EU eröffnet DSA-Verfahren gegen Booking.com wegen Fake-Unterkünften und Phishing

Die EU-Kommission hat am 21. Oktober ein förmliches Verfahren gegen Booking.com nach dem Digital Services Act (DSA) eröffnet. Brüssel vermutet, dass die Plattform die Risiken gefälschter Unterkunftsangebote und von Phishing mit Buchungsdaten der Gäste nicht sorgfältig bewertet und eingedämmt hat. Ein dritter Strang betrifft hervorgehobene Angebote, für die Hotels bezahlen, die aber nicht klar als Werbung gekennzeichnet sind.

„Europäer sollten ihren Urlaub buchen können, ohne betrogen zu werden“, sagte Henna Virkkunen, Exekutiv-Vizepräsidentin der Kommission für technologische Souveränität, berichtet heise. Booking.com ist seit April 2023 eine sehr große Online-Plattform im Sinne des DSA, hat also mehr als 45 Millionen monatliche Nutzer in der EU. Bestätigen sich die Verstöße, droht eine Strafe von bis zu 6 % des weltweiten Jahresumsatzes.

Was Brüssel prüft

Der erste Strang sind gefälschte Angebote: nicht existierende Unterkünfte, das Auftreten im Namen echter Hotels und Angebote, die gegen örtliche Regeln verstoßen. Die Kommission prüft, ob Booking.com diese Risiken bewertet und solche Angebote wirksam entfernt hat. Laut heise tauchten in Spanien zuletzt Inserate für Unterkünfte auf, die es gar nicht gab.

Der zweite Strang betrifft direkt das Geld der Gäste. Die Kommission untersucht, wie Buchungs- und Gästedaten an die Gastgeber weitergegeben werden, wie der Nachrichtendienst von Booking.com gestaltet ist und ob genug Schutz besteht, damit die Daten nicht für Phishing und betrügerische Zahlungsaufforderungen missbraucht werden. Der dritte Strang ist Werbung: Hotels können gegen eine höhere Provision weiter oben in den Suchergebnissen stehen, und der DSA verlangt, dass Nutzer klar erkennen, dass es Werbung ist und wer dafür bezahlt hat.

Die mutmaßlichen Verstöße fallen unter die Artikel 34 und 35 des DSA zu systemischen Risiken und Artikel 26 Absatz 1 zur Transparenz von Werbung. Vorausgegangen waren förmliche Auskunftsersuchen vom 23. September 2025 und 26. Mai 2026. Eine Frist gibt es nicht: Die Kommission kann weitere Auskünfte verlangen, Mitarbeiter befragen, Nachprüfungen durchführen, einstweilige Maßnahmen verhängen oder Zusagen des Unternehmens annehmen. Booking.com sagte der dpa, man kooperiere „vollumfänglich“. Dasselbe Verfahren läuft bereits gegen andere Plattformen, etwa gegen TikTok wegen Konten Minderjähriger.

Wie der Betrug die Gäste erreicht

Im April 2026 warnte Booking.com Kunden, dass „unbefugte Dritte“ auf Buchungsdaten zugegriffen hatten: Namen, E-Mail- und Postadressen, Telefonnummern und Buchungsdetails. Laut Malwarebytes kamen die Täter über Partnerhotels hinein, nicht über Booking.com selbst. Microsoft ordnet Angriffe auf Hotelpersonal einer Gruppe zu, die es Storm-1865 nennt; sie installierte über gefälschte CAPTCHA-Seiten Fernzugriffs-Schadsoftware.

Mit dem Login eines Hotels schreibt der Betrüger Gäste direkt im Chat der Plattform an. Das Schweizer Bundesamt für Cybersicherheit (BACS) beschrieb im Juni zwei Varianten. In der einen bietet „Booking.com“ oder „das Hotel“ per WhatsApp wegen eines Fehlers eine Rückerstattung oder Cashback an. In der anderen heißt es, die Buchung werde storniert, wenn der Gast nicht sofort seine Karte bestätigt oder eine Anzahlung leistet. Beide führen auf eine gefälschte Zahlungsseite, die Kartendaten abgreift.

Was hilft, laut BACS und Booking.com:

• Trauen Sie keiner Nachricht, nur weil sie Ihre Daten, das Hotel und das Zimmer nennt: Genau diese Daten sind abgeflossen.
• Öffnen Sie keine Links aus Nachrichten über Erstattungen, „Verifizierung“ oder dringende Zahlungen, auch nicht im Booking.com-Chat.
• Was Sie wann zahlen müssen, steht in der Buchungsbestätigung in der App oder auf der Website, die Sie selbst öffnen.
• Im Zweifel rufen Sie das Hotel unter einer Nummer an, die Sie selbst heraussuchen. Für eine Erstattung braucht es nie Ihr Login oder einen QR-Code-Scan.
• Wenn Sie Kartendaten schon eingegeben haben, rufen Sie Ihre Bank an und lassen Sie die Karte sperren.