Booking.coms Phishing-Krise zeigt: Vertrauen lässt sich nicht auslagern

Eine Reise-App sollte Unsicherheit beseitigen – nicht sie in eine Checkliste für den Kunden umwandeln. Doch genau das ist zunehmend der Deal beim Online-Buchen: Die Plattform kassiert die Provision und kontrolliert den Marktplatz, während Reisende selbst entscheiden sollen, ob eine Unterkunft existiert, eine Nachricht echt ist und eine Zahlungsaufforderung sicher ist. Die neue Untersuchung der Europäischen Kommission gegen Booking.com betrifft daher mehr als ein einzelnes Unternehmen. Sie ist ein Test dafür, ob digitale Marktplätze bereit sind, die Risiken zu übernehmen, die durch ihren eigenen Komfort entstehen.

Am 21. Oktober leitete die Kommission im Rahmen des Digital Services Act ein förmliches Verfahren ein. Untersucht werden der Umgang von Booking.com mit betrügerischen Unterkunftsinseraten und Phishing sowie die Transparenz gesponserter Platzierungen. Die Plattform hat in der EU durchschnittlich mehr als 45 Millionen monatlich aktive Nutzer und erklärt laut Berichten zur EU-Untersuchung, vollständig zu kooperieren. Sicherheit, Vertrauen und der Schutz personenbezogener Daten hätten für Booking.com Priorität. Die Untersuchung stellt kein Fehlverhalten fest; sie wirft vielmehr die entscheidende Frage auf: Hat Booking.com genug getan, bevor Nutzer zu Schaden kamen?

„Seien Sie vorsichtig“ ist kein Betrugsschutz

Der aufschlussreichste Teil dieser Geschichte ist nicht, dass Betrüger sich als Unterkunftsbetreiber ausgeben. Das ist ein alter Trick. Entscheidend ist, dass sie die bestehenden Beziehungen, Daten und Nachrichtenkanäle einer Plattform ausnutzen können, damit die Täuschung echt wirkt. Ein gefälschtes Inserat, ein gekapertes Gastgeberkonto oder eine Nachricht mit echten Buchungsdaten kann aus einem Nutzer, der Warnungen sonst nur schwer zum Opfer fällt, ein leichtes Ziel machen.

Die Untersuchung soll prüfen, wie Buchungs- und Gästedaten mit Unterkünften geteilt werden, wie das Nachrichtensystem von Booking.com funktioniert und ob diese Abläufe ausreichend vor betrügerischen Zahlungsaufforderungen schützen. Genau hier versagt die übliche Verbraucherberatung. „Prüfen Sie den Absender“ ist ein schwacher Ratschlag, wenn die Nachricht in einem vertrauenswürdigen Buchungskontext eintrifft und Informationen enthält, die scheinbar die Reservierung bestätigen.

Booking.com selbst berichtete, dass Reisebetrug innerhalb von 18 Monaten um 500 % zugenommen habe, wie aus Berichten über die EU-Untersuchung hervorgeht. Die in Berichten zur Untersuchung zitierten Daten von Fraudehelpdesk zeigen 1.072 Betrugsfälle in den Niederlanden in der ersten Hälfte des Jahres 2026, verbunden mit Verlusten von 82.000 € – zehnmal so viele Fälle wie im entsprechenden Zeitraum des Vorjahres. Diese Zahlen belegen nicht, dass Booking.com jeden einzelnen Vorfall verursacht hat. Sie zeigen aber, warum eine Plattform dieser Größe Betrug nicht als bedauerlichen Nebeneffekt behandeln kann, mit dem Nutzer selbst umgehen lernen müssen.

Identitätsprüfungen müssen erfolgen, bevor das Inserat den Kunden erreicht

Die naheliegende Antwort ist nicht noch ein Pop-up, das Reisende zur Wachsamkeit auffordert. Nötig ist eine stärkere Prüfung im Vorfeld. Die Kommission will bewerten, ob Booking.com nicht existente Unterkünfte, nicht regelkonforme Angebote und durch die Vorspiegelung einer falschen Identität erstellte Inserate ordnungsgemäß erkennt und entfernt. Damit liegt die Verantwortung dort, wo sie hingehört: beim Marktplatz, der entscheidet, wer verkaufen darf, wie prominent Anbieter erscheinen und welche Nachrichten Kunden erreichen.

Kein Identitätssystem wird jeden Betrug verhindern. Das ist jedoch keine überzeugende Entschuldigung für zu geringe Hürden an dem Punkt, an dem eine Unterkunft auf der Plattform erscheint oder ihre Zahlungsdaten ändert. Unser Maßstab sollte einfach sein: Je schwieriger es für ein Gastgeberkonto ist, glaubwürdig zu wirken, sensible Informationen zu ändern oder einen Gast mit einer Zahlungsforderung zu kontaktieren, desto weniger Verantwortung fällt auf den Reisenden zurück.

Darum ist auch die Haftung wichtig. Wenn eine Plattform von der Zentralisierung von Suche, Buchung und Kommunikation profitiert, sollte sie nicht nur die Vorteile ihrer Rolle als vertrauenswürdige Vermittlerin beanspruchen und zugleich die Kosten abstreiten, wenn dieses Vertrauen missbraucht wird. Die DSA-Untersuchung der EU ist wertvoll, weil sie Betrug als systemisches Risiko betrachtet und nicht als eine Reihe einzelner Fehler unvorsichtiger Nutzer.

Gesponserte Sichtbarkeit macht Vertrauen noch schwerer einzuschätzen

Das zweite Thema – bezahlte Platzierungen – ist weniger dramatisch als Phishing, berührt aber dieselbe Grundlage: Können Nutzer verstehen, warum ihnen eine bestimmte Unterkunft angezeigt wird? Die Kommission untersucht, ob Unterkünfte mit höheren Provisionen eine größere Sichtbarkeit erhalten und ob diese Platzierungen eindeutig als Werbung gekennzeichnet sind. Sie will außerdem prüfen, ob Nutzer erkennen können, wer bezahlt hat, warum eine Anzeige eingeblendet wurde und wie sich die entsprechenden Einstellungen ändern lassen, wie ANSA berichtet.

Das mag wie ein davon getrenntes Transparenzproblem klingen, hängt aber zusammen. Das Suchranking wirkt bereits wie eine Empfehlung der Plattform. Wenn Zahlungen die prominente Platzierung beeinflussen können, ohne dass dies klar gekennzeichnet wird, sollen Nutzer Relevanz und kommerzielle Priorität anhand unvollständiger Informationen auseinanderhalten. In einem Marktplatz, auf dem das Inserat selbst betrügerisch sein kann, ist diese Unklarheit nicht bloß ein Schönheitsfehler. Sie schwächt die Signale, anhand derer Menschen entscheiden, was vertrauenswürdig ist.

Klare Kennzeichnungen sind das Minimum, nicht die Lösung. Booking.com sollte den kommerziellen Grund für eine prominente Platzierung verständlich machen, ohne Nutzer zu zwingen, Kleingedrucktes zu entziffern oder zu erraten, warum eine Unterkunft vor einer anderen erscheint. Eine vertrauenswürdige Oberfläche sollte Unsicherheit im Moment der Entscheidung verringern – nicht erst offenlegen, nachdem die Entscheidung gefallen ist.

Das eigentliche Opfer ist das Komfortversprechen

Die Gefahr für Booking.com und ähnliche Apps ist nicht nur eine mögliche Strafe durch die Aufsichtsbehörden. Es geht um die Erosion des zentralen Versprechens, das diese Dienste nützlich gemacht hat: Reiseziel eingeben, Unterkunft auswählen und sicher bezahlen. Wenn jede Nachricht eine mögliche Falle und jedes prominent platzierte Inserat eine mögliche bezahlte Abkürzung ist, hat die App ihre Prüfaufgabe an den Kunden zurückgegeben.

Die Kommission kann ermitteln, Informationen anfordern, Inspektionen durchführen und Änderungen verlangen; für das Verfahren gibt es keine feste Frist, und seine Eröffnung setzt keine Schuld voraus. Die Richtung stimmt dennoch. Plattformen sollten nachweisen müssen, dass sie wirksame Risikokontrollen einsetzen – nicht lediglich Ratschläge veröffentlichen, nachdem sich der Betrug bereits ausgebreitet hat.

Unser Urteil ist eindeutig: Reisende sollten vorsichtig bleiben, aber sie sollten nicht zur wichtigsten Betrugsschutzschicht für einen Marktplatz gemacht werden, den sie selbst nicht prüfen können. Booking.com braucht eine stärkere Verifizierung von Gastgebern und Konten, sicherere Kontrollen für Buchungsdaten und Zahlungsnachrichten sowie unmissverständliche Werbekennzeichnungen. Warnungen sind nützlich. Sie ersetzen keine Verantwortung.