Datenleck bei Booking.com – Betrugsmasche u.a. durch Phishing-Mails!

Datenleck bei Booking.com – Reisende betroffen!

Der Urlaub für den Sommer 2026 ist gebucht, jeder freut sich und die Buchung über Booking.com längst abgeschlossen.

Wegen der Vorfreude auf den Urlaub denkt man nicht sofort daran, Betrüger aufgesessen zu sein, wenn man eine Mail, angeblich von booking.com erhält, in der man aufgefordert wird die Verifizierung der Kreditkarte vorzunehmen, andernfalls droht die Stornierung des Hotels und der ersehnte Urlaub fällt aus.

Reisende werden in letzter Zeit immer häufiger Opfer von Betrügern!

Aber warum? Wir zeigen Ihnen, warum hinter täuschend echt anmutenden Mails – Phishing-Mails per E-Mail-Versand oder per WhatsApp – von Reiseportalen wie Booking.com Betrüger stecken und wie Sie, sofern Sie einer Betrugsmasche zum Opfer gefallen, sind richtig reagieren, um Ihr Geld zurückzubekommen.

Wir zeigen auf, welche Rechte Sie als Reisende(r) haben.

LOIBL LAW – Ihre Experten im Reiserecht!

Das Wichtigste in Kürze:

• Reisende sollten auf betrügerische Nachrichten, Zahlungsaufforderungen und Kontaktanfragen achten.
• Keine Links aus überraschenden E-Mails oder WhatsApp-Nachrichten anklicken.
• Zahlung nur direkt in der Booking.com-App oder auf der offiziellen Website prüfen.
• Bei Unsicherheit den Kundenservice über die offizielle App oder Website kontaktieren.

Was ist passiert?

Booking.com hat bestätigt, dass Hacker über verdächtige Aktivitäten Zugriff auf Reisebuchungen samt den persönlichen Buchungsdaten von Reisenden erlangt haben.

Vorsicht!

Eine Betrugs-Masche besteht darin, eine täuschend echt aussehenden Fake-Seite wie „booking.com-invitation-reservation-xxxx.live“, um Reisende als Opfer zu täuschen. Darüber informiert die Verbraucherzentrale.

Welche Daten sind betroffen?

Bei Reisenden, die eine Urlaubsbuchung über booking.com vorgenommen haben, könnten unter anderem folgende Daten betroffen sein,

• Name,
• E-Mail-Adresse,
• Telefonnummer,
• Buchungsdetails,
• sowie Inhalte betroffen sein, die du direkt mit der Unterkunft geteilt hast.

Ob auch Postanschriften betroffen sind, kann derzeit nicht mit Sicherheit ausgeschlossen werden. Was laut booking.com nicht betroffen sind, sind Zahlungsdaten, also Finanz- und Kreditkartendaten.

Welche Folgen drohen?

Da Zahlungsdaten nicht gehackt wurden ist ein direkter Zugriff auf Konten der Reisenden wohl ausgeschlossen.

Was jedoch durch die betroffenen Reisedaten wie bspw. Name, Unterkunft, Reisedatum und dergleichen passieren kann, ist, dass sehr echt wirkende und fast nicht zu unterscheidende Nachrichten wie E-Mails oder WhatsApp-Nachrichten versendet werden, in denen das angeblich gebuchte Hotel oder booking.com wegen Abrechnungsproblemen die Reisenden auffordert, Kreditkartendaten nochmals zu verifizieren bzw. zu bestätigen.

Die Nachrichten enthalten meist einen Link, um die Verifizierung der Kreditkartendaten vorzunehmen.

Wer den beigefügten Links anklickt und weiter folgt, landet auf perfekt nachgebauten Phishing-Seiten, auf denen die sensiblen Kreditkartendaten abgegriffen werden – kurz darauf folgen unberechtigte Abbuchungen

Da Hacker sich vermehrt und gezielt Zugriff auf die Accounts von einzelnen Hotels, Airlines oder Reiseveranstalter verschaffen, ist Vorsicht bei Nachrichten geboten, selbst wenn eine Nachricht direkt über das offizielle Nachrichtensystem der Plattform wie booking.com eingeht.

Beispiele für Phishing-Nachrichten

1.

Ein Reisender war Ende April für drei Übernachtungen in einem Hotel in Ligurien, Italien. Ende Mai, also bereits nach der Reise, erhält der Reisende eine WhatsApp-Nachricht mit dem Wortlaut:

Wegen eines technischen Fehlers bei Booking seien ihm für die Übernachtungen in diesem Hotel rund 100 Franken zu viel verrechnet worden. Für die Rückerstattung soll er ein Formular ausfüllen. Dazu ein Link über den die Rückerstattung vorgenommen werden kann.

2.

Eine andere Reisende, die ebenso Kundin von Booking.com war, erhielt eine englische WhatsApp-Nachricht zu ihrer Buchung für den Herbsturlaub.

Der Status der Buchung sei im System mit „ausstehend“ gekennzeichnet und müsse bestätigt werden, damit sie aktiv bleibe.

Auch hier war der Nachricht ein sog. Bestätigungs-Link beigefügt.

Vorsicht!

Bei beiden Nachrichten war zum einen der Absender verdächtig und zum anderen ist bekannt, dass booking.com mit seinen Kundinnen und Kunden nicht über WhatsApp kommuniziert.

Wie ist der rechtliche Hintergrund – Wer haftet bei Phishing-Schäden?

Aus Sicht der betroffenen Reisenden, die über Booking.com gebucht hatten und Opfer der Betrugsmasche geworden sind, stellt sich die Frage, wer für den finanziellen Schaden in rechtlicher Hinsicht verantwortlich ist.

Wenn unberechtigt Beträge von der Kreditkarte abgebucht wurden, besteht grds. keine pauschale Haftung von Booking.com.

Eine Haftungsregelung, nach der Booking.com haftbar gemacht wurde, besteht in zivilrechtlicher Hinsicht nicht, jedoch können die allgemeinen, zivilrechtlichen und gesetzlichen Regelungen für Bank- und Kreditkartenkunden einschlägig sein und ebenso vertragliche Ansprüche und Ansprüche aus sog. unerlaubter Handlung.

Auch sind datenschutzrechtliche Vorschriften, insbesondere Art. 82 DSGVO (EU-Datenschutzgrundverordnung) zu beachten.

Grundsätzlich gilt bei Missbrauch von Bank- und Kreditkartenbetrug, dass die Bank als Zahlungsdienstleister, als Kreditinstitut den Schaden regulieren, d.h. rückerstatten muss. Wie immer im rechtlichen, gibt es eine Ausnahme, d.h. die Bank bzw. das Kreditinstitut muss keine Haftung übernehmen, wenn dem Kunden grobe Fahrlässigkeit nachgewiesen werden kann.

Grobe Fahrlässigkeit ist jedoch in den vorliegenden Fällen von der Bank und Kreditinstituten nicht begründbar, da die Hacker die Buchungsdaten gestohlen haben und für den Laien Nachrichten, welche angeblich von booking.com stammen, nur sehr schwer als Betrug eingestuft werden können.

 Hinweis:

Lesen Sie hierzu unseren Beitrag bei Phishing und Betrugsfällen bei Bankkonten, hier der Konto gehackt

Rechtslage – Anspruch gegen Booking.com oder die Bank?

Wie bereits dargelegt bestehen mehrere Möglichkeiten Ansprüche geltend zu machen. Zum einen gegenüber Booking.com oder gegen die Bank oder das Kreditkarteninstitut.

Haftung von Booking.com

Gegenüber Booking.com können vertragliche Ansprüche, aber auch datenschutzrechtliche geltend gemacht werden.

Grundsätzlich gilt – eine Datenleck, ein Datenschutzverstoß stellt eine Pflichtverletzung der verantwortlichen Stelle – vorliegend Booking.com – dar.

Reisende als Betroffene haben nach Art. 15 Abs. 1 DSGVO das Recht, Auskunft darüber zu erhalten, ob und in welchem Umfang Sie von dem Datenleck betroffen sind.

Zudem besteht, sofern die Voraussetzungen vorliegen, ein Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO.

Nach der DSGVO genügt ein immaterieller Schaden, um Ansprüche geltend machen zu können.

Auch besteht ein Anspruch auf Feststellung – möglicherweise gerichtlich – hinsichtlich möglicher künftiger Schäden.

Des Weiteren haben Geschädigte einen Anspruch auf Unterlassung und können der Verarbeitung Ihrer Daten widersprechen.

Haftung der Bank / Kreditkarteninstitut

Als Opfer von Phishing haben Sie grds. einen Anspruch gegen die Bank oder das Kreditkarteninstitut auf Erstattung der unrechtmäßigen Abbuchungen.

Die Banken verweigern die Erstattung der abgebuchten Beträge, verweisen auf die Sorgfaltspflichtverletzungen der Mandantinnen und auf ein Schlichtungsverfahren.

Die Mandanten stellte jeweils Strafanzeigen und ließen zuvor das Konto sperren.

Die Erfahrung zeigt, dass ein Schlichtungsverfahren keinen Erfolg verspricht, weil die Bank die Erstattung wiederum ablehnt.

Bei unrechtmäßig und nicht durch den Bank-Kunden freigegebene Zahlungen, hat der Zahler (Bank-Kunde) einen Anspruch gegen die Bank auf Rückerstattung der unrechtmäßig abgebuchten Beträge, gemäß § 675 u 3 Satz 2 Alt. 2 BGB zu, da es sich bei der von der Beklagten als Zahlungsdienstleister durchgeführten Überweisung um einen nicht autorisierten Zahlungsvorgang handelte.

In zahlreichen Urteilen wurden die Banken zur Erstattung der unrechtmäßigen Abbuchungen verurteilt. Nachfolgend ein Auszug:

BGH, Urteil vom 5.3.2024 – XI ZR 107/22

Den Zahlungsdienstleister trifft die Beweislast für die Autorisierung von Zahlungen, unabhängig davon, ob der Zahlungsvorgang auf dem Einsatz eines Zahlungs- (Authentifizierungs-) -instruments mit personalisierten Sicherheitsmerkmalen beruht oder nicht.

Fazit 

• Reisenden sollten vor und nach dem Urlaub Mails und anderweitige Nachrichten in Bezug auf Ihren Urlaub und der Buchung über Booking.com kritisch gegenüberstehen und Vorsicht walten lassen.
• Es sollte kein Link zur Verifizierung der Kreditkarte angeklickt und keine Daten preisgegeben werden.
• Sollte dies bereits geschehen sein, dann unverzüglich Anzeige erstatten und sich anwaltlich beraten lassen.
• Grds. besteht ein Anspruch gegen die Bank oder das Kreditkarten-Institut auf Rückerstattung. Weitere Ansprüche gegenüber Booking.com sollten anwaltlich geprüft werden.

Kostenfreie Ersteinschätzung vom Anwalt!

• Eine kostenfreie Ersteinschätzung stellt keine Prüfung der Sach- und Rechtslage und etwaiger Anlagen dar.
• Sie schildern in ein paar Sätzen den Sachverhalt und wir schätzen die Erfolgsaussichten für Sie ein, damit Sie entscheiden können, ob und wie Sie weiter vorgehen!

LOIBL LAW – die Rechtskanzlei, Ihre Experten im Reiserecht und Vertragsrecht!

WIR beraten Sie, ob Fluggast, als Urlauber, Reisender im Rahmen einer Pauschalreise oder auch bei Angelegenheiten in Verbindung mit Individualreisen in allen Fragen und Angelegenheiten des Reise- und Banken- sowie Vertragsrechts.

Wir beraten Sie bundesweit. Sie erhalten bei uns eine kostenlose Ersteinschätzung zu Ihrem Anliegen.

WIR handeln schnell, unkompliziert und lösungsorientiert. Unser Ziel, Ihre Rechte Sichern und schützen!

Sie können sich jederzeit unverbindlich unter 0991/38306131, per E-Mail mail@loibl-law.de oder WhatsApp-Business unter 099138306131 oder über die weiteren Kontaktmöglichkeiten auf unserer Website www.loibl-law.de mit der Online-Chat-Funktion melden.

Weitere Infos und Antworten zum Reiserecht finden Sie auf unserer Website – Reiserecht

Zudem sind wir auf verschiedenen Social-Media-Accounts und auf anwalt.de vertreten.

Ihr Team von LOIBL LAW!