Die britische Verbraucherschutzorganisation Which? hat die Sicherheitsvorkehrungen der Buchungsplattform Booking.com scharf kritisiert. Auslöser ist ein erfolgreicher Test, bei dem es Forschenden gelang, die offizielle Residenz des Premierministers in der Downing Street 10 als Ferienunterkunft auf der Website anzubieten und Buchungen entgegenzunehmen.
Der Fall wirft ein Schlaglicht auf die Sicherheitslücken digitaler Vermittlungsportale. Die Verbraucherschützer konnten das berühmte Regierungsgebäude problemlos im Sommer als Ein-Zimmer-Apartment im Herzen Londons einstellen. Die Annonce enthielt ein Foto der bekannten Haustür und versprach eine Fußwegdistanz von nur vier Minuten zu den Houses of Parliament, wie das Verbraucherportal in einem ausführlichen Bericht über die Aktion dokumentierte. Unter den gefälschten Bewertungen notierten die Forschenden auch ein Treffen mit Larry, dem bekannten Kater des Premierministers, als Highlight.
Täuschung im Herzen Londons und verpasste Prüfungen
Die Erstellung der betrügerischen Anzeige nahm nach Angaben der Initiatoren nur etwa 15 Minuten in Anspruch. Während des gesamten Registrierungsprozesses sei zu keinem Zeitpunkt verlangt worden zu beweisen, dass die beteiligten Personen Eigentümer des Anwesens oder überhaupt reale Personen sind. In einer offiziellen Stellungnahme erklärte Booking.com hierzu: „Wir nehmen den Prozess der Verifizierung von Unterkunftsangeboten ernst. Während Partner sich in weniger als 15 Minuten registrieren können, sind sie danach mehreren Kontrollen und Prüfungen bei der Anmeldung, nach der Einreichung und vor der Buchbarkeit ihrer Inserate ausgesetzt.
Dennoch konnte der angebliche Vermieter bereits am selben Tag das hauseigene Nachrichtensystem nutzen, um externe URLs zu versenden, die Kreditkarteninformationen zur Bestätigung der Buchung anforderten. Solche Links werden von Kriminellen häufig eingesetzt, um arglose Reisende um Hunderte oder Tausende von Pfund zu bringen. Die Resonanz auf das gefälschte Angebot war unmittelbar enorm. Ein Drittel der Anfragen – genauer gesagt 14 Personen – fragte innerhalb der ersten 20 Minuten nach der Verfügbarkeit der Unterkunft. Wer im Ausland lebt, könne dabei leicht übersehen, dass es sich um das Haus des Premierministers handle, statt um ein bloßes Schnäppchen im Zentrum Londons.
Reaktionen und veraltete Sicherheitskontrollen bei Booking.com
Die Kritik der Verbraucherorganisation fällt entsprechend drastisch aus. Der Travel Editor von Which?, Rory Boland, warf dem Unternehmen vor, dass die angeblichen Schutzmechanismen völlig unzulänglich seien.
If Booking.com's so-called sophisticated AI systems can't spot that 10 Downing Street is not a holiday rental, then it's no wonder scammers can exploit the platform so easily.
Rory Boland, Travel Editor bei Which?
Er betonte zudem, dass es lächerlich wäre, das berühmteste Haus des Landes vermieten zu können, wenn die Konsequenzen für echte Urlauber nicht so verheerend wären, da diese riskieren, Tausende von Pfund an betrügerische Listings und Phishing-Links zu verlieren. Es ist nicht das erste Mal, dass die Website wegen ihrer Sicherheitsbemühungen und ihres Kundenservice in die Kritik gerät.
Das Unternehmen wies die Vorwürfe in Teilen zurück und erklärte gegenüber der BBC, dass es sich um einen limitierten Test gehandelt habe, der keine wahre Wiedergabe der Erfahrungen von Millionen gelisteter Unterkünfte oder Rezensionen auf der Plattform darstelle. Da das Angebot während der zweimonatigen Präsenz nicht „live“ geschaltet war, seien bestimmte automatische Betrugsfilter nicht ausgelöst worden, um das geschlossene Inserat komplett zu entfernen. Menschen konnten die Unterkunft lediglich in einem 20-minütigen Zeitfenster sehen und anfragen, das Which? eigens für den Test geöffnet hatte. Ein Sprecher betonte ergänzend, dass eine Reihe von Kontroll- und Verifizierungsmaßnahmen sowie Technologien wie künstliche Intelligenz dabei helfen, die Mehrheit betrügerischer Inserate innerhalb von 24 Stunden zu erkennen und zu entfernen.”
Hintergrund der Identitätsprüfungen und anhaltende Unklarheiten
Hinter den Kulissen zeigt sich, dass Plattformen wie Booking.com erst durch Gesetze aus dem Jahr 2024 zu strengeren Identitätsprüfungen bewegt wurden. Die Vorschriften namens „The Platform Operators (Due Diligence and Reporting Requirements) Regulations“ wurden dabei primär eingeführt, um sicherzustellen, dass Vermieter von Ferienunterkünften ihre Steuern entrichten, während das Erschweren des Lebens für Betrüger lediglich ein glücklicher Nebeneffekt sein sollte. In der Praxis dauerte es jedoch volle 18 Monate, bis die Plattform einen Ausweis und eine gültige National Insurance Number forderte, und nach den eigenen Regeln des Unternehmens musste der Editor seine ID erst drei Monate nach der Schaltung vorlegen.”
August, ehe die Buchung storniert und eine E-Mail über eine Rückerstattung verschickt wurde, nachdem Which? das Unternehmen auf den Betrug hingewiesen hatte. Ob die Zahlung in voller Höhe zurückgezahlt wird oder ob Booking.com eine Gebühr oder Provision einbehält, blieb in der Nachricht unklar. Damit hat das Unternehmen das Geld über zwei Monate lang behalten und vermutlich Zinsen darauf erzielt, sodass ein Teil des milliardenschweren Umsatzes in diesem Jahr von einer fingierten einwöchigen Buchung im Haus des Premierministers stammt.
Weiterlesen
