Stellen Sie sich vor: Sie haben gerade ein Hotel in Barcelona gebucht, alles bestätigt, Vorfreude auf den Urlaub. Und dann kommt eine WhatsApp-Nachricht – mit dem richtigen Hotelnamen, dem richtigen Datum, dem richtigen Preis. «Ihre Zahlung konnte nicht verarbeitet werden. Bitte bestätigen Sie Ihre Kreditkartendaten.» Würden Sie klicken? Ehrlich gesagt – die meisten tun es.
Anfang Juni warnte das BACS vor genau dieser Phishing-Welle, die über Buchungsplattformen und WhatsApp läuft. Was die Meldung nicht direkt sagt, aber den ganzen Kontext liefert: Booking.com hatte im April 2026 einen Datenleak. Buchungsdaten von Millionen Nutzern – abgeflossen. Und die aktuelle Phishing-Kampagne? Die direkte Folge davon.
So läuft der Angriff ab
Das Fiese an dieser Masche: Sie funktioniert so gut, weil alles echt aussieht. Nicht «echt» im Sinne von «naja, ganz okay nachgemacht». Sondern echt. Ihr Hotelname. Ihre Reisedaten. Ihr Buchungspreis. Die Nachricht liest sich wie eine normale Plattform-Kommunikation – und dann der Druck: «Bestätigen Sie jetzt, oder Ihre Buchung wird storniert.»
Wer will schon riskieren, dass der Urlaub platzt? Genau darauf setzen die Angreifer. Der Link führt auf eine Seite, die von der echten Booking.com-Seite praktisch nicht zu unterscheiden ist. Kreditkartennummer, Ablaufdatum, Sicherheitscode – alles eingetippt, alles weg.
Und es wird noch dreister. In manchen Fällen schreiben die Angreifer nicht per WhatsApp oder E-Mail, sondern direkt über die Chat-Funktion der Buchungsplattform. Sie haben sich in das Hotelkonto gehackt und schreiben von dort. Für Sie sieht es aus, als schriebe das Hotel persönlich. Wie soll man das erkennen?
Der Booking.com-Leak – der Brandbeschleuniger
Im April 2026 bestätigte Booking.com einen Sicherheitsvorfall. Namen, E-Mail-Adressen, Reisedaten, Hotelnamen, teilweise Zahlungsinformationen – in fremden Händen. Das Unternehmen betonte, dass keine vollständigen Kreditkartendaten betroffen seien. Stimmt wahrscheinlich. Aber das ist ein schwacher Trost.
Denn die Angreifer brauchten gar keine Kreditkartennummern. Die holen sie sich ja gerade per Phishing. Was sie brauchten, war Kontext – echte Buchungen mit echten Details, um glaubwürdige Nachrichten zu bauen. Und genau das hat der Leak geliefert.
Sicherheitsforscher beobachten die Kampagne übrigens seit März 2026 – also noch bevor Booking.com den Leak öffentlich bestätigte. Die Daten waren offenbar schon Wochen vorher im Umlauf. Das sollte einem zu denken geben.
Warum das auch KMU betrifft
Zwei Worte: Geschäftsreisen. Jedes Unternehmen, dessen Leute über Booking.com oder Expedia buchen – und das sind in der Schweiz verdammt viele – ist potenziell im Fadenkreuz. Die Phishing-Nachrichten landen auf geschäftlichen E-Mail-Adressen und Firmenhandys. Wenn jemand dort die Firmenkreditkarte eingibt, ist nicht das private Konto betroffen. Sondern das Firmenkonto.
Aber da ist noch die andere Seite: Schweizer Hotels, die Booking.com als Vertriebskanal nutzen, sind ebenfalls Ziele. Ein kompromittiertes Hotelkonto wird benutzt, um Gäste direkt über die Plattform zu phishen. Und wem schadet das am Ende? Dem Hotel. Nicht Booking.com.
Was Sie tun sollten
Als Reisender: Wenn Sie eine Nachricht erhalten, die Sie auffordert, Zahlungsdaten über einen Link erneut einzugeben – tun Sie es nicht. Nie. Keine seriöse Buchungsplattform fordert das per WhatsApp, E-Mail oder Chat. Loggen Sie sich stattdessen direkt über die offizielle App oder Website ein und prüfen Sie selbst, ob es wirklich ein Problem gibt.
Als Unternehmen: Ein kurzer Hinweis im Team-Meeting oder per Slack reicht schon. «Wer über Booking.com gebucht hat und eine Nachricht zur Zahlungsbestätigung erhält: Nicht reagieren, direkt über die offizielle Seite prüfen.» Drei Sätze, die viel Schaden verhindern können.
Als Hotel: Zwei-Faktor-Authentifizierung für Ihre Plattform-Zugänge. Sofort. Und prüfen Sie regelmässig, ob über Ihr Konto Nachrichten verschickt wurden, die nicht von Ihnen stammen.
Was wir daraus lernen
Dieser Fall zeigt ein Muster, das wir in unserer Arbeit immer häufiger sehen: Ein Datenleak bei einem Drittanbieter liefert den Kontext für hochpersonalisierte Phishing-Angriffe. Der eigentliche Angriff kommt Wochen später und trifft nicht den Plattformbetreiber, sondern die Endnutzer – also Sie, Ihre Mitarbeitenden, Ihre Kunden. Das schwächste Glied in der Kette ist oft ein Dienst, den man gar nicht als Risiko auf dem Radar hat.
Wir analysieren in unseren Security Assessments auch die Drittanbieter-Risiken – welche Plattformen nutzen Ihre Leute, welche Daten liegen dort, und was passiert, wenn einer dieser Dienste kompromittiert wird? Wenn Sie das wissen wollen: Melden Sie sich bei uns.
Quellen und weiterführende Informationen: BACS Wochenrückblick KW 22, BleepingComputer: Booking.com Data Breach