Datenleck bei TCS Camping: So erkennst du WhatsApp-Betrug mit echten Buchungsdaten

Verbraucherschutz · Datenleck · Stand 27. Oktober 2026

Datenleck bei TCS Camping: So erkennst du WhatsApp-Betrug mit echten Buchungsdaten

Nach einem Cyberangriff auf die Reservierungssoftware von TCS Camping schreiben Betrüger Gäste mit korrekten Buchungsdaten an – per WhatsApp und E-Mail. Hier steht, was bekannt ist, welche Daten betroffen sind, wie du eine falsche Zahlungsaufforderung erkennst und was du tun musst, wenn du schon geklickt oder bezahlt hast.

• Rund 15.000 Gäste hat TCS vorsorglich gewarnt
• Laut TCS keine Kreditkartendaten, keine IBAN und keine Mitgliederdaten betroffen
• TCS Camping verschickt keine Zahlungslinks per WhatsApp

Nachricht prüfen Schon geklickt? Sofort-Hilfe

Wer bei TCS Camping gebucht hat und jetzt per WhatsApp oder E-Mail aufgefordert wird, eine Reservierung über einen Link zu bestätigen oder zu bezahlen, sollte nicht reagieren. Der externe Anbieter der Reservierungssoftware des Touring Club Schweiz (TCS) ist Opfer eines Cyberangriffs geworden. Der Anbieter vermutet laut TCS, dass dabei Buchungsdaten entwendet wurden. Betrüger nutzen diese Daten inzwischen nachweislich: In den Nachrichten tauchen Name, Telefonnummer, Campingplatz, Reservierungsnummer, Stellplatzart sowie An- und Abreisedatum auf. TCS hat nach Medienberichten rund 15.000 Kundinnen und Kunden vorsorglich informiert.

Das Gefährliche an dieser Masche: Weil alle Angaben stimmen, wirkt die Nachricht echt. Dieser Ratgeber erklärt, was über den Vorfall bekannt ist und was nicht, warum echte Daten kein Beweis für eine echte Nachricht sind, wie du eine Zahlungsaufforderung sicher prüfst und welche Schritte nach einem Klick oder einer Zahlung wichtig sind. Außerdem geht es um deine Rechte nach Schweizer Datenschutzgesetz und – für Gäste aus Deutschland – nach der DSGVO.

Stand: 27. Oktober 2026, 15:30 Uhr. Datenbasis: Sicherheitshinweis von TCS Camping (veröffentlicht 23.10., aktualisiert 26.10.2026), Berichte von SRF, Blick, Watson/Keystone-SDA, Inside IT und Swisscybersecurity sowie Empfehlungen von BACS, Verbraucherzentrale und Europäischem Verbraucherzentrum. Nicht öffentlich bestätigt sind unter anderem die genaue Angriffsursache, der Zeitpunkt des Datenabflusses, Meldungen an Behörden und konkrete Schadensfälle. Wir aktualisieren den Beitrag, sobald TCS oder der Softwareanbieter neue Angaben machen.

TCS-Camping-Datenleck: Das Wichtigste in 20 Sekunden

Was ist bei TCS Camping passiert?

Angegriffen wurde nicht der TCS selbst, sondern ein externer Dienstleister: der Anbieter der Software, über die TCS Camping seine Reservierungen abwickelt. So steht es im Sicherheitshinweis von TCS Camping, der am 23. Oktober 2026 erschien und am 26. Oktober aktualisiert wurde. Der Anbieter vermute, dass Buchungsdaten entwendet wurden. Die Sicherheitslücke sei inzwischen geschlossen, Buchungen seien wieder möglich. TCS warnt ausdrücklich vor Phishing-Versuchen mit bereits entwendeten Daten und kündigt an, die Seite bei neuen Erkenntnissen zu aktualisieren.

Den Namen des Softwareanbieters nennt TCS nicht. Laut Medienberichten von SRF, Blick und Watson handelt es sich um das Reservierungssystem Camping.care – einen Anbieter für Campingplätze aus den Niederlanden. Nach Darstellung von Blick wickelt es die Reservierungen aller TCS-Campingplätze ab. Eine eigene Stellungnahme von Camping.care konnten wir nicht einsehen. Der TCS betreibt laut eigener Website rund 25 Campingplätze in der Schweiz; eine Medienmitteilung vom Oktober nennt 32 Plätze – vermutlich wegen unterschiedlicher Zählweise, geklärt ist das nicht.

Öffentlich wurde der Fall vor allem durch einen Beitrag von SRF „Espresso“ am 26. Oktober. TCS-Mediensprecher Marco Wölfli sagte dort: „Sensible Daten wie Kontoangaben und IBAN waren nicht betroffen.“ Gegenüber der Nachrichtenagentur Keystone-SDA bestätigte der TCS den Vorfall, wie Watson berichtet. Im Kundenschreiben heißt es demnach, TCS Camping versende keine automatisierten Buchungsdetails, Links oder Zahlungsaufforderungen per WhatsApp.

Zeitleiste: vom PHP-Leak bis zur Warnung an 15.000 Gäste

Zwischen dem Bekanntwerden einer kritischen PHP-Sicherheitslücke und der TCS-Warnung lagen nur wenige Tage. Ob beide Ereignisse tatsächlich zusammenhängen, ist allerdings nicht abschließend bestätigt. Die Zeitleiste trennt deshalb zwischen dem, was TCS selbst mitteilt, und dem, was Medien berichten.

1. 17.10.2026Erste Angriffe auf PHP-LückenLaut Sicherheitsanbieter SOCRadar werden erste Ausnutzungsversuche der später „PHP2Shell“ genannten Lücken beobachtet.
2. 20./21.10.2026Details geleakt, Patches veröffentlichtDie Lücken werden vorzeitig bekannt, PHP liefert Updates. Das Schweizer BACS rät zum sofortigen Einspielen.
3. 23.10.2026TCS-SicherheitshinweisTCS Camping informiert über den Angriff auf den Softwareanbieter und warnt vor Phishing per WhatsApp und E-Mail.
4. 26.10.2026Aktualisierung und SRF-BerichtTCS aktualisiert den Hinweis, SRF „Espresso“ berichtet, TCS bestätigt den Vorfall gegenüber Keystone-SDA.
5. 27.10.2026Weitere BerichteRadiobeitrag bei SRF, Folgeberichte bei Inside IT, Swisscybersecurity und Radio BeO. Ein weiterer Campingplatz warnt ebenfalls.

Einordnung: Wann genau die Angreifer auf die Daten zugriffen, ist nicht öffentlich. Die zeitliche Nähe zur PHP-Lücke ist auffällig, aber kein Beweis für einen Zusammenhang. Für dich als Gast spielt der Angriffsweg ohnehin eine untergeordnete Rolle: Entscheidend ist, dass die Daten bereits im Umlauf sind und für Betrugsversuche genutzt werden – auch wenn die Lücke selbst geschlossen ist.

Welche Daten betroffen sind – und welche nicht

Laut TCS nutzen die Betrüger Name, Telefonnummer, Campingplatz, Reservierungsnummer, Art der Unterkunft beziehungsweise des Stellplatzes sowie An- und Abreisedatum. Das sind genau die Informationen, die eine Nachricht glaubwürdig machen. Kreditkartendaten speichert die Reservierungssoftware nach Angaben von TCS nicht; hinterlegt sind nur Informationen zu erfolgten Zahlungen, etwa ob eine Anzahlung geleistet wurde.

Unsere Einschätzung: Dass keine Kartendaten abgeflossen sind, ist eine gute Nachricht – schützt dich aber nicht. Das Ziel der Betrüger ist es gerade, an diese Daten zu kommen, indem du sie selbst auf einer gefälschten Seite eingibst. Kritisch ist zudem der Zahlungsstatus: Wer weiß, ob eine Anzahlung offen oder bezahlt ist, kann eine angebliche „Restzahlung“ oder eine „fehlgeschlagene Anzahlung“ sehr glaubwürdig vortäuschen. Das ist eine Risikoabschätzung; ein solcher Fall ist bislang nicht dokumentiert.

Wer betroffen ist – auch Gäste aus Deutschland?

Nach aktuellem Stand sind laut TCS wahrscheinlich nur Gäste betroffen, die sich zum Zeitpunkt des Vorfalls auf einem TCS-Campingplatz aufhielten oder eine künftige Reservierung haben. Rund 15.000 von ihnen hat TCS nach Angaben von SRF und Blick vorsorglich angeschrieben. Wie viele Datensätze tatsächlich abgeflossen sind, ist nicht bekannt. Die 15.000 sind deshalb keine Zahl gestohlener Datensätze, sondern die Zahl der Gewarnten.

Für Leserinnen und Leser in Deutschland ist das Thema relevant: Laut einer TCS-Medienmitteilung zur Campingsaison 2026 kamen 63 Prozent der Gäste aus der Schweiz, gefolgt von Deutschland, den Niederlanden und Frankreich. Ableitung: Dass auch deutsche Gäste unter den Gewarnten sind, ist damit sehr wahrscheinlich – eine eigene Zahl dazu hat TCS aber nicht veröffentlicht.

Offen ist auch, ob andere Campingplätze betroffen sind, die dieselbe Software nutzen. Swisscybersecurity berichtet, dass auch der Campingplatz Hüttenberg in Eschenz (Thurgau) vor WhatsApp-Betrug mit echten Buchungsinformationen warnt. Ob er ebenfalls Camping.care einsetzt, geht aus dem Bericht nicht hervor. Wer in diesem Jahr auf einem anderen Platz in der Schweiz, in Deutschland oder den Niederlanden gebucht hat, sollte die Prüfregeln aus diesem Beitrag deshalb ebenfalls anwenden.

Ursache: War es die PHP-Sicherheitslücke?

Mehrere Medien bringen den Angriff mit einer weltweiten Sicherheitslücke in der Programmiersprache PHP in Verbindung – bestätigt ist dieser Zusammenhang nicht. SRF schreibt von einem Zusammenhang mit der PHP-Lücke, Blick berichtet zusätzlich, der Zugriff sei „ohne Passwort“ möglich gewesen. Swisscybersecurity weist dagegen darauf hin, dass sich der PHP-Bezug auf die SRF-Berichterstattung stütze, Camping.care die Ursache noch untersuche und laut dem Campingplatz Hüttenberg unklar sei, ob tatsächlich die PHP-Lücke ausgenutzt wurde. TCS selbst nennt keine Ursache.

Zum technischen Hintergrund: Unter dem Namen „PHP2Shell“ wurden im Oktober zwei kritische Schwachstellen bekannt (CVE-2026-109618 und CVE-2026-109619), die sich laut Sicherheitsanbieter SOCRadar ohne Anmeldung ausnutzen lassen. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Was das für Webseitenbetreiber bedeutet, haben wir im Beitrag zur BSI-Warnung zu PHP2Shell zusammengefasst. Eine weitere kritische Lücke mit ähnlichem Muster betraf kurz darauf Node.js – siehe Node2Shell und die Brotli-Lücke.

Einordnung: Der Fall zeigt ein typisches Lieferkettenproblem. Gäste buchen bei TCS, die Daten liegen aber bei einem spezialisierten Softwareanbieter, der viele Campingplätze bedient. Wird dieser Anbieter kompromittiert, sind auf einen Schlag Kunden mehrerer Betreiber betroffen – ohne dass der Betreiber selbst angegriffen wurde.

Ähnliche Fälle seit 2023: das Muster hinter der Masche

Betrug mit echten Buchungsdaten ist nicht neu – 2026 traf er aber auffallend oft Camping- und Hotelsoftware. Das Schema ist immer ähnlich: Statt einzelne Reisende anzugreifen, kompromittieren Täter das Buchungssystem oder ein Hotelkonto und schreiben dann die Gäste mit korrekten Angaben an. Die folgende Übersicht stützt sich auf die jeweils genannten Berichte.

Größere Datenvorfälle des Jahres haben wir in unserer Übersicht zu Cyberangriffen 2026 eingeordnet. Die psychologischen Hebel – Zeitdruck, Drohung, scheinbar offizieller Absender – kennst du vielleicht auch von gefälschten Zahlungsaufforderungen wie dem Rundfunkbeitrag-Betrug oder der PayPal-Mail mit 24-Stunden-Frist.

So läuft die Masche mit den echten Buchungsdaten

Laut TCS beziehen sich die Nachrichten auf eine bestehende Reservierung und fordern dazu auf, Angaben über einen Link zu bestätigen oder eine Zahlung zu leisten. Sie kommen per WhatsApp, laut TCS-Hinweis zusätzlich per E-Mail. Den genauen Wortlaut, die Sprache, die Absendernummern und die geforderten Beträge hat weder TCS noch ein Medium veröffentlicht. Deshalb zeigen wir hier keinen erfundenen Nachrichtentext, sondern den typischen Ablauf, wie ihn Behörden und Verbraucherschützer aus vergleichbaren Fällen beschreiben.

Aus vergleichbaren Fällen sind mehrere Varianten bekannt. Das Bundesamt für Cybersicherheit (BACS) beschrieb im Juni 2026 laut Netzwoche etwa eine Stornodrohung und einen Rückerstattungstrick, bei dem Opfer über eine gefälschte Twint-Seite auf eine Bank-Phishing-Seite geleitet wurden. Beim Hotel in Lenzerheide lockten die Täter mit einem Guthaben. Ob die TCS-Nachrichten einer dieser Varianten folgen, ist nicht veröffentlicht.

Echt oder Betrug? So prüfst du eine Nachricht zu deiner Buchung

Die wichtigste Regel: Prüfe nie über den Kanal, über den die Nachricht kam. Weder der Link noch die Telefonnummer in einer verdächtigen Nachricht sind vertrauenswürdig. Melde dich stattdessen selbst über die offizielle Website an oder ruf den Campingplatz unter der Nummer aus deiner ursprünglichen Buchungsbestätigung an. Das rät auch das BACS. Der TCS-Hinweis selbst nennt keine eigene Kontaktnummer für Rückfragen.

Wähle aus, welche Art von Nachricht du bekommen hast. Die Hinweise sind unsere Einordnung auf Basis der Angaben von TCS, BACS und Verbraucherzentrale.

Ein Grundproblem bei WhatsApp: Jeder kann ein Profilbild und einen Anzeigenamen wählen, der nach Campingplatz oder Kundenservice klingt. Ein Logo im Profil ist deshalb kein Hinweis auf Echtheit. Wie Benutzernamen bei WhatsApp funktionieren und was sich dort 2026 geändert hat, erklärt unser Beitrag WhatsApp-Benutzername reservieren.

Sofort-Hilfe: Was tun, wenn du schon geklickt oder bezahlt hast?

Wenn du Kartendaten eingegeben, einen Code weitergegeben oder bezahlt hast, zählt jede Stunde. TCS rät, in diesem Fall sofort den Kreditkartenanbieter oder die Bank zu kontaktieren. BACS und Verbraucherzentrale empfehlen zusätzlich, die Karte sperren zu lassen und Anzeige zu erstatten. Hast du nur gelesen und nichts angeklickt, reicht es, den Absender zu melden und zu blockieren.

Welche Schritte konkret nötig sind, hängt davon ab, was schon passiert ist. Wähle deine Situation:

Geld zurückholen: Chargeback, Lastschrift und Überweisung

Wie gut die Chancen stehen, hängt vor allem vom Zahlungsweg ab. Am einfachsten ist es bei Lastschriften, am schwierigsten bei Überweisungen, die du selbst ausgelöst hast. Die folgenden Angaben gelten für Kundinnen und Kunden deutscher Banken; für Schweizer Banken und Twint haben wir keine fallbezogenen Regeln recherchiert – hier gilt die BACS-Empfehlung, sofort das Finanzinstitut zu kontaktieren.

Für den Chargeback bei Karten erklärt das Europäische Verbraucherzentrum Deutschland die Voraussetzungen. Die Pflicht der Bank zur Erstattung nicht autorisierter Zahlungen steht in § 675u BGB: Sie muss den Betrag spätestens bis zum Ende des folgenden Geschäftstags erstatten. Einordnung: Hast du auf einer gefälschten Seite selbst bezahlt, werten Banken das oft als autorisierte Zahlung. Dann ist die Rückholung schwieriger, und die Bank kann sich auf grobe Fahrlässigkeit berufen. Lehnt sie ab, lass dir die Begründung schriftlich geben; in Deutschland stehen die Schlichtungsstellen der Bankenverbände zur Verfügung. Das ist keine Rechtsberatung – im Einzelfall helfen Verbraucherzentrale oder Anwalt.

Deine Datenschutzrechte nach DSG und DSGVO

Als Kundin oder Kunde von TCS Camping kannst du nach dem Schweizer Datenschutzgesetz (DSG) kostenlos Auskunft darüber verlangen, welche Daten über dich gespeichert sind. Laut der Übersicht von law.ch zu den Auskunftsrechten muss der Verantwortliche in der Regel innerhalb von 30 Tagen antworten (Art. 25 DSG, Art. 18 DSV). Nur bei unverhältnismäßigem Aufwand darf er bis zu 300 Franken verlangen. Die Auskunftspflicht bleibt beim TCS, auch wenn ein Dienstleister die Daten bearbeitet. Den Wortlaut des DSG haben wir nicht direkt im Gesetzestext auf Fedlex geprüft.

Bei einer Datenschutzverletzung muss der Verantwortliche sie nach Art. 24 DSG dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) „so rasch als möglich“ melden, wenn sie voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Betroffene sind zu informieren, wenn es zu ihrem Schutz nötig ist – laut EDÖB-Leitfaden typischerweise dann, wenn sie etwa Phishing-Nachrichten prüfen müssen. Einordnung: Mit dem Schreiben an rund 15.000 Gäste hat TCS diese Information offenbar vorgenommen. Ob der Fall dem EDÖB gemeldet wurde, ist in keiner Quelle erwähnt.

Für Gäste aus Deutschland kann zusätzlich die DSGVO greifen. Nach Art. 3 DSGVO gilt sie auch für Unternehmen außerhalb der EU, die Personen in der Union gezielt Dienstleistungen anbieten. Ob TCS Camping darunter fällt, ist eine rechtliche Einordnung, die wir nicht abschließend beurteilen können. Ein Softwareanbieter mit Sitz in den Niederlanden unterliegt der DSGVO dagegen unmittelbar. Bei einem voraussichtlich hohen Risiko sieht Art. 34 DSGVO eine Benachrichtigung der Betroffenen vor, und Art. 82 DSGVO regelt Schadenersatzansprüche gegen Verantwortliche und Auftragsverarbeiter. Beschweren kannst du dich bei der Datenschutzaufsicht deines Bundeslandes.

Checkliste für Camper: so schützt du deine Buchung

Diese Punkte helfen nicht nur bei TCS, sondern bei jeder Buchung von Campingplatz, Hotel oder Ferienwohnung. Die Liste speichert deinen Fortschritt in diesem Browser.

Die Verbraucherzentrale rät bei Buchungsbetrug grundsätzlich, Kartendaten nie per Chat, E-Mail, SMS oder Telefon herauszugeben und die Internetadresse einer Zahlungsseite genau zu prüfen. Verdächtige E-Mails kannst du an das Phishing-Radar der Verbraucherzentrale weiterleiten.

Mehr aktuelle Themen vom 27. Oktober 2026

Häufige Fragen zum TCS-Camping-Datenleck

TransparenzQuellen und Datenbasis30 Einträge

Grundlage sind der Sicherheitshinweis und die Medienmitteilung von TCS, Berichte Schweizer Medien vom 26. und 27. Oktober 2026, Gesetzestexte und Behördenleitfäden sowie Empfehlungen von Verbraucherorganisationen. Alle Quellen haben wir am 27. Oktober 2026 abgerufen. Die Website des Softwareanbieters Camping.care sowie der Gesetzestext des DSG auf Fedlex und die Phishing-Seite des BSI waren für uns nicht abrufbar. Bereits im Text verlinkte Quellen führen wir ohne erneuten Link auf, Beiträge von drohnen.de nicht erneut.

• TCS Camping: Wichtiger Sicherheitshinweis zu Campingreservationen (23.10./26.10.2026) – im Text verlinkt (Unternehmensquelle)
• TCS Camping: About TCS Camping – rund 25 Standorte (Unternehmensquelle)
• TCS-Medienmitteilung Camping-Saison 2026 (07.10.2026) – im Text verlinkt; Herkunft der Gäste, 32 Plätze (Unternehmensquelle)
• Topcamp: Information about fraudulent WhatsApp messages – Vergleichsfall Norwegen (Unternehmensquelle)
• EDÖB: Leitfaden zur Meldung von Datensicherheitsverletzungen nach Art. 24 DSG – im Text verlinkt (Behörde)
• Art. 3, Art. 34 und Art. 82 DSGVO (dsgvo-gesetz.de) – im Text verlinkt (Gesetzestext)
• § 675u BGB (gesetze-im-internet.de) – im Text verlinkt (Gesetzestext)
• law.ch: Meldung von Datenschutzverletzungen nach Art. 24 DSG (Rechtsinformation)
• law.ch: Auskunftsrechte im Einzelnen – im Text verlinkt (Rechtsinformation)
• Verbraucherzentrale: Betrugsversuche bei Booking.com – im Text verlinkt (Verbraucherorganisation)
• Verbraucherzentrale: Phishing-Radar – im Text verlinkt (Verbraucherorganisation)
• Europäisches Verbraucherzentrum Deutschland: Chargeback – im Text verlinkt (Verbraucherorganisation)
• SRF Espresso (26.10.2026) – im Text verlinkt; Stellungnahme TCS-Sprecher
• Blick (26.10.2026): Hackerangriff auf TCS Camping – im Text verlinkt
• Watson/Keystone-SDA (26.10.2026) – im Text verlinkt; Kundenschreiben TCS
• Inside IT: TCS wird Opfer der PHP-Lücke (27.10.2026)
• Swisscybersecurity (27.10.2026) – im Text verlinkt; Ursache unklar, Campingplatz Hüttenberg
• Radio BeO: TCS Camping meldet Datenleck (27.10.2026)
• SOCRadar: PHP2Shell CVE-2026-109618/109619 – technischer Hintergrund (Sicherheitsanbieter)
• PCtipp: Kritische Schwachstellen in PHP (21.10.2026) – BACS-Empfehlung
• cash.ch/AWP: Noch keine belastbaren Zahlen zur PHP-Lücke in der Schweiz (22.10.2026)
• Netzwoche (02.06.2026): Wie Betrüger Hotelbuchungen für Phishing missbrauchen – im Text verlinkt; BACS-Warnung
• Blick: Bund warnt vor Phishing-Masche mit Hotelbuchungen (Juni 2026)
• Netzwoche: Booking.com setzt nach Datenleck Buchungs-PINs zurück (15.04.2026)
• Sophos: Vidar-Infostealer stiehlt Booking.com-Zugangsdaten (Sicherheitsanbieter)
• Help Net Security: Booking.com customers targeted (04.12.2023)
• NL Times: Secureholiday-Hack betrifft 41.577 niederländische Camper (15.07.2026)
• blue News: Hotel in Graubünden warnt vor WhatsApp-Betrügern (06.09.2026)
• Netzwoche: Cyberdelikte können online angezeigt werden (Suisse ePolice) (29.01.2024)
• Capterra: Camping.care – Anbieter, Sitz Niederlande (Marktquelle)