Booking-Phishing: Kreditkarte belastet

Haben Sie nach einer Hotel‑Nachricht Kartendaten eingegeben, melden Sie dies sofort Ihrer Bank und lassen Sie die Karte absichern. Unbekannte Zahlungen reklamieren Sie einzeln. Ob die Bank erstatten muss, hängt insbesondere davon ab, ob Sie dem jeweiligen Umsatz zugestimmt haben. Informieren Sie parallel das echte Hotel und Booking.com über deren unabhängig aufgerufene Kontaktwege.

In diesem Ratgeber

Booking‑Link geöffnet: Was muss ich jetzt machen?

Unterscheiden Sie, ob Sie nur eine Seite angesehen, Daten eingegeben oder bereits eine Zahlung bestätigt haben. Notieren Sie den Ablauf, solange die Erinnerung frisch ist. Folgen Sie keinen weiteren Anweisungen aus der verdächtigen Nachricht.

Bank oder Kartenherausgeber kontaktieren: Nutzen Sie die Nummer auf Ihrer Karte, die selbst geöffnete Banking‑App oder eine bekannte Bankadresse. Schildern Sie, welche Daten und Bestätigungen Sie übermittelt haben. Fragen Sie nach erforderlichen Karten- und Zugangssperren.
Verdächtige Umsätze melden: Geben Sie Betrag, Währung, Buchungsdatum und Händlertext an. Erwähnen Sie auch Vormerkungen; lassen Sie sich erklären, wann die formelle Umsatzreklamation möglich ist. Die Sicherheitsmeldung sollte sofort erfolgen.
Originalnachricht sichern: Speichern Sie Chatverlauf, Absender, Linkadresse und die ursprüngliche Buchungsbestätigung. Öffnen Sie die Phishing‑Seite dafür nicht erneut.
Plattform und Hotel informieren: Rufen Sie die offizielle App oder Website selbst auf. Bei einer auffälligen Nachricht aus dem Hotelkonto ist ein zusätzlicher Rückruf über eine unabhängig ermittelte Hotelnummer sinnvoll.
Zugänge und Anzeige klären: Haben Sie ein Passwort offengelegt, ändern Sie es über die echte Website; bei mehrfacher Verwendung auch bei den anderen betroffenen Diensten. Bei einem finanziellen Schaden sollten Sie Anzeige erstatten.

Booking.com empfiehlt nach offengelegten Daten unter anderem die Meldung beim Kundenservice, die Kontaktaufnahme mit dem Zahlungsanbieter und die Absicherung des Kontos. Eine Meldung an die Reiseplattform ersetzt Ihre Bankmeldung nicht. [1] Der allgemeine Phishing‑Sofortplan hilft, wenn zusätzlich Banking‑Zugangsdaten betroffen sind.

Warum richtige Hoteldaten keinen sicheren Absender beweisen

Das Schweizer Bundesamt für Cybersicherheit dokumentierte am 02.06.2026 zwei Varianten: angebliche Rückerstattungen mit richtigen Aufenthaltsdaten sowie Zahlungsaufforderungen nach der Übernahme von Hotelzugängen. Bei der zweiten Variante können Nachrichten sogar über das reguläre Buchungssystem versandt werden. Die behördliche Warnung beschreibt die Angriffsmethode; die rechtliche Einordnung hier bezieht sich auf deutsches Zahlungsdiensterecht. [2]

Prüfen Sie deshalb die verlangte Handlung. Soll eine angeblich ungültige Karte in wenigen Minuten erneut bestätigt werden? Droht eine kurzfristige Stornierung? Verlangt jemand einen Bankcode für eine vermeintliche Rückzahlung? Halten Sie die Nachricht neben die ursprünglichen Zahlungsbedingungen und klären Sie Abweichungen unabhängig.

Booking.com erklärt, keine Kartenangaben per Telefon, E‑Mail, SMS oder WhatsApp anzufordern und keine Überweisung zu verlangen, die von der Zahlungsrichtlinie der Bestätigung abweicht. Das bedeutet nicht, dass Hotels grundsätzlich niemals Vorauszahlungen oder Kautionen verlangen dürfen. Maßgeblich sind die echte Vereinbarung und ein verifizierter Kontakt. [1]

Bekomme ich mein Geld nach Hotel‑Phishing zurück?

Der Name der Betrugsmasche entscheidet noch nicht über den Anspruch. Ordnen Sie jede Belastung einem dieser Abläufe zu:

Was passiert ist	Was jetzt zu prüfen ist	Passender nächster Schritt
Nur Kartendaten eingegeben; später fremde Umsätze	Ob Sie den konkreten Zahlungen zugestimmt haben.	Karte absichern, nicht autorisierte Umsätze bei der Bank reklamieren.
Eine konkrete Kartenzahlung selbst bestätigt	Freigabeinhalt, Zahlungsempfänger und möglicher Reklamationsgrund.	Gesetzlichen Anspruch und gegebenenfalls Chargeback getrennt prüfen.
Auf ein angebliches Hotelkonto überwiesen	Ob ein Stopp oder Rückruf noch möglich ist; welche weiteren Ansprüche bestehen.	Sofort Rückrufprüfung bei der Bank anstoßen und Zahlungsweg dokumentieren.
Eine angebliche Sicherheits- oder Geräteprüfung bestätigt	Welche Funktion tatsächlich aktiviert wurde und welche Umsätze folgten.	Aktivierungsnachricht sichern, digitale Karten und Freigabegeräte prüfen lassen.

Für nicht autorisierte Zahlungen sieht § 675u BGB grundsätzlich eine unverzügliche Erstattung vor. Ob der Kunde den Verlust wegen einer Pflichtverletzung letztlich tragen muss, ist eine zusätzliche Frage nach § 675v BGB. Eine bewusste Zustimmung zu einem konkreten Umsatz wird umgekehrt nicht allein durch eine Täuschung über den Reiseanlass beseitigt. [3] [4] [5]

Chargeback und Rückruf sind unterschiedliche Verfahren

Bei einem selbst bezahlten Kartenumsatz kann ein Chargeback nach den Regeln des Kartensystems in Betracht kommen. Beschreiben Sie den tatsächlichen Reklamationsgrund. Eine fremde Zahlung und eine nicht erbrachte gebuchte Leistung dürfen nicht gleichgesetzt werden.

Eine Überweisung lässt sich nach Zugang bei der Bank grundsätzlich nicht beliebig einseitig widerrufen; § 675p BGB regelt die Einzelheiten. Ein Rückruf ist deshalb ein Versuch, kein garantiertes Rückbuchungsrecht. Warten Sie damit nicht auf die Antwort des Hotels. Weitere Schritte erklärt der Ratgeber zum Zurückholen einer Überweisung. [8]

TAN oder 3‑D Secure bestätigt: Ist damit alles entschieden?

Nein. Die technische Bestätigung muss dem streitigen Vorgang zugeordnet werden. § 675w BGB verlangt bei streitiger Autorisierung bestimmte Nachweise der Bank. Eine protokollierte Authentifizierung beweist für sich genommen nicht notwendigerweise die Zustimmung oder grobe Fahrlässigkeit. [6]

Halten Sie fest, ob Betrag und Empfänger sichtbar waren, ob es um eine Kartenzahlung oder um die Einrichtung eines Geräts ging und ob ein Code vorgelesen oder in einer App eingegeben wurde. Für Nachfragen gibt es unsere Fragenliste zu Freigaben und Bankprotokollen.

Die Polizeiliche Kriminalprävention warnt außerdem davor, dass Täter mit erbeuteten Kartendaten und einem Aktivierungscode digitale Karten auf fremden Geräten einrichten. Lassen Sie bei entsprechenden Nachrichten deshalb auch Wallet‑Registrierungen prüfen. Der Ratgeber zu Apple Pay und Google Pay behandelt diese Konstellation genauer. [9]

Diese Unterlagen erleichtern Ihre Reklamation

Ursprüngliche Buchungsbestätigung mit Unterkunft, Buchungsdatum und Zahlungsbedingungen.
Verdächtige Nachricht einschließlich Zeitstempel, Absender und sichtbarer Linkadresse.
Konto- oder Kartenumsätze mit Datum, Betrag, Währung und Händlerbezeichnung.
Vorhandene SMS oder App‑Nachrichten zu Zahlungen, Kartenregistrierung oder Gerätefreigabe.
Eigene Ablaufbeschreibung: Was haben Sie gelesen, eingegeben und bestätigt?
Bankmeldung, Sperrbestätigung, Plattform-Vorgangsnummer und Antworten des echten Hotels.

Trennen Sie Erinnerung und Vermutung. Schreiben Sie beispielsweise, dass Sie sich an den Freigabetext nicht mehr erinnern, statt ihn nachträglich aus einem anderen Fall zu übernehmen. PIN, TAN und vollständige Zugangsdaten gehören nicht in eine normale E‑Mail an den Kundenservice.

Melden Sie nicht autorisierte Zahlungen unverzüglich nach Entdeckung. Die grundsätzliche Ausschlussfrist von 13 Monaten nach § 676b BGB ist keine Wartefrist; ihr Beginn hängt außerdem von der gesetzlich vorgesehenen Unterrichtung ab. Für Kartenverfahren können andere Reklamationsfristen relevant sein. [7]

Besteht die echte Hotelbuchung noch?

Klären Sie schriftlich, ob die Reservierung weiter besteht, wer die reguläre Zahlung erhalten soll und ob überhaupt eine zusätzliche Zahlung offen ist. Der Betrugsschaden und die vereinbarte Hotelvergütung sind gesondert zu betrachten. Zahlen Sie nicht erneut allein deshalb, weil eine Nachricht eine Stornierung androht.

Ob Plattform oder Unterkunft für einen Schaden einstehen müssen, hängt von deren konkreten Pflichten, einem nachweisbaren Verstoß und dem Zusammenhang mit Ihrem Verlust ab. Richtige Buchungsdaten allein beweisen weder eine bestimmte Datenquelle noch eine automatische Haftung.

Lehnt Ihre Bank die Erstattung unbekannter Zahlungen ab, reichen Sie den dokumentierten Ablauf samt Bankantwort zur kostenlosen anwaltlichen Ersteinschätzung ein. Für die erste Meldung einer tatsächlich nicht autorisierten Zahlung können Sie unseren Musterbrief an die Bank verwenden.

Quellenstand: 30.10.2026. Keine Kooperation mit Booking.com; die Plattform wird zur Einordnung der beschriebenen Betrugsmasche genannt.

Häufige Fragen

Ich habe nach einer Booking‑Nachricht meine Kartendaten eingegeben. Was soll ich tun?

Kontaktieren Sie sofort die kartenausgebende Bank über einen unabhängig aufgerufenen Kanal. Melden Sie die offengelegten Daten, lassen Sie die erforderliche Sperre vornehmen und fragen Sie bei verdächtigen Aktivierungsmeldungen auch nach digitalen Karten. Kontrollieren Sie Umsätze und melden Sie unbekannte Belastungen. Informieren Sie außerdem Booking.com und das echte Hotel.

Kann eine betrügerische Nachricht im echten Buchungsverlauf erscheinen?

Ja. Das Schweizer Bundesamt für Cybersicherheit beschreibt Angriffe, bei denen Täter Hotelzugänge übernehmen und Gäste über das offizielle Nachrichtensystem kontaktieren. Der Ort der Nachricht und richtige Reisedaten sind deshalb kein sicherer Echtheitsnachweis. Fragen Sie bei Zweifeln über einen unabhängig ermittelten Kontakt nach.

Muss die Bank nach Booking‑Phishing das Geld zurückzahlen?

Bei einer tatsächlich nicht autorisierten Zahlung kommt die gesetzliche Erstattung nach § 675u BGB in Betracht. Eine bewusst freigegebene konkrete Zahlung wird jedoch nicht allein durch den betrügerischen Anlass zu einer nicht autorisierten Zahlung. Freigabetext, Betrag, Empfänger und eigene Handlung müssen rekonstruiert werden. Eine mögliche Verlusthaftung ist zusätzlich zu prüfen.

Beweist eine 3‑D‑Secure‑Freigabe, dass ich die Zahlung autorisiert habe?

Nicht automatisch. § 675w BGB unterscheidet die technische Authentifizierung vom Nachweis der Zustimmung. Wichtig ist, was die Freigabe konkret betraf und was angezeigt wurde. Haben Sie den konkreten Umsatz bewusst bestätigt, darf das bei der Reklamation nicht verschwiegen werden.

Erstattet Booking.com jeden Phishing‑Schaden?

Eine automatische Erstattung sämtlicher Schäden lässt sich daraus nicht ableiten, dass die Buchung über Booking.com erfolgte oder eine Nachricht dort erschien. Ansprüche gegen Plattform, Unterkunft, Zahlungsempfänger und Bank haben unterschiedliche Voraussetzungen. Melden Sie den Vorfall, fordern Sie eine schriftliche Einordnung an und sichern Sie die Kommunikation.

Soll ich die Hotelbuchung nach einer betrügerischen Nachricht stornieren?

Stornieren oder bezahlen Sie nicht allein aufgrund der verdächtigen Nachricht. Lassen Sie sich vom echten Hotel und gegebenenfalls vom offiziellen Plattformservice bestätigen, ob die Buchung fortbesteht und welche Zahlung tatsächlich offen ist. Eine unbedachte Stornierung kann einen zusätzlichen Streit über Stornokosten auslösen.

Quellen

Redaktion Bankerstattung.de
Wir erklären Betroffenen von Bankbetrug ihre Rechte auf Basis von Gesetzestexten und veröffentlichten Gerichtsentscheidungen. Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung im Einzelfall. Die Prüfung Ihres Falls übernimmt unsere Partnerkanzlei.

Booking‑Phishing: Kreditkartendaten eingegeben – was jetzt?