Wer vor dem Urlaub eine Zahlungsaufforderung per WhatsApp von seinem Hotel erhält, sollte besonders vorsichtig sein. Sicherheitsexperten warnen vor einer Betrugsmasche, bei der Kriminelle mit echten Buchungsdaten arbeiten und sich als Unterkunft ausgeben.
Wie das IT- und Technikmagazin "c't" berichtet, verschaffen sich Betrüger Zugang zu den sogenannten Extranet-Konten von Unterkünften. Über diesen Bereich verwalten Hotels ihre Buchungen bei Booking.com. Gelingt der Zugriff, können die Täter unter anderem Namen, Reisedaten und Telefonnummern der Gäste einsehen.
Mit diesen Informationen kontaktieren die Kriminellen Urlauber per WhatsApp oder E-Mail. Die Nachrichten treffen oft kurz vor Reisebeginn ein und enthalten die Behauptung, eine Zahlung sei fehlgeschlagen oder müsse erneut durchgeführt werden. Über einen Link werden die Betroffenen auf gefälschte Bezahlseiten gelockt, auf denen Kreditkartendaten abgegriffen werden.
Laut "c't" häuften sich solche Fälle im April 2026. Zahlreiche Gäste erhielten sowohl Warnungen von Booking.com als auch Phishing-Nachrichten der Betrüger.
Der Leiter der IT-Sicherheit bei Booking.com, Predrag Vuckovic, bestätigte dem Magazin das Problem. Demnach werden immer wieder Unterkünfte Opfer von Phishing-Angriffen. Gelangen Kriminelle an die Zugangsdaten für das Extranet, erhalten sie direkten Zugriff auf Gästeinformationen. Die verpflichtende Zwei-Faktor-Authentifizierung könne solche Angriffe nur eingeschränkt verhindern.
Nach Angaben des Magazins berichten Hoteliers immer wieder von Problemen, wenn ihre Konten übernommen werden. Booking.com warnt betroffene Gäste zwar bei Verdacht, dennoch nehmen die Angriffe zu.
Zahlungsaufforderungen per WhatsApp seien grundsätzlich unüblich. Seriöse Hotels verlangen Zahlungen über die offiziellen Kanäle der Buchungsplattform oder direkt vor Ort. Verdächtige Nachrichten sollten umgehend an Booking.com gemeldet werden. Die eigene Buchung lässt sich jederzeit in der offiziellen App überprüfen. Wer bereits auf einen Link geklickt und Kreditkartendaten eingegeben hat, sollte die Karte sofort sperren und Anzeige erstatten.
