Täuschend echt: Wie Betrüger mit Buchungsdaten Gäste abkassieren
Gefälschte Zahlungsaufforderungen häufen sich in der Hotellerie. Die sieht eine Betrugswelle auf uns zurollen und gibt Tipps, wie sich Hotelgäste besser schützen.
Der eigene Name, das gebuchte Hotel, das richtige Reisedatum: Die Nachricht wirkt absolut glaubwürdig. Und doch stammt sie nicht vom Hotel, sondern von Kriminellen. „Gefälscht – und das sehr gut“, meint Markus Gratzer, Generalsekretär der Österreichischen Hotelvereinigung (ÖHV). Die Branche erlebt derzeit eine Betrugswelle, die gezielt auf Urlauber abzielt und deren Erfolg auf einem simplen Prinzip beruht: Wer echte Buchungsdaten kennt, wirkt vertrauenswürdig.
Die Masche variiert, das Ziel bleibt gleich. Die Täter geben sich als Hotel oder Buchungsplattform aus und fordern per WhatsApp, SMS, E-Mail oder über nachgebaute Plattform-Chats eine „nochmalige Anzahlung“, die „Bestätigung der Kreditkartendaten“ – oder sie stellen eine angebliche „Rückerstattung“ in Aussicht. Wer reagiert, überweist Geld oder gibt sensible Daten preis. Im schlimmsten Fall ist das Urlaubsbudget weg, bevor die Reise überhaupt begonnen hat.
So lockten Betrüger Kärntnerin in die Falle
Von einem Datenleck zur nächsten Angriffswelle
Die Häufung der Fälle hat eine Vorgeschichte. Im April wurde ein Datenleck bei Booking.com bekannt. Ab Ende Juli rückten IT-Dienstleister der Hotellerie ins Visier von Angreifern; seither erhalten Gäste nach Angaben der ÖHV Zahlungsaufforderungen, die von echten kaum zu unterscheiden sind. Im August meldeten 25 Hotels der Datenschutzbehörde weitere Vorfälle.
Inzwischen haben die Betrüger ihre Strategie angepasst: Statt Geld zu fordern, bieten sie es an. Unter dem Vorwand eines Buchungsfehlers wird eine Rückerstattung versprochen – der Link dazu führt jedoch auf gefälschte Onlinebanking-Seiten, die Zugangsdaten abgreifen.
Das dauert eine Minute und verhindert, dass Geld verschwindet, das monatelang gespart wurde.
— Markus Gratzer, Österreichische Hotelvereinigung
Eine Minute, die sich auszahlt
Die wirksamste Gegenmaßnahme aus Sicht der Hoteliers: „Kein Hotel verlangt eine zweite Zahlung per WhatsApp, den CVV-Code oder den Banking-Login. Ein Moment der Unaufmerksamkeit, und das Geld ist weg“, warnt Gratzer. Er rät, vor jedem Klick und jeder Zahlung beim Hotel anzurufen – allerdings nicht unter der Nummer aus der verdächtigen Nachricht, sondern unter jener auf der Hotel-Website oder in der ursprünglichen Buchungsbestätigung. „Das dauert eine Minute und verhindert, dass Geld verschwindet, das monatelang gespart wurde.“
Kein Hotel verlangt eine zweite Zahlung per WhatsApp, den CVV-Code oder den Banking-Login.
— Markus Gratzer, Österreichische Hotelvereinigung
Zugleich verbindet der Branchenverband die Warnung mit einem Argument, das er seit Jahren vertritt: Direktbuchungen beim Hotel. „Je weniger Zwischenstationen, desto weniger Angriffsflächen“, so Gratzer. Für die Betriebe hat das auch eine wirtschaftliche Komponente – jede Buchung, die nicht über eine Plattform läuft, spart Provision und stärkt die direkte Kundenbeziehung.
Plattformen unter Druck
Deutlich wird Gratzer, wenn es um die Verantwortung der großen Buchungsportale geht. Deren Datenbestände seien für Kriminelle „ein Traum“: „Wer mit Gästedaten Geld verdient, muss sie ausreichend schützen“, sagt er und begrüßt, dass Brüssel genauer hinschaut: Die EU-Kommission hat gegen Booking.com ein Verfahren nach dem Digital Services Act (DSA) eröffnet. Das EU-Gesetz verpflichtet große Online-Plattformen unter anderem dazu, Risiken für ihre Nutzerinnen und Nutzer zu bewerten und einzudämmen.
Infobox: So erkennen Gäste Betrugsversuche
Zeitdruck: Formulierungen wie „Ihre Buchung wird in 12 Stunden storniert“ sollen zu vorschnellem Handeln verleiten.
Doppelte Zahlung: Für eine bereits bezahlte Buchung wird eine Nachzahlung verlangt.
Heikle Daten: Ein Link führt auf eine Seite, die Kartendaten, CVV-Code, SMS-Code oder den Banking-Login abfragt – oft unter dem Vorwand einer „Rückerstattung“.
Neuer Kanal: Plötzlich tauchen eine neue Kontoverbindung, eine unbekannte Telefonnummer oder eine Absenderadresse auf, die dem Original nur ähnelt.
Schon passiert? Karte sofort sperren lassen, Bank informieren, Anzeige erstatten.
Für die Hotellerie geht es dabei um mehr als Imagefragen. Wenn Gäste über gefälschte Nachrichten Geld verlieren, landet der Ärger häufig beim Hotel – auch dann, wenn die Daten gar nicht dort abgeflossen sind. Das Vertrauen in den gesamten Buchungsprozess stehe auf dem Spiel, so die ÖHV.
Was Gastgeber tun können
Sie empfiehlt ihren Mitgliedsbetrieben, die eigenen Zugänge abzusichern: Zwei-Faktor-Authentifizierung für Extranet, Channel Manager und E-Mail sollte Standard sein. Einloggen sollten sich Mitarbeiter nie über Links in angeblichen Gästebeschwerden – ein beliebtes Einfallstor für Angreifer. Gäste sollten zudem aktiv gewarnt werden, etwa mit einem klaren Hinweis in der Buchungsbestätigung und auf der Website: Das Hotel verlangt nie Zahlungen über WhatsApp oder Links.
Besteht ein Verdacht, sollten Plattform und Dienstleister umgehend informiert werden. Datenschutzvorfälle müssen binnen 72 Stunden nach Kenntnisnahme an die Datenschutzbehörde gemeldet werden.