„Die E-Mail sah echt aus“
Phishing-Falle: Wie Wasserburgerin Sophia Huber Hotel-Betrug entging – So schützen Sie sich
Reporterin Sophia Huber aus Wasserburg entging nur knapp einem raffinierten Hotel-Betrug. Was als normale Zimmerbuchung begann, endete in einem beinahe erfolgreichen Phishing-Angriff. Wie sie den Betrug bemerkte und wie Sie sich dagegen schützen können.
Wasserburg – „Oma, es ist etwas Schreckliches passiert“, „Hallo Mama, ich habe mein Handy verloren“: Diese Einleitungen für Betrugsmaschen sind inzwischen wohl jedem bekannt. Entsprechend kreativ müssen Trickbetrüger beim Versuch, Geld von ihren Opfern abzugreifen, werden. Der neusten Methode wäre beinahe auch Sophia Huber, Reporterin der Wasserburger Zeitung und von wasserburg24.de, aufgesessen.
Hintergrund für mich war eigentlich ein schöner Anlass: Eine Freundin von mir möchte heiraten. Die standesamtliche Hochzeit soll in Franken, im Heimatort der Braut, stattfinden. Zweieinhalb Stunden Autofahrt entfernt. Gemeinsam mit einer weiteren Freundin, die ebenfalls aus Wasserburg anreisen will, beschloss ich deshalb ein Hotel für zwei Nächte zu buchen. Das ist entspannter, dachte ich. Dann müssen wir nicht in aller Herrgottsfrühe losfahren und am nächsten Tag können wir noch ausschlafen.
Gebucht über Booking.com, bezahlt über Paypal
Gesagt, getan. Ich buchte über die Online-Plattform „Booking.com“. Ein Doppelzimmer für zwei Nächte, insgesamt 216 Euro. Bezahlt habe ich über das Bezahlsystem „Paypal“. Es war nicht das erste Mal, dass ich die beiden Portale verwendet habe. Bisher habe ich immer gute Erfahrungen damit gemacht.
Dem Hotel in Franken schickte ich noch eine Nachricht, in der ich erklärte, dass wir am Anreisetag recht spät etwa gegen 21 Uhr ankommen werden. Wenige Stunden später bekam ich eine E-Mail vom Hotel zurück, in der meine Buchung und der späte Anreisezeitpunkt bestätigt wurden. Ich trug den Termin in meinen Kalender ein, damit war die Sache für mich abgehakt.
Täuschend echte E-Mail
Doch wenige Wochen vor der Reise bekam ich eine neue E-Mail, die bei Booking.com im Nachrichtenverlauf mit dem Hotel auftauchte. „Liebe Sophia Huber“, heißt es dort. „Wir haben unsere Buchungsbedingungen geändert.“ Mit knappen Worten wird erklärt, dass die Unterkunft nun lediglich Kreditkartenzahlungen akzeptiere und ich entsprechend neu überweisen sollte. Das gelte auch, wenn ich bereits bezahlt habe. Die ursprüngliche Zahlung würde ich binnen drei Tagen zurückerhalten. Es folgte die Bitte, die Überweisung innerhalb von 24 Stunden zu tätigen, ansonsten würde meine Buchung verfallen. Das vermeintliche Hotel entschuldigt sich noch für die Unannehmlichkeiten, dann folgt der Zahlungslink.
Ich bin ehrlich: Für wenige Sekunden habe ich den Betrugsversuch nicht erkannt. Die E-Mail sah echt aus, zeigte sogar als Absender das Hotel an und nutzte das altbekannte Logo von booking.com. Die Daten der Unterkunft, mein Reisezeitraum, sogar der Betrag von 216 Euro stimmte. Für einen Moment haben mich deshalb sogar über die Umstände geärgert, weil ich keine Kreditkarte besitze. Wahrscheinlich ist es diese Tatsache, die mich gerettet hat. Denn noch während ich mir überlege, was ich nun tun soll, werde ich stutzig: Warum sollte das Hotel plötzlich die Buchungsbedingungen ändern? Warum sollte das auch bereits getätigte Buchungen betreffen? Und warum sollte die Unterkunft meine Paypal-Zahlung nicht mehr wollen? Geld ist schließlich Geld.
Am nächsten Tag kam schließlich die Bestätigung von Booking.com. Die Unterkunft schrieb mir, dass es bei mehreren Fällen zu Betrugsversuchen gekommen sei. Es handle sich hierbei also um einen Phishing-Versuch. Ich solle auf keinen Fall erneut zahlen. Wenn ich es schon getan hätte, dann müsse ich meine Kreditkartenfirma kontaktieren. Ich habe also nochmal Glück gehabt, aber diese Erfahrung zeigt wieder: Niemand ist vor Betrugsmaschen geschützt. Es kann jeden treffen.
Das sagt die Verbraucherzentrale Bayern
Auch der Verbraucherzentrale ist die Betrugsmasche über booking.com bekannt. Seit Anfang des Jahres warnt die Organisation vor den Phishing-Versuchen. Unklar sei allerdings, wie die Betrüger an die Daten kommen. „Das ist von Fall zu Fall unterschiedlich“, erklärt Simone Bueb von der Verbraucherzentrale Bayern. „Generell ist es schwierig, die eigenen Daten zu jeder Zeit zu schützen. Denn teilweise sind die Maschen der Betrüger so durchdacht, dass sie selbst sehr kundigen Nutzern nicht auffallen.“
Um sich bestmöglich gegen Fremdzugriffe abzusichern, gebe es folgende Tipps: Zum einen sei es wichtig, niemals auf Links von unbekannten Quellen klicken. Außerdem sollten keine persönlichen Daten an Unbekannte weitergeben und Geräte im öffentlichen W-LAN gesichert werden. Auch das eigene W-LAN zu Hause sollte möglichst gesichert werden. Weiter müsse auf starke Passwörter geachtet werden. Wer Opfer von Phishing wurde, dem rät die Verbraucherzentrale, sofort die Bank zu informieren und betreffende Konten, beziehungsweise Karten zu sperren. „Zusätzlich müssen unbedingt die Passwörter der betroffenen Accounts geändert werden“, so Bueb. Außerdem sollte eine Strafanzeige bei der Polizei gestellt werden.
Das Meiden von Plattformen, wie Booking.com, wo Phishing-Versuche unternommen wurden, reiche nicht aus, bedauert Bueb. „Phishing kommt leider in sehr unterschiedlichen Konstellationen vor, sodass es nicht ausreicht, eine Plattform zu meiden“, erklärt Bueb, denn Booking.com habe selbst nichts mit den Angriffen zu tun. Entsprechend sei es schwer, solche Angriffe zu verhindern. „Es ist auch nicht bekannt, ob die Sicherheitslücken nicht vielleicht bei den Partnerhotels liegen“, so Bueb. Um Cyber-Angriffen vorzubeugen, könnten Verbraucher beispielsweise das Hotel direkt buchen. „Aber auch das stellt keine hundertprozentige Sicherheit dar.“
Das sagt Booking.com
Auch Booking.com sind die Fälle bekannt. Auf Anfrage teilt das Unternehmen mit, dass einige der Unterkunftspartner von „sehr überzeugenden Phishing-E-Mails“ betroffen gewesen seien, die von Cyber-Kriminellen mit der Absicht verschickt worden seien, die lokalen Computersysteme der Unterkünfte zu übernehmen. „In einigen Fällen hat dies zu einem unbefugten Zugriff auf das Booking.com-Konto der Unterkünfte geführt, was es den Betrügern ermöglicht, sich vorübergehend, als die Unterkunft auszugeben und mit Gästen per E-Mail oder Nachricht zu kommunizieren“, so das Unternehmen.
„Auch wenn es kein Datenleck auf unserer Plattform gab und Booking.com nicht gehackt wurde und die Anzahl der betroffenen Unterkünfte nur einen Bruchteil der Unterkünfte auf unserer Plattform ausmacht, sind wir uns des Ernstes der Lage für die Betroffenen bewusst“, erklärt die Plattform weiter. „Deshalb arbeiten unsere Teams mit Hochdruck daran, unsere Partner bei der schnellstmöglichen Sicherung ihrer Systeme zu unterstützen – sowie daran, allen potenziell betroffenen Kunden entsprechend zu helfen, einschließlich der Unterstützung bei der Erstattung von Kosten.“
Booking.com tätige weiterhin Investitionen, um die Auswirkungen zu begrenzen. Das Unternehmen habe Maßnahmen und Warnhinweise eingeführt, um Kunden sowie Unterkunftspartner zu informieren und zu schützen. Sollte ein Kunde jemals Bedenken bezüglich einer Zahlungsnachricht haben, empfiehlt Booking.com, die Angaben zu den Zahlungsbedingungen auf der Angebotsseite der Unterkunft und in der Buchungsbestätigung sorgfältig zu prüfen. „Kunden können uns verdächtige Nachrichten auch über unser Kundendienstteam melden oder indem sie auf ‚Ein Problem melden‘ klicken – diese Möglichkeit ist unter anderem in der Chat-Funktion unserer Plattform enthalten. In der Regel wird bei keiner legitimen Transaktion von einem Kunden verlangt, sensible Informationen wie Kreditkartendaten per E-Mail, Chatnachricht, SMS, WhatsApp oder Telefon anzugeben, oder eine Zahlung verlangt, die von den ursprünglichen Buchungsbedingungen abweicht“, so das Unternehmen.
