Wie sehen solche Nachrichten aus?
Sie kommen per E-Mail, SMS, WhatsApp oder als Anruf, angeblich vom Hotel oder von der Buchungsplattform. Zwei Varianten haben europäische Stellen 2026 genau beschrieben:
- Bestätigung verlangt: Das spanische Nationale Institut für Cybersicherheit INCIBE warnte im Juli 2026 vor Nachrichten, vor allem über WhatsApp, in denen sich Kriminelle als Hotel ausgeben. Die Reservierung müsse per Link bestätigt werden, sonst werde sie storniert. Die falsche Seite fragt dann nach persönlichen Daten oder Zahlungsdaten.
- Erstattung angeboten: Watchlist Internet beschrieb im September 2026 eine E-Mail, laut der ein Hotel Ortstaxe und Servicepauschale doppelt berechnet habe. Ein Button oder ein QR-Code im Anhang führt auf ein falsches Portal mit echten Daten des Aufenthalts. Dort sollst du dich mit deinen Onlinebanking-Daten anmelden. Eine andere Version richtet sich laut Watchlist Internet an Menschen in der Schweiz: Die Rückbuchung soll angeblich über Twint laufen.
Warum stimmen Hotelname und Buchungsnummer trotzdem?
Laut INCIBE kennen die Täter echte Angaben wie Unterkunft, Reisedaten, Name des Gastes oder Buchungsnummer. Im Fall aus Österreich dürften die Daten laut Watchlist Internet aus einem Leak bei booking.com stammen. Auch das Schweizer Bundesamt für Cybersicherheit BACS nennt in seinem Halbjahresbericht 2026/1 Datenlecks als Anknüpfungspunkt für Betrug.
Echte Buchungsdaten beweisen also nicht, dass eine Nachricht echt ist. Auch Name oder Logo garantieren laut INCIBE nicht, dass sie vom Hotel kommt. Bei der Erstattungsmail stand zwar der Hotelname im Absender, die Adresse gehörte aber nicht zum Betrieb.
Ein Beispiel: die WhatsApp-Nachricht vor dem Konzertwochenende
Fiktives Beispiel: Reto aus Luzern hat zwei Nächte in einem Wiener Hotel gebucht. Vier Tage vor der Anreise kommt eine WhatsApp-Nachricht mit Hotelname, Reisedaten und Buchungsnummer: Seine Karte habe nicht bestätigt werden können. Er solle die Reservierung innert 12 Stunden per Link bestätigen, sonst werde sie storniert.
Reto tippt nicht auf den Link. In der App der Plattform ist die Buchung bestätigt, eine offene Zahlung gibt es nicht. Er ruft das Hotel unter der Nummer von dessen Website an: Die Rezeption hat nichts verschickt. Reto macht einen Screenshot, meldet die Nachricht beim BACS und blockiert die Nummer.
Wie prüfst du die Nachricht, ohne auf den Link zu tippen?
- Antworte nicht, tippe auf keinen Link oder Button und scanne keinen QR-Code aus der Nachricht.
- Öffne die App oder Website der Plattform selbst, nie über die Nachricht. Prüfe dort den Status deiner Buchung und ob eine Zahlung offen ist.
- Ruf das Hotel unter der Nummer von seiner offiziellen Website an, nicht unter der Nummer aus der Nachricht. Laut Watchlist Internet klärt ein Anruf im echten Hotel die Sache rasch.
- Vergleiche Absender und Linkadresse mit den offiziellen Kanälen von Hotel und Plattform. Eine fremde Domain ist ein deutliches Warnzeichen.
- Mach einen Screenshot, melde die Nachricht und blockiere erst dann den Absender.
Tipp: Speichere Buchungsbestätigung und Hotel-Website gleich bei der Buchung, dann hast du die echte Nummer zur Hand. Mehr dazu in Vor einer Reise digitale Zugänge vorbereiten.
Woran erkennst du eine falsche Zahlungsaufforderung?
| Die Nachricht … | Warum das nichts beweist | So prüfst du selbst |
|---|---|---|
| nennt Hotel, Reisedaten und Buchungsnummer | Täter haben teils echte Buchungsdaten, etwa aus einem Leak | Buchung selbst in der App öffnen |
| zeigt Name oder Logo des Hotels | Name und Logo lassen sich fälschen | Absender und Nummer mit der Hotel-Website vergleichen |
| droht mit Stornierung | Zeitdruck soll dich vom Prüfen abhalten | Hotel selbst anrufen |
| bietet eine Erstattung per Button oder QR-Code | Das falsche Portal will deinen Onlinebanking-Zugang | Beim Hotel nachfragen, ob eine Erstattung ansteht |
| verlangt Kartendaten, Login oder einen Code | Im Fall aus Österreich gab der Code eine Abbuchung an die Täter frei | Nichts eingeben |
Um Geld zu erhalten, musst du in der Regel nichts freigeben. Wie du Bestätigungen deiner Bank genau liest, steht in Freigabe in der Banking-App.
Was tust du, wenn du schon Daten eingegeben hast?
- Ruf sofort deine Bank oder deinen Kartenanbieter an und schildere die Situation.
- Ändere, wenn noch möglich, das Passwort für dein Onlinebanking und beobachte dein Konto in den nächsten Wochen genau.
- Erstatte Anzeige bei der Polizei und nimm Screenshots, Absender, Link und Zahlungsbelege mit.
- Bleib wachsam: Wer deine Kontakt- und Bankdaten hat, versucht es laut Watchlist Internet womöglich mit einer anderen Masche erneut.
Hast du die Seite nur geöffnet und nichts eingegeben, genügt es laut INCIBE, sie zu schliessen und nicht erneut aufzurufen. Den ganzen Ablauf findest du in Kartendaten auf einer verdächtigen Seite eingegeben. Ob du Geld zurückbekommst, hängt vom Einzelfall ab; diese Seite ersetzt keine Rechtsberatung.
Wo meldest du die Nachricht in Deutschland, Österreich und der Schweiz?
| Land | Nachricht melden | Bei Schaden |
|---|---|---|
| Deutschland | Phishing-Mails an phishing@verbraucherzentrale.nrw weiterleiten (Phishing-Radar der Verbraucherzentrale) | Bank sofort anrufen; Anzeige bei der Polizei |
| Österreich | Meldeformular «Internet-Falle melden» von Watchlist Internet | Bank sofort anrufen; Anzeige bei der Polizei |
| Schweiz | Meldeformular für Cybervorfälle des Bundesamts für Cybersicherheit BACS | Bank sofort anrufen; Anzeige bei der Polizei |
Informiere zusätzlich Hotel und Plattform über deren offiziellen Kundendienst. Die Verbraucherzentrale rät, Phishing-Mails auch an das Unternehmen weiterzuleiten, dessen Name missbraucht wird.
Häufige Fehler
- Die Nachricht für echt halten, weil Buchungsnummer und Reisedaten stimmen.
- Unter der Nummer aus der Nachricht zurückrufen statt unter der Nummer von der Hotel-Website.
- Aus Angst vor der Stornierung auf den Link tippen, statt die Buchung in der App zu prüfen.
- Für eine angebliche Erstattung das Onlinebanking-Login eingeben und einen Code bestätigen.
- Nach der Eingabe von Kartendaten abwarten, statt sofort die Bank anzurufen.
Deine Checkliste
Die Häkchen dienen nur deiner Übersicht. Hier werden keine Eingaben an uns gesendet. Zum Aufbewahren kannst du die Seite über das Browsermenü drucken oder als PDF speichern.
Häufige Fragen
Die Nachricht kennt meine Buchungsnummer. Ist sie dann echt?
Nein. Laut dem spanischen Nationalen Institut für Cybersicherheit INCIBE verfügen die Täter über echte Angaben wie den Namen der Unterkunft, die Reisedaten, den Namen des Gastes und die Buchungsnummer. Gerade das macht die Nachricht glaubwürdig. Verlass dich nur auf das, was du in deiner Buchung in der App siehst oder was dir das Hotel unter seiner offiziellen Nummer bestätigt.
Darf ein Hotel nach der Buchung überhaupt Geld verlangen?
Je nach Buchung zahlst du vorab, bei der Anreise oder leistest eine Anzahlung. Was für deine Buchung gilt, steht in der Buchungsbestätigung und in der App. Verlangt eine Nachricht eine zusätzliche Zahlung oder eine neue Kartenbestätigung, prüf das dort und frag beim Hotel unter einer selbst gesuchten Nummer nach. Zahle nicht über einen Link aus der Nachricht.
Ich habe nur auf den Link getippt, aber nichts eingegeben. Was nun?
Laut INCIBE genügt es dann, die Seite zu schliessen und nicht erneut zu öffnen. Prüfe deine Buchung wie gewohnt in der App und melde die Nachricht. Hast du nach dem Tippen etwas heruntergeladen oder eine App installiert, lies Verdächtigen Link geöffnet und kläre dort, was tatsächlich passiert ist.
Quellen und weiterführende Informationen
Primärquellen von Behörden, Verbraucherschutz und Anbietern. Eine Quelle kann in einer anderen Sprache vorliegen; massgeblich sind die Hinweise für deinen Dienst und deinen Wohnort.
- Watchlist Internet: Kurtaxe und Servicepauschale – angebliche Doppelbuchung führt in Phishing-FalleQuellenstand:
- INCIBE (Spanien): Kriminelle geben sich über WhatsApp als Hotel aus (Warnung vom 31. Juli 2026, auf Spanisch)Quellenstand:
- Verbraucherzentrale: Phishing-Radar mit aktuellen WarnungenQuellenstand:
- Bundesamt für Cybersicherheit BACS: Kontakt und Meldeformular für CybervorfälleQuellenstand:
- BACS: Halbjahresbericht 2026/1 (Seite auf Englisch)Quellenstand:
