Was der DSA bei Fake-Unterkünften und Phishing für Urlauber und Hotels bedeutet

Die Europäische Kommission hat am 21. Oktober 2026 ein förmliches Verfahren nach dem Digital Services Act (DSA) gegen Booking.com eingeleitet. Sie will klären, ob die Buchungsplattform genug gegen gefälschte Unterkünfte, Identitätsbetrug und Phishing unternimmt. Außerdem prüft sie, ob bezahlte Platzierungen in den Suchergebnissen klar als Werbung erkennbar sind. Im Raum stehen mögliche Verstöße gegen Art. 34 und 35 DSA sowie gegen Art. 26 Abs. 1 DSA. Ein Verstoß steht damit allerdings noch nicht fest. Die Kommission betont selbst, dass die Einleitung dem Ergebnis nicht vorgreift.

Gefälschte Inserate, gekaperte Konten und Nachrichten mit echten Buchungsdaten

Die Kommission verfolgt im Kern drei Stränge. Zunächst geht es um Inserate für Unterkünfte, die es gar nicht gibt. Dazu kommen Angebote, hinter denen sich Betrüger als echte Gastgeber ausgeben, und Unterkünfte, die gegen geltende Vorgaben verstoßen. Brüssel will wissen, ob Booking.com diese Risiken ausreichend bewertet hat. Ebenso prüft die Behörde, ob die Plattform solche Angebote schnell genug entfernt.

Der zweite Strang betrifft eine Masche, die viele Reisende inzwischen kennen. Die Täter verschaffen sich Zugang zu Konten von Hotels oder Ferienwohnungen. Danach schreiben sie Gäste über den offiziellen Chat an und nennen Namen, Reisedaten und Buchungsnummer. Weil diese Angaben stimmen, wirkt die Nachricht echt. Meist folgt ein Link zu einer nachgebauten Zahlungsseite, oft verbunden mit einer kurzen Frist. Die Kommission untersucht deshalb, wie Booking.com Reservierungs- und Gästedaten an Unterkunftsbetreiber weitergibt. Außerdem nimmt sie die Gestaltung des Nachrichtensystems in den Blick und fragt, ob es wirksame Schutzmechanismen gegen Missbrauch gibt.

Der dritte Strang dreht sich um Werbung. Gastgeber können bei Booking.com eine höhere Provision zahlen, damit ihr Angebot weiter oben erscheint. Nach Ansicht der Kommission müssen Nutzer solche Platzierungen eindeutig als Werbung erkennen können. Sie sollen zudem sehen, wer dahintersteht, wer bezahlt hat und warum ihnen die Anzeige angezeigt wird.

Mehrere Medien berichten unter Berufung auf die Kommission über konkrete Zahlen. Demnach gingen im ersten Halbjahr 2026 insgesamt 1.072 Betrugsmeldungen mit einem Schaden von rund 82.000 Euro ein. Das sei etwa zehnmal so viel wie im Vorjahr. Booking.com selbst soll gegenüber der Kommission einen weltweiten Anstieg der Betrugsfälle um 500 Prozent angegeben haben. Dem Verfahren gingen zwei förmliche Auskunftsersuchen vom 23. September 2025 und vom 26. Mai 2026 voraus.

Welche Pflichten der DSA großen Plattformen auferlegt

Der DSA gilt seit Februar 2024 in vollem Umfang in der gesamten EU. Er regelt, wie Online-Dienste mit rechtswidrigen Inhalten und Risiken für ihre Nutzer umgehen müssen. Besonders strenge Regeln treffen sehr große Online-Plattformen mit mehr als 45 Millionen monatlichen Nutzern in der EU. Booking.com zählt seit dem 25. April 2023 offiziell zu dieser Gruppe. Deshalb ist für die Aufsicht nicht eine nationale Behörde zuständig, sondern die Kommission selbst. Sie arbeitet dabei mit der niederländischen Behörde für Verbraucher und Märkte zusammen, weil Booking.com seinen Sitz in den Niederlanden hat.

Nach Art. 34 DSA müssen solche Plattformen mindestens einmal im Jahr die systemischen Risiken ihres Dienstes ermitteln und bewerten. Dazu gehören etwa die Verbreitung rechtswidriger Inhalte und Gefahren für den Verbraucherschutz. Art. 35 DSA verlangt anschließend angemessene und wirksame Gegenmaßnahmen. Das können strengere Prüfungen neuer Anbieter sein, bessere Moderation oder Änderungen an der Gestaltung des Dienstes. Gerade hier setzt der Vorwurf an. Denn ein Nachrichtensystem, das Betrüger mit echten Buchungsdaten nutzen können, wäre ein solches Risiko.

Art. 26 Abs. 1 DSA gilt hingegen für alle Online-Plattformen. Danach muss jede Werbung klar und eindeutig als solche erkennbar sein. Nutzer müssen außerdem erfahren, in wessen Namen die Anzeige erscheint, wer sie bezahlt hat und nach welchen Kriterien sie ausgespielt wird. Mit der Einleitung des Verfahrens verlieren die nationalen Aufsichtsbehörden für diesen Punkt ihre Zuständigkeit. Die Prüfung liegt nun allein in Brüssel.

Darüber hinaus verpflichtet Art. 30 DSA Plattformen, über die Verbraucher Verträge mit Unternehmern schließen, zu einer Prüfung ihrer Anbieter. Sie müssen bestimmte Angaben zu den Gastgebern einholen und deren Plausibilität kontrollieren. Diese Norm steht zwar nicht im Mittelpunkt des aktuellen Verfahrens. Sie zeigt aber, dass der europäische Gesetzgeber Fake-Anbieter bewusst bekämpfen wollte.

Wie es im Verfahren weitergeht

Die Kommission kündigt eine vertiefte Untersuchung mit Vorrang an. Sie kann weitere Auskünfte verlangen, Befragungen durchführen und Nachprüfungen vor Ort vornehmen. Eine feste Frist für eine Entscheidung gibt es nicht. Stellt die Behörde während des Verfahrens eine Gefahr schwerer Schäden fest, könnte sie einstweilige Maßnahmen anordnen. Bietet Booking.com seinerseits Abhilfe an, könnte die Kommission diese Zusagen für verbindlich erklären.

Am Ende steht womöglich ein Nichteinhaltungsbeschluss nach Art. 73 DSA. Bestätigt die Kommission die Vorwürfe, drohen Booking.com nach Art. 74 DSA Geldbußen von bis zu sechs Prozent des weltweiten Jahresumsatzes. Dass Brüssel davon Gebrauch macht, zeigen frühere Fälle. Gegen X verhängte die Kommission im Dezember 2025 eine Geldbuße von 120 Millionen Euro. Temu musste im Mai 2026 rund 200 Millionen Euro zahlen, AliExpress im Juli 2026 sogar 550 Millionen Euro.

Booking.com erklärte, das Unternehmen kooperiere vollständig mit der Kommission und suche einen konstruktiven Dialog. „Die Europäer sollten ihren Urlaub buchen können, ohne Angst vor Betrug haben zu müssen“, sagte Digitalkommissarin Henna Virkkunen. Der Hotelverband Deutschland begrüßte die Verfahrenseröffnung ausdrücklich. Aus Sicht des Verbands dürfen Plattformen, die den Kontakt zum Gast kontrollieren, die Verantwortung für die Sicherheit nicht auf Hotels und Reisende abschieben.

Was Urlauber nach einem Phishing-Angriff tun sollten

Das EU-Verfahren hilft Betroffenen nicht unmittelbar, denn die Kommission entscheidet keine Einzelfälle. Trotzdem lohnt sich ein schnelles Vorgehen. Wer Kartendaten auf einer verdächtigen Seite eingegeben hat, sollte die Karte sofort sperren lassen. Das geht über die Bank oder den zentralen Sperrnotruf 116 116. Danach sollten Betroffene alle Beweise sichern, also Screenshots des Chats, E-Mails, Links, Buchungsbestätigung und Kontoauszüge. Außerdem empfiehlt sich eine Strafanzeige bei der Polizei.

Für die Erstattung ist zunächst die eigene Bank der richtige Ansprechpartner. Bei einer nicht autorisierten Zahlung muss sie den Betrag nach § 675u BGB grundsätzlich zurückbuchen. Der Kunde haftet nach § 675v BGB in der Regel höchstens mit 50 Euro. Anders liegt es, wenn die Bank ihm grobe Fahrlässigkeit nachweist. Banken berufen sich in Phishing-Fällen häufig genau darauf. Bei einer so überzeugenden Täuschung mit echten Buchungsdaten ist dieser Vorwurf allerdings keineswegs selbstverständlich. Schwieriger wird es, wenn Betroffene die Zahlung selbst in der Banking-App freigegeben haben. Dann kommt es auf die genauen Umstände an.

Daneben kommen Ansprüche gegen die Plattform in Betracht. Art. 54 DSA gibt Nutzern ein eigenes Recht auf Schadensersatz, wenn ein Anbieter gegen seine Pflichten aus dem DSA verstößt und dadurch ein Schaden entsteht. Stammen die Daten aus einem Sicherheitsvorfall, kann zusätzlich ein Anspruch aus Art. 82 der Datenschutz-Grundverordnung (DSGVO) bestehen. Ein förmlich festgestellter DSA-Verstoß würde solche Klagen erheblich erleichtern. Bis dahin bleibt der Nachweis im Einzelfall anspruchsvoll.

Vorbeugend gilt eine einfache Regel. Zahlen Sie nur über die Wege, die in der ursprünglichen Buchungsbestätigung stehen. Geben Sie Kartendaten nie über Links aus dem Chat ein. Prüfen Sie im Zweifel zuerst Ihre Kartenabrechnung und rufen Sie die Unterkunft unter einer selbst recherchierten Nummer an. Kurze Fristen und Stornodrohungen sind ein typisches Warnsignal.

Was das Verfahren für Hotels und Gastgeber bedeutet

Auch Hotels gehören zu den Geschädigten. Kriminelle übernehmen ihre Zugänge zum Extranet der Plattform und missbrauchen dann den guten Namen des Hauses. Für die Betriebe folgen daraus Ärger mit Gästen, schlechte Bewertungen und mitunter Haftungsfragen. Deshalb sollten Gastgeber ihre Zugänge mit Zwei-Faktor-Authentifizierung sichern und Mitarbeiter für Phishing-Mails sensibilisieren. Zudem empfiehlt es sich, verdächtige Vorgänge sofort bei der Plattform zu melden und zu dokumentieren.

Das Verfahren reiht sich in eine längere Auseinandersetzung zwischen Booking.com und der Hotelbranche ein. Ende 2025 entschied das LG Berlin II, dass mehr als 1.000 Hotels wegen der früheren Bestpreisklauseln Schadensersatz von der Plattform verlangen können. Nun rückt die Frage in den Mittelpunkt, wer für die Sicherheit der Kommunikation zwischen Gast und Gastgeber verantwortlich ist. Fände die Kommission die Vorwürfe bestätigt, müsste Booking.com seine Schutzmechanismen deutlich nachbessern. Hotels hätten dann zudem bessere Argumente, wenn Gäste sie für Betrugsschäden verantwortlich machen.

Rechtliche Unterstützung im Plattform- und Digitalrecht

Der Fall zeigt, wie eng Plattformregulierung und der Alltag von Reisenden und Gastgebern inzwischen verbunden sind. Wir beraten Verbraucher, die Opfer von Phishing oder Fake-Unterkünften geworden sind, und prüfen Ansprüche gegen Banken und Plattformen.
Melden Sie sich gerne bei uns, wir stehen Ihnen zur Seite.

anmar