Die Nachricht vom Hotel, die nie vom Hotel kam

Phishing nach der Hotelbuchung funktioniert, weil die Daten stimmen. Ein paar Wochen vor der Reise kommt eine Nachricht: richtiger Name, richtiger Reisezeitraum, das gebuchte Haus wird genannt. Nur eines passt nicht, der Absender ist nicht das Hotel. Die Nachricht bittet darum, die Buchung über einen Link zu bestätigen, und zwar innerhalb von zwölf Stunden, sonst verfalle sie.

Genau dieser Fall ist der Ausgangspunkt der Folge. Aufgefallen ist die Fälschung nur an einer Kleinigkeit: Der Name der Unterkunft war ein anderer als der, der tatsächlich gebucht war. Der Absender war ein verifiziertes Unternehmenskonto, das Timing passte, und wer eine Buchung Wochen zuvor abgeschlossen hat, weiß oft gar nicht mehr genau, ob noch etwas offen war.

Wie die Masche funktioniert

Fachlich gehört das zu den ClickFix-Angriffen. Der Name beschreibt das Vorgehen: schnell klicken, dann ist es erledigt. Das Prinzip ist, dass die angeschriebene Person den entscheidenden Schritt selbst tut. Ein bekanntes Beispiel ist das Fenster mit der Bestätigung, kein Roboter zu sein. Für sich genommen ist das harmlos, auf einer gefälschten Seite hat derselbe Klick eine ganz andere Wirkung. Das ist auch der Grund, warum diese Variante besser funktioniert als die alte Aufforderung, Zugangsdaten zum Online-Banking einzugeben. Dort werden die meisten misstrauisch, hier nicht.

Woher die echten Daten stammen

Im April 2026 wurde bekannt, dass es bei einer großen Buchungsplattform verdächtige Aktivitäten gegeben hat und dabei Daten abgeflossen sein könnten. Namen, E-Mail-Adressen und Telefonnummern passen zu dem, was in den Nachrichten auftaucht. Ob auch Buchungsnummern betroffen waren, ist nicht öffentlich bestätigt, und es wäre zu kurz gegriffen, das Thema auf eine einzelne Plattform zu verengen: Vergleichbare Nachrichten kursieren im Zusammenhang mit verschiedenen Anbietern, und sie sind schon seit 2023 dokumentiert.

Was Betroffene tun können

Der wichtigste Schritt ist der zweite Weg. Wer wissen will, ob eine Nachricht echt ist, nutzt nicht die Nummer aus der Nachricht, sondern den offiziell hinterlegten Kanal des Hauses oder der Plattform. Bei einigen Anbietern lässt sich sogar im eigenen Konto nachsehen, ob es überhaupt eine Nachricht des Supports gab. Dazu kommen die naheliegenden Schritte: Passwörter ändern, den Absender melden.

Rechtlich stehen mehrere Wege offen, die sich nicht ausschließen. Die Auskunft nach Art. 15 DSGVO besteht gegenüber jedem Unternehmen, das die eigenen Daten verarbeitet, ohne besonderen Anlass und ohne Gebühr; die Antwortfrist beträgt einen Monat und lässt sich um bis zu zwei weitere Monate verlängern. Kommt keine oder eine unzureichende Antwort, ist der Anspruch gerichtlich durchsetzbar. Daneben stehen die Beschwerde bei der Aufsichtsbehörde nach Art. 77 DSGVO und, bei Verdacht auf Missbrauch, die Strafanzeige.

Beim Geld ist die Erwartung zu dämpfen. Der Bundesgerichtshof hat am 18. November 2024 entschieden, dass schon der Kontrollverlust über die eigenen Daten ein ersatzfähiger immaterieller Schaden nach Art. 82 DSGVO sein kann, und dafür eine Größenordnung von rund 100 Euro genannt. Reich wird davon niemand. Für Unternehmen ist die Zahl trotzdem relevant, weil bei einem Vorfall selten nur ein einzelner Datensatz betroffen ist. Ist Geld geflossen, greift § 675u BGB: Bei einer nicht autorisierten Zahlung hat die Bank den Betrag unverzüglich zu erstatten. Sie kann allerdings einwenden, die Kundin oder der Kunde habe grob fahrlässig gehandelt, und wo diese Grenze bei gut gemachten Fälschungen verläuft, ist nicht abschließend geklärt.

Was Unternehmen jetzt vorbereiten sollten

Ist ein Vorfall im eigenen Betrieb passiert, läuft die Frist von 72 Stunden aus Art. 33 DSGVO ab Kenntnis, nicht ab dem Zeitpunkt, an dem die Ursache geklärt ist. Wer sie verstreichen lässt, riskiert ein Bußgeld: 2021 hat die niederländische Aufsichtsbehörde gegen Booking.com knapp eine halbe Million Euro verhängt, weil eine Panne erst nach gut drei Wochen gemeldet worden war.

Was danach zählt, entscheidet sich vorher. Wer den Stand der Technik umgesetzt, regelmäßig geschult, Systeme aktuell gehalten und das dokumentiert hat, steht bei der Frage nach dem Schadensersatz besser da. Auf einen Ausgleich beim eigenen Personal sollte dabei niemand bauen, denn Fehler bei der betrieblichen Tätigkeit führen nur in engen Grenzen zur Haftung; die Gerichte orientieren sich bei der Höhe häufig an rund drei Bruttomonatsgehältern, und in der Praxis geht es fast immer um Vorsatz. Und zur Schulung gehört auch der Fall danach, also eine Handlungsliste für den Moment, in dem doch jemand geklickt hat.

Shownotes

• Verbraucherzentrale: Betrugsversuche bei Booking.com, gefälschte Zahlungsaufforderungen
• BSI: Spam, Phishing und Co.
• Art. 15 DSGVO: Auskunftsrecht der betroffenen Person
• Art. 33 DSGVO: Meldung von Verletzungen an die Aufsichtsbehörde
• Art. 77 DSGVO: Beschwerderecht bei der Aufsichtsbehörde
• Art. 82 DSGVO: Haftung und Recht auf Schadenersatz
• § 675u BGB: Haftung bei nicht autorisierten Zahlungsvorgängen
• BGH, Urteil vom 18. November 2024, VI ZR 10/24: Kontrollverlust als Schaden
• TWW-Blog: Update zum Schadensersatz im Datenschutzrecht
• TWW-Blog: Auftragsverarbeitung nach der DSGVO, was passiert mit den Daten nach Vertragsende

Mehr zu unserer Arbeit im Datenschutzrecht und im Arbeitsrecht.

Folgt uns auf LinkedIn, Instagram und hört uns auf Spotify. Bewertet den Podcast gerne auf der Plattform eurer Wahl, das hilft uns sehr.