Hotel-Phishing mit 7,5 Prozent «Cashback» zielt auf TWINT-Konten – das BACS warnt

Am Anfang steht nicht der Gast, sondern das Hotel: Laut BACS verschaffen sich die Täter Zugang zum Buchungs- oder E-Mail-System eines Hotels. Mit den dort hinterlegten Daten schreiben sie anschliessend frühere und aktuelle Gäste an – im Namen des Hotels, mit korrektem Namen, korrekter E-Mail-Adresse, dem richtigen Buchungsdatum und dem richtigen Hotel. Wer die Nachricht liest, hat also zunächst keinen Grund, an ihrer Echtheit zu zweifeln.

Die Nachricht verspricht ein Cashback von 7,5 Prozent auf den bezahlten Übernachtungspreis. Um es zu erhalten, soll der Gast einen Link anklicken. Der führt laut BACS auf eine nahezu identische Kopie der Hotel-Website, die unter einem ähnlich klingenden Domainnamen registriert wurde. Dort wird als Auszahlungsweg das TWINT-Konto angeboten. Sobald der Gast seine Bank auswählt, erscheint eine täuschend echt nachgebaute Login-Seite dieser Bank.

Gibt der Gast dort seine E-Banking-Zugangsdaten ein, verwenden die Täter sie laut BACS sofort für einen echten Login bei der Bank. Während das Opfer auf der gefälschten Seite durch einen vermeintlichen Rückerstattungsprozess geführt wird, läuft im Hintergrund der Angriff. Verlangt die Bank für den Login eine Bestätigung über den zweiten Faktor, wird das Opfer unter einem Vorwand aufgefordert, diese Freigabe zu erteilen. In einzelnen Fällen sollten Betroffene laut BACS mit ihrem Kartenlesegerät einen Code erzeugen und ihn angeblichen Support-Mitarbeitenden mitteilen. Tatsächlich handelt es sich dabei um den Code, der den Login der Täter freischaltet.

Das BACS ordnet die Masche in eine Entwicklung ein, die es seit einigen Jahren beobachtet: weg von breit gestreuten Massenkampagnen, hin zu gezielteren und stärker personalisierten Betrugsformen. Phishing im Zusammenhang mit Hotelbuchungen sei dem Amt bereits mehrfach gemeldet worden; die Variante mit Cashback-Versprechen, geklonter Hotel-Website und Angriff auf das E-Banking stuft das BACS als neu ein.

Der entscheidende Unterschied zu klassischem Phishing ist die Datenbasis. Die Täter raten nicht, sondern wissen, wer wann wo übernachtet hat. Laut BACS stammen diese Informationen mutmasslich aus kompromittierten Buchungssystemen. Wer eine E-Mail mit seinen eigenen Reisedaten erhält, prüft sie seltener kritisch – genau darauf setzt die Masche.

Neu ist dieser Ansatz nicht. Bereits im November 2023 beschrieb das damalige NCSC (heute BACS), wie Kriminelle Hotels mit Schadsoftware angreifen, um an die Zugangsdaten für deren Konten bei Buchungsplattformen zu kommen. Gäste erhielten danach Nachrichten, die wie Mitteilungen von Booking.com aussahen: Die Buchung werde storniert, wenn nicht innerhalb von 24 Stunden die Kreditkarte über einen Link «verifiziert» werde. Im März 2024 meldete das BACS dieselbe Masche erneut: Die E-Mails wurden über die Plattform selbst im Namen des gebuchten Hotels verschickt, die Buchungsdetails stimmten, nur der Link führte auf eine personalisierte Phishing-Seite.

Im Juni 2026 folgte eine weitere Stufe. Das BACS berichtete über WhatsApp-Nachrichten, die angeblich vom Kundendienst von Booking.com oder vom gebuchten Hotel stammten und eine Rückerstattung für eine frühere Buchung versprachen. Der Link führte zunächst auf eine gefälschte TWINT-Seite und dann auf eine gefälschte Bankseite, auf der Kreditkartendaten eingegeben werden sollten. Die präzisen Buchungsdaten brachte das BACS damals mit einem Datenleck im Umfeld von Booking.com vom April 2026 in Verbindung.

Die jetzt gemeldete Variante führt diese Linie weiter: Statt Kreditkartendaten wollen die Täter nun direkt die E-Banking-Zugangsdaten und den zweiten Faktor. Booking.com selbst hält auf seiner Sicherheitsseite fest, dass Angriffe auf Reisedaten die ganze Branche betreffen und für Phishing per WhatsApp, Telefon oder E-Mail genutzt werden – und dass das Unternehmen nie per E-Mail, Telefon, SMS oder WhatsApp nach Kreditkartendaten fragt.

Das Cashback ist nur der Köder. Das eigentliche Ziel ist laut BACS, das mit dem Bankkonto verknüpfte TWINT-Konto auf eine andere Telefonnummer umzuschreiben. Gelingt das, hängt die Bezahl-App weiterhin am Bankkonto des Opfers, läuft aber auf einem Gerät der Täter. Das BACS nennt zusätzlich die Möglichkeit, direkt aus dem gekaperten E-Banking betrügerische Zahlungen auszulösen.

Dafür brauchen die Täter zwei Dinge: die Zugangsdaten zum E-Banking und die Freigabe des zweiten Faktors. Beides holen sie sich im selben Gespräch. Die Login-Daten liefert die gefälschte Bankseite, die Freigabe erschleichen sie, indem sie das Opfer unter einem Vorwand zur Bestätigung in der Bank-App oder zur Code-Eingabe am Kartenlesegerät bewegen. Dass der Code eigentlich einen fremden Login bestätigt, ist für das Opfer in diesem Moment nicht erkennbar.

Die Methode ist laut BACS dieselbe wie beim Kleinanzeigen-Phishing, bei dem sich die Angriffe gegen Verkäufer richten: Dort geben die Täter Kaufinteresse vor, behaupten, die Zahlung über einen Postdienst abzuwickeln, und schicken einen QR-Code oder Link, der auf die gleichen Phishing-Seiten führt. Das Einstiegsszenario wechselt, das Ziel bleibt: die Bankzugangsdaten der Opfer.

Das deutlichste Warnsignal ist der Ablauf selbst: Für eine Rückerstattung musst du laut BACS niemals Zugangsdaten eingeben oder QR-Codes scannen. Niemand muss sich für eine Rückerstattung bei seiner Bank einloggen, einen Code vom Kartenlesegerät durchgeben oder eine Freigabe in der Bank-App erteilen.

Ein zweites Warnsignal ist das Angebot selbst. Ein Cashback, das unaufgefordert nach dem Aufenthalt per E-Mail eintrifft und über einen Link «aktiviert» werden muss, ist ungewöhnlich – auch dann, wenn alle Buchungsdaten stimmen. Das BACS rät ausdrücklich, bei unaufgeforderten Rückerstattungen oder Kreditkartenverifizierungen äusserst misstrauisch zu sein, selbst wenn der Absender die Buchungsdetails kennt.

Drittens die Adresse: Die Täter registrieren laut BACS ähnlich klingende Domainnamen und kopieren die Hotel-Website. Prüfe die Adresse in der Adresszeile Buchstabe für Buchstabe und vergleiche sie mit der Website aus deiner Buchungsbestätigung. Noch sicherer ist, den Link gar nicht zu benutzen: Logge dich direkt über die offizielle App oder Website in dein Buchungskonto ein oder rufe das Hotel über eine Telefonnummer an, die du selbst recherchiert hast – nicht über die Nummer aus der Nachricht.

Viertens das Gespräch mit dem «Support»: Sobald jemand einen SMS-Code, einen Code vom Kartenlesegerät oder eine Freigabe in der Bank-App verlangt, ist es Betrug. Das BACS formuliert es klar: Codes, die du per SMS erhältst, gibst du niemals weiter. TWINT schreibt auf seiner Sicherheitsseite dasselbe für den eigenen Dienst: Mitarbeitende fragen nie nach Passwörtern, Login-Daten oder dem Sicherheitscode, und SMS-Codes von TWINT sind nie an Dritte weiterzugeben.

Auf der Seite «Aktuelle Sicherheitshinweise» von TWINT ist diese Hotel-Masche nicht aufgeführt; sie nennt Phishing-E-Mails, betrügerische Anrufe und gefälschte Briefe mit QR-Code (Stand 05.06.2026). Die Grundregeln dort passen aber genau auf den aktuellen Fall: TWINT fragt weder per E-Mail noch über Partner nach Passwörtern oder persönlichen Daten, verlangt am Telefon keine sensiblen Daten und fordert nie dazu auf, Zahlungen auf Zuruf zu bestätigen oder zu sperren. QR-Codes von TWINT sollst du ausschliesslich mit der TWINT-App scannen, und die persönlichen TWINT-SMS-Codes gibst du niemandem weiter.

TWINT weist darauf hin, dass die App mit PIN, Fingerabdruck oder Gesichtserkennung gesichert ist, und rät, Anfragen nach Login-Daten grundsätzlich abzulehnen und bei QR-Codes oder Zahlungslinks zu prüfen, dass die Adresse mit go.twint.ch beginnt. Ausserdem rät TWINT, die Standard-App und das verknüpfte Konto regelmässig zu kontrollieren, besonders wenn du mehrere TWINT-Apps oder Konten nutzt.

Für den Ernstfall ist die Reihenfolge klar: Bei finanziellem Schaden sofort die eigene Bank anrufen und den Vorfall so genau wie möglich schildern – bei den TWINT-Apps der Banken läuft die Sperrung über den Kundendienst der jeweiligen Bank, bei TWINT Prepaid über den TWINT-Kundendienst oder ausserhalb der Öffnungszeiten über ein Online-Formular. Phishing-E-Mails im Namen von TWINT kannst du an abuse@twint.ch weiterleiten, Phishing-Websites über antiphishing.ch dem BACS melden.

Diese Meldung zeigt, wohin sich Phishing bewegt. Das BACS beschreibt seit Jahren eine Verschiebung von Massenkampagnen zu personalisierten Angriffen, und die Hotelbranche liefert dafür ideales Material: Buchungssysteme speichern Namen, Reisedaten und Kontaktadressen von Tausenden Gästen, und ein einziger kompromittierter Hotelzugang reicht, um alle davon glaubwürdig anzuschreiben. Dass die Täter inzwischen nicht mehr nur Kreditkartendaten, sondern den kompletten E-Banking-Zugang samt zweitem Faktor abgreifen, erhöht den möglichen Schaden erheblich.

Ehrlich gesagt werden muss auch, was hier nicht hilft. Ein VPN schützt vor dieser Masche nicht: Es verschlüsselt den Weg deiner Daten durchs Netz, ändert aber nichts daran, dass du sie freiwillig auf einer gefälschten Seite eingibst. Wer wissen will, wofür ein VPN tatsächlich taugt, findet die Abwägung in (→ Brauchst du 2026 wirklich ein VPN? Der ehrliche Ratgeber) und die Einrichtung in (→ VPN auf dem iPhone einrichten – mit App oder von Hand).

Was dagegen hilft, ist ein Passwort-Manager, und zwar aus einem technischen Grund: Er füllt Zugangsdaten nur auf der Domain aus, für die sie gespeichert wurden. Auf einer Kopie der Bank-Website unter einer ähnlich klingenden Adresse bleibt das Feld leer – ein stiller, aber zuverlässiger Hinweis, dass etwas nicht stimmt. Welche Programme wir empfehlen, steht in (→ Beste Passwort-Manager 2026: 1Password, NordPass, Bitwarden und Proton Pass im Vergleich). Den zweiten Faktor ersetzt das nicht, aber es nimmt der Masche den ersten Schritt.

Die wichtigste Verteidigung bleibt eine einfache Regel, die das BACS seit Jahren wiederholt und die auch in dieser Variante greift: Wer Geld bekommen soll, muss nichts bestätigen, nichts freigeben und sich nirgends einloggen. Sobald eine «Rückerstattung» eine Handlung von dir verlangt, ist sie keine.