Urlaub ohne Datenleck: Was unterwegs wirklich gefährlich ist und was nur Panikmache

Sabine hat Urlaub. Zwei Wochen Gardasee, Ferienwohnung über Booking, alles fix. Am Münchner Flughafen zeigt ihr Handy noch 4 Prozent. Direkt am Gate steht eine Ladesäule mit USB-Buchsen. Sabine schaut sie an wie einen Hund, der knurrt. Sie hat doch neulich in der Familiengruppe gelesen: „Ladesäulen am Flughafen hacken dein Handy!“ Also lässt sie den Akku heldenhaft sterben und steigt mit schwarzem Display in den Flieger nach Verona. Sicherheit geht vor, gell.

Am Strand von Bardolino postet sie eine Story nach der anderen: „14 Tage Sonne, die Bude daheim hat Pause!“, mit Standort. Abends ploppt in der Booking-App eine Nachricht der Ferienwohnung auf: Die Kreditkarte habe sich leider nicht verifizieren lassen, bitte innerhalb von 12 Stunden über diesen Link bestätigen, sonst werde storniert. Name stimmt, Buchungsnummer stimmt, Reisedaten stimmen. Sabine tippt ihre Kartendaten ein. Zwei Tage später kauft jemand in Singapur Elektronik für 1.400 Euro. Merkst du was? Sabine hatte Angst vor dem Gespenst und hat dem Einbrecher die Tür aufgehalten.

Genau darum geht es in diesem Survival Kit: welche Reise-Gefahren echt sind, welche du entspannt abhaken darfst und was du vor, während und nach dem Urlaub konkret tust. Ohne Aluhut, aber mit Plan.

Mythen-Check: Was du entspannter sehen darfst

Juice Jacking: Die Ladesäule, die (fast) nie beißt

Juice Jacking heißt die Idee, dass manipulierte USB-Ladebuchsen beim Laden heimlich Daten abgreifen oder Schadsoftware aufspielen. 2023 hat sogar das FBI davor gewarnt. Der Haken: Ein bestätigter Angriff in freier Wildbahn ist bis heute nicht dokumentiert. 86 Sicherheitsverantwortliche, darunter die frühere Chefin der US-Cyberbehörde CISA, haben Juice Jacking 2025 in einem offenen Brief auf die Liste der überholten Sicherheitsmythen gesetzt.

Ganz Schmarrn ist es trotzdem nicht. Forscher der TU Graz haben 2025 mit „ChoiceJacking“ gezeigt, dass ein präpariertes Ladegerät im Labor Daten von Android- und iOS-Geräten abziehen kann, allerdings nur bei entsperrtem Display. Apple hat das mit iOS 18.4 geflickt, bei Android hängt es an den Updates deines Geräts. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) rät deshalb weiterhin, öffentliche USB-Buchsen und fremde Kabel zu meiden.

Die pragmatische Mitte: eigenes Netzteil in die Steckdose oder Powerbank. Muss es doch die USB-Buchse sein, bleibt das Handy gesperrt, und fragt es „Diesem Computer vertrauen?“, tippst du auf Nein. Ganz entspannt macht ein USB-Datenblocker für ein paar Euro, der nur Strom durchlässt. Nur nicht wie Sabine mit leerem Akku losfliegen: Ein totes Handy ist im Notfall gefährlicher als jede Ladesäule.

Hotel- und Flughafen-WLAN: Vom Schreckgespenst zum Nervfaktor

Früher war offenes WLAN ein Selbstbedienungsladen. Heute laufen praktisch alle Webseiten und Apps über HTTPS, also verschlüsselt. Wer im Hotelnetz mithört, sieht im Normalfall höchstens, welche Dienste du ansteuerst, aber nicht, was du dort eintippst. Die Restrisiken sind eher Trickbetrug als Hightech:

• Fake-Hotspots mit vertrauenswürdig klingenden Namen wie „Hotel_Guest_Free“. Frag an der Rezeption nach dem exakten Netznamen.
• Zu neugierige Login-Seiten: Zimmernummer und Nachname sind normal, Kreditkartendaten fürs „kostenlose“ WLAN nicht.
• Zertifikatswarnungen im Browser nie wegklicken, sondern abbrechen.

Oft die beste Lösung: Im EU-Ausland surfst du dank „Roam like at home“ zu Inlandskonditionen. Mobile Daten sind dann bequemer und sicherer als das Hotel-WLAN. In der Schweiz oder der Türkei gilt die EU-Regel allerdings nicht, da kann Roaming richtig teuer werden.

VPN: Regenschirm, kein Schutzanzug

Ein VPN (virtuelles privates Netzwerk) baut einen verschlüsselten Tunnel von deinem Gerät zum Server des VPN-Anbieters. Das BSI empfiehlt es für öffentliche Netze, und es lohnt sich, wenn du viel in fremden WLANs unterwegs bist oder dort arbeitest. Was ein VPN nicht kann: dich vor Phishing schützen oder dein geklautes Handy sperren. Und es verlagert dein Vertrauen nur, denn statt dem Hotel schaut jetzt der VPN-Anbieter zu. Gratis-VPNs, die von deinen Daten leben, sind eher Risiko als Schutz.

Die echten Urlaubsfallen

Jetzt zu den Dingen, die wirklich Geld und Nerven kosten. Spoiler: Fast alle funktionieren über Täuschung, nicht über Technik.

Die Booking-Nachricht, die nicht vom Hotel kommt

Das ist Sabines Falle, und sie ist fies, weil sie durch den echten Kanal kommt. Die Verbraucherzentralen warnen seit Jahren: Betrüger schreiben über den Booking-Chat oder per WhatsApp, kennen Namen, Buchungsnummer und Reisezeitraum und verlangen, die Kreditkarte zu „verifizieren“, sonst drohe die Stornierung. Der Link führt auf eine täuschend echte Kopie der Booking-Seite.

Woher die echten Daten kommen? Meist von der Unterkunft selbst. Booking.com hat schon 2023 erklärt, dass Mitarbeitende von Unterkünften per Phishing ihre Zugänge verloren haben, und Microsoft hat 2025 eine Kampagne beschrieben, die Hotel-Personal mit gefälschten Booking-Mails samt Schadsoftware ködert. Ist der Hotel-Account gekapert, kommt die Nachricht technisch vom echten Absender. Nur sitzt der falsche Mensch an der Tastatur.

Deine Regeln dagegen:

• Booking.com verlangt laut Verbraucherzentrale nie Kreditkartendaten per E-Mail, Chat, SMS, WhatsApp oder Telefon.
• Bezahlt wird nur über die Zahlungsfunktion der Plattform selbst, nie über einen Link in einer Nachricht. Wenn möglich: „Zahlung in der Unterkunft“ wählen.
• Zeitdruck ist das Warnsignal schlechthin. „Innerhalb von 12 Stunden, sonst Storno“ heißt übersetzt: Bitte nicht nachdenken.
• Im Zweifel die Unterkunft anrufen, und zwar unter der Nummer von deren offizieller Website, nicht unter der aus der Nachricht.

Fake-Ferienwohnung: Traumblick mit Haken

Seeblick, Pool, Hochsaison, halb so teuer wie alles drumherum und trotzdem noch frei? Glückwunsch, du hast vermutlich ein Phantom gefunden. Typische Warnzeichen laut Europäischem Verbraucherzentrum Deutschland (EVZ): volle Vorkasse per Überweisung, gern mit „Rabatt bei Sofortzahlung“, ein Vermieter, der außerhalb der Plattform schreiben oder kassieren will, nur eine E-Mail-Adresse statt Name und Anschrift, dazu die Bitte um eine Ausweiskopie.

Was hilft: Fotos per Bilder-Rückwärtssuche prüfen. Nur über die Plattform zahlen, bevorzugt per Kreditkarte, und vorab höchstens eine kleine Anzahlung von etwa 20 Prozent. In Italien und Spanien brauchen Vermieter außerdem eine Registrierungsnummer, die sich teils in offiziellen Registern prüfen lässt.

Quishing: Wenn der QR-Code ein Aufkleber ist

Quishing ist Phishing per QR-Code. An Parkautomaten, etwa in Hannover, haben Betrüger eigene QR-Codes über die echten des Bezahldienstes EasyPark geklebt. Wer scannt, landet auf einer gefälschten Seite und tippt brav seine Kreditkartendaten ein. Dieselbe Masche ist an Ladesäulen für Elektroautos aufgetaucht.

• Hinschauen und hinfühlen: Ist der Code ein Aufkleber, schief oder über einen anderen geklebt? Finger weg.
• Die Adresse in der Vorschau lesen, bevor du sie öffnest. Tippfehler oder fremde Domains sind ein klares Nein.
• Park- oder Lade-App lieber direkt aus dem offiziellen App-Store laden. Echte EasyPark-Codes führen laut Anbieter ohnehin in die App, nicht auf ein Kartenformular.
• Will ein Aufsatz am Parkautomaten beim kontaktlosen Zahlen plötzlich deine PIN? Abbrechen. Genau solche Aufsätze wurden in Köln und Hanau entdeckt.

Mietwagen: Der Kratzer, der per Mail nachkommt

Ein echtes Ärgernis sind nachträgliche Schadensforderungen für Kratzer, die keiner gesehen hat. Das EVZ rät: bei Abholung und Rückgabe ein Video rund ums Auto drehen, Innenraum inklusive, und zu den Öffnungszeiten mit einem Mitarbeiter zurückgeben statt in die Schlüsselbox. Kommt trotzdem eine Forderung, reklamierst du schriftlich, verlangst Nachweise und prüfst bei Kreditkartenzahlung eine Rückbuchung (Chargeback). Eine „Schadensrechnung“ mit Zahlungslink bezahlst du nie direkt aus der Mail, sondern prüfst sie im Kundenkonto.

Live-Urlaubsfotos: Die Einladung an alle

Sabines Story „14 Tage weg!“ samt Standort ist für Einbrecher praktischer als ein Zettel an der Haustür. Das BSI rät, Urlaubsfotos, Standortangaben und automatische Abwesenheitsnotizen zurückhaltend zu teilen und Bilder lieber nach der Rückkehr zu posten. Der Sonnenuntergang über dem See ist nächste Woche genauso schön.

Taschendieb plus Code: der Jackpot

Teuer wird es, wenn Dieb und Code zusammenkommen. Jemand schaut dir in der Strandbar über die Schulter (Shoulder Surfing), während du den Code tippst, und greift später zu. Mit dem Code lassen sich ohne Zusatzschutz Konto-Passwörter ändern. Also: in der Öffentlichkeit Face ID oder Fingerabdruck nutzen, Code mit der Hand abschirmen.

Vor der Abreise: Dein digitaler Kofferpack

Die meiste Sicherheit packst du zu Hause ein. Plan eine halbe Stunde ein, a bissl vor dem Badehose-Suchen:

1. Backup machen. iPhone: Einstellungen > [dein Name] > iCloud > iCloud-Backup. Android: in den Einstellungen nach „Backup“ oder „Sicherung“ suchen.
2. Updates für System und Apps installieren. Daheim im WLAN, nicht erst am Gate.
3. Bildschirmsperre prüfen: mindestens sechs Ziffern, kein Geburtsdatum, kein 123456.
4. SIM-PIN aktivieren. iPhone: Einstellungen > Mobilfunk > SIM-PIN. Android: in den Einstellungen nach „SIM-Kartensperre“ suchen. Die Start-PIN steht in deinen Vertragsunterlagen. Nicht raten, sonst ist die SIM gesperrt.
5. Diebstahlschutz einschalten. iPhone: Einstellungen > Face ID & Code > Schutz für gestohlene Geräte (neuere iOS-Versionen aktivieren ihn automatisch, schau trotzdem nach). Android: Einstellungen > Google > Alle Dienste > Diebstahlschutz, dort „Diebstahl-Displaysperre“ und „Offline-Gerätesperre“ einschalten.
6. Ortung testen. iPhone: Unter Einstellungen > [dein Name] > Wo ist? muss „Mein iPhone suchen“ an sein. Dann am Laptop auf icloud.com/find einmal „Ton abspielen“. Android: dasselbe auf google.com/android/find („Mein Gerät finden“). Was daheim nicht klappt, klappt am Gardasee erst recht nicht.
7. Konten absichern: zuerst das E-Mail-Postfach, dann Buchungsportal, Bank und Apple- oder Google-Konto, jeweils mit Zwei-Faktor-Anmeldung (MFA) oder Passkeys. Passwörter gehören in einen Passwort-Manager, nicht in die Notizen-App.
8. Notfall-Liste schreiben, auf Papier und bei einer Vertrauensperson daheim: Sperr-Notruf 116 116, aus dem Ausland +49 116 116, Ausweichnummer +49 30 4050 4050. Dazu IBAN, die Hotline deines Mobilfunkanbieters und die IMEI deines Handys (die Gerätenummer, anzeigen mit *#06#).
9. Ausmisten: Nimm nur die Geräte mit, die du wirklich brauchst. Den Arbeitslaptop braucht am Strand keiner.

Unterwegs: Kleine Handgriffe, große Wirkung

Bezahlen: Karte schlägt Bündel

Ein dickes Bündel Bargeld ist das Lieblingsziel von Taschendieben: anonym und sofort weg. Karte oder Handy-Zahlung sind meist die bessere Wahl, zumal Apple Pay und Google Pay nicht deine echte Kartennummer übertragen, sondern einen Stellvertreter-Code (Token).

Außerhalb der Eurozone, etwa in der Schweiz, in Tschechien oder der Türkei, lauert die Euro-Falle: Automat oder Kartenterminal bieten an, direkt in Euro abzurechnen. Klingt bequem, war in einer Stichprobe der Stiftung Warentest aber bis zu 13,7 Prozent teurer. Wähl immer die Landeswährung. Und am Geldautomaten: lieber einen an einer Bankfiliale, PIN abdecken, bei wackeligem Kartenschlitz weitergehen.

Funk aus, wo du ihn nicht brauchst

Am Strand schickt dir selten jemand Gutes ungefragt Bilder. iPhone: Einstellungen > Allgemein > AirDrop > „Nur Kontakte“ oder „Empfang aus“. Android: die Quick-Share-Sichtbarkeit in den Schnelleinstellungen auf „Nur Kontakte“ stellen. Bluetooth, NFC und WLAN schaltest du laut BSI am besten nur ein, wenn du sie gerade brauchst. Und den Gäste-PC in der Lobby nutzt du zum Bordkarte-Drucken, nicht fürs Online-Banking.

Wenn doch was passiert: der Notfallplan

Handy weg

1. Von einem anderen Gerät auf icloud.com/find (iPhone) oder google.com/android/find (Android) einloggen und das Gerät „Als verloren markieren“. Das sperrt es.
2. Das Gerät nicht aus „Wo ist?“ bzw. deinem Konto entfernen, sonst fällt die Aktivierungssperre weg. Fernlöschen erst, wenn keine Hoffnung mehr besteht.
3. SIM-Karte über deinen Anbieter oder den Sperr-Notruf 116 116 sperren lassen.
4. Anzeige bei der Polizei vor Ort erstatten, mit IMEI. Das Protokoll braucht auch die Versicherung.
5. Passwörter von Mail, Banking und Messengern ändern und das Gerät dort abmelden.
6. SMS à la „Ihr iPhone wurde gefunden“ ignorieren. Das ist Phishing, das an deine Apple-ID will. Apple meldet sich nach eigenen Angaben nie per SMS oder E-Mail wegen eines gefundenen Geräts.

Karte weg oder komische Abbuchung

Sofort sperren: Sperr-Notruf 116 116, aus dem Ausland +49 116 116, notfalls +49 30 4050 4050, IBAN bereithalten. Viele Banking-Apps können das auch per Knopfdruck. Dann die Bank kontaktieren, denn unberechtigte Abbuchungen lassen sich oft zurückholen, und Anzeige erstatten. Zurück in Deutschland geht das bei Online-Betrug auch über die Onlinewache der Polizei deines Bundeslands.

Daten eingegeben

Kartendaten auf einer falschen Seite eingetippt? Bank anrufen, Karte sperren, Anzeige erstatten, so rät es die Verbraucherzentrale. Dann die Plattform informieren, damit sie den gekaperten Hotel-Account stoppt. Bei Ärger mit Anbietern im EU-Ausland hilft das EVZ Deutschland kostenlos.

Checkliste zum Abhaken

• Backup und Updates erledigt
• Bildschirmsperre mit mindestens sechs Ziffern, SIM-PIN aktiv
• Diebstahlschutz an, Ortung getestet
• MFA auf Mail, Buchungsportal, Bank und Apple- oder Google-Konto
• Notfall-Liste auf Papier: 116 116, +49 116 116, IMEI, Bank-Hotline
• Eigenes Netzteil und Powerbank im Handgepäck
• Unterkunft nur in der App bezahlen, nie über Links in Nachrichten
• Außerhalb der Eurozone: immer Landeswährung
• Urlaubsfotos erst nach der Rückkehr posten

Fazit: Angst vor dem Richtigen

Sabine hat ihre 1.400 Euro übrigens zurückbekommen, weil sie die Abbuchung sofort bei ihrer Bank gemeldet hat. Die Ladesäule hätte ihr nichts getan, die Nachricht in der App schon. Beim nächsten Urlaub lädt sie am Gate mit eigenem Netzteil, postet die Strandfotos erst daheim und ruft bei komischen Hotel-Nachrichten einfach an. Urlaubsreif ist sie trotzdem.

Dein Urlaub braucht keinen Aluhut, sondern eine halbe Stunde Vorbereitung und ein gesundes Misstrauen gegenüber allem, was dir Zeitdruck macht. Also: Koffer packen, Notfall-Liste einstecken, und bevor du losfährst: Mach MFA an. Think purple.