BSI warnt zur Reisesaison 2026: Cyberkriminelle nutzen Urlaubsgewohnheiten gezielt aus

Sommer, Vorfreude, der Koffer steht halb gepackt im Flur, und nebenbei läuft die Buchungsbestätigung fürs Hotel auf dem Smartphone ein. ✈ Genau dieser Mix aus Online-Buchung, mobiler Gerätenutzung und einer gewissen Reise-Euphorie ist es, der Cyberkriminelle in dieser Jahreszeit besonders aktiv werden lässt.

Daher richtet sich das Bundesamt für Sicherheit in der Informationstechnik (BSI) deshalb an Verbraucherinnen und Verbraucher. Drei Angriffsvektoren stehen im Mittelpunkt der Warnung:

• gefälschte Buchungsbestätigungen
• manipulierte Links
• unsichere Netzwerke.
  
  Über diese Wege versuchen Angreifer, Zugangsdaten abzugreifen, Schadsoftware zu verbreiten und sensible Daten auszuspähen.

Der Hebel ist banal: Wer ohnehin viele Buchungsmails, Zahlungsaufforderungen und Reise-Updates erwartet, klickt schneller, prüft weniger genau und nutzt unterwegs Netze, die er zu Hause nie ansteuern würde. Genau das macht typische Urlaubsroutinen am Smartphone, Tablet oder Laptop zur Schwachstelle, die das BSI in dieser Saison adressiert. Weitere Hintergründe zu Entwicklungen rund um den Flugverkehr gibt es übrigens in der Kategorie Allg. News zu Airlines, Flugverkehr und mehr.

Vor dem Abflug: Was du jetzt an Geräten, Konten und Heimnetzwerk absichern solltest

Die wichtigste Erkenntnis aus den BSI-Empfehlungen: Reisesicherheit beginnt nicht am Gate, sondern auf dem heimischen Sofa. Wer ein paar Tage vor Abreise eine halbe Stunde in seine Konten, Geräte und das Heimnetzwerk investiert, spart sich später viel Ärger.

Im Zentrum stehen die Benutzerkonten, die unterwegs am häufigsten gebraucht werden: das E-Mail-Postfach als digitaler Generalschlüssel, Buchungsportale und Bezahldienste. Das BSI empfiehlt für all diese Konten ein starkes Passwort in Kombination mit Zwei-Faktor-Authentisierung (2FA), bei der zusätzlich zum Passwort ein zweiter Bestätigungsfaktor abgefragt wird, etwa per App oder SMS, oder den Umstieg auf Passkeys.

Passwörter gehören in einen Passwort-Manager, nicht auf Notizzettel im Kulturbeutel. Und das Heimnetz? Während deiner Abwesenheit am besten WLAN ausschalten oder den Router komplett deaktivieren, das ist laut BSI der beste Schutz gegen Eindringlinge.

Wer ein Smart Home betreibt, sollte den Abwesenheitsmodus aktivieren: Wenn Licht mehrmals täglich automatisch ein- und ausgeht und die Jalousien tagsüber öffnen, wirkt das Haus bewohnt. Und zum Schluss ein Blick in die Privatsphäreeinstellungen der sozialen Netzwerke, damit nicht halb Deutschland mitbekommt, dass dein Wohnzimmer gerade zwei Wochen leer steht. 🅿

• E-Mail-Konto, Buchungsportale und Bezahldienste mit starkem Passwort plus 2FA oder Passkey absichern
• Reisepass, Flugticket und Impfpass verschlüsselt auf USB-Stick oder in der Cloud hinterlegen
• Passwort-Manager einrichten, keine Passwörter auf Notizzetteln mitführen
• Heim-WLAN ausschalten oder Router komplett deaktivieren
• Smart-Home-Abwesenheitsmodus aktivieren (Licht- und Jalousiesteuerung)
• Privatsphäreeinstellungen in sozialen Netzwerken prüfen und einschränken
• Bildschirmsperre auf allen mitgenommenen Geräten aktivieren
• Nur die IT-Geräte einpacken, die wirklich unverzichtbar sind

Wer am Vorabend ohnehin im Hotel mit Parken am Flughafen übernachtet, hast du genau hier den idealen Moment für den letzten Sicherheits-Check: Anreise am Vorabend, entspannt zu Abend essen, normal schlafen, und parallel noch einmal in Ruhe prüfen, ob 2FA aktiv ist und das Heim-WLAN aus. Am nächsten Morgen geht es ohne Stau-Stress, ohne frühes Aufstehen und ohne digitale Restbaustellen in den Flug.

Unterwegs sicher bleiben: WLAN-Fallen, USB-Ladestellen und öffentliche Computer

Sobald du unterwegs bist, verschiebt sich die Risikolandschaft. Das BSI markiert drei Szenarien, die im Reisealltag immer wieder unterschätzt werden, weil sie so harmlos aussehen.

Erstens: das offene WLAN mit dem vertrauenserweckenden Namen. Angreifer richten gezielt Hotspots ein, deren SSID nach Flughafen, Hotel oder Café klingt, ein klassisches Beispiel ist ein Netz mit einem Namen wie „Flughafen-WLAN”. Wer sich dort einklinkt, hängt mit allen Datenströmen am Angreifer-Router. Das BSI empfiehlt, solche Netze ohne oder mit auffällig kurzem Passwort gar nicht erst zu nutzen, und in öffentlichen Netzen grundsätzlich ein VPN (Virtual Private Network, eine verschlüsselte Tunnelverbindung) einzusetzen.

Zweitens: die öffentliche USB-Ladestelle und das hilfsbereit ausgeliehene Fremdkabel. Beim sogenannten Juice Jacking wird über den USB-Anschluss nicht nur Strom übertragen, sondern auch Daten oder Schadsoftware. Die einfache Gegenmaßnahme: eigenes Netzteil und eigenes Kabel mitnehmen und ausschließlich diese verwenden.

Drittens: der öffentliche Computer im Hotel oder im Internetcafé. Du weißt nicht, wie aktuell dort Virenschutz und Firewall sind, und externe Speichermedien können sich beim Anstecken infizieren. Online-Banking, Online-Shopping und die Eingabe sensibler Daten gehören laut BSI nicht an solche Geräte. Wer sie nutzt, sollte zumindest den Browserverlauf und Zwischenspeicher konsequent löschen.

Risikoszenario	Beschreibung laut BSI	Empfohlene Gegenmaßnahme
Gefälschtes WLAN	Angreifer erstellen Hotspots mit Namen wie „Flughafen-WLAN”	VPN nutzen; Hotspots ohne oder mit kurzem Passwort meiden
Öffentliche USB-Ladestelle / fremdes Kabel	Datentransfer beim Ladevorgang möglich (Juice Jacking)	Nur eigene Netzteile und Ladekabel verwenden
Öffentlicher Computer (Internetcafé, Hotel-Lobby)	Virenschutz-Status unbekannt; USB-Sticks können infiziert werden	Kein Online-Banking, keine sensiblen Daten, Browserverlauf löschen

Drei Szenarien, drei einfache Reflexe: VPN an, eigenes Kabel rein, kein Banking am Fremdrechner. Ergänzend lohnt es sich, Bluetooth, NFC und WLAN am Smartphone nur dann zu aktivieren, wenn du sie wirklich brauchst, Datei- und Verzeichnisfreigaben für Netzwerke zu deaktivieren und im Online-Banking ein tägliches Überweisungslimit zu setzen. Wer mit dem eigenen Auto zum Flughafen fährt, findet unter Parken am Flughafen Optionen für die mehrtägige Standzeit — inklusive Shuttle, damit du entspannt und ohne Gepäckstress ans Terminal kommst.

EU-Roaming 2026: Gleiche Preise, gleiche Bedingungen, aber mit wichtigen Ausnahmen

Wer innerhalb Europas reist, ist seit Jahren an das Prinzip Roam-like-at-home gewöhnt. Mit der Neufassung der EU-Roaming-Verordnung, die am 1. Juli 2022 in Kraft getreten ist und die Vorgängerregelung von 2017 ablöste, hat sich aber im Detail einiges verändert, was Reisende kennen sollten.

Telefonieren, SMS und mobiles Internet kosten in allen EU-Mitgliedstaaten sowie in Liechtenstein, Norwegen und Island so viel wie zu Hause. Neu ist: Es gelten nicht nur die gleichen Preise, sondern auch die gleichen Bedingungen. Wer in Deutschland einen 5G-Tarif hat, kann 5G zum gleichen Preis auch im EU-Ausland nutzen, sofern es dort verfügbar ist. Einen Anspruch auf eine bessere Technologie als zu Hause begründet die Regelung allerdings nicht.

Zwei Schutzmechanismen sind seit 2022 zusätzlich verpflichtend. Erstens müssen Roaming-Anbieter ihre Kundinnen und Kunden bei der Einreise in einen anderen Mitgliedstaat aktiv vor Mehrkostenrisiken warnen, etwa bei Mehrwertdiensten wie 0180-Nummern, über die Hotlines für Flugumbuchungen oder Mietwagen oft laufen. Zweitens kommt bei Grenzübertritt eine SMS mit Hinweisen zu alternativen Notrufen, zum Beispiel für Gehörlose, sowie ein Link zu einer Notruf-App.

Vorsicht trotzdem bei Reisen außerhalb der EU: Dort können erheblich höhere Kosten entstehen, der konkrete Tarif gehört vor Abreise auf den Tisch. Zusatzkosten lauern außerdem bei der Mobilfunknutzung auf Schiffen und in Flugzeugen sowie bei WLAN-Calls. Für Länder mit eigenwilligen Tarifstrukturen kann eine eSIM oder eine lokale Prepaid-Karte die einfachere und sicherere Lösung sein.

Situation	Kostenstatus	Hinweis
Telefonieren und Surfen in EU plus Liechtenstein, Norwegen, Island	Inlandspreise (Roam-like-at-home)	Gilt seit 1. Juli 2022; auch 5G, wenn vor Ort verfügbar
Anruf auf Mehrwertdienste (z.B. 0180-Nummern)	Aufschläge möglich	Anbieter muss vorab warnen
Mobilfunk auf Schiffen oder in Flugzeugen	Zusatzkosten möglich	Separate Tarife beachten
WLAN-Calls im Ausland	Zusatzkosten möglich	Je nach Anbieter und Tarif prüfen
Telefonieren und Surfen außerhalb der EU	Deutlich höhere Kosten	Tarif vorab beim Anbieter prüfen; Prepaid-Karte oder eSIM erwägen

Kurz gesagt: In Europa kannst du dein Datenpaket grundsätzlich entspannt nutzen, solltest aber bei Service-Hotlines, Bord-Mobilfunk und Fernzielen außerhalb der EU einen Moment innehalten. Wer aus Deutschland in ein EU-Land telefoniert, ohne selbst zu reisen, profitiert übrigens von regulierten Preisobergrenzen für Auslandsverbindungen.
Im Urlaub sind allerdings sind die heimischen Datenpakete oft nicht die günstigsten, und im Nachbuchen von Datenkontingenten lauern Tücken. Auch die Konnektivität ist oft gegenüber nationalen Carriern im Nachteil, und Google-Maps & Co. nuckeln ordentlich am Datenvolumen! Daher empfieht sich z.B. eine eSim für Spanien. Aber Achtung: Das schützt vor der dort aktuellen Betrugsmasche QRishing nicht! Ein Test von Saily findet ihr übrigens bei Youtube.

Buchungen und Kommunikation: So erkennst du Phishing und Betrug im Reisekontext

Phishing, also betrügerische Nachrichten, die echte Absender imitieren, funktioniert im Reisekontext besonders gut. Du wartest ohnehin auf Buchungsbestätigungen, Zahlungslinks, Boarding-Updates, eine angebliche Mail des Hotels fügt sich nahtlos ins Bild. Genau diese Erwartungshaltung machen sich Angreifer zunutze.

Die BSI-Empfehlung ist deshalb so klar wie unbequem: Reiseunterlagen immer direkt über den Anbieter abrufen, bei dem du gebucht hast, also über die App oder die Website des Portals, der Airline oder des Hotels, statt über Links in Mails oder Messengern. Nimmt der Anbieter auf einem ungewohnten Weg Kontakt zu dir auf, ist das ein Warnsignal. Links und Anhänge in solchen Nachrichten bleiben dann besser zu.

Beim Aufruf sensibler Seiten gilt: Adresse manuell eingeben oder ein verifiziertes Lesezeichen nutzen. Online-Kriminelle betreiben gerne Klone unter URLs, die sich nur durch einen typischen Tippfehler oder einen zusätzlichen Bindestrich vom Original unterscheiden. Achte zusätzlich auf eine verschlüsselte Verbindung, erkennbar am https:// am Anfang der Adresse.

Ergänzender Hebel: zurückhaltend kommunizieren. Automatische Abwesenheitsnotizen liefern nicht nur Kollegen, sondern im Zweifel auch Betrügern wertvolle Informationen. Urlaubsfotos und Standortangaben in sozialen Netzwerken? Schöner Schnappschuss, aber bitte erst nach der Rückkehr posten. Wer öffentlich macht, dass die Wohnung gerade leer steht, erhöht das Einbruchsrisiko unnötig.

Nach der Rückkehr: Voller Posteingang, leere Nerven, so gehst du mit Post-Urlaubs-Phishing um

Die letzte Phase der digitalen Reisesicherheit unterschätzen viele: die Rückkehr. Der Posteingang quillt über, dazwischen tauchen plötzlich Mahnungen auf, die mit Kontosperrungen, Inkasso oder Ermittlungen drohen und sofortiges Handeln verlangen. Genau diese künstliche Eile ist das Erkennungsmerkmal.

Das BSI rät: Ruhe bewahren, jede E-Mail aufmerksam einzeln durchgehen, alles Verdächtige löschen, ohne Links oder Anhänge zu öffnen. Lass dich von der vorgegaukelten Dringlichkeit nicht zu schnellen Klicks treiben. Hilfreich ist die BSI-Methode „Drei Sekunden für mehr E-Mail-Sicherheit”, die genau diesen kurzen Moment des Innehaltens trainiert.

Konkret heißt das: Absender prüfen, Betreff prüfen, Anhang prüfen. Wirkt eines davon ungewöhnlich, gehört die Mail nicht in den Klickreflex, sondern in den Papierkorb oder, bei echtem Verdacht, in eine separate Prüfung über die offiziellen Kanäle des angeblichen Absenders.

Digitale Reisesicherheit beginnt zu Hause, und endet nicht am Flughafen

Die BSI-Empfehlungen zeigen sehr deutlich: Cybersicherheit im Urlaub ist keine Frage der Technikaffinität, sondern der Routinen. Wer Konten vor Abreise mit 2FA oder Passkeys absichert, öffentliche WLANs und USB-Ladestellen mit gesundem Misstrauen behandelt, die EU-Roaming-Ausnahmen kennt und nach der Rückkehr den Posteingang mit kühlem Kopf durchgeht, reduziert das Risiko deutlich, ohne sich den Urlaub schwer zu machen. Wer tiefer einsteigen will, findet auf der Webseite des BSI weitere Handlungsempfehlungen für jede Reisephase.