Booking.com Phishing: die Betrugsmasche mit der erneuten Zahlung

So funktioniert Booking.com Phishing mit der angeblich abgelehnten Karte

Die Masche mit der erneuten Zahlung ist eine Nachricht im Namen der Unterkunft, die eine abgelehnte Karte meldet und auf eine nachgebaute Zahlungsseite verlinkt. Booking.com schreibt in seinen Sicherheitshinweisen für Reisende: „Wir werden Sie niemals bitten, Kreditkartenangaben per E-Mail, Telefon, SMS oder WhatsApp weiterzugeben.“ TrueScreen hält eine solche Nachricht samt Link mit offiziellem digitalem Siegel und qualifiziertem Zeitstempel, international anerkannt, fest, bevor sie gelöscht wird.

Die Nachricht kommt über den Chat der Buchung, über WhatsApp, SMS oder E-Mail und nennt echte Angaben. Die Täter beschaffen sie zum Beispiel über kompromittierte Konten von Unterkünften im Extranet, in dem Gastgeber ihre Buchungen verwalten. Dazu kommt Zeitdruck: Binnen 24 Stunden müsse gezahlt werden, sonst werde storniert. Nach der Zahlung verschwinden Nachricht und Seite oft.

Eine echte Vorauszahlung oder Vorautorisierung richtet sich nach den Bedingungen in der Bestätigungs-E-Mail, nie nach einem Link im Chat. Anders gelagert ist der Betrug mit Ferienwohnungen, die es gar nicht gibt: Dort ist schon das Angebot gefälscht, hier ist die Buchung echt und nur die Zahlungsaufforderung falsch.

Woran Sie die gefälschte Nachricht erkennen

• Sie sollen über einen Link zahlen oder Kartendaten „erneut bestätigen“.
• Die Nachricht setzt eine knappe Frist und droht mit Stornierung.
• Das Gespräch soll auf WhatsApp oder per SMS weitergehen, von einer unbekannten Nummer.
• Die Seite sieht aus wie Booking.com, die Adresse gehört aber zu einer anderen Domain.
• In der App ist bei der Buchung kein offener Betrag vermerkt.

Was die EU-Kommission bei Booking.com prüft

Am 21. Oktober 2026 hat die Europäische Kommission ein förmliches Verfahren eröffnet, um zu prüfen, ob Booking.com gegen den Digital Services Act (DSA) verstoßen haben könnte, weil Risiken durch betrügerische Angebote und Phishing nicht sorgfältig bewertet oder wirksam gemindert wurden. Laut Pressemitteilung IP/26/2223 nimmt die Eröffnung das Ergebnis nicht vorweg. Für den einzelnen Fall zertifiziert TrueScreen den Chat und die Zahlungsseite, die Bank und Polizei sehen wollen.

Geprüft werden betrügerische Angebote, Phishing mit Buchungs- und Gästedaten sowie bezahlte Angebote, die nicht als Werbung erkennbar sind. Beim Phishing geht es darum, wie die Daten mit den Unterkünften geteilt werden, wie der Nachrichtendienst funktioniert und ob die Schutzvorkehrungen gegen Missbrauch genügen. Bestätigen sich die Vorwürfe, lägen Verstöße gegen die Artikel 34 und 35 der Verordnung (EU) 2022/2065 zu systemischen Risiken vor, unter die das Phishing fällt, sowie gegen Artikel 26 Absatz 1 zur Erkennbarkeit von Werbung.

Henna Virkkunen, Exekutiv-Vizepräsidentin der Kommission, erklärte: „Die Europäerinnen und Europäer sollten ihren Urlaub buchen können, ohne Angst vor Betrügereien haben zu müssen. Im Gesetz über digitale Dienste sind die Verantwortlichkeiten der Plattformen beim Umgang mit diesen Risiken klar festgelegt, und wir müssen sicherstellen, dass die führende Buchungsplattform in Europa ihre Verantwortung ernst nimmt.“ Festgestellt ist damit kein Verstoß, und Reisende erhalten aus dem Verfahren keinen Anspruch auf Erstattung: Wer heute betrogen wird, bleibt auf Bank und Strafanzeige angewiesen.

Was Sie nach einer verdächtigen Nachricht sofort tun sollten

Zahlen Sie nicht, prüfen Sie die Buchung über offizielle Kanäle und sichern Sie die Beweise, bevor die Nachricht verschwindet.

1. 1

   Nicht antworten und den Link nicht zum Bezahlen öffnen

   Geben Sie keine Kartendaten ein und antworten Sie nicht: Jede Rückfrage bestätigt nur, dass Ihre Nummer aktiv ist.

2. 2

   Die Buchung in der App oder auf der Website prüfen

   Steht in der App oder auf der offiziellen Website kein offener Betrag, gibt es auch kein Zahlungsproblem.

3. 3

   Unterkunft oder Kundenservice über einen geprüften Kontakt erreichen

   Nutzen Sie nur Kontakte aus App, Website oder Buchungsbestätigung, wie es auch Booking.com empfiehlt.

4. 4

   Chat und Zahlungsseite zertifizieren, bevor sie verschwinden

   Halten Sie die Unterhaltung mit der Bildschirmaufnahme in der TrueScreen App fest und öffnen Sie den Link am Computer im Forensic Browser, ohne Daten einzugeben.

5. 5

   Wenn Sie Daten eingegeben haben: Bank anrufen und Karte sperren

   Rufen Sie sofort Ihre Bank oder den Sperr-Notruf 116 116 an und notieren Sie Datum, Uhrzeit und Gesprächspartner.

6. 6

   Strafanzeige erstatten und den Betrug bei Booking.com melden

   Erstatten Sie Strafanzeige bei der Polizei und melden Sie den Vorfall in der Buchung bei Booking.com.

Wenn die Zahlung schon erfolgt ist: Bank, Strafanzeige und Meldung

Nach einer Zahlung sollten Sie noch am selben Tag die Bank informieren, Strafanzeige erstatten und Booking.com benachrichtigen, auch wenn keiner dieser Wege automatisch zum Geld zurückführt.

Erstattung und Rückbuchung über die Bank

Eine Erstattung durch die Bank ist bei Booking.com Phishing nicht automatisch, denn sie hängt davon ab, ob die Zahlung als autorisiert gilt. Für nicht autorisierte Zahlungen muss der Zahlungsdienstleister nach § 675u BGB spätestens bis zum Ende des folgenden Geschäftstags erstatten, sofern kein begründeter Betrugsverdacht besteht. Der Zahler haftet dann nach § 675v BGB grundsätzlich bis zu 50 Euro, bei Vorsatz oder grober Fahrlässigkeit voll, und muss die Zahlung nach § 676b BGB spätestens 13 Monate nach der Belastung anzeigen. TrueScreen zertifiziert die Nachrichten und die Zahlungsseite, mit denen Sie der Bank den Ablauf belegen.

Haben Sie die Kartendaten selbst eingegeben und die Zahlung womöglich in der Banking-App bestätigt, kann die Bank argumentieren, die Zahlung sei autorisiert oder grob fahrlässig gewesen. Im Streitfall entscheidet ein Gericht oder eine Schlichtungsstelle im Einzelfall. Bei Kreditkarten können Sie nach einer Rückbuchung (Chargeback) fragen, auch das ohne Automatismus; Beratung bietet die Verbraucherzentrale.

Strafanzeige bei der Polizei

Strafrechtlich kommt Betrug nach § 263 StGB in Betracht, je nach Ablauf auch Computerbetrug nach § 263a StGB; die Einordnung übernehmen Polizei und Staatsanwaltschaft. Anzeige erstatten Sie bei jeder Dienststelle oder über die Onlinewache Ihres Bundeslandes, mit Buchungsnummer, Absendernummer, Link, Kontoauszug und den zertifizierten Aufnahmen.

Meldung bei Booking.com

Um den Booking-Betrug zu melden, öffnen Sie die Buchung in der App oder auf der Website und wählen die Option „Melden Sie, dass Sie möglicherweise von einem Betrugsfall betroffen sind.“

Welche Beweise Sie sichern sollten und warum ein Screenshot nicht reicht

Ein Screenshot ist eine Bilddatei, die sich nachträglich bearbeiten lässt und weder belegt, wann sie entstanden ist, noch auf welchem Gerät. Bei Booking.com Phishing sind Nachricht und Zahlungsseite zudem oft schnell gelöscht, die Anzeige bei der Bank ist nach § 676b BGB aber bis zu 13 Monate später möglich. TrueScreen erfasst Chat und Seite an der Quelle, sodass beides überprüfbar bleibt, auch wenn das Original gelöscht ist.

Wer bereits Screenshots gemacht hat, hat nichts falsch gemacht: Ein vorhandener Screenshot lässt sich als Datei zertifizieren und erhält ab diesem Moment ein sicheres Datum, belegt aber nicht, wann die Nachrichten verschickt wurden. Mehr zur Beweissicherung im Internet lesen Sie in einem eigenen Beitrag.

Wer eine Strafanzeige oder eine Beanstandung bei der Bank vorbereitet, nutzt deshalb TrueScreen, um die Nachricht zu zertifizieren, bevor sie verschwindet: Die Zertifizierung bleibt bestehen, auch wenn der Chat gelöscht wird.

Wie lassen sich Chat und Zahlungsseite zertifizieren?

Mit TrueScreen werden Unterhaltung und Zahlungsseite in dem Moment zertifiziert, in dem Sie sie sehen: Die Bildschirmaufnahme in der TrueScreen App hält den Chat auf dem Telefon fest, der Forensic Browser die Seite hinter dem Link, und jede Zertifizierung erhält ein offizielles digitales Siegel und einen qualifizierten Zeitstempel, international anerkannt.

TrueScreen garantiert das Wie, nicht das Was: Die Zertifizierung belegt, wie und wann ein Inhalt erfasst wurde und dass er unverändert ist, nicht aber, ob er wahr ist oder wer ihn geschrieben hat. Sie garantiert weder eine Erstattung noch den Ausgang eines Verfahrens und ersetzt keine Strafanzeige. Ein so gesicherter Beweis hat ein sicheres Datum und eine überprüfbare Integrität dank Siegel und Zeitstempel; Sie legen ihn Bank, Polizei oder Gericht vor, und das Gericht würdigt ihn frei.

Am Telefon: Bildschirmaufnahme in der TrueScreen App

Für den Chat der Buchung oder einen WhatsApp-Chat starten Sie die Bildschirmaufnahme in der App, öffnen die Unterhaltung und scrollen langsam bis zum Link. Bevor Sie die Aufnahme stoppen, kehren Sie in die TrueScreen App zurück: Sie zeigt einen Prüfcode als QR-Code, den die Aufnahme mit erfasst. Nach dem Stopp prüft die App die Aufnahme und wählt die Einzelbilder für den Bericht vor. Geschützte Bildschirme erscheinen schwarz, lange Chats zertifizieren Sie besser in mehreren Aufnahmen.

Am Computer: Chat im Browser und Zahlungsseite

Der Forensic Browser ist eine Desktop-Anwendung für macOS und Windows, in der Sie den Booking-Chat im Browser oder WhatsApp Web öffnen; er kann auch Netzwerkverkehr und Anhänge erfassen. Von jeder Seite liefert er ein Bild und ein Archiv mit dem Quelltext, wie angezeigt und wie vom Server gesendet, dazu die Zertifikate der Website und eine Kontrolle der Uhrzeit. Öffnen Sie den Link nur zum Dokumentieren, ohne etwas einzugeben; wie sich geklonte Phishing-Seiten als Beweis sichern lassen, steht in einem eigenen Beitrag.

Ein Beispiel zur Veranschaulichung, kein Kundenfall: Eine Reisende liest im Chat der Buchung, sie müsse binnen zwölf Stunden über einen Link erneut zahlen. Sie startet die Bildschirmaufnahme, scrollt bis zum Link und öffnet ihn am Laptop im Forensic Browser. Am nächsten Tag ist die Nachricht verschwunden, die Zertifizierung aber nicht, und sie legt sie der Strafanzeige bei.

Unterkünfte und Vermieter: belegen, dass die Nachrichten nicht von Ihnen kamen

Eine Unterkunft, deren Konto kompromittiert wurde, muss dokumentieren, welche Nachrichten über ihr Konto verschickt wurden, wann es Warnungen zu Anmeldungen gab und was sie den Gästen mitgeteilt hat. Eine Unterkunft kann mit TrueScreen den Chat der Buchung und die Mitteilungen an die Gäste zertifizieren und so belegen, was wann von ihrem Konto ausging.

Betroffene Gäste wenden sich meist zuerst an den Gastgeber, und ohne Belege steht Aussage gegen Aussage. Den Vorfall melden Vermieter über den Partnerkanal von Booking.com, und für das Extranet aktivieren sie die Zwei-Faktor-Authentifizierung.

Fazit