde für Verbraucher und Märkte zusammen, da Booking.com in den Niederlanden niedergelassen ist. Einen Zeitplan nennt die Pressemitteilung nicht.

Was ändert sich für Sie als Gastgeber auf Booking.com?

Vorerst nichts Verpflichtendes: Für Unterkunftsanbieter gilt keine neue Regel. Die Untersuchung betrifft aber genau die Kette, zu der Sie gehören: Ihr Extranet-Konto enthält Namen, Kontaktdaten und manchmal Zahlungsdaten Ihrer Gäste. Booking.com sagt es selbst: Ihr Konto enthält „wertvolle Informationen, auf die Betrüger es abgesehen haben könnten“. Wer sich Zugang verschafft, kann Ihren Gästen aus Ihrem eigenen Nachrichtenverlauf schreiben, mit Ihrem Namen und den echten Daten ihres Aufenthalts. Für den Gast ist die gefälschte Nachricht dann nicht von einer echten zu unterscheiden.

Führt die Untersuchung zu Maßnahmen, könnten sie das Nachrichtensystem, die Datenweitergabe oder die Anzeige geboosteter Inserate betreffen. Das sind Annahmen: Entschieden ist nichts. Bis dahin liegt der beste Schutz in Ihren Händen. Wie Booking.com bei Gebühren und Regeln im Vergleich zu anderen Plattformen abschneidet, lesen Sie in unserem Vergleich von Airbnb, Booking und Abritel.

Wie greifen Betrüger Gastgeber an?

Meist mit einer E-Mail, die Booking.com nachahmt und zu schnellem Handeln drängt. Booking.com nennt die typischen Anzeichen: dringlicher Ton (Drohung mit Kontosperrung, Zahlungsproblem), Rechtschreibfehler, gemischte Sprachen und Links, die nicht zu einer Adresse mit der Endung „.booking.com“ führen. Die Plattform erklärt, sie werde Sie nie ohne vorherige Mitteilung zu einer dringenden Handlung auffordern.

Manche Köder sind sehr ausgefeilt. Im März 2025 beschrieb Microsoft Threat Intelligence eine seit Dezember 2024 laufende Kampagne der Gruppe Storm-1865, die sich gegen Hotelpersonal richtete, das mit Booking.com arbeitet. Die E-Mails erwähnten eine angebliche negative Bewertung, eine Anfrage eines künftigen Gastes oder eine Kontoüberprüfung. Der Link führte zu einer gefälschten Prüfseite im CAPTCHA-Stil, die dazu aufforderte, das Windows-Fenster „Ausführen“ zu öffnen und dort einen Befehl einzufügen. Diese Technik namens ClickFix installierte Software, die Zugangsdaten und Finanzdaten stiehlt.

Merken Sie sich: Keine echte Überprüfung verlangt, einen Befehl in Windows einzufügen. Und eine E-Mail zu einer negativen Bewertung fordert nie dazu auf, einen Anhang zu öffnen oder sich über einen Link anzumelden; echte Bewertungen bearbeiten Sie im Extranet, wie in unserem Leitfaden zum Antworten auf negative Bewertungen bei Airbnb und Booking erklärt.

Woran erkennen Sie, dass Ihr Extranet-Konto gehackt wurde?

Die Anzeichen, die Booking.com nennt, sind konkret:

• Gäste melden Nachrichten oder Anrufe mit Zahlungsaufforderungen, die nicht von Ihnen stammen;
• Änderungen, die Sie nicht vorgenommen haben: Kontaktdaten, Preise, Verfügbarkeiten, Inseratsinhalte oder Channel Manager;
• eine E-Mail zu einer „neuen Anmeldung“, die Sie nicht zuordnen können;
• neue Telefonnummern für die Zwei-Faktor-Authentifizierung oder neue Nutzer in Ihrer Unterkunft.

Schon ein einziges Anzeichen reicht, um sofort zu handeln. Booking.com erklärt außerdem: Erkennt die Plattform verdächtige Aktivitäten in Ihrem Konto, deaktiviert sie sofort die Link-Funktion in den Nachrichten, die Sie an Gäste senden, damit keine betrügerischen Zahlungslinks verschickt werden. Gehen Ihre Links nicht mehr durch, umgehen Sie die Sperre nicht: Prüfen Sie Ihr Konto.

Welche Gewohnheiten sollten Sie ab heute annehmen?

Sechs Gewohnheiten decken das Wesentliche ab, alle aus den Seiten von Booking.com und Cybermalveillance.gouv.fr:

1. Die richtige Tür nehmen. Tippen Sie https://admin.booking.com/ selbst in den Browser ein und speichern Sie die Seite als Lesezeichen. Melden Sie sich nie über einen Link aus einer E-Mail oder SMS an.
2. Die beste Zwei-Faktor-Authentifizierung wählen. Sie ist im Extranet Pflicht. Booking.com empfiehlt einen zeitbasierten Code aus einer App (TOTP), etwa den Prüfcode der Pulse-App, statt der SMS, die leichter abzufangen ist.
3. Auch Ihr E-Mail-Postfach schützen. Wer Ihre E-Mails liest, kann Ihr Booking.com-Passwort zurücksetzen. Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihr Postfach.
4. Ein langes, einmaliges Passwort. Laut Booking.com mindestens zehn Zeichen mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, ohne Namen oder Geburtsdatum, und nirgendwo sonst verwendet.
5. Ein Konto pro Person. In einer Hausverwaltung legen Sie für jedes Teammitglied ein eigenes Extranet-Konto an, statt ein Passwort zu teilen, und prüfen regelmäßig Nutzer und Telefonnummern für die Zwei-Faktor-Authentifizierung.
6. Beim Nachrichtensystem der Plattform bleiben. Booking.com rät, mit Gästen nicht über WhatsApp oder andere externe Kanäle zu kommunizieren. Halten Sie außerdem Ihre Geräte aktuell und nutzen Sie einen aktiven Virenschutz.

Dasselbe Prinzip gilt für den Rest Ihrer Unterkunft: Ein schlecht geschütztes Netzwerk gefährdet auch Ihre Gäste, wie wir in unserem Artikel zur WLAN-Sicherheit in der Ferienvermietung erklären.

Foto: Santeri Viinamäki, Wikimedia Commons, Lizenz CC BY-SA 4.0; Bild in WebP umgewandelt und verkleinert.

Wie warnen Sie Ihre Gäste, ohne sie zu beunruhigen?

Indem Sie ihnen eine einfache Regel geben, bevor der Betrüger ihnen schreibt. Booking.com erinnert Gäste daran, dass die Plattform nie per E-Mail, Telefon, SMS oder WhatsApp nach der Kreditkarte fragt, dass eine Überweisung, die von den Zahlungsbedingungen der Buchungsbestätigung abweicht, verdächtig ist, und dass nie mit Geschenkkarten bezahlt wird. Übernehmen Sie diese Punkte an drei Stellen:

• Im Inserat: ein Satz in der Beschreibung, zum Beispiel „Wir fordern Sie nie zu einer Zahlung per Link, SMS oder WhatsApp auf. Die Zahlung folgt ausschließlich den Bedingungen Ihrer Buchungsbestätigung von Booking.com.“
• In der Bestätigungsnachricht: derselbe Hinweis, verschickt über das Nachrichtensystem von Booking.com. Unsere Vorlagen für geplante Nachrichten eignen sich gut dafür.
• In der Gästemappe: ein Abschnitt „Zahlung und Sicherheit“, den der Gast während des Aufenthalts liest, wenn er manchmal Nachrichten zu einer Verlängerung oder einem Zuschlag erhält.

Eine digitale Gästemappe hat hier einen praktischen Vorteil: Sie ergänzen oder korrigieren den Abschnitt jederzeit, ohne neu zu drucken, und der Gast öffnet ihn per QR-Code, ohne App-Installation. Mit der Übersetzung in sechs Sprachen lesen auch Ihre ausländischen Gäste den Hinweis, die oft am stärksten ins Visier genommen werden.

Was tun, wenn Sie geklickt haben oder Ihr Konto gehackt wurde?

Handeln Sie der Reihe nach und schnell. Booking.com empfiehlt:

1. Zuerst das Passwort Ihres E-Mail-Postfachs ändern, dann das von Booking.com, über https://admin.booking.com/ und den Hilfelink zur Anmeldung auf der Anmeldeseite.
2. Ihr Gerät mit einem aktuellen Virenschutz prüfen: Manche Phishing-Angriffe installieren Schadsoftware, statt ein Passwort zu stehlen.
3. Den Vorfall innerhalb von 24 Stunden Booking.com melden, mit einer Kopie der verdächtigen E-Mail und einer Liste der Aktivitäten, die Sie nicht zuordnen können.

Warnen Sie dann die Gäste mit laufenden oder kommenden Buchungen über das Nachrichtensystem von Booking.com: Sie sollen nichts außerhalb der Bedingungen der Bestätigung bezahlen. Wenn Gästedaten eingesehen worden sein könnten, können Pflichten nach der DSGVO greifen: Unser Artikel zu Gästedaten und DSGVO gibt einen Überblick.

Für Frankreich nennt Cybermalveillance.gouv.fr weitere Schritte: die Karte bei der Bank sperren lassen, wenn Sie Bankdaten angegeben haben, Beweise aufbewahren, Anzeige erstatten, die E-Mail bei Signal Spam oder Phishing Initiative melden, eine betrügerische SMS an die 33700 weiterleiten und Info Escroqueries unter 0 805 805 817 anrufen (kostenlos). In Deutschland und anderen Ländern wenden Sie sich an die entsprechenden Stellen, etwa die Polizei und Ihre Bank.

Und bei Airbnb, gilt eine andere Regel?

Das Prinzip ist dasselbe, mit einer noch strengeren Regel. Die Airbnb-Hilfeseite zu Zahlungen außerhalb der Plattform verbietet Gastgebern, vor der Buchung eine Buchung oder Kommunikation außerhalb von Airbnb zu verlangen. Sie erinnert daran, dass Zahlungen außerhalb von Airbnb Betrug und Phishing begünstigen und dass die Bitte um eine Banküberweisung auf eine betrügerische Buchung hindeuten kann. Airbnb blockiert außerdem vor der Buchung Nachrichten mit Kontaktdaten oder externen Links und fordert dazu auf, verdächtige Nachrichten zu melden. Wenn Sie auf beiden Plattformen inserieren, genügt eine einzige Regel für Ihre Gäste: Jede Zahlung läuft über die Buchungsplattform. Zu den weiteren Airbnb-Regeln zur Identität der Gäste und zu angeforderten Dokumenten lesen Sie unseren Artikel über Ausweis, Vertrag und Apps.

Das Wichtigste in Kürze

FAQ

Richtet sich die europäische Untersuchung gegen Gastgeber?

Nein. Das Verfahren richtet sich gegen Booking.com als sehr große Online-Plattform. Es geht darum, wie die Plattform Risiken bewertet und verringert, nicht um die Unterkunftsanbieter. Mögliche Maßnahmen würden sich an Booking.com richten.

Darf Booking.com meine Zugangsdaten per E-Mail anfordern?

Nein. Booking.com erklärt, dass die Plattform Sie nie nach Ihren Anmeldedaten fragt. Eine E-Mail, die Ihr Passwort oder Ihren Prüfcode verlangt, ist ein Phishing-Versuch.

Ein Gast hat eine gefälschte Zahlungsnachricht erhalten: Ist mein Konto gehackt?

Das ist eines der Anzeichen, die Booking.com nennt, also prüfen Sie sofort: Passwörter ändern, Nutzer und Telefonnummern für die Zwei-Faktor-Authentifizierung kontrollieren, dann den Vorfall innerhalb von 24 Stunden Booking.com melden. Bitten Sie den Gast, nichts außerhalb der Bedingungen seiner Bestätigung zu bezahlen.

Reicht die SMS als Zwei-Faktor-Authentifizierung?

Sie ist besser als nichts, aber Booking.com empfiehlt einen zeitbasierten Code aus einer App (TOTP), der schwerer abzufangen ist und auch ohne Mobilfunknetz funktioniert.

Wie prüfe ich, ob eine E-Mail wirklich von Booking.com stammt?

Fahren Sie mit der Maus über den Link, ohne zu klicken, oder halten Sie ihn auf dem Smartphone gedrückt: Die Adresse muss auf „.booking.com“ enden. Im Zweifel nicht klicken, sondern sich direkt über admin.booking.com anmelden und nachsehen, ob die Nachricht dort erscheint.

Ein Sicherheitshinweis in der Gästemappe, in fünf Minuten

Die Untersuchung wird dauern; Ihre Gäste kommen diese Woche. Ergänzen Sie jetzt Ihren Abschnitt „Zahlung und Sicherheit“: Der Generator für Gästemappen im Angebot Basis (kostenlos, Optionen nach Wahl) erstellt eine Gästemappe mit QR-Code ohne Registrierung, jederzeit änderbar, ohne neu zu drucken.

Bildnachweise. Titelbild: Foto „Red padlock on black computer keyboard“ von FlyD, Unsplash, Unsplash-Lizenz. Fotos im Text: Berlaymont-Gebäude von EmDee, Wikimedia Commons, Lizenz CC BY-SA 4.0, und Illustration Benutzername und Passwort von Santeri Viinamäki, Wikimedia Commons, Lizenz CC BY-SA 4.0; Bilder in WebP umgewandelt und verkleinert.