Die Sicherheitslage im Online-Reisesektor hat sich dramatisch verschärft. Kriminelle nutzen kompromittierte Hotelkonten, um Reisende mit personalisierten Nachrichten und echten Buchungsdaten zu betrügen. Parallel dazu vermelden Ermittlungsbehörden einen Erfolg gegen die organisierte Phishing-Infrastruktur.
Manipulierte Zahlungsaufforderungen bei Booking.com
Reisende, die Unterkünfte über Booking.com gebucht haben, stehen im Visier einer spezialisierten Betrugsmasche. Angreifer verschaffen sich Zugang zum sogenannten Extranet – dem internen Verwaltungssystem der Partnerhotels. Dort greifen sie sensible Informationen wie Namen, Reisedaten und Telefonnummern der Gäste ab, berichten Experten der Fachzeitschrift c’t.
Mit diesen realen Daten kontaktieren die Täter die Urlauber kurz vor Reiseantritt über Messenger wie WhatsApp oder per E-Mail. Sie fordern die Kunden unter Vorwänden zu Nachzahlungen oder zur Verifizierung ihrer Zahlungsdaten auf. Die beigefügten Links führen auf täuschend echt gestaltete Webseiten, auf denen Kreditkartendaten gestohlen werden.
Predrag Vuckovic, Sicherheitschef bei Booking.com, bestätigte eine Schwachstelle im Hotel-Extranet. Zwar komme eine Zwei-Faktor-Authentifizierung zum Einsatz, diese biete jedoch keinen vollständigen Schutz. Fachredakteure der c’t wiesen darauf hin, dass das System den Angreifern zu viele Angriffsflächen biete. Eine Häufung solcher Fälle wird seit April 2026 beobachtet.
Internationale Ausmaße und Schäden
Der Betrug mit Reisedaten ist ein globales Phänomen. In Singapur wurden seit September 2025 mindestens 30 Opfer registriert, der Schaden liegt bei rund 41.000 Singapur-Dollar. Europol, die US-Handelsbehörde FTC und die Initiative Scamwatch warnten bereits vor einer neuen Welle von Reisebetrug. Auch aus Südkorea wurden vermehrt gezielte Phishing-Versuche gemeldet.
Neben dem Missbrauch von Buchungsportalen nutzen Kriminelle zur Ferienzeit sogenannte „Evil-Twin“-WLAN-Netzwerke an Flughäfen. Die Ermittlungsbehörden raten Reisenden zur erhöhten Vorsicht bei unüblichen Zahlungsaufforderungen außerhalb der offiziellen App-Kanäle.
Rekord-Schäden durch Phishing und manipulierte Nachrichten betreffen längst nicht mehr nur die Reisebranche, sondern zielen direkt auf Ihre geschäftlichen Daten ab. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich proaktiv vor psychologischen Manipulationstaktiken schützen kann. In 4 Schritten zur erfolgreichen Hacker-Abwehr
Schlag gegen die Phishing-Infrastruktur „Kratos“
In einem koordinierten Einsatz zerschlugen das BKA und das FBI am 20. Juli die Phishing-Plattform „Kratos“. Dieser Dienst wurde als „Phishing-as-a-Service“ betrieben und ermöglichte es Abonnenten, monatlich rund 15.000 Kampagnen durchzuführen. Insgesamt wurden über 200 Server beschlagnahmt und ein mutmaßlicher Entwickler in Indonesien festgenommen.
Die Plattform bot etwa 1.800 Nutzern Werkzeuge an, um Anmeldeseiten bekannter Dienste – allen voran Microsoft – zu kopieren. Besonders gefährlich: Die Software konnte durch den Diebstahl von Cookies die Zwei-Faktor-Authentifizierung umgehen. Schätzungen zufolge könnten Hunderttausende Nutzer in über 30 Ländern betroffen sein.
Deutlicher Anstieg der Cyberkriminalität
Statistiken für das erste Halbjahr 2026 belegen eine massive Zunahme von Online-Betrugsversuchen. Das Volumen von SMS-Phishing (Smishing) stieg um 146 Prozent, allgemeiner Online-Betrug verzeichnete ein Plus von 134 Prozent. Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) enthielt im zweiten Quartal 2026 jede dritte unerwünschte E-Mail Phishing-Inhalte – insgesamt 7,6 Milliarden Nachrichten.
Neben der Reisebranche sind Kunden der DKB und der Sparkassen von Phishing-Wellen betroffen. Die Täter agieren unter dem Deckmantel angeblicher Sicherheitsupdates. Technisch setzen sie vermehrt auf hochspezialisierte Werkzeuge. Der neu entdeckte Trojaner „Dolphin X“ verfügt über 329 Funktionen zum Auslesen von Daten aus Apps und Krypto-Wallets. Zudem nutzen Angreifer Echtzeit-Phishing-Kits wie „InsureOTP“, die Einmalpasswörter innerhalb von weniger als 90 Sekunden abfangen können.
Da allein in Deutschland pro Quartal Millionen Online-Konten gehackt werden, warnen Experten: Wer noch herkömmliche Passwörter nutzt, geht ein unnötiges Risiko ein. Erfahren Sie in diesem kostenlosen Report, wie Sie die neue Passkey-Technologie bei Amazon, Microsoft und WhatsApp sofort für maximale Sicherheit einrichten. Kostenlosen Passkey-Guide jetzt herunterladen
Empfehlungen für Verbraucher und Unternehmen
Branchenexperten und Juristen raten: Bei unerwarteten Nachrichten grundsätzlich keine Links anklicken. Zahlungsstatus und Buchungsdetails sollten ausschließlich über die offiziellen Apps der Anbieter geprüft werden. Wer Daten preisgegeben hat, sollte die betroffene Kreditkarte umgehend sperren und Strafanzeige erstatten.
Banken reagieren bereits auf die beschleunigten Betrugsmethoden. Die DBS-Bank führte kognitive Pausen bei als riskant eingestuften Überweisungen ein, um Kunden vor übereilten Transaktionen zu schützen. Bei Schäden durch Quishing – Betrug mittels manipulierter QR-Codes – prüfen Gerichte derzeit verstärkt Einzelfälle. Banken lehnen eine Erstattung oft unter Hinweis auf grobe Fahrlässigkeit ab.
