Bei Booking.com beginnt der Ärger nicht erst, wenn ein Reisender vor einer nicht existierenden Ferienwohnung steht. Er beginnt früher: bei den internen Risikomodellen, bei den Prüfprozessen für Unterkünfte, bei der Frage, wie Reservierungs- und Gästedaten geschützt werden, und bei der Transparenz bezahlter Platzierungen. Genau dort setzt die Europäische Kommission nun an.
Brüssel hat ein formelles Verfahren gegen Booking.com eröffnet. Untersucht wird, ob die Plattform ihre Pflichten nach dem Digital Services Act erfüllt, insbesondere beim Umgang mit Betrug, Scams und Anzeigen. Die Mitteilung der Europäischen Kommission formuliert das nüchtern. Für Booking.com ist es trotzdem mehr als eine weitere Compliance-Prüfung. Die Kommission fragt nicht nur, ob einzelne Betrugsfälle passieren. Sie fragt, ob das Unternehmen seine eigene Plattform ausreichend versteht.
Der DSA verschiebt die Beweislast
Das ist der eigentliche Punkt. Große Plattformen konnten lange darauf verweisen, dass Betrug ein Problem einzelner Täter sei: ein gefälschtes Inserat hier, ein Phishing-Versuch dort, ein kompromittiertes Konto irgendwo in der Lieferkette. Das klang plausibel, solange Plattformen sich als Vermittler präsentierten. Der DSA macht diese Haltung schwieriger.
Wer als sehr große Online-Plattform unter den DSA fällt, muss systemische Risiken bewerten und Gegenmaßnahmen nachweisen. Es reicht nicht, nach Beschwerden zu löschen oder Nutzern Sicherheitstipps zu geben. Die Plattform muss zeigen können, dass sie Risiken erkennt, bewertet, mindert und überprüft. Das ist weniger glamourös als neue Funktionen. Es ist operative Arbeit: Datenflüsse kartieren, Missbrauchsmuster erkennen, Kontrollpunkte einziehen, Anzeigenprozesse dokumentieren, Eskalationen nachvollziehbar machen.
Genau deshalb ist das Verfahren gegen Booking.com interessant. Es geht nicht um irgendeine Plattform am Rand des Netzes, sondern um eine Infrastruktur des europäischen Reisealltags. Millionen Menschen buchen dort Unterkünfte, oft in Situationen, in denen sie der Plattform mehr glauben als dem einzelnen Anbieter. Vertrauen ist hier kein weiches Markenversprechen, sondern Teil des Produkts. Wenn dieses Vertrauen ausgenutzt wird, trifft der Schaden nicht nur eine schlechte Bewertung oder einen verlorenen Klick, sondern Reisepläne, Zahlungen, Ausweisdaten, Aufenthaltsorte.
Gefälschte Unterkünfte sind kein Randproblem der Moderation
Die Kommission nimmt mehrere Felder in den Blick. Dazu zählen betrügerische oder nicht konforme Angebote, etwa nicht existierende Unterkünfte oder Identitätsbetrug. Außerdem geht es um Phishing-Betrug, bei dem Reservierungs- und Gästedaten missbraucht werden können. Drittens prüft Brüssel die Transparenz bezahlter Werbung.
Diese drei Bereiche wirken auf den ersten Blick unterschiedlich. In der Praxis hängen sie zusammen. Ein Buchungsportal ist ein Marktplatz, ein Zahlungsanbahner, ein Kommunikationssystem und ein Werberaum zugleich. Wer eine gefälschte Unterkunft platziert, profitiert von der Glaubwürdigkeit der Plattform. Wer Reisende über Reservierungsdaten adressiert, nutzt den Kontext der Buchung als Vertrauenssignal. Wer Anzeigen schaltet oder bezahlte Sichtbarkeit erhält, kann die Oberfläche der Plattform mitkaufen. Für Nutzer ist das schwer auseinanderzuhalten.
Hier liegt ein Problem, das viele Plattformen ungern aussprechen: Je glatter der Buchungsprozess, desto weniger sichtbar werden die internen Unsicherheiten. Ein Inserat sieht sauber aus. Die Nachricht wirkt passend. Der Zeitpunkt stimmt. Die Marke im Browserfenster schafft Beruhigung. Betrug auf Plattformen funktioniert nicht trotz dieser Ordnung, sondern oft gerade durch sie. Er borgt sich die Verlässlichkeit der Infrastruktur.
Booking.com muss nicht nur reagieren, sondern erklären
Die Eröffnung eines formellen Verfahrens ist noch keine Feststellung eines Verstoßes. Booking.com kann auf die Fragen der Kommission reagieren, Unterlagen vorlegen und Zusagen machen. Das ist wichtig, weil Regulierungsverfahren keine öffentlichen Vorverurteilungen ersetzen dürfen. Aber der Startpunkt ist klar: Die Kommission hält die bisherigen Antworten oder Strukturen offenbar für prüfungsbedürftig.
Für Booking.com verschiebt sich damit die Debatte. Das Unternehmen kann nicht allein mit dem Verweis auf Kooperation, Sicherheitsteams oder laufende Maßnahmen aus der Sache herauskommen. Entscheidend wird, ob sich die Maßnahmen gegenüber der Aufsicht belegen lassen. Welche Risiken wurden identifiziert? Wie wurden sie gewichtet? Welche Indikatoren zeigen, dass Schutzmaßnahmen wirken? Wie wird verhindert, dass Reservierungs- und Gästedaten in Betrugsmaschen eingesetzt werden? Wann wird ein Inserat blockiert, wann überprüft, wann entfernt? Und wie klar erkennt ein Nutzer, ob er eine Anzeige sieht?
Das ist unbequem, weil es Plattformen zwingt, ihre Blackbox zu öffnen. Nicht vollständig für die Öffentlichkeit, aber gegenüber der Aufsicht. Genau darin liegt der politische Kern des DSA. Er behandelt sehr große Plattformen nicht mehr nur als private Websites mit Nutzungsbedingungen, sondern als Betreiber von Umgebungen, deren Fehlfunktionen massenhaft Schäden verursachen können.
Der Fall ist größer als Booking.com
Man muss daraus keine große Digitaldrama-Erzählung machen. Trotzdem setzt Brüssel hier einen Ton. Wenn Betrugsprävention unter dem DSA nur eine freundliche Absichtserklärung bliebe, hätte das Gesetz wenig Substanz. Erst Verfahren wie dieses zeigen, ob aus den Pflichten auch belastbare Kontrollen werden.
Für andere Plattformen ist die Botschaft ziemlich schlicht: Risikoberichte, Moderationsprozesse und Werbetransparenz sind nicht mehr bloße Verwaltungsdokumente. Sie können zum Gegenstand formeller Untersuchungen werden. Wer auf Marktplätzen, Reiseportalen oder großen Vermittlungsplattformen operiert, muss damit rechnen, dass Betrugsbekämpfung nicht mehr als nachgelagerter Supportfall behandelt wird.
Das kann teuer werden. Nicht nur wegen möglicher Geldbußen, die der DSA bei Verstößen vorsieht und die im äußersten Fall empfindlich ausfallen können. Teuer wird vor allem die Umstellung selbst: bessere Verifikation, strengere Prüfprozesse, sauberere Datenzugriffe, belastbare Anzeigenkennzeichnung, mehr Personal für Missbrauchsanalyse und Auditfähigkeit. Plattformen haben Effizienz lange darüber definiert, möglichst viel Interaktion mit möglichst wenig Reibung zu ermöglichen. Betrugsresistenz erzeugt Reibung. Genau diese Reibung wird nun zur regulatorischen Erwartung.
Vertrauen lässt sich nicht auslagern
Der kritische Punkt ist nicht, ob Booking.com jeden einzelnen Betrugsversuch verhindern kann. Das kann keine große Plattform seriös versprechen. Die Frage ist, ob die Plattform ihr Geschäftsmodell so betreibt, dass bekannte Missbrauchsrisiken nicht billigend in Kauf genommen, unterschätzt oder zu langsam bearbeitet werden.
Für Reisende wäre schon viel gewonnen, wenn Plattformvertrauen nicht länger als Marketingkulisse behandelt würde. Wer eine Unterkunft bucht, muss erkennen können, worauf er sich verlässt: auf eine geprüfte Unterkunft, auf einen bezahlten Platz, auf eine Nachricht im echten Buchungskontext oder auf eine potenzielle Täuschung. Diese Unterscheidungen sind banal, aber im Alltag oft verschwommen.
Das Verfahren gegen Booking.com wird zeigen, wie ernst die EU den DSA dort nimmt, wo digitale Plattformen nicht politische Debatten moderieren, sondern ganz praktische Abhängigkeiten verwalten: Schlafplätze, Zahlungen, Reisedaten, Kommunikation. Gerade deshalb ist der Fall relevant. Betrug ist hier kein Störgeräusch am Rand. Er testet, ob Plattformen ihre eigene Infrastruktur kontrollieren können.
