Ein gefälschtes Apartment, eine manipulierte Nachricht, eine Zahlungsaufforderung außerhalb des erwarteten Ablaufs: Für Reisende beginnt Plattformbetrug oft als einzelner Vorfall. Für eine Plattform in der Größenordnung von Booking.com ist genau diese Wiederholung der relevante Punkt. Betrug ist dort nicht nur ein Supportproblem. Er wird zu einer Frage der Systemsteuerung.
Die Europäische Kommission hat am 21. Oktober 2026 ein formelles Verfahren gegen Booking.com eingeleitet. Geprüft wird, ob das Unternehmen gegen Pflichten aus dem Digital Services Act verstoßen haben könnte, weil es Risiken im Zusammenhang mit betrügerischen Unterkunftsangeboten und Phishing nicht sorgfältig bewertet oder nicht wirksam genug gemindert haben soll. Die Pressemitteilung der EU-Kommission formuliert den Vorgang bewusst als Prüfung, nicht als Feststellung eines Verstoßes.
Das ist eine wichtige Unterscheidung. Brüssel sagt nicht: Booking.com hat versagt. Brüssel sagt: Die Plattform muss erklären können, wie sie Risiken erkennt, bewertet und begrenzt. Der Unterschied klingt juristisch, ist operativ aber hart. Denn damit rückt nicht nur der einzelne Betrugsfall in den Blick, sondern die Frage, ob die Plattform ihre eigenen Angriffsflächen im Griff hat.
DSA heißt hier: Sicherheitsarbeit muss nachweisbar sein
Der Digital Services Act wird häufig als Regelwerk für Inhalte, Moderation und Transparenz beschrieben. In diesem Verfahren zeigt sich eine nüchterne Seite des Gesetzes: Sehr große Online-Plattformen müssen systemische Risiken nicht nur zur Kenntnis nehmen, sondern strukturiert behandeln. Booking.com wurde im April 2023 als sehr große Online-Plattform eingestuft und fällt damit unter erweiterte Pflichten.
Bei einer Reiseplattform liegen die Risiken nicht nur in Kommentaren oder sichtbaren Angeboten. Sie entstehen auch in Übergängen: bei der Unterkunftsprüfung, bei Nachrichten zwischen Unterkunft und Gast, bei Zahlungsaufforderungen, bei der Darstellung von Suchergebnissen, bei der Unterscheidung zwischen regulären und bezahlten Platzierungen. Genau dort setzen Betrugsmodelle an. Sie nutzen Vertrauen, Eile und die Erwartung, dass eine große Plattform ihre Umgebung kontrolliert.
Der DSA verlangt keine Welt ohne Betrug. Das wäre technisch wie praktisch Unsinn. Relevant ist, ob ein Anbieter die Risiken kennt, ob er sie ausreichend bewertet, ob Gegenmaßnahmen greifen und ob diese Prozesse belegbar sind. Für große Plattformen wird Sicherheit damit weniger eine Frage einzelner Abwehrmaßnahmen als eine Frage der Organisation: Welche Signale werden ausgewertet? Welche Angebote werden überprüft? Wie werden verdächtige Muster eskaliert? Was passiert, wenn Betrug über interne Kommunikationskanäle angebahnt wird?
Phishing ist hier kein E-Mail-Randthema
Im klassischen Sicherheitsvokabular klingt Phishing nach gefälschten E-Mails und gestohlenen Zugangsdaten. Bei Buchungsplattformen ist das enger mit dem Produkt verwoben. Nutzer rechnen mit Nachrichten zu Reservierungen, Zahlungen, Stornierungen oder Zusatzinformationen. Genau diese Erwartung macht den Kanal wertvoll für Angreifer.
Wenn ein Betrüger es schafft, innerhalb oder in der Nähe eines legitimen Buchungskontexts aufzutreten, verliert der Nutzer einen Teil seiner üblichen Skepsis. Eine Zahlungsaufforderung wirkt dann nicht wie eine fremde Nachricht, sondern wie ein Schritt im Reiseprozess. Für eine Plattform ist das unbequem, weil es nicht reicht, vor externen Betrugsseiten zu warnen. Sie muss erklären können, wie sie Missbrauch in den eigenen Abläufen erkennt und begrenzt.
Das Verfahren gegen Booking.com ist deshalb mehr als eine Verbraucherakte. Es ist eine Sicherheitsakte über Marktplatzarchitektur. Plattformen vermitteln nicht nur Angebote, sie erzeugen Vertrauensräume. Wer diese Vertrauensräume monetarisiert, muss auch zeigen, wie sie gegen Missbrauch abgesichert werden.
Transparenz wird Teil der Risikokontrolle
Zur Untersuchung gehört nach den vorliegenden Angaben auch die Frage, ob bezahlte Platzierungen in Suchergebnissen hinreichend als Werbung erkennbar sind. Das wirkt zunächst wie ein anderes Thema. Für die Logik des DSA gehört es aber in denselben Komplex: Nutzer müssen verstehen können, warum ihnen ein Angebot angezeigt wird und ob seine prominente Position aus Relevanz oder aus Bezahlung folgt.
Das ist nicht bloß eine Frage sauberer Kennzeichnung. In Marktplätzen beeinflusst Sichtbarkeit Vertrauen. Was weit oben erscheint, wird häufig als geprüft, beliebt oder besonders passend wahrgenommen. Wenn Ranking, Werbung und Sicherheitswahrnehmung ineinanderlaufen, kann Intransparenz das Risiko für Nutzer erhöhen. Eine Plattform muss deshalb nicht nur betrügerische Angebote entfernen, sondern auch vermeiden, dass ihre eigenen Darstellungsmechanismen falsche Sicherheit erzeugen.
Der operative Druck steigt
Für Booking.com kann das Verfahren erhebliche Folgen haben, falls die Kommission am Ende Verstöße feststellt. Der DSA sieht bei Verstößen Geldbußen von bis zu sechs Prozent des weltweiten Jahresumsatzes vor. Mindestens genauso relevant ist aber der praktische Druck: Große Plattformen müssen ihre Betrugsabwehr nicht mehr nur intern für richtig halten. Sie müssen sie gegenüber Aufsichtsbehörden plausibel machen.
Das verändert die Kostenstruktur. Betrugserkennung, Prüfprozesse, Meldesysteme, Dokumentation, Datenzugriff, menschliche Eskalation und interne Verantwortlichkeiten werden zu Compliance-Themen. Nicht jede Maßnahme ist sichtbar. Viele liegen in Workflows, Protokollen und Risikomodellen. Für Nutzer zählt am Ende, ob sie weniger leicht auf gefälschte Angebote oder manipulierte Zahlungsaufforderungen hereinfallen. Für die Aufsicht zählt zusätzlich, ob der Anbieter den Weg dorthin belastbar nachweisen kann.
Andere große Marktplätze werden dieses Verfahren genau lesen. Nicht, weil jeder Fall identisch wäre, sondern weil die Richtung klar ist: Betrug auf Plattformen wird regulatorisch nicht mehr als unvermeidbarer Kollateralschaden behandelt. Je größer die Plattform und je stärker sie Vertrauen als Produktbestandteil nutzt, desto weniger überzeugend wird der Verweis auf Einzelfälle.
Das Verfahren gegen Booking.com endet nicht automatisch mit einer Strafe. Es eröffnet eine Prüfung. Doch schon diese Prüfung markiert eine Verschiebung: Sicherheitsrisiken in digitalen Marktplätzen werden unter dem DSA zu Führungs- und Nachweispflichten. Wer Buchungen, Zahlungen, Sichtbarkeit und Kommunikation bündelt, betreibt Infrastruktur für Vertrauen. Und Vertrauen ist kein Layout-Element. Es muss betrieben werden.
