Darum gehts
- Hotelgäste im Visier: Kriminelle nutzen echte Buchungsdaten für Phishing-Angriffe
- In überzeugenden Nachrichten versprechen sie eine Rückerstattung oder drohen mit einer Stornierung
- Bundesamt für Cybersicherheit meldet einen Anstieg solcher Betrugsversuche
Blick-Leser Konrad S.* (46) staunt nicht schlecht: Für ein entspanntes Wochenende mit der Familie hat er ein Hotel im deutschen Schwarzwald gebucht. Am Tag der Anreise surrt auf einmal das Telefon. Eine Whatsapp-Nachricht des Hotels: «Um Ihren Aufenthalt vom 16.05.2026 bis 17.05.2026 sicherzustellen, führen wir derzeit eine Standard-Kartenprüfung durch.» Was S. zu dem Zeitpunkt noch nicht weiss: Es handelt sich um einen besonders krassen Phishing-Versuch.
«Phishing-Nachrichten bin ich mir gewohnt. Normalerweise sind die unpersönlich und an den Haaren herbeigezogen», sagt S. Bei der Nachricht, die der Berner aber dieses Mal auf dem Handy liest, stimmt einfach alles. «Die hatten sämtliche Buchungsdaten: meinen Namen, den Namen des Hotels, das Datum des Aufenthalts.» Absender ist eine deutsche Telefonnummer.
Kein Einzelfall
Leser S. ist trotzdem skeptisch und fragt sicherheitshalber beim Hotel nach. Die Antwort bestätigt seinen Verdacht: Phishing – wenn auch ein ziemlich ausgeklügeltes.
Es ist kein Einzelfall: Eine Welle solcher gezielter Angriffe rollt derzeit über die Schweiz, warnt das Bundesamt für Cybersicherheit (BACS). «Momentan verzeichnet das BACS einen Anstieg an Meldungen zu betrügerischen Whatsapp-Nachrichten im Zusammenhang mit Hotelbuchungen. Die Täterschaft nutzt dabei besonders perfide und glaubwürdige Maschen, um an die Kreditkartendaten der Opfer zu gelangen.»
Konkret nennt die Behörde zwei Tricks: den Rückerstattungstrick und die Stornierungsdrohung.
Fiese Maschen
Bei der Stornierungsdrohung, wie sie S. erlebt hat, nutzen die Kriminellen Buchungen für bevorstehende Hotelaufenthalte: Um die Buchung zu sichern, müsse der Gast seine Kreditkarte bestätigen, heisst es in der Nachricht.
Vergangene Buchungen sind für die Kriminellen aber genauso wertvoll: Beim Rückerstattungstrick gaukeln sie dem Kunden vor, beim Abrechnen der Übernachtung sei ein Fehler passiert. Nun habe er eine Rückerstattung zugute und müsse dafür seine Kreditkarte angeben.
Das Fiese bei beiden Maschen: Die Kriminellen beziehen sich auf tatsächliche Buchungen und nennen die korrekten Aufenthaltsdaten, das Hotel und die Namen der Gäste. Das macht die Nachrichten sehr glaubwürdig.
- Bleib misstrauisch, auch wenn der Absender deine genauen Buchungsdetails kennt.
- Klicke auf keinen Fall auf Links und gib auf verlinkten Seiten nie deine Kreditkarten- oder Bankdaten ein.
- Um Rückerstattungen zu erhalten, musst du niemals Zugangsdaten angeben oder QR-Codes scannen.
- Geh im Zweifelsfall auf Nummer sicher: Suche die Telefonnummer des Hotels oder der Buchungsplattform heraus und rufe dort an.
- Bleib misstrauisch, auch wenn der Absender deine genauen Buchungsdetails kennt.
- Klicke auf keinen Fall auf Links und gib auf verlinkten Seiten nie deine Kreditkarten- oder Bankdaten ein.
- Um Rückerstattungen zu erhalten, musst du niemals Zugangsdaten angeben oder QR-Codes scannen.
- Geh im Zweifelsfall auf Nummer sicher: Suche die Telefonnummer des Hotels oder der Buchungsplattform heraus und rufe dort an.
Davor warnt Booking
Die Buchungsdaten stammen entweder von einem infiltrierten Hotel oder aus einem Hackerangriff auf die Vermittlungsplattform Booking. Letztere wurde im April Opfer eines Angriffs, bei dem Unbefugte Zugriff auf Buchungsdaten erlangt haben. Dabei seien auch Informationen wie Kundennamen, E-Mail-Adressen, Telefonnummern, der Name der Unterkunft und der Aufenthaltszeitraum erbeutet worden, bestätigt die Plattform auf Anfrage. Betroffene Kunden habe man umgehend informiert. Auf Zahlungsdaten, Postanschriften und Passwörter der Gäste hatten die Kriminellen aber keinen Zugriff.
Auf Anfrage warnt Booking zudem vor einer weiteren Masche: Auch Hotels können zum Ziel von Cyberangriffen werden. In einigen Fällen ist es Kriminellen gelungen, Hotels zu infiltrieren und so Zugriff auf das Booking.com-Konto der Unterkünfte zu erlangen. Dadurch können sich die Betrüger vorübergehend als Unterkunft ausgeben und mit Gästen kommunizieren. Ihr Ziel ist es, Gäste zu Zahlungen ausserhalb der Plattform zu bewegen.
Ob es nun zu noch mehr Hotel-Tricksereien kommt, da die Sommerferien anstehen, können die Fachleute vom Bundesamt für Cybersicherheit nicht sagen. Sie verweisen aber darauf, dass Angreifer gerne aktuelle Anlässe ausnutzen, um ihre Täuschungsversuche glaubwürdiger erscheinen zu lassen.
*Name geändert