Booking.com im EU-Verfahren wegen Betrug und bezahlter Rankings

Die EU-Kommission hat am 21.10.2026 ein förmliches Verfahren nach dem Digital Services Act (DSA) gegen Booking.com eröffnet. Sie prüft, ob die Plattform Risiken durch betrügerische Inserate und Phishing nicht ausreichend bewertet und gemindert hat und ob bezahlte Ranking-Boosts nicht klar als Werbung gekennzeichnet sind. Für Reisende heißt das: Die Trefferliste kann Anzeigen enthalten, die nicht eindeutig als solche erkennbar sind, und Nachrichten nach der Buchung sind ein bekanntes Einfallstor für Betrug. Eröffnet ist ein Verfahren, ein Verstoß ist nicht festgestellt. Der DSA ist das EU-Gesetz, das Online-Plattformen zu mehr Transparenz und Risikovorsorge verpflichtet.

Drei Stränge der Untersuchung bei Booking.com

Die Kommission nennt in ihrer Mitteilung vom 21.10.2026 drei Schwerpunkte. Erstens betrügerische und nicht regelkonforme Inserate. Zweitens Phishing, das Reservierungs- und Gästedaten von Booking.com ausnutzt. Drittens bezahlte Boosted Listings, also Inserate, deren Anbieter für ein höheres Ranking in den Suchergebnissen zahlen und die nicht klar als Werbung gekennzeichnet sein könnten.

Der Ablauf einer Buchung zeigt, wo die drei Stränge ansetzen. Am Anfang steht die Suche: Hier geht es um die Frage, ob ein Treffer oben steht, weil er zur Anfrage passt oder weil jemand dafür bezahlt hat. Dann folgt das Inserat selbst, bei dem Fake-Angebote oder Unterkünfte ohne die nötigen Genehmigungen ein Problem sind. Zuletzt kommen die Nachrichten nach der Buchung, in denen Betrügende Reservierungsdaten nutzen können, um glaubwürdig zu wirken. Laut The Register ergänzt die Kommission, dass auch Smishing (Phishing per SMS) und Social Engineering, also das gezielte Ausnutzen menschlichen Vertrauens, eine Rolle spielen. Beim dritten Strang prüft sie zudem, ob Anzeigen klar von organischen Ergebnissen unterschieden werden.

Warum gerade die Kommission zuständig ist, erklärt der Status der Plattform: Booking.com gilt laut The Register als sehr große Online-Plattform, kurz VLOP, mit mehr als 45 Millionen Nutzenden in der EU. Für solche Dienste gelten im DSA verschärfte Pflichten, darunter die Bewertung und Minderung systemischer Risiken. Eine Beamtin der Kommission nannte die Risikobewertung laut The Register „a key tool“. Berichte über Betrug kämen „almost from all member states“.

Was bedeutet „förmliches Verfahren“ für die Prüfung? Die Kommission formuliert in ihrer Mitteilung bewusst vorsichtig: Booking.com „may have breached“ den DSA, also möglicherweise gegen ihn verstoßen haben. Der Kern der Untersuchung ist die Risikobewertung und die Risikominderung. Geprüft wird, ob die Plattform Gefahren durch betrügerische Inserate und Phishing sorgfältig erfasst und mit wirksamen Maßnahmen verringert hat. Das Verfahren ist damit der Rahmen, in dem die Kommission diese Fragen systematisch klärt. Das Ergebnis steht noch aus.

Fair bleibt die Einordnung: Die Kommission erkennt an, dass Booking.com Betrug anhand eigener Fälle und externer Meldungen bewertet und interne Maßnahmen ergreift. Strittig ist, ob das sorgfältig und wirksam genug geschieht. Genau das soll das Verfahren klären. Ein Verfahren ist ein Prüfschritt, kein Urteil, und für Reisende ändert sich an diesem Tag zunächst nichts an der Plattform selbst.

Gekaufte Rankings: Woran Sie bezahlte Treffer erkennen sollen

Wer eine Unterkunft sucht, liest die Trefferliste meist wie eine Empfehlung: oben steht, was am besten passt. Der Vorwurf der Kommission lautet, dass Inserate, deren Anbieter für ein höheres Ranking bezahlt haben, nicht klar als Werbung gekennzeichnet sein könnten. Damit wäre die Reihenfolge nicht mehr nur eine Auskunft über Eignung, sondern teils ein Ergebnis von Budget.

Rechtlich ist das eine Transparenzfrage. Der DSA verlangt von Plattformen, Anzeigen als solche erkennbar zu machen. Die Kommission prüft laut Register ausdrücklich, ob Anzeigen klar von organischen Ergebnissen unterschieden werden. Welche Kennzeichnungen Booking.com tatsächlich einsetzt und wie sie aussehen, beschreibt die Kommission nicht. Fehlende Angaben sind kein Beleg dafür, dass es keine Kennzeichnung gibt.

dm-Einordnung: Behandeln Sie die ersten Treffer nicht automatisch als beste Wahl. Sortieren Sie nach Kriterien, die Ihnen wichtig sind, etwa Preis oder Bewertung, und vergleichen Sie mehrere Unterkünfte, statt dem obersten Eintrag zu folgen. Prüfen Sie Bewertungen und Fotos auf Plausibilität und achten Sie darauf, ob ein Eintrag irgendwo als Anzeige oder Gesponsert markiert ist. Ein fehlender Hinweis beweist nicht, dass nichts bezahlt wurde.

Für Unterkünfte ist ein Boosted Listing eine Frage der Chancengleichheit. Laut Kommission zahlen Gastgebende für ein höheres Ranking. dm-Einordnung: Wer ein kleineres Budget hat, rutscht in der Liste nach unten, selbst bei gutem Angebot. Reisende wiederum können nicht einschätzen, ob ein Treffer wegen Qualität oder wegen Bezahlung vorne steht, wenn die Kennzeichnung unklar bleibt. Beide Seiten sind betroffen: Die einen konkurrieren mit ungleichen Mitteln, die anderen treffen Entscheidungen auf einer Grundlage, die sie nicht vollständig durchschauen.

Ähnliche Fragen stellen sich bei der Preiswerbung im Handel, wo klare Angaben ebenfalls entscheidend sind. dm-Einordnung: Beim Ranking geht es um dasselbe Prinzip: Wer Orientierung verspricht, muss kenntlich machen, was Orientierung und was bezahlte Platzierung ist. Ob Booking.com dem genügt, ist offen.

Wo Phishing im Buchungsablauf ansetzt

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptTraveller at an airport café looking sceptically at a laptop with an abstract booking page and a suspicious-looking message window shape, shallow depth of field. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Nach der Buchung beginnt die Phase, in der Betrug besonders glaubwürdig wirkt. Eine Kommissionssprecherin beschrieb laut The Register, dass sich Personen als Eigentümerin oder Eigentümer ausgeben, ohne es zu sein. Außerdem übernehmen Betrügende Gastgeberkonten samt Kontaktdaten und schicken Nachrichten, in denen Gäste angeblich zusätzliche Beträge zahlen müssen. Weil die Nachricht aus einem echten Konto kommt und Reservierungsdaten enthält, fällt der Verdacht schwer.

Das trifft auch Gastgebende: Wird ihr Konto übernommen, steht ihr Name unter Betrugsnachrichten, und Gäste verlieren Vertrauen in eine Unterkunft, die gar nichts getan hat. Auch der Schutz der Daten von Kundschaft und Geschäftskundschaft gehört laut Register zur Prüfung. dm-Einordnung: Zugangsdaten und Zusatzfunktionen gehören deshalb auf die Sicherheitsliste von Unterkünften, ähnlich wie bei Verkaufenden auf Marktplätzen, wo easyShop und andere Verkaufsplattformen ebenfalls Konten- und Gebührenfragen aufwerfen.

Betrugsnachrichten wirken dann überzeugend, wenn sie Details enthalten, die nur echte Beteiligte kennen. Wer Reservierungs- und Gästedaten besitzt, kann Namen, Reisezeitraum und Unterkunft korrekt nennen, und genau das lässt eine Zahlungsaufforderung wie Routine erscheinen. Der Bericht von The Register beschreibt übernommene Gastgeberkonten, über die Nachrichten mit Zusatzzahlungen verschickt werden. Für Gäste fehlt dann der übliche Warnhinweis, nämlich ein unbekannter Absender mit allgemein gehaltenem Text.

Zur Größe des Problems liegen zwei Zahlen mit unterschiedlicher Basis vor. Booking.com selbst nannte im Juni 2024 einen Anstieg von Reisebetrug um 500 bis 900 Prozent in den vorangegangenen 18 Monaten, das ist eine Angabe des Unternehmens. In den Niederlanden gab es laut The Register im ersten Teil von 2026 über 1.000 Betrugsmeldungen mit einem Schaden von 82.000 Euro, zehnmal so viel wie im Vorjahr. Zahlen für Deutschland nennen weder Kommission noch The Register.

dm-Einordnung: Zahlen Sie nur über den Weg, den die Plattform für Ihre Buchung vorsieht, und nicht auf Zuruf per Nachricht. Öffnen Sie keine Links aus Nachrichten oder SMS, sondern rufen Sie die Buchung selbst in der App oder auf der Webseite auf. Eingebauter Android-Betrugsschutz auf dem Handy hilft nur begrenzt und ersetzt nicht die Prüfung der Absender und Zahlungswege.

Was die Kommission von Booking.com erwartet

Die Erwartungen sind laut The Register konkret. Booking.com soll Risiken sorgfältiger bewerten, etwa den Missbrauch des Reservierungssystems angehen. Inserate sollen nach einer Betrugsmeldung schnell entfernt werden, Lizenzen von Unterkünften sollen geprüft werden, und das Onboarding von Gastgebenden, also deren Aufnahme auf die Plattform, soll sich ändern. Eine Beamtin bezeichnete die bisherigen Maßnahmen als „absolutely substandard“. Das ist die Einschätzung einer Kommissionsvertreterin, kein Prüfergebnis.

Booking.com weist das nicht zurück, sondern verweist auf Zusammenarbeit. Ein Sprecher sagte laut Register, das Unternehmen kooperiere vollständig und konstruktiv, Sicherheit, Vertrauen und Datenschutz hätten oberste Priorität. Das ist eine Herstellerangabe, die sich nicht unabhängig prüfen lässt.

Wie es weitergeht, ist offen. Einen Zeitplan oder mögliche Sanktionen nennt die Kommission in ihrer Mitteilung nicht. Entscheidend bleibt, was die Kommission aus den Unterlagen und Auskünften der Plattform ableitet.

dm-Einordnung: Eine Lizenzprüfung und ein veränderter Onboarding-Prozess setzen dort an, wo ein unseriöses Inserat entsteht. Für Gastgebende kann das mehr Aufwand bedeuten, etwa zusätzliche Nachweise bei der Aufnahme auf die Plattform. Dafür profitieren seriöse Unterkünfte, wenn Fälschungen seltener neben ihren Angeboten stehen. Für Reisende wäre es ein Gewinn, weil ein Inserat dann bereits vor der Buchung einen Test durchlaufen hätte. Ob und wie Booking.com das umsetzt, ist offen. Ein Schutz im Einzelfall bleibt außerdem die eigene Prüfung von Zahlungswegen und Nachrichten.

dm-Einordnung: Wenn Sie auf ein verdächtiges Inserat stoßen, melden Sie es der Plattform. Die schnelle Entfernung nach Meldungen gehört zu den Punkten, an denen die Kommission Booking.com künftig messen will.