Phishing rund um Hotelbuchungen: falsches Cashback zielt auf TWINT-Konten

Am 20. Oktober 2026 hat das Bundesamt für Cybersicherheit (BACS) in seinem Wochenrückblick eine neue Phishing-Variante im Zusammenhang mit Hotelbuchungen beschrieben. Gäste erhalten eine E-Mail, die scheinbar vom Hotel stammt, in dem sie übernachtet haben oder bald übernachten werden, mit korrektem Namen, Datum und Buchungsdetails. Die Nachricht verspricht eine Rückerstattung, das eigentliche Ziel ist jedoch der Zugriff auf das E-Banking und das TWINT-Konto des Opfers.

Für eine Tourismusregion wie das Tessin betrifft das Thema Hotels, Ferienwohnungen, B&Bs und alle, die Buchungen für sie verwalten. Der Ausgangspunkt ist nämlich nicht der Gast, sondern das System des Hotels.

So funktioniert die Masche

Laut BACS haben die Täter in den aktuellen Fällen zuerst das Buchungs- oder E-Mail-System eines Hotels kompromittiert. So gelangten sie an die Daten früherer und aktueller Gäste. Diese kontaktieren sie anschliessend im Namen des Hotels, von Internetadressen, die der echten sehr ähnlich sind, und mit einer nahezu identischen Kopie der offiziellen Website.

Die Nachricht bietet ein angebliches Cashback von 7,5 Prozent auf den bereits bezahlten Preis. Auf der gefälschten Website kann der Gast die Rückerstattung «anfordern» und die Auszahlung auf sein TWINT-Konto wählen. Nach der Wahl der Bank landet er auf einer nachgebildeten Anmeldeseite und gibt dort seine E-Banking-Zugangsdaten ein. Während das Opfer im Rückerstattungsprozess festgehalten wird, melden sich die Täter mit diesen Daten im echten E-Banking an und fordern das Opfer unter einem Vorwand auf, den zweiten Faktor zu bestätigen oder einen Code mitzuteilen. Ziel ist laut BACS, das verknüpfte TWINT-Konto auf eine andere Telefonnummer umzuschreiben; auch direkte Zahlungen aus dem E-Banking sind denkbar.

Das Vorgehen ist nicht neu: Das BACS kennt es seit Längerem von Betrugsversuchen auf Kleinanzeigenplattformen, wo vor allem Verkäuferinnen und Verkäufer betroffen sind. Das Einstiegsszenario hat sich geändert, das Ziel nicht.

Warum das auch KMU betrifft

Glaubwürdig wird die Nachricht durch die echten Buchungsdaten. Ohne kompromittiertes System verliert die Masche einen Grossteil ihrer Wirkung. Für das Hotel ist der Schaden doppelt: Die eigenen Gäste werden in seinem Namen betrogen, und es handelt sich fast immer um eine Verletzung der Datensicherheit mit rechtlichen Folgen. Derselbe Mechanismus kann jedes KMU treffen, das Kundendaten in einer Branchensoftware, einem Onlineshop oder einem geteilten Postfach speichert.

Was Beherbergungsbetriebe tun sollten

1. Zugänge schützen. Multi-Faktor-Authentisierung, besser noch Passkeys, für E-Mail, Buchungsportale, Channel-Manager und Hotelsoftware aktivieren. Die Unterschiede zwischen den Verfahren erklären wir im Artikel zu den fünf Stufen des BACS.
2. Einschränken, wer die Daten sieht. Persönliche statt geteilte Konten, sofortige Sperrung der Zugänge ehemaliger Mitarbeitender und Lieferanten, regelmässige Kontrolle, wer Gästedaten exportieren kann.
3. Website und Systeme aktuell halten. Website, Plug-ins und Buchungssoftware müssen aktuell sein: Das BACS hat bereits in diesem Jahr eine Zunahme kompromittierter Schweizer Websites gemeldet, mehrheitlich mit WordPress.
4. Gästen sagen, was Sie nie verlangen. In Buchungsbestätigungen und auf der Website ein klarer Satz: Das Hotel verlangt für eine Rückerstattung nie Bankzugangsdaten, SMS-Codes oder das Scannen eines QR-Codes. Dazu eine gut sichtbare offizielle Telefonnummer.
5. Ähnliche Domains im Blick behalten. Der technische Schutz der eigenen E-Mail-Domain (SPF, DKIM, DMARC) verhindert, dass Dritte im Namen der echten Domain senden, stoppt aber keine fast identische Domain, die jemand anderes registriert hat. Es lohnt sich zu wissen, wer solche Domains überwachen und sperren lassen kann.
6. Die Reaktion vorbereiten. Wen anrufen, wer ändert die Passwörter, wer informiert die Gäste: Wer das im Voraus festlegt, gewinnt wertvolle Stunden. Die Studie «KMU Cybersicherheit 2026» nennt gerade die organisatorische Vorbereitung als Schwachstelle vieler KMU.

Wenn das System bereits kompromittiert ist

Zuerst müssen die Zugänge der Täter gesperrt werden: Passwörter ändern, aktive Sitzungen beenden, Weiterleitungsregeln im Postfach prüfen und den Anbieter des Buchungssystems kontaktieren. Danach sind die Gäste zu warnen, denn gefälschte Nachrichten können auch nach der Bereinigung weiter eintreffen.

Das Bundesgesetz über den Datenschutz verlangt angemessene Sicherheitsmassnahmen (Art. 8 DSG). Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen, muss der Verantwortliche sie so rasch wie möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden, der dafür ein Meldeportal betreibt, und die betroffenen Personen informieren, wenn es zu ihrem Schutz erforderlich ist (Art. 24 DSG). Buchungsdaten, mit denen Gäste betrogen werden, sind ein Fall, in dem das Risiko sorgfältig zu beurteilen ist.

Die Pflicht, einen Cyberangriff innerhalb von 24 Stunden dem BACS zu melden, gilt für Betreiberinnen und Betreiber kritischer Infrastrukturen. Andere Unternehmen können einen Vorfall freiwillig über das Meldeformular des BACS melden. Bei einem finanziellen Schaden empfiehlt das BACS, Strafanzeige bei der Polizei zu erstatten; über Suisse ePolice findet man den nächsten Polizeiposten.

Was das BACS den Gästen empfiehlt

• Äusserst misstrauisch sein bei unaufgeforderten Kontakten zu Rückerstattungen oder dringenden Kreditkartenverifizierungen, auch wenn der Absender die Buchungsdetails kennt.
• Nie Codes weitergeben, die per SMS eingegangen sind.
• Nicht auf Links in verdächtigen Nachrichten klicken und auf so geöffneten Seiten keine Daten eingeben.
• Im Zweifel direkt über die offizielle App oder Website ins Buchungskonto einloggen oder das Hotel über die selbst recherchierte Telefonnummer anrufen.
• Für eine Rückerstattung sind nie Zugangsdaten oder das Scannen von QR-Codes nötig.
• Wer bereits Kartendaten eingegeben hat, sollte sofort die Bank oder die Kreditkartenfirma kontaktieren und die Karte sperren lassen.

Dieselben Regeln gelten für Mitarbeitende: Eine Nachricht, die dank echter Daten glaubwürdig wirkt, bleibt eine Nachricht, die zu prüfen ist. Ein weiteres aktuelles Beispiel sind die mit gefälschten Abstimmungen gekaperten WhatsApp-Konten.

Häufige Fragen

Ein Gast meldet eine verdächtige E-Mail in unserem Namen: Was tun?

Bestätigen Sie dem Gast, dass die Nachricht nicht von Ihnen stammt, und bitten Sie ihn, den Link nicht zu verwenden. Prüfen Sie dann sofort Zugänge und Weiterleitungsregeln von Postfach und Buchungssystem und warnen Sie die übrigen Gäste mit laufenden Buchungen.

Wir nutzen eine externe Buchungsplattform: Ist das deren Verantwortung?

Das hängt davon ab, wo die Kompromittierung stattgefunden hat. Oft führt der Zugang über die Zugangsdaten des Hotels, etwa ein Postfach oder ein Konto im Portal. In jedem Fall sollte der Anbieter sofort einbezogen und geklärt werden, wer für die betroffenen Daten verantwortlich ist.

Reicht DMARC, um diese E-Mails zu stoppen?

Nein. DMARC schützt Ihre Domain vor Missbrauch und ist trotzdem zu empfehlen. Die vom BACS beschriebenen Täter verwenden jedoch ähnliche, aber andere Domains, die das DMARC Ihrer Domain nicht abdeckt.

Unser Ansatz

ElaraTeq Sagl entwickelt und betreibt Websites, Buchungssysteme und Postfächer für KMU und Beherbergungsbetriebe im Tessin, mit Hosting in der Schweiz, geschützten Zugängen und geplanten Updates. Für eine Prüfung Ihrer E-Mail-Konfiguration, Ihrer Website oder Ihrer Zugänge können Sie uns kontaktieren.

Quellen

• BACS, Woche 42: Neue Variante von Phishing in Zusammenhang mit Hotelbuchungen zielt auf TWINT-Konten, 20. Oktober 2026
• BACS, Zunahme kompromittierter Webseiten mit gefälschten CAPTCHA, 7. August 2026
• BACS, Meldeformular; Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
• EDÖB, Meldeportal für Verletzungen der Datensicherheit
• Fedlex, Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 8 und 24
• Suisse ePolice, Suche nach Polizeiposten