500 Prozent mehr Betrug bis 2024: Brüssel eröffnet Verfahren gegen Booking.com

Illustration: Leitgrad

Die Nachricht wirkt echt, weil sie es fast ist. Der Gast hat wirklich gebucht, Name, Datum und Hotel stimmen. Nur der Link, über den er seine Karte «bestätigen» soll, führt zu Betrügern. Genau diese Masche steht jetzt im Zentrum eines Verfahrens in Brüssel.

Was die Kommission prüft

Die Kommission nennt drei Punkte. Erstens gefälschte und nicht regelkonforme Inserate, etwa Unterkünfte, die es nicht gibt, oder Identitätsbetrug, und ob Booking solche Angebote wirksam entfernt. Zweitens Phishing, das Reservierungs- und Gästedaten ausnutzt: Wie Booking diese Daten an Gastgeber weitergibt, wie der Nachrichtendienst gestaltet ist und ob er gegen Missbrauch geschützt ist. Drittens bezahlte Platzierungen in den Suchergebnissen, die womöglich nicht klar als Werbung erkennbar sind.

Bestätigt sich der Verdacht, wären das Verstösse gegen die Pflichten zur Risikobewertung und Risikominderung für sehr grosse Plattformen (Art. 34 und 35 DSA) und gegen die Kennzeichnungspflicht für Werbung (Art. 26 Abs. 1 DSA). Die Eröffnung nimmt kein Ergebnis vorweg. Booking.com will laut etailment uneingeschränkt mit der Kommission zusammenarbeiten.

Die Zahl, die aufhorchen lässt, nannte die Kommission bei der Eröffnung: Laut ihr hat Booking selbst für 2022 bis 2024 einen Anstieg der Betrugsfälle um 500 Prozent gemeldet. Die Zahl nannte Booking bereits im Juni 2024.

Wie die Masche funktioniert

Das Bundesamt für Cybersicherheit (BACS) hat im Juni zwei Varianten beschrieben. In der ersten melden sich Betrüger per WhatsApp als Kundendienst von Booking oder als Unterkunft und versprechen eine Rückerstattung. Der Link führt über eine falsche Twint-Seite auf eine gefälschte Bankseite. In der zweiten verschaffen sich Angreifer zuerst Zugang zum Buchungssystem eines Hotels und schreiben die Gäste direkt über das Nachrichtensystem der Plattform an. Sie drohen mit einer Stornierung, wenn die Karte nicht «geprüft» wird.

Der Weg ins Hotel führt oft über die Rezeption. Microsoft beschrieb im Juni 2026 eine Kampagne gegen Hotels in Europa und Asien: Mails eines angeblichen «Booking Manager» mit Gästebeschwerden, etwa über Bettwanzen oder den Zustand des Zimmers, die auf ein Fotoarchiv verlinken. Darin steckt Schadsoftware. Im April 2026 bestätigte Booking.com, dass unbefugte Dritte Zugriff auf Gästedaten hatten. Malwarebytes vermutet, dass der Weg über kompromittierte Hotelpartner führte.

Warum das Schweizer Gastgeber trifft

Der DSA gilt in der EU, nicht in der Schweiz. Schweizer Betriebe arbeiten aber mit derselben Plattform und demselben Nachrichtensystem, das die Kommission jetzt prüft. Und die Abhängigkeit ist gross. Laut der Vertriebsstudie von HotellerieSuisse und der HES-SO Valais-Wallis für 2025 laufen rund 58,5 Prozent der Buchungen direkt beim Hotel. Etwa ein Drittel kommt über Buchungsplattformen. Bei den Online-Buchungen in Echtzeit hat Booking.com mehr als 70 Prozent Anteil.

Gesetzlich hat die Schweiz bei Plattformen bisher vor allem die Preise geregelt: Seit dem 1. Dezember 2022 verbietet die «Lex Booking» (Art. 8a UWG) Paritätsklauseln zu Preis, Verfügbarkeit und Konditionen. Zum Schutz vor Betrug über die Plattform gibt es in der Schweiz bisher kein Gegenstück zum DSA. Das geplante Plattformgesetz (KomPG) zielt auf soziale Netzwerke und Suchmaschinen, nicht auf Buchungsplattformen. Ob Booking Massnahmen aus dem EU-Verfahren auch für Schweizer Gastgeber umsetzt, ist offen.

Was Gastgeber jetzt tun können

Die Gäste vorwarnen. Ein Satz in der Buchungsbestätigung hilft: «Wir fragen nie per Link oder WhatsApp nach Ihrer Karte.» Booking.com betont selbst, nie sensible Daten oder Banküberweisungen auf diesem Weg zu verlangen.

Die Rezeption schützen. Keine Archive oder Fotos aus Gästenachrichten öffnen, keine Befehle kopieren, die eine Webseite verlangt. Konten für Extranet und Buchungssystem mit zweitem Faktor sichern.

Verdacht sofort melden. Die Plattform informieren, betroffene Gäste warnen, den Fall beim BACS melden und bei finanziellem Schaden Anzeige bei der Polizei erstatten. Gäste, die schon Daten eingegeben haben, sollten laut BACS sofort ihre Bank kontaktieren.

Den direkten Kanal stärken. Wer mehr Gäste direkt bucht, hat die Kommunikation selbst in der Hand.

Was Cyberangriffe für Schweizer KMU allgemein bedeuten, haben wir am 5. Oktober eingeordnet: Rang 13 klingt nach Entwarnung.

Häufige Fragen

Warum ermittelt die EU gegen Booking.com?

Die EU-Kommission prüft seit dem 21. Oktober 2026, ob Booking.com nach dem Digital Services Act genug gegen gefälschte Unterkünfte, Phishing über Buchungsdaten und nicht gekennzeichnete bezahlte Platzierungen tut. Ein Verstoss ist damit noch nicht festgestellt.

Gilt der Digital Services Act in der Schweiz?

Nein. Der DSA gilt in der EU. Schweizer Hotels nutzen aber dieselbe Plattform. In der Schweiz verbietet die «Lex Booking» (Art. 8a UWG) seit Dezember 2022 Paritätsklauseln zu Preis, Verfügbarkeit und Konditionen. Ein Gegenstück zum DSA gibt es nicht.

Wie erkennen Gäste eine falsche Nachricht?

Laut BACS verlangt eine Rückerstattung nie Login-Daten oder das Scannen eines QR-Codes. Wer unsicher ist, meldet sich über die offizielle App oder Website an oder ruft die Unterkunft über eine selbst gesuchte Nummer an.

Mehr zum Thema

EuropaPlus 80 Prozent: Frankreich wird auf dem Papier Uhrenmarkt Nummer 2. Der Zoll widerspricht.29. Oktober 2026 · 4 Min.

USAMicrosoft bietet 60 000 Leuten Geld fürs Gehen. Was ein Schweizer Chef dabei darf29. Oktober 2026 · 7 Min.

EuropaIn Deutschland wird jeder vierte Immobilienkredit fällig. In der Schweiz zahlen Anleger 31 Prozent Aufpreis12. Oktober 2026 · 10 Min.

Sie lesen Leitgrad öfter? Bei Google als bevorzugte Quelle markieren