Betrüger nutzen Buchungsportale für Hotels wie Expedia, um Geld zu erbeuten. (Symbolbild) Bildrechte: IMAGO / SOPA Images

IT-Sicherheit Systeme von Booking.com und Expedia von neuer Betrugsmasche betroffen

09. Mai 2024, 05:00 Uhr

Wer heutzutage ein Hotel buchen will, geht nicht ins Reisebüro, sondern ins Internet. Buchungsportale werben dort um Hotelkunden. Zu den großen Portalen zählen etwa Booking.com und Expedia. Aber Kriminelle nutzen die Systeme der Buchungsportale aus, um Geld zu erbeuten. So funktioniert die Betrugsmasche.

von Marcel Roth, MDR AKTUELL

• Ein Mathe-Professor aus Magdeburg ist Opfer eines Betrugs geworden, nachdem er über Expedia ein Hotel in Leipzig gebucht hatte.
• Später stellt sich heraus: Die Betrüger müssen Zugang zum Buchungssystem gehabt haben.
• Der Fall bleibt allerdings unaufgeklärt.

Thomas Kahle ist Mathematik-Professor an der Uni Magdeburg. Am 6. März bucht er bei Expedia ein Hotel in Leipzig. McDreams heißt das Hotel.

Aber traumhaft war an Thomas Kahles Hotelbuchung nichts. Ein paar Tage vor der Reise bekommt Kahle eine E-Mail. Das Hotel fordert ihn auf, erneut seine Kreditkartendaten einzugeben – sonst würde seine Buchung verfallen. Thomas Kahle wird stutzig: "Klingt irgendwie verdächtig und ich will das eigentlich schon löschen." Doch er interessiere sich für IT-Sicherheit, erzählt Kahle. Er schaut sich die E-Mail genauer an.

Betrüger kapern Buchungssystem

Die E-Mail kommt tatsächlich aus dem Expedia-System. Der Magdeburger greift zum Telefonhörer. Er will Expedia sagen, dass die Firma wohl ein Problem mit ihrer IT hat. "Die überzeugen mich dann aber, dass es eigentlich kein Problem ist und bestätigen mir, dass diese E-Mail über ihr offizielles Expedia-Nachrichtensystem gekommen ist und dass es damit eine legitime Nachricht vom Hotel ist." Die Optionen seien stornieren und neu buchen "oder eben auf dieser Seite zahlen". Irgendwann denke man: "Naja, es ist jetzt auch Freitagabend und schon spät. Die haben ihre IT halt nicht im Griff und kriegen es nicht hin, dass ihre echten Nachrichten nicht aussehen wie Betrug."

Also klickt Kahle auf die Bezahlseite im Expedia-Design. Bezahlt mit seiner Bankkarte, bestätigt die Zahlung bei seiner Bank. Und merkt kurz danach: der Betrag wird zweimal abgebucht. Kahle ist 150 Euro los. Die vermeintliche E-Mail vom Hotel stammt von Kriminellen – so, wie es Kahle auch zuerst vermutet hatte.

Wo die Schwachstelle lag, ist unklar

Auf konkrete Fragen von MDR AKTUELL antwortet Expedia nicht. Man würde die Situation sehr ernst nehmen. Die Systeme von Expedia seien nicht kompromittiert worden. Expedia habe die Aktivitäten den Behörden gemeldet. Unklar ist, ob das System des Leipziger Hotels kompromittiert wurde – das Hotel antwortet nicht auf eine entsprechende AKTUELL-Anfrage. Aber offenbar hatten Kriminelle Zugang, denn die E-Mail an Thomas Kahle kam aus dem echten Expedia-System.

Ein bekanntes Problem, sagt Tobias Warnecke, Geschäftsführer beim Hotelverband Deutschland. "Das Problem ist schon groß. Die Masche ist uns leider bekannt und zwar auch schon längere Zeit. Wir hatten die ersten Fälle schon Anfang 2023. Das waren hauptsächlich über das Buchungsportal Booking.com. Und jetzt, seit kurzer Zeit, werden uns Fälle zugetragen, wo auch die Systeme von Expedia betroffen sind. Die Hacker agieren da auch international. Es sind wahrscheinlich mehrere Gruppen, die sich dort dann Zugang zu den Systemen der Portale verschaffen und ihr Unwesen treiben."

Fall aus Leipzig bleibt unaufgeklärt

Eine Lösung wäre: Dass Hotels, bevor sie eine Nachricht an ihre Gäste über die Portale verschicken, einen zusätzlichen Code dafür vom Portal bekommen. Im Fall von Thomas Kahle hat Expedia die Kosten übernommen und auf einen Datenschutzvorfall verwiesen.

Ratlos ist Kahle trotzdem. "Es interessiert am Ende auch keinen. Die Frage für mich ist, wer hat jetzt Interesse daran, dass das aufgeklärt oder zurückverfolgt wird?" Für die Bank sei es erledigt, weil der Kunde die Zahlung bestätigt habe. Ob Expedia der Sache nachgehen wolle, könne Kahle nicht einschätzen. "Vielleicht sind sie aber auch die Verursacher dieses IT-Vorfalls." Für Kahle ist jedenfalls nicht klar, wer in seinem Fall eigentlich schuld ist.