Phishing nach Hotelbuchung: EU ermittelt gegen Booking.com, so schützt du dich

Grundlage ist der Digital Services Act (DSA), das EU-Gesetz für Online-Plattformen. Booking.com gilt seit dem 25. April 2023 als «sehr grosse Online-Plattform» und muss deshalb Risiken auf der eigenen Seite selbst erkennen und eindämmen.

Genau da setzt Brüssel an. Die Kommission will wissen, ob Booking.com die Gefahr durch betrügerische und nicht regelkonforme Inserate richtig eingeschätzt hat und solche Angebote wirksam entfernt. Gemeint sind neben erfundenen Unterkünften und Betrügern, die sich als echte Gastgeber ausgeben, auch Angebote, die lokale Vorschriften nicht einhalten.

«Europeans should be able to book their holidays without fear of being scammed», wird Henna Virkkunen, Exekutiv-Vizepräsidentin der EU-Kommission, in der Mitteilung zitiert.

Tausende falsche Anzeigen in der ganzen EU

Eine EU-Beamtin sprach laut 20 Minuten von Tausenden falschen Anzeigen in der ganzen EU. Booking habe selbst einen raschen Anstieg betrügerischer Angebote festgestellt.

Der Guardian schreibt, die Kommission halte den Umgang der Plattform mit Fake-Angeboten und Phishing für «absolutely substandard» – absolut ungenügend. Booking.com mit Sitz in Amsterdam will laut 20 Minuten konstruktiv mit der Kommission zusammenarbeiten.

Wenn die Gästedaten bei Betrügern landen

Der zweite Prüfpunkt setzt beim Datenfluss an: Booking.com teilt Reservations- und Gästedaten mit den Unterkünften. Die Kommission untersucht, welche Risiken dabei entstehen und wie der Nachrichtendienst der Plattform aufgebaut ist.

Entscheidend ist, ob die Schutzmassnahmen verhindern, dass Betrüger diese Daten für Phishing und gefälschte Zahlungsaufforderungen missbrauchen.

Beim dritten Punkt geht es ums Ranking. Anbieter können eine höhere Kommission zahlen, um in den Suchresultaten besser sichtbar zu sein. Brüssel will wissen, ob Nutzerinnen und Nutzer dabei sehen, wer bezahlt hat.

Und die Schweiz? Hier gilt das EU-Gesetz nicht

Der DSA gilt für Nutzerinnen und Nutzer, die in der EU niedergelassen sind oder sich dort befinden, egal wo der Anbieter sitzt. Wer von der Schweiz aus bucht, ist damit nicht direkt abgedeckt.

Ein eigenes Gesetz dieser Art hat die Schweiz nicht. Der Bundesrat hat am 29. Oktober 2025 die Vernehmlassung zu einem Bundesgesetz über Kommunikationsplattformen und Suchmaschinen eröffnet. Es soll nur für sehr grosse Dienste gelten, die monatlich von durchschnittlich zehn Prozent der Wohnbevölkerung genutzt werden, also von rund 900'000 Menschen.

Als Beispiele nennt der Bundesrat Facebook, X, TikTok und Google.

So läuft die WhatsApp-Masche – und so schützt du dich

Auch in der Schweiz ist das Problem angekommen. Das Bundesamt für Cybersicherheit (BACS) meldete am 2. Juni 2026 einen Anstieg an Meldungen zu Phishing im Namen von Buchungsplattformen und Hotels. Als Hintergrund nannte es ein Datenleck im Umfeld von Booking.com vom April.

Dabei wurden laut SRF womöglich Namen, E-Mail-Adressen, Telefonnummern und weitere Buchungsdetails gestohlen, Passwörter und Zahlungsdaten aber nicht. Booking.com setzte Buchungs-PINs zurück; wie viele Kundinnen und Kunden betroffen sind, sagte das Unternehmen nicht.

Die Masche laut BACS, wie die Netzwoche berichtet: Betrüger schreiben per WhatsApp, geben sich als Booking-Kundendienst oder Hotelpersonal aus und versprechen eine Rückerstattung. Der Link führt auf gefälschte Seiten, die Kreditkartendaten abfragen.

Das BACS rät, dort keine Kreditkartendaten einzugeben. Für eine Rückerstattung muss man nie Zugangsdaten angeben oder QR-Codes scannen. Wer Daten preisgegeben hat, meldet sich sofort bei der Bank und erstattet bei der Polizei Anzeige.

Neue Variante: 7,5 Prozent Cashback als Köder für Twint

Am Dienstag, einen Tag vor dem Entscheid in Brüssel, warnte das BACS vor einer neuen Variante. Eine E-Mail, scheinbar vom Hotel, verspricht 7,5 Prozent Cashback auf den bezahlten Übernachtungspreis. Der Link führt über eine nachgebaute Hotelseite auf eine gefälschte Bank-Anmeldeseite.

Im Hintergrund loggen sich die Täter ins E-Banking ein und bringen die Opfer dazu, die Bestätigung herauszugeben. Ihr Hauptziel: das Twint-Konto auf eine andere Telefonnummer umzuschreiben. Die Gästedaten stammen laut BACS mutmasslich aus kompromittierten Buchungssystemen; Booking.com nennt das Amt in dieser Warnung nicht.

«Geben Sie niemals Codes weiter, die Sie per SMS erhalten haben», schreibt das BACS. Misstrauen ist auch dann angebracht, wenn der Absender die Buchungsdetails kennt. Das Hotel ruft man über eine selbst recherchierte Nummer an, und wer Kartendaten eingegeben hat, lässt die Karte sofort sperren.

Ermittlung ohne Frist

Dem Verfahren ging eine Vorabprüfung voraus. Die Kommission hat die Risikoberichte von Booking.com ausgewertet, dazu die Antworten auf Auskunftsersuchen vom 23. September 2025 und vom 26. Mai 2026. Sie arbeitet mit der niederländischen Behörde für Konsumenten und Märkte (ACM) zusammen.

Jetzt will Brüssel vorrangig und vertieft ermitteln, mit Auskunftsersuchen, Befragungen oder Inspektionen. Die Kommission kann vorläufige Massnahmen anordnen, einen Verstoss feststellen oder Zusagen von Booking.com annehmen. Das Ergebnis sei mit der Eröffnung nicht vorweggenommen, hält sie fest.

Eine feste gesetzliche Frist gibt es laut Euronews nicht. Booking.com kann aber selbst Massnahmen vorschlagen, um die Bedenken auszuräumen.