Beschwerden über Bettwanzen erfordern in Hotels eine schnelle Reaktion. Zimmer müssen kontrolliert, Housekeeping und gegebenenfalls Schädlingsbekämpfer informiert und die Angaben des Gastes geprüft werden. Genau diesen Handlungsdruck nutzen Cyberkriminelle aus.
Der Hotelverband Deutschland warnt seit dem 17. Juli 2026 vor Phishing-Mails, in denen angebliche Gäste einen Bettwanzenbefall melden und Schadensersatz verlangen. In einem dokumentierten Fall erhielt das Hotel eines IHA-Vorstandsmitglieds in Hamburg eine Nachricht mit dem Betreff „Bettwanzenbefall – Fristsetzung zur Schadensregulierung".
Die angeblich betroffene Person forderte die Erstattung von Kosten für eine medizinische Behandlung und die Reinigung ihrer Kleidung. Die Nachricht verwies zugleich auf vermeintliche Beweisfotos, drohte mit rechtlichen Schritten und setzte dem Hotel eine kurze Frist.
Nach Angaben des Verbands wirkte die Beschwerde professionell und plausibel. Im Hotel wurden deshalb zunächst interne Abläufe und das vermeintlich betroffene Zimmer überprüft. Erst dabei fiel auf, dass die genannte Zimmernummer 721 in dem Betrieb überhaupt nicht existierte. Damit war klar, dass es sich nicht um eine echte Gästebeschwerde handelte.
Beschwerden erzeugen besonderen Handlungsdruck
Die Masche ist für Hotels besonders gefährlich, weil sie einen realistischen Betriebsablauf nachahmt. Vorwürfe zu Hygiene, Schädlingsbefall oder gesundheitlichen Schäden können den Ruf eines Hauses beeinträchtigen und rechtliche Forderungen nach sich ziehen. Beschäftigte an Rezeption, Reservierung oder Direktion stehen deshalb unter dem Druck, den Sachverhalt möglichst schnell aufzuklären.
Die Betrüger verbinden mehrere psychologische Mittel: einen schwerwiegenden Vorwurf, eine kurze Reaktionsfrist, die Androhung rechtlicher Schritte und vermeintliche Belege. Links, externe Bilder oder Anhänge erscheinen dadurch als notwendige Informationen zur Prüfung der Beschwerde. Genau dort kann die technische Gefahr liegen.
Die IHA geht davon aus, dass solche Nachrichten darauf abzielen, Empfänger zum Öffnen von Anhängen oder zum Anklicken von Links zu bewegen. Welche Schadsoftware oder welches konkrete Angriffsziel hinter der aktuellen Nachricht stand, geht aus der Warnung allerdings nicht hervor. Es ist daher nicht belegt, dass es in dem Hamburger Fall tatsächlich zu einer Infektion oder einem Datenabfluss kam.
Bettwanzen-Masche ist nicht neu
Die aktuelle Warnung beschreibt keinen vollkommen neuen Betrugsansatz. Bereits im November 2023 berichtete das Schweizer Nationale Zentrum für Cybersicherheit über vergleichbare E-Mails an Hotels. Darin behaupteten vermeintliche Gäste ebenfalls, von Bettwanzen gebissen worden zu sein. Ziel war es nach Angaben der Behörde, Hotelbeschäftigte zur Installation von Schadsoftware zu verleiten.
Der aktuelle Fall zeigt jedoch, dass die Masche weiterhin eingesetzt und glaubwürdig ausgestaltet wird. Grammatikfehler, ungewöhnliche Formulierungen oder offensichtlich falsche Absender reichen deshalb nicht mehr aus, um Phishing zuverlässig zu erkennen.
Auch das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass betrügerische Nachrichten professionell formuliert und mit Informationen aus öffentlich zugänglichen Quellen oder Datenlecks personalisiert werden können.
Fünf Prüfungen vor dem Öffnen von Belegen
Hotels sollten auch dringende Beschwerden zunächst über die eigenen Systeme verifizieren.
Aufenthalt und Zimmernummer kontrollieren:
Name, Anreise, Abreise und Zimmernummer sollten mit dem Property-Management-System abgeglichen werden. Im aktuellen Fall führte bereits die nicht existierende Zimmernummer zur Entdeckung des Betrugs.
Kontaktdaten mit der Buchung vergleichen:
Die Absenderadresse sollte mit den bei der Reservierung hinterlegten Daten übereinstimmen. Abweichungen sind nicht automatisch ein Betrugsbeleg, müssen aber geklärt werden.
Belege nicht vorschnell öffnen:
Anhänge, Links, ZIP-Dateien und extern eingebundene Bilder sollten erst geöffnet oder nachgeladen werden, wenn die Nachricht zweifelsfrei zugeordnet werden kann. Das BSI empfiehlt bei verdächtigen Nachrichten, keine darin enthaltenen Links zu verwenden und die Echtheit über einen unabhängigen Kommunikationsweg zu prüfen.
Gast unabhängig kontaktieren:
Eine Rückfrage sollte über die im Buchungssystem gespeicherte Telefonnummer, die Buchungsplattform oder eine andere bekannte Verbindung erfolgen. Die in der verdächtigen E-Mail genannten Kontaktdaten sind für eine Verifizierung ungeeignet.
Verdachtsfälle intern weiterleiten:
Mitarbeitende benötigen eine klar benannte Ansprechperson für verdächtige Nachrichten. Eine zentrale Prüfung verhindert, dass dieselbe Mail von mehreren Beschäftigten geöffnet oder beantwortet wird.
Wenn bereits geklickt wurde
Wurde ein verdächtiger Link oder Anhang bereits geöffnet, sollte der Vorfall nicht verschwiegen oder lediglich die Nachricht gelöscht werden. Der betroffene Rechner sollte möglichst nicht weiter für Buchungen, Zahlungen oder den Zugriff auf Plattformkonten verwendet werden, bis die eigene IT oder ein externer Dienstleister den Vorgang geprüft hat.
Je nach Situation können außerdem Passwortänderungen, die Kontrolle aktiver Anmeldungen und eine Überprüfung der Zwei-Faktor-Authentifizierung erforderlich sein. Das gilt besonders für E-Mail-Postfächer, Buchungsplattformen, Kassensysteme und andere Anwendungen, über die Gäste- oder Zahlungsdaten erreichbar sind.
Ob zusätzlich eine Meldung an die Datenschutzaufsicht notwendig ist, hängt davon ab, ob tatsächlich personenbezogene Daten betroffen sein könnten. Eine Phishing-Mail allein löst noch nicht automatisch eine Meldepflicht aus. Entscheidend ist, ob es zu einer Verletzung des Schutzes personenbezogener Daten gekommen ist.
Echte Beschwerden weiterhin ernst nehmen
Die Warnung darf nicht dazu führen, Meldungen über Hygieneprobleme pauschal als Betrugsversuch abzutun. Auch ungewöhnlich formulierte oder nicht sofort zuordenbare Beschwerden können berechtigt sein.
Notwendig ist deshalb ein zweigleisiges Verfahren: Der Betrieb prüft den geschilderten Sachverhalt, ohne gleichzeitig ungeprüft Dateien, Links oder externe Inhalte zu öffnen.
Gerade an der Rezeption muss dieser Ablauf auch unter Zeitdruck funktionieren. Klare Zuständigkeiten, ein festgelegter Prüfweg und regelmäßige Sensibilisierung sind deshalb wirksamer als der bloße Hinweis, bei verdächtigen E-Mails vorsichtig zu sein.
