Vorsicht bei angeblichen Hotelnachrichten

Die Sommerferien stehen vor der Tür. Viele freuen sich auf ein paar erholsame Tage im Hotel, am Meer oder in den Bergen. Genau diese Vorfreude nutzen Betrügerinnen und Betrüger aktuell gezielt aus.

Das Bundesamt für Cybersicherheit (BACS) warnt vor betrügerischen WhatsApp-Nachrichten im Zusammenhang mit Hotelbuchungen. Die Kriminellen nutzen dabei besonders perfide und glaubwürdige Maschen, um an Kreditkartendaten zu kommen. Aktuell werden zwei Varianten beobachtet:

Variante 1: Die Rückerstattung

Bei dieser Betrugsmasche erhalten Betroffene unaufgefordert eine WhatsApp-Nachricht, die scheinbar von Booking.com oder dem gebuchten Hotel stammt. Besonders gefährlich ist die hohe Glaubwürdigkeit: Die Kriminellen beziehen sich auf echte frühere Buchungen und kennen Aufenthaltsdaten, Hotelnamen sowie Gästeinformationen.

Den Opfern wird vorgetäuscht, dass bei der Buchung ein Fehler passiert sei und ihnen nun eine Rückerstattung zustehe. Über einen Link gelangen sie zunächst auf eine gefälschte TWINT-Webseite und danach auf eine Phishing-Seite einer Bank, wo sie zur Eingabe ihrer Kreditkartendaten verleitet werden.

Die präzisen Informationen zu früheren Hotelaufenthalten stammen aus einem Datenleck im Umfeld von Booking.com vom April 2026. Kriminelle nutzen diese Daten nun gezielt, um mit personalisierten Nachrichten Vertrauen zu schaffen.

Variante 2: Gehackte Hotelsysteme

Bei einer zweiten, bereits länger bekannten Variante verschaffen sich Kriminelle per Phishing oder Schadsoftware Zugriff auf Hotel-Buchungssysteme. Über diese kompromittierten Konten kontaktieren sie Gäste direkt über die Plattform, per E-Mail oder WhatsApp. Dabei setzen sie die Opfer unter Druck, etwa mit einer angeblich drohenden Stornierung, und fordern sie zur Kreditkartenverifizierung oder zu einer Vorauszahlung über einen Link auf.

In beiden Varianten werden Betroffene aufgefordert, einen Link anzuklicken. Dieser führt auf eine täuschend echte Phishing-Webseite, auf der sie zur Eingabe ihrer Kreditkartendaten verleitet werden.

Empfehlungen des BACS

• Seien Sie äusserst misstrauisch, wenn Sie unaufgefordert bezüglich Rückerstattungen oder dringenden Kreditkartenverifizierungen kontaktiert werden – auch wenn die Absender Ihre genauen Buchungsdetails kennen.
• Klicken Sie in solchen Nachrichten unter keinen Umständen auf Links und geben Sie auf den verlinkten Seiten nie Ihre Kreditkarten- oder Bankdaten ein.
• Wenn Sie unsicher sind, ob eine Nachricht legitim ist, loggen Sie sich direkt über die offizielle App oder Website in Ihr Buchungskonto ein (ohne Links aus der Nachricht zu nutzen) oder rufen Sie das entsprechende Hotel über die offizielle, selbst recherchierte Telefonnummer an.
• Um Rückerstattungen zu erhalten, müssen Sie niemals Zugangsdaten angeben oder QR-Codes scannen.
• Sollten Sie bereits Kartendaten auf einer solchen Seite eingegeben haben, kontaktieren Sie umgehend Ihr Finanzinstitut oder Ihre Kreditkartenfirma, um die betroffene Karte sperren zu lassen.
• Falls Sie einen finanziellen Schaden erlitten haben, empfiehlt das BACS bei der örtlichen Polizei Strafanzeige zu erstatten.