Gefälschte Airbnb- und Booking-Seiten greifen Touristen an. So schützen Sie Ihre Ersparnisse

Betrügerische Buchungsportale werden immer raffinierter

Anstelle echter Buchungsplattformen lauern heute täuschend echte Nachahmerseiten, deren einziges Ziel es ist, Ihr Konto zu plündern. Cyberkriminelle kopieren das Design bekannter Plattformen wie Airbnb, Booking.com oder Expedia, kapern den Traffic aus Suchmaschinen und bezahlten Anzeigen – und verschwinden dann mitsamt Ihrem Geld und Ihren persönlichen Daten.

Das Ausmaß dieses Problems wächst mit jeder Saison. Viele Betroffene erfahren vom Betrug erst am Flughafen oder direkt an der Hotelrezeption. Cybersicherheitsexperten warnen, dass diese Angriffe immer ausgefeilter werden und für normale Nutzer kaum noch zu erkennen sind.

Betrüger zielen bewusst auf Stoßzeiten im Buchungsgeschäft ab und setzen auf das Vertrauen der Menschen in bekannte Marken. Wer einen Urlaub plant, denkt an das Reiseziel, Ausflüge und das Packen – nicht daran, ob die Seite, über die gerade gezahlt wird, überhaupt echt ist. Genau darauf bauen die Kriminellen.

Gefälschte Expedia und ein Flug nach Indien, der nie existierte

Ein anschauliches Beispiel liefert ein britisches Pärchen, dessen Geschichte vom Sender BBC berichtet wurde. Sie glaubten, eine Reise nach Indien über das bekannte Portal Expedia zu buchen. Die Seite wirkte absolut überzeugend – korrektes Logo, Farben, Seitenaufbau, alles entsprach dem Original. Sie bezahlten rund 2.500 Pfund, umgerechnet fast 2.900 Euro.

Erst am Flughafen stellte sich heraus, dass im System der Fluggesellschaft keinerlei Buchung existierte. Die Tickets gab es schlicht nicht. Das Geld landete in den Taschen der Betrüger, nicht auf dem Konto der echten Plattform.

Wie ist so etwas möglich? Die Opfer wurden auf eine dem Original täuschend ähnliche Seite umgeleitet. Nach der Auswahl eines Angebots wurden sie aufgefordert, über WhatsApp unter dem Namen „Fly Expedia“ zu kommunizieren. Anschließend folgte die Aufforderung zu einer Banküberweisung statt einer Zahlung über das gesicherte System der Plattform. Die gesamte Transaktion umging damit die offizielle Zahlungsinfrastruktur vollständig – das Geld floss direkt auf das Konto der Kriminellen.

Tausende gefälschte Seiten und ein durchschnittlicher Verlust von über 2.700 Euro

Eine im August 2024 von der Agentur OpinionWay im Auftrag von Airbnb durchgeführte Umfrage zeigt, dass es sich dabei keineswegs um Einzelfälle handelt. Ganze 48 % der befragten Franzosen gaben an, selbst Opfer eines solchen Betrugs geworden zu sein oder jemanden aus ihrem engen Umfeld zu kennen, dem dasselbe passiert ist.

Der durchschnittliche finanzielle Schaden wurde in diesen Fällen auf rund 2.700 Euro geschätzt. Für viele Familien entspricht das dem gesamten Urlaubsbudget – manchmal sogar den Ersparnissen aus mehreren Jahren. Airbnb gibt an, dass zwischen März 2023 und März 2024 mehr als 2.500 gefälschte Webseiten entfernt wurden, die sich als diese Plattform ausgaben. Dabei handelt es sich ausschließlich um gemeldete Fälle – die tatsächliche Zahl betrügerischer Seiten dürfte erheblich höher liegen.

Experten für Cyberkriminalität weisen darauf hin, dass diese Angriffe fortgeschrittene Phishing-Techniken und Domain-Spoofing nutzen. Betrüger registrieren Domains mit minimalen Abweichungen von den originalen Adressen, die ein gewöhnlicher Nutzer beim flüchtigen Hinschauen leicht übersieht.

Nicht nur Airbnb und Expedia – auch Booking.com und Bahngesellschaften sind im Visier

Buchungsbetrug trifft auch andere große Anbieter. Die französische Verbraucherorganisation UFC-Que Choisir berichtet, dass insbesondere die Plattform Booking.com während der Olympischen Spiele in Paris massiv betroffen war.

Die Zahl der registrierten Betrugsversuche im Zusammenhang mit dieser Plattform stieg im Jahresvergleich um etwa 900 %. Das zeigt, wie massiv Kriminelle Großveranstaltungen ausnutzen, wenn Menschen scharenweise nach Unterkünften suchen. Viele Besucher der Pariser Olympiade fielen auf gefälschte Hotel- und Apartment-Angebote in der Innenstadt herein.

Dabei geht es nicht nur um Unterkünfte. Auch Websites von Bahngesellschaften werden ins Visier genommen, darunter der nationale französische Bahnbetreiber. Im Internet tauchen Seiten auf, die sich als offizielle Portale ausgeben und beispielsweise Rabattkarten zu Preisen weit unter den üblichen Tarifen anbieten.

Die Gleichung ist einfach: Je bekannter die Marke und je größer die Buchungssaison, desto wahrscheinlicher versucht gerade jemand, sie nachzuahmen und damit Geld zu verdienen. Phishing-Kampagnen im Reisebereich zählen laut Sicherheitsforschern zu den lukrativsten Formen der Cyberkriminalität überhaupt.

So funktionieren diese Betrügereien Schritt für Schritt

Das Muster ist in den meisten Fällen ähnlich, auch wenn sich die Details von Fall zu Fall unterscheiden. Kriminelle spielen mit Zeitdruck, dem Vertrauen in bekannte Marken und der Angst vor dem Verlust einer Buchung. Experten betonen, dass diese Taktiken kontinuierlich verfeinert und weiterentwickelt werden.

Die häufigsten Methoden, die Betrüger einsetzen:

• Erstellen von Seiten, die dem Original optisch nahezu identisch sind, jedoch eine betrügerische Webadresse verwenden
• Schalten von Suchmaschinenwerbung, damit die gefälschte Seite über den organischen Ergebnissen erscheint
• Versenden von E-Mails oder SMS-Nachrichten, die die Kommunikation bekannter Plattformen imitieren
• Umleitung zu ungewöhnlichen Zahlungsmethoden: Banküberweisungen, externe Links oder Kommunikation über Messenger-Dienste
• Drohung mit sofortiger Stornierung der Buchung, wenn die „Zahlungsbestätigung“ nicht unverzüglich eingeht
• Verwendung drängender Formulierungen wie „letztes freies Zimmer“ oder „Angebot läuft in einer Stunde ab“
• Versenden gefälschter Bestätigungs-E-Mails mit Logo und Grafik des echten Unternehmens
• Einrichten gefälschter Kundenhotlines mit Nummern, die den offiziellen ähneln

Ein typischer Trick ist eine vermeintliche Nachricht von Booking.com mit einer Absenderadresse, die der offiziellen zum Verwechseln ähnelt. Im Text steht, dass Kartendaten erneut eingegeben werden müssen, weil „das System die Zahlung abgelehnt hat“. Die E-Mail enthält einen Link, der zu einer Anmeldeseite führt, die von der echten nicht zu unterscheiden ist.

Nach der Dateneingabe beginnt das Geld vom Konto zu verschwinden – die Betroffenen bemerken es oft erst nach Stunden oder Tagen. Auf dieselbe Weise werden „Super-Aktionstickets“ oder Rabattkarten für Bahnreisen angeboten. Banken verzeichnen jeden Monat Hunderte solcher Fälle.

So prüfen Sie, ob Sie wirklich auf der echten Seite buchen

Sicherheitsexperten und die Plattformen selbst sind sich einig: Einige einfache Gewohnheiten können das gesamte Urlaubsbudget retten. Es braucht etwas Zeit, sie zu verinnerlichen, aber schnell werden sie zur Routine.

Schauen Sie als erstes immer in die Adressleiste Ihres Browsers. Betrüger verwenden Adressen, die dem Original sehr ähnlich sind – mit einem zusätzlichen Buchstaben, einem Bindestrich oder einer ungewöhnlichen Domain-Endung. Die sicherste Gewohnheit ist es, die Adresse manuell in den Browser einzugeben oder ausschließlich die offizielle App der jeweiligen Plattform zu verwenden – niemals auf Links aus Werbeanzeigen oder E-Mails zu klicken.

Überprüfen Sie außerdem das Schloss-Symbol in der Adressleiste, das eine gesicherte HTTPS-Verbindung anzeigt. Betrügerische Seiten haben manchmal kein gültiges Sicherheitszertifikat. Cybersicherheitsexperten empfehlen die Installation von Browser-Erweiterungen, die automatisch vor verdächtigen Domains warnen.

Wenn ein Angebot zu gut klingt, um wahr zu sein

Der Wunsch, beim Urlaub zu sparen, zieht einen naturgemäß zu günstigen Angeboten. Betrüger wissen das sehr genau. Deshalb locken sie mit verdächtig niedrigen Preisen für Zugtickets, Rabattkarten oder Unterkünfte in beliebten Urlaubsorten mitten in der Hochsaison.

Ist der Preis deutlich niedriger als auf anderen Seiten, lohnt sich ein zusätzlicher Schritt: dasselbe Objekt oder dieselbe Leistung auf einem anderen Portal zu überprüfen, Bewertungen aus verschiedenen Quellen zu lesen und Fotos per Bildersuche zu prüfen, zum Beispiel mit Google Lens. Erscheinen dieselben Bilder bei mehreren völlig unterschiedlichen Immobilien oder Standorten, ist das ein sehr deutliches Warnsignal.

Psychologen mit Spezialisierung auf Verhaltensökonomie weisen darauf hin, dass Menschen in der Euphorie der Urlaubsplanung anfälliger für vorschnelle Entscheidungen sind. Die Überprüfung von Fotos und der Seitenadresse dauert nur wenige Minuten – und kann darüber entscheiden, ob Sie Ihren Traumurlaub genießen oder stattdessen bei der Hotline Ihrer Bank landen.

Was tun, wenn Sie bereits an Betrüger gezahlt haben

Haben Sie eine Überweisung auf ein betrügerisches Konto getätigt oder Kartendaten auf einer gefälschten Seite eingegeben, zählt jede Minute. Je schneller Sie reagieren, desto größer die Chance, den Schaden zu begrenzen.

Kontaktieren Sie sofort Ihre Bank und melden Sie die verdächtige Transaktion. Beantragen Sie die Sperrung Ihrer Zahlungskarte und prüfen Sie alle aktuellen Kontobewegungen. Sichern Sie alle verfügbaren Beweise: E-Mails, SMS-Nachrichten, Screenshots und Überweisungsbelege.

Erstatten Sie Anzeige bei der Polizei und wenden Sie sich an die zuständige Behörde für Cyberkriminalität in Ihrem Land. Kontaktieren Sie gleichzeitig die echte Plattform – Airbnb, Booking.com oder Expedia – und informieren Sie sie über den Missbrauch ihrer Markenidentität.

Banken erstatten das Geld nicht immer zurück, da das Opfer die Zahlung oder Überweisung selbst bestätigt hat. Dennoch ist eine Meldung sinnvoll – manche Institute leiten Ermittlungsverfahren ein, und die gesperrte Karte stellt künftig kein Risiko mehr dar. Finanzexperten empfehlen, Kontoauszüge regelmäßig zu prüfen und Benachrichtigungen für jede Transaktion einzurichten.

Warum Buchungsbetrug so zuverlässig funktioniert

Reiseplanung ist für Kriminelle ein ideales Umfeld. Menschen sind von der bevorstehenden Reise begeistert, erledigen mehrere Dinge gleichzeitig, behalten das Budget im Blick und jonglieren zahlreiche Details auf einmal. In diesem Zustand ist es viel leichter, auf die erste Werbeanzeige oder den ersten Link in einer E-Mail zu klicken, ohne einen Moment innezuhalten.

Buchungsplattformen versenden zudem von Natur aus eine große Menge an Benachrichtigungen: über Flugänderungen, Buchungsbestätigungen, Zahlungen und Erinnerungen. Für normale Nutzer ist es daher sehr schwer, sofort zwischen einer echten Nachricht und einer clever gefälschten zu unterscheiden. Genau darum geht es den Betrügern – sie wollen im natürlichen Informationsrauschen des Reisens untertauchen.

Es lohnt sich, sich eine Sache bewusst zu machen: Bekannte Marken sind nicht das Ziel des Angriffs, sondern das Werkzeug zur Manipulation. Unternehmen wie Airbnb, Booking.com oder Expedia investieren enorme Mittel in ihre Sicherheitssysteme – doch Kriminelle umgehen diese und greifen direkt die Nutzer an, indem sie sich als diese Marken ausgeben. Selbst die fortschrittlichste Technologie auf Seiten der Plattformen ersetzt daher nicht die grundlegende Wachsamkeit in dem Moment, in dem Sie selbst buchen. Unterschätzen Sie diese nicht bei der Planung Ihres nächsten Urlaubs.