Gefälschte Buchungsnachricht: Warum Sie Kartendaten nie erneut eingeben sollten

Sie haben ein Hotel gebucht. Kurz danach, oder auch Wochen später, kommt eine Nachricht, scheinbar von der Unterkunft: Die Zahlung sei nicht durchgegangen, Sie sollten Ihre Kartendaten noch einmal eingeben, sonst werde die Buchung storniert. Der Reflex, schnell zu reagieren, ist genau das, worauf Betrüger setzen. Dieser Ratgeber fasst zusammen, was Verbraucherzentrale und Bundesamt für Sicherheit in der Informationstechnik (BSI) zu dieser Masche sagen.

So läuft die Masche ab

Die Verbraucherzentrale beschreibt den Ablauf nach einer echten Buchung: Es kommt eine Nachricht, die scheinbar vom Hotel, der Pension oder der Ferienwohnung stammt. Darin heißt es, Sie müssten Ihre Zahlungsdaten auf einer anderen Website erneut eingeben. Die Nachrichten können über das Nachrichtensystem von Booking.com und auch über WhatsApp eintreffen. Die Täter greifen offenbar echte Buchungsdaten wie Namen, Daten und Buchungsnummern ab. Das macht die Fälschung glaubwürdig. Betroffene berichten von Nachrichten kurz nach der Buchung und auch Wochen später.

Eine Variante: Der Link führt auf eine Seite, die der echten booking.com-Seite sehr ähnlich sieht. Die Adresse in der Adressleiste passt aber nicht.

Das BSI nennt als verbreitete Betrugsarten rund um Reisebuchungen unter anderem Phishing-Mails, die zur erneuten Eingabe der Kreditkartendaten auffordern, ohne dass Hotel oder Buchungsportal davon etwas mitbekommen, gefälschte Websites und gefälschte Unterkünfte auf echten Buchungsportalen.

Diese Warnzeichen sollten Sie stoppen

Aus den Seiten der Verbraucherzentrale und des BSI ergeben sich diese Hinweise:

• Aufforderung, nach der Buchung Kartendaten erneut einzugeben oder zu bestätigen, zum Beispiel mit der Begründung einer neuen „Kartengarantie“ wegen geänderter Buchungsregeln.
• Ein Link zu einer externen Seite, die wie Booking.com aussieht, aber eine andere Adresse hat, etwa eine Subdomain-Konstruktion, bei der ein booking.com-ähnlicher Name vor einer fremden Domain steht.
• Nachrichten über WhatsApp oder andere Chats, obwohl Sie über die Plattform gebucht haben.
• Zeitdruck und Drohungen: Das BSI nennt Dringlichkeit und die Androhung, ein Konto zu sperren, als typische Merkmale von Phishing.
• Ein vertrauter Absender mit einer ungewöhnlichen Bitte.
• Ungewöhnliche Zahlungsmethoden, nur Kontakt per E-Mail oder Messenger, keine Telefonnummer, ein fehlendes Impressum oder die Bitte um Ausweiskopien. Das BSI nennt sie als Warnzeichen für Fake-Unterkünfte. Ein einzelnes Zeichen macht ein Angebot noch nicht zum Betrug, mehrere zusammen mit einem schlechten Bauchgefühl sollten Sie misstrauisch machen.

Booking.com selbst erklärt laut Verbraucherzentrale, es werde niemals per E-Mail, Telefon, SMS oder WhatsApp nach Kartendaten fragen und nie eine Überweisung verlangen, die von den Zahlungsbedingungen Ihrer Buchungsbestätigung abweicht.

Die richtigen Reflexe

Nicht antworten, nicht klicken

Antworten Sie nicht mit Kartendaten und rufen Sie die Seite aus der Nachricht nicht auf. Das BSI rät, jeden Link in E-Mails und sozialen Netzwerken vor dem Öffnen zu prüfen, auf ungewöhnliche Zahlen oder Zeichen in der Adresse zu achten und bei Kurzlinks im Zweifel nicht zu klicken.

Schloss und „https“ beweisen nichts

Laut BSI sind „https://“ und das Schloss-Symbol keine Garantie für Seriosität, denn auch Betrüger nutzen Zertifikate. Prüfen Sie die Adresse selbst genau.

Über einen anderen Weg nachfragen

Die Verbraucherzentrale rät: Zahlen Sie nur über die Plattform oder, wenn angeboten, mit „Zahlung in der Unterkunft“. Reagieren Sie nicht auf Zahlungsaufforderungen nach der Buchung, sondern wenden Sie sich an den Kundenservice der Plattform. Sind Sie unsicher, rufen Sie die Unterkunft direkt unter einer Nummer an, der Sie vertrauen, nicht unter der aus der Nachricht.

Absender genauer ansehen

Das BSI empfiehlt, mit der Maus über die Absenderzeile zu fahren, ohne zu klicken. So sehen Sie, ob sich hinter dem angezeigten Namen eine andere Adresse verbirgt.

Wenn Sie schon Kartendaten eingegeben haben

Die Verbraucherzentrale nennt drei Schritte, die Sie sofort gehen sollten:

1. Wenden Sie sich umgehend an Ihre Bank. Sie kann möglicherweise abgebuchtes Geld zurückholen.
2. Lassen Sie die Karte sperren.
3. Erstatten Sie Anzeige bei der Polizei.

Das BSI führt zu Phishing weitere Anlaufstellen auf: das BSI Service Center unter 0800 274 1000 oder service-center@bsi.bund.de, die Online-Wachen der Polizei, die Polizeiliche Kriminalprävention sowie die Verbraucherzentralen, bei denen Sie neue Phishing-Mails melden und im Phishing-Radar nach aktuellen Warnungen schauen können. Auch eine Checkliste für den Ernstfall hat das BSI veröffentlicht. Wie Sie bei einem Kartenmissbrauch genau vorgehen, steht in unserem Ratgeber zum Thema.

Der Hintergrund: ein Datenleck bei Booking.com

Laut Verbraucherzentrale schrieb Booking.com am 12. April 2026 einige Nutzer wegen „verdächtiger Aktivitäten“ an. Buchungsbezogene Daten, möglicherweise Namen, E-Mail-Adressen und Telefonnummern, könnten eingesehen worden sein. Das Unternehmen habe die PINs der betroffenen Buchungen geändert und nach eigenen Angaben keinen Zugriff auf Passwörter, Zahlungsdaten oder Finanzinformationen gehabt. Wie viele Buchungen betroffen sind, nannte es nicht. Der Stand der Seite ist der 13. April 2026, neuere Entwicklungen kennen wir nicht.

Was Remove Me kann und was nicht

Unsere Analyse kann nicht sagen, ob eine bestimmte Nachricht Betrug ist, und sie schützt Ihre Karte nicht. Sie ersetzt keinen der Reflexe oben.

Was sie kann: Die kostenlose Analyse von Remove Me funktioniert ohne Konto. Sie durchsucht öffentlich sichtbare Webergebnisse, bekannte Datenlecks (über Have I Been Pwned) und ein Register von Datenhändlern, also Firmen, die personenbezogene Daten sammeln und weiterverkaufen. Danach zeigt sie Ihnen einen Bericht, den Sie mit einem sechsstelligen Code aus einer E-Mail öffnen.

Ein leerer Bericht beweist nicht, dass nichts über Sie sichtbar ist. Und Remove Me verschickt derzeit noch keine Löschanfragen in Ihrem Namen.