Booking.com-Sicherheitslücke: Fake-Listing für 10 Downing Street zwei Monate aktiv
Veröffentlicht am: 03.09.2026 um 18:23 Uhr | Redaktion boerse-global.de
Die britische Verbraucherschutzorganisation Which? hat erhebliche Sicherheitslücken auf der Reiseplattform Booking.com aufgedeckt. In einem Untersuchungsprojekt gelang es den Tierschützern, den offiziellen Amtssitz des britischen Premierministers, 10 Downing Street, als gefälschte Ferienunterkunft zu listen.
Das Inserat blieb über einen Zeitraum von rund zwei Monaten online zugänglich, ohne dass die Plattform eine Identitäts- oder Eigentumsverifizierung der Anbieter durchführte.
Der gefälschte Eintrag wurde Mitte Juni 2026 erstellt und war bis zum 27. August 2026 auf der Webseite aktiv. Nach Angaben der Organisation verdeutlichte der Versuch, wie einfach Kriminelle das System manipulieren können. Innerhalb von nur 20 Minuten nach der Freischaltung gingen bereits 14 Buchungsanfragen für die prominente Adresse ein.
Fehlende Kontrollmechanismen bei der Inseratserstellung
Ein zentraler Kritikpunkt der Untersuchung betrifft die mangelnde Überprüfung neuer Anbieter. Laut dem Bericht von Which? forderte Booking.com während des gesamten Erstellungsprozesses des Inserats keine Nachweise darüber an, ob die inserierende Person tatsächlich befugt sei, über die Immobilie zu verfügen. Diese Lücke ermöglichte es, eine der am besten gesicherten Adressen der Welt als Mietobjekt anzubieten.
Zusätzlich zur Listung gelang es den Testern, die Glaubwürdigkeit des Angebots durch Manipulationen zu steigern. Unmittelbar nach der Veröffentlichung erschien eine gefälschte Bewertung mit der Höchstpunktzahl von 10 von 10 Punkten.
Wer sich mit den Gefahren durch manipulierte Inhalte und gefälschte Identitäten befasst, sollte die psychologischen Taktiken moderner Betrüger kennen. Dieser kostenlose Report enthüllt aktuelle Methoden der Cyberkriminellen und zeigt, wie man sie rechtzeitig entlarvt. Diese 7 psychologischen Schwachstellen nutzen Hacker aus
In diesem Erfahrungsbericht wurde unter anderem der dort lebende Kater Larry lobend erwähnt. Trotz dieses offensichtlich satirischen Inhalts wurde die Bewertung vom System der Plattform akzeptiert und Mitte August 2026 veröffentlicht.
Finanzielle Risiken und technische Schwachstellen
Neben der reinen Listung wurden auch Schwachstellen in der Zahlungsabwicklung und Kommunikation identifiziert. Im Rahmen des Tests wurde eine Zahlung für eine fingierte Buchung über das System von Booking.com verarbeitet. Mit Stand Ende August 2026, etwa sechs Wochen nach der Transaktion, war noch keine Rückerstattung des gezahlten Betrags erfolgt.
Des Weiteren stellte die Organisation fest, dass das interne Nachrichtensystem der Plattform die Übermittlung externer Links erlaubt. Über diese Verknüpfungen könnten potenzielle Betrüger versuchen, Kreditkartendaten von Kunden abzugreifen. Diese technische Konfiguration stelle ein erhebliches Risiko für Phishing-Angriffe dar, da Kunden innerhalb der gewohnten Umgebung des Portals kontaktiert werden.
Die Zunahme von Phishing-Angriffen und Betrugsversuchen über digitale Plattformen stellt Unternehmen vor immer größere Herausforderungen. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie sich in vier Schritten effektiv gegen moderne Hacker-Angriffe absichern. In 4 Schritten zum sicheren Unternehmen
Reaktion des Unternehmens
Booking.com reagierte auf die Vorwürfe und bestritt die grundsätzliche Aussagekraft des Tests. Das Unternehmen betonte, dass man kontinuierlich in Sicherheitsmaßnahmen investiere. Dabei verwies der Konzern insbesondere auf den Einsatz von Systemen auf Basis künstlicher Intelligenz. Diese seien laut Unternehmensangaben in der Lage, die Mehrheit der Betrugsversuche innerhalb von 24 Stunden zu erkennen und zu entfernen.
Im vorliegenden Fall griff dieser Schutzmechanismus jedoch nicht zeitnah. Das Inserat für 10 Downing Street wurde erst am 27. August 2026 von der Plattform entfernt, nachdem es über Wochen für potenzielle Reisende sichtbar gewesen war. Die Untersuchung wirft damit erneut Fragen zur Wirksamkeit der automatisierten Kontrollsysteme bei großen Vermittlungsportalen auf.
