DSA-Verfahren: EU-Kommission nimmt Booking.com ins Visier

Die EU-Kommission hat gegen Booking.com ein DSA-Verfahren eröffnet. Geprüft wird, ob die Buchungsplattform genug gegen Betrug, Phishing und gefälschte Inserate unternimmt. Für Onlinehändler, die als Vermieter oder Anbieter auf dem Marktplatz aktiv sind, geht es um die Sicherheit der eigenen Konten und Kundendaten. Die Kommission bezeichnet die bisherigen Schutzmaßnahmen des Unternehmens als „absolut unzureichend“. Das Verfahren wurde am Mittwoch, 21. Oktober 2026, eröffnet, wie The Register berichtet .

Drei Prüfstränge: Fake-Inserate, Phishing, Werbung

Booking.com gilt unter dem Digital Services Act (DSA, das EU-Gesetz über digitale Dienste) als sehr große Online-Plattform mit mehr als 45 Millionen Nutzern in der EU. Das Verfahren umfasst nach Angaben der Kommission drei Bereiche. Erstens: Ob Booking.com betrügerische und nicht regelkonforme Inserate verhindert. Dabei geht es um Personen, die sich als Eigentümer einer Unterkunft ausgeben und diese zur Vermietung anbieten, obwohl sie nicht der tatsächliche Eigentümer sind.

Zweitens: Ob die Plattform ausreichend gegen Phishing, Smishing (Phishing per SMS) und Social Engineering vorgeht. Laut Kommission übernehmen Betrüger die Konten von Unterkunftsanbietern, geben sich als diese aus und tauschen die Kontaktdaten aus. Anschließend fordern sie Gäste per Nachricht zu zusätzlichen Zahlungen auf. Die Kommission vermutet zudem, dass Booking.com die Daten seiner Verbraucher und gewerblichen Nutzer nicht ausreichend schützt.

Drittens geht es um Werbetransparenz: Ob die Plattform Anzeigen klar von organischen Ergebnissen trennt und ob sie bezahlte Platzierungen kenntlich macht. Gemeint sind Inserate, bei denen Unterkunftsanbieter für ein höheres Ranking bezahlen.

500 bis 900 Prozent: Die Zahlen hinter dem Verfahren

Die Kommission beruft sich auf Angaben von Booking.com selbst. Das Unternehmen hatte im Juni 2024 gegenüber der BBC einen Anstieg von Reisebetrug um 500 bis 900 Prozent innerhalb der vorangegangenen 18 Monate eingeräumt. Diese hohen Zahlen hätten die Behörde alarmiert, sagte eine Vertreterin der Kommission.

Allein in den Niederlanden gingen in der ersten Hälfte des Jahres 2026 mehr als 1.000 Betrugsmeldungen ein. Der Schaden lag bei 82.000 Euro, ein Zehnfaches des Vorjahreswertes. Vergleichbare Berichte lägen aus nahezu allen Mitgliedstaaten vor, so die Kommission. Daraus leitet die Behörde ab, dass die Risikobewertung von Booking.com nicht ausreichend war. Die Risikobewertung ist unter dem DSA ein zentrales Instrument: Sehr große Plattformen müssen systemische Risiken ihrer Dienste jährlich analysieren und Gegenmaßnahmen ergreifen.

„Absolut unzureichend“: Was die Kommission jetzt erwartet

Die Kommission räumt ein, dass Booking.com Betrugsfälle auf der eigenen Plattform und externe Meldungen auswertet und intern Maßnahmen ergreift. Das reiche aber nicht aus. Das Unternehmen könne deutlich weiter gehen und robustere Systeme zur Betrugsprävention aufbauen, so die Behörde.

Künftig erwartet die Kommission eine sorgfältigere Risikobewertung. Konkret nennt sie den Missbrauch des Reservierungssystems, die schnelle Entfernung gemeldeter Inserate, die Prüfung von Lizenzen und Änderungen beim Onboarding von Unterkunftsanbietern, also beim Prozess, mit dem neue Anbieter auf die Plattform aufgenommen werden.

Dem Verfahren ging eine Auskunftsanfrage voraus. Im September 2025 hatte die Kommission Booking.com, Apple, Google und Microsoft unter dem DSA aufgefordert, ihre Maßnahmen gegen Finanzbetrug darzulegen. Bei Verstößen gegen den DSA kann die Kommission Geldbußen von bis zu sechs Prozent des weltweiten Jahresumsatzes verhängen.

Booking.com: „Wir kooperieren vollständig“

Booking.com erklärte gegenüber The Register, man kooperiere vollständig mit der Kommission und beantworte die Fragen unter dem DSA konstruktiv. Sicherheit, Vertrauen und der Schutz persönlicher Daten hätten bei Booking.com höchste Priorität. Das Unternehmen wolle weiterhin mit Regierungen, Regulierern, Strafverfolgungsbehörden und Partnern aus der Branche zusammenarbeiten, um Cyberkriminalität und Online-Betrug zu bekämpfen.

Eine Frist für den Abschluss des Verfahrens nannte die Kommission nicht. Der DSA sieht für förmliche Verfahren keine gesetzliche Höchstdauer vor.