Phishing: wie du Betrug beim Online-Banking erkennst und was im Ernstfall zu tun ist

Zuletzt aktualisiert: 06.11.2026

Nur eine von rund 16.000 bargeldlosen Zahlungen war in Österreich 2025 Betrug, von 1.000 Euro gingen laut Nationalbank im Schnitt 1,6 Cent an Betrüger. Zusammen waren das trotzdem 115,4 Millionen Euro, und die Hälfte der Befragten einer Umfrage der Nationalbank hatte binnen zwölf Monaten mindestens einen Betrugsversuch erlebt. Phishing ist also ein großes Thema: Nachrichten per E-Mail und SMS wollen deine Daten abgreifen. Viele haben deshalb Angst vor dem Online-Banking, und das ist bei normaler Aufmerksamkeit unbegründet, denn gefragt ist vor allem der gesunde Menschenverstand. Diese Seite erklärt, woran du Phishing erkennst, was du tust, wenn es dich erwischt hat, und wer dann zahlt, auch aus Sicht von Anlegern und Unternehmern.

Diese Seite dient der Orientierung und ersetzt keine Beratung. Im Ernstfall helfen nach einem Betrug Bank, Polizei und Arbeiterkammer, und je schneller du dich meldest, desto größer ist die Chance, den Schaden zu begrenzen.

Phishing Bedeutung: was Phishing, Smishing, Fake Mail und Vishing sind

Die Phishing Bedeutung steckt im Wort: Es verbindet das englische Password mit Fishing, gemeint ist das Fischen nach Passwörtern. Betrüger schicken eine Nachricht, die aussieht, als käme sie von deiner Bank, einem Paketdienst oder einer Behörde, und du sollst auf einen Link klicken, einen Anhang öffnen oder Daten eingeben. Die bekannteste Form ist die Phishing Mail, oft einfach Fake Mail genannt, also eine gefälschte E-Mail. Kommt die Nachricht als SMS, heißt das Smishing, eine Phishing SMS ist dasselbe auf dem Handy. Beim Vishing ruft jemand an, das Wort kommt vom englischen Voice für Stimme. Beim Quishing führt ein QR-Code zur gefälschten Seite, und der klebt etwa auf einem Parkautomaten oder steht auf einer Rechnung.

Dazu kommt ein technischer Trick, das sogenannte Spoofing. Dabei zeigt dein Handy die echte Nummer deiner Bank an, obwohl Betrüger anrufen, und eine gefälschte SMS kann im selben Chatverlauf landen wie die echten Nachrichten der Bank. Die Anzeige allein beweist also nichts. Das Ziel bleibt immer dasselbe: deine Zugangsdaten, deine Kartendaten oder deine Freigabe für eine Zahlung.

Phishing erkennen: die Warnzeichen in Mail und SMS

Phishing erkennen lässt sich meist an der Aufforderung und weniger an der Aufmachung. Die Warnzeichen laut Bundeskriminalamt und Nationalbank: Die Nachricht drängt zu sofortigem Handeln und droht etwa mit einer Kontosperre. Sie verlangt Passwort, PIN oder TAN, das ist die Transaktionsnummer, ein Einmalcode für die Freigabe einer Zahlung. Sie enthält einen Link oder ein Formular, und sie spricht dich unpersönlich an. Bei der Adresse lohnt sich ein genauer Blick, denn oft fehlt nur ein Buchstabe oder er ist vertauscht: .ar statt .at oder Bamk statt Bank.

Auf alte Faustregeln solltest du dich nicht verlassen. Das kleine Schloss-Symbol im Browser bauen die Betrüger längst selbst ein, mit künstlicher Intelligenz entstehen täuschend echte Texte und Stimmen, und laut Arbeiterkammer tauchen gefälschte Bankseiten in Suchmaschinen sogar als bezahlte Anzeige auf.

Eine Regel hält aber: Banken, Behörden und andere seriöse Stellen fragen Passwörter, PIN oder TAN weder am Telefon noch per E-Mail oder SMS ab. Du klickst also nicht, sondern öffnest die App oder tippst die Adresse selbst ein, und für einen Anruf nimmst du die Nummer aus deinen Unterlagen. Ist die Meldung echt, erfährst du es auch auf diesem Weg.

Online Banking Betrug: die typischen Maschen in Österreich

Beim Online Banking Betrug wiederholen sich die Geschichten. Das Bundeskriminalamt nennt für 2025 E-Mails im Namen der Hausbank, die angeblich widerrechtliche Abbuchungen melden oder verlangen, die Berechtigung fürs Online-Banking zu verlängern, dazu SMS mit einer angeblichen Zustellbenachrichtigung. Alle größeren Banken in Österreich waren von Phishing betroffen, zum Teil griffen schädliche Android-Apps die Freigabecodes ab. Die Watchlist Internet, eine österreichische Informationsstelle zu Internetbetrug, warnt außerdem vor SMS im Namen von FinanzOnline. Auch Kunden von Online-Bezahldiensten wie PayPal sind ein Ziel.

Am gefährlichsten ist der falsche Bankmitarbeiter am Telefon. Er meldet eine verdächtige Abbuchung, will dein Geld angeblich retten und führt dich durchs Online-Banking, bis du selbst eine Überweisung an die Betrüger freigibst. Auf Verkaufsplattformen läuft es ähnlich: Ein angeblicher Käufer schickt einen Link, und wer dort seine Kreditkartendaten eingibt und bestätigt, bekommt kein Geld, sondern gibt eine Zahlung frei. Um Geld zu empfangen, musst du aber nichts freigeben, das gilt bei Wero genauso wie auf jeder Verkaufsplattform.

Zwei Maschen kommen fast ohne Technik aus. Beim Enkeltrick ruft jemand an, gibt sich als naher Verwandter in einer Notlage aus, und ein angeblicher Freund holt das Geld ab, oder du überweist es. Betroffen sind oft ältere und alleinstehende Menschen. Der Schutz ist einfach: auflegen und den Verwandten unter der Nummer zurückrufen, die du sonst auch verwendest. Beim Love Scam täuschen Kriminelle im Internet große Gefühle vor, zu einem Treffen kommt es nie, und irgendwann folgt eine erfundene Notlage. Überweise in so einem Fall kein Geld und schick keine Ausweiskopien.

2 Faktor Authentifizierung: warum sie hilft und wo sie endet

Die 2 Faktor Authentifizierung heißt im Gesetz starke Kundenauthentifizierung und geht auf die EU-Zahlungsrichtlinie PSD2 zurück. Dafür braucht es zwei von drei Arten von Nachweisen: etwas, das du weißt (Passwort oder PIN), etwas, das du besitzt (Handy oder TAN-Gerät), und etwas, das zu dir gehört (Fingerabdruck oder Gesicht). Ein gestohlenes Passwort allein reicht den Betrügern deshalb nicht. 2025 liefen laut Nationalbank 85 % der elektronischen Überweisungen und 46 % der elektronischen Kartenzahlungen über dieses Verfahren, der Rest fiel unter Ausnahmen, etwa für Zahlungen an vertrauenswürdige Empfänger.

Das Verfahren endet dort, wo du selbst freigibst, denn es prüft, ob du es bist, und nicht, ob die Zahlung vernünftig ist. Genau deshalb verlegen sich die Täter aufs Überreden: 83 % der Verluste bei Überweisungen entstanden 2025, weil Betrüger die Zahler täuschten. Lies also bei jeder Freigabe Empfänger und Betrag. Bei einer Überweisung warnt dich zusätzlich die Empfängerüberprüfung, wenn Name und IBAN nicht zusammenpassen. Wo es angeboten wird, nutze Fingerabdruck oder eine Authenticator-App, die Codes direkt am Handy erzeugt. Beim sogenannten SIM-Swapping übernehmen Betrüger nämlich deine Handynummer und bekommen die SMS mit den Codes selbst.

Phishing was tun: Phishing Link geklickt, und jetzt?

Bei der Frage Phishing was tun kommt es zuerst darauf an, was passiert ist. Die Betrüger wollen, dass du Daten eingibst oder Schadsoftware herunterlädst. Hast du zwar einen Phishing Link geklickt, aber beides nicht getan, schließt du die Seite und behältst dein Konto im Auge. Im Zweifel fragst du deine Bank. Hast du Daten eingegeben, etwas installiert oder eine Zahlung freigegeben, zählt jede Minute.

Zuerst rufst du deine Bank an, unter der Nummer aus deinen Unterlagen, und lässt Online-Banking und Karten sperren. Frag gleich, ob sich eine Überweisung noch stoppen lässt, bei einer Echtzeitüberweisung ist das nicht mehr möglich. Die Bankomatkarte sperren kannst du außerhalb der Öffnungszeiten beim österreichischen Sperrnotruf unter 0800 204 88 00, aus dem Ausland unter +43 1 204 88 00. Eine Kreditkarte sperren lässt du bei deiner Kartenfirma, ihr Weg dafür steht in deinen Vertragsunterlagen. Schreib dir die Nummer am besten auf, solange nichts passiert ist. Die Meldung muss bei allen Kontokarten jederzeit und kostenlos möglich sein, und für Schäden nach deiner Meldung haftest du nicht, außer du hast selbst betrügerisch gehandelt.

Danach änderst du die betroffenen Passwörter, auch das deines E-Mail-Kontos, und informierst bei Verdacht auf SIM-Swapping deinen Mobilfunkanbieter. Sichere Nachrichten, Screenshots und Zahlungsbelege und erstatte Anzeige bei der Polizei. Eine Meldung an die Cybercrime-Meldestelle des Bundeskriminalamts (against-cybercrime@bmi.gv.at) ersetzt die Anzeige nicht.

Phishing Bank oder Kunde: wer haftet und welche Fristen gelten

Phishing Bank oder Kunde, wer trägt den Schaden? Das hängt an einer Frage: Hast du die Zahlung selbst freigegeben? Das Gesetz nennt das autorisiert, und autorisiert hast du, wenn du mit TAN oder App zugestimmt hast, bei der Karte mit PIN oder Unterschrift. Hast du nicht zugestimmt, muss die Bank den Betrag spätestens bis zum Ende des nächsten Geschäftstags erstatten, nachdem sie davon erfahren hat. Melden musst du es unverzüglich, nach 13 Monaten ab der Abbuchung ist Schluss. Die Bank kann Ersatz von dir verlangen, muss eine grobe Fahrlässigkeit aber beweisen.

Ein Beispiel mit Beispielwerten: 2.000 Euro sind von deinem Konto weg. War der Missbrauch für dich vorher nicht bemerkbar, geschah die Zahlung nach deiner Sperrmeldung oder hat die Bank keine starke Kundenauthentifizierung verlangt, zahlst du 0 Euro. Bei leichter Fahrlässigkeit zahlst du höchstens 50 Euro und die Bank den Rest, also mindestens 1.950 Euro. Bei grober Fahrlässigkeit kann die Bank den ganzen Schaden von dir verlangen, also 2.000 Euro, eine Teilung ist je nach Fall möglich. Grob fahrlässig ist laut Nationalbank ein besonders schwerer Sorgfaltsverstoß, der einem vernünftigen Menschen normalerweise nicht passiert. Eine übersehene Sicherheitswarnung allein reicht dafür nicht. Hast du selbst freigegeben, trägst du grundsätzlich die 2.000 Euro, außer die Bank hat ihre eigenen Pflichten verletzt.

Wie viel an dieser Frage hängt, zeigen die Zahlen: 2025 trugen die Kunden bei Überweisungen 97 % der Verluste, bei Kartenzahlungen 32 %. Der Oberste Gerichtshof wies 2024 die Revision eines Kunden zurück, der nach einer gefälschten Paket-SMS am Telefon überredet worden war und Überweisungen über 27.650 Euro selbst per App freigegeben hatte. Für die eigene Freigabe ist jeder selbst verantwortlich, deshalb gilt eine einfache Regel: Eine Zahlung, die du nicht selbst angelegt hast, gibst du nicht frei, egal wer am Telefon drängt.

Gibt es Probleme, lassen sich Beträge trotzdem oft zurückbuchen. Eine SEPA-Lastschrift holst du binnen acht Wochen ohne Angabe von Gründen zurück, gab es gar keine Erlaubnis, binnen 13 Monaten. Bei der Kreditkarte gelten für nicht freigegebene Zahlungen dieselben 13 Monate. Für freigegebene Zahlungen, etwa wenn bestellte Ware nicht kommt, gibt es das Chargeback, die Rückbuchung über die Kartenfirma. Laut Arbeiterkammer ist das eine Kulanzleistung ohne Rechtsanspruch, du reklamierst so schnell wie möglich, spätestens binnen drei bis vier Monaten, die genaue Frist steht in den Bedingungen. Lehnt die Bank ab, hol dir Hilfe bei der Arbeiterkammer oder der Ombudsstelle für Zahlungsprobleme: Deren Interventionen führten von Jänner 2023 bis September 2024 in 62 % zu einer Einigung außerhalb des Gerichts. Neue EU-Regeln sollen laut Nationalbank ab Ende 2028 oder Anfang 2029 mehr Schutz bringen (Stand August 2026).

Cybercrime in Zahlen: was der Betrug Österreich kostet

Internetkriminalität heißt auf Englisch Cybercrime, und der aktuelle Bericht des Bundeskriminalamts zählt dafür 63.459 Anzeigen im Jahr 2025, um 1,8 % mehr als im Jahr davor. Fast die Hälfte davon ist Internetbetrug. Hier lautet die Reihe: 22.440 Fälle im Jahr 2021, dann 27.629, 34.069, 31.768 und zuletzt 31.001. Der Höchststand war also 2023. Das sind nur die angezeigten Fälle.

Den Schaden im Zahlungsverkehr misst die Nationalbank aus den Meldungen der Banken und Zahlungsdienstleister: 115,4 Millionen Euro im Jahr 2025, um 17,6 % mehr als 2024, bei unverändert rund 7,2 Billionen Euro an Zahlungen insgesamt. Karten und Überweisungen zeigen dabei zwei ganz verschiedene Bilder. Neun von zehn Betrugsfällen betreffen Karten, aber mit nur 23,5 Millionen Euro Schaden und rund 75 Euro je Fall. Die Überweisungen machen nur 9 % der Fälle aus, mit 89,6 Millionen Euro aber 78 % des Schadens und im Schnitt rund 3.000 Euro je Fall.

Im Vergleich mit der EU liegt Österreich bei den meisten Zahlungsarten darunter, nur bei der Zahl der betrügerischen Überweisungen ist die Quote doppelt so hoch wie der EU-Wert. Das Geld bleibt selten im Land: Nur ein Fünftel dieser Überweisungen ging 2025 auf Konten in Österreich, 78 % auf Konten in der übrigen EU. Gemessen an der gesamten Zahlungssumme ist der Schaden klein, für den einzelnen Betroffenen sind 3.000 Euro aber viel Geld.

Anlagebetrug: gefälschte Trading-Plattformen und FMA-Warnungen

Für Anleger liegt die größte Gefahr nicht in der gefälschten Mail, sondern im gefälschten Angebot. Das Bundeskriminalamt beziffert den Schaden durch Betrug mit Online-Anlagen, den Cyber-Trading-Fraud, für 2025 mit rund 120 Millionen Euro. Das ist eine eigene Erhebung und lässt sich nicht einfach zu den Zahlen der Nationalbank dazuzählen. Bei der Finanzmarktaufsicht FMA gingen 2025 dazu 842 Meldungen mit rund 20 Millionen Euro Schaden ein, laut FMA nur ein Bruchteil des tatsächlichen Schadens. Ihre Warnungen stiegen von 84 im Jahr 2022 auf mindestens 145 im Jahr 2024, die meisten betrafen betrügerische Handelsplattformen.

Der Ablauf ist fast immer gleich. Werbung im Internet, oft mit gefälschten Empfehlungen von Prominenten, oder eine Gruppe auf WhatsApp oder Telegram führt dich auf eine professionell wirkende Plattform. Dort siehst du gefälschte Kurse und angebliche Gewinne, das Bundeskriminalamt nennt Versprechen von 200 bis 300 %. Tatsächlich findet überhaupt kein Handel statt. Sobald du dir etwas auszahlen lassen willst, bricht der Kontakt ab. Manchmal beginnt es auch als Love Scam, und die neue Bekanntschaft erwähnt nach Wochen nebenbei eine Plattform für Kryptowährungen.

Prüfe jeden Anbieter vorher in der Unternehmensdatenbank der FMA und bei ihren Investorenwarnungen, aber eine fehlende Warnung heißt noch nicht, dass ein Anbieter seriös ist. Unerwartete Anrufe mit Anlageangeboten sind verboten, deshalb legst du gleich auf. Hast du schon bezahlt, zahle keinesfalls mehr, auch wenn jemand verspricht, dein Geld zurückzuholen, und melde dich bei FMA, Bank und Polizei. Risikolose hohe Renditen gibt es nicht: Werden mehr als 10 % im Jahr versprochen, heißt das großes Risiko, und bei 200 % ist das Ersparte vermutlich schon weg. Eine echte Anlage läuft über ein Wertpapierdepot bei einem zugelassenen Anbieter und nicht über einen Chat.

CEO Fraud: wenn angeblich der Chef schreibt

Beim CEO Fraud geben sich Betrüger als Geschäftsführung, Lieferant oder Anwalt aus und bringen Mitarbeiter dazu, Geld auf fremde Konten zu überweisen. CEO ist der englische Titel des Unternehmenschefs, Fraud heißt Betrug. Das Bundeskriminalamt nennt große Unternehmen ebenso wie Klein- und Mittelbetriebe als Ziel. Verwandt ist der Rechnungsbetrug, bei dem ein angeblicher Lieferant eine neue Bankverbindung mitteilt oder eine gefälschte Rechnung schickt. Laut FMA war er 2023 einer der häufigsten Betrugsfälle mit durchschnittlich 56.000 Euro Schaden.

Die Warnzeichen ähneln denen beim privaten Phishing: ungewöhnliche Eile, verlangte Geheimhaltung, das Überspringen der üblichen Freigaben, eine neue Bankverbindung und eine leicht veränderte E-Mail-Adresse. Geschützt ist ein Betrieb weniger durch Technik als durch feste Abläufe. Das Bundeskriminalamt rät zum Vier-Augen-Prinzip bei Zahlungen, zu Rückrufen über bekannte Nummern und zu Zahlungslimits. Kontrolle statt Vertrauen gilt hier wörtlich: Eine neue Kontonummer wird nie allein wegen einer E-Mail übernommen, egal wie hoch der Absender steht. Ist das Geld schon unterwegs, gilt dasselbe wie privat: sofort die Bank anrufen, Beweise sichern, Anzeige erstatten.

Online Banking Sicherheit: Phishing Mail melden und aufmerksam bleiben

Online Banking Sicherheit ist vor allem Gewohnheit, und diese Gewohnheiten sind überschaubar. Die wichtigste: Schau regelmäßig auf dein Konto und prüfe die Umsätze, ob im Kontoauszug oder in der App. Nur wer eine fremde Buchung bemerkt, kann sie in der Frist zurückholen. Dazu kommen aktuelle Updates für Handy und Apps, Apps nur aus den offiziellen Stores und für jeden Dienst ein eigenes Passwort, am einfachsten mit einem Passwortmanager. Ob dein Konto bei einer Online-Bank oder einer Filialbank liegt, ändert an diesen Regeln nichts.

Keine Angst brauchst du um deine IBAN. Sie ist kein Geheimnis, sondern zum Weitergeben da, und Unternehmen drucken ihre IBAN auf die Rechnungen. Mit der IBAN allein kann niemand eine Überweisung von deinem Konto auslösen, denn dafür braucht es deinen Zugang und deine Freigabe. Eine falsche Abbuchung per Lastschrift holst du zurück. Geheim bleiben Passwort, PIN und TAN.

Wer eine Phishing Mail melden will, hat mehrere Wege. Die Watchlist Internet nimmt verdächtige Nachrichten über ihr Meldeformular entgegen und veröffentlicht eine Liste aktueller Phishing-Nachrichten. Einen Verdacht nimmt auch die Meldestelle des Bundeskriminalamts entgegen, und deine Bank kannst du ebenfalls informieren.

Der Rat zum Schluss: Hab keine Angst vor dem Online-Banking, aber bleib normal aufmerksam. Klick nie auf einen Link aus einer Nachricht deiner angeblichen Bank, gib nur Zahlungen frei, die du selbst angelegt hast, und leg auf, wenn jemand am Telefon drängt. Schreib dir heute die Sperrnummern deiner Karten auf und schau jede Woche einmal deine Umsätze durch. Dann bemerkst du einen Fehler rechtzeitig, und wenn es doch passiert, rufst du sofort die Bank an.

Quellen: OeNB: Betrug im Zahlungsverkehr 2025, Report 2026/22, 20.8.2026, Bundeskriminalamt: Cybercrime-Report 2025, Bundeskriminalamt: Phishing, Smishing, Quishing, Bundeskriminalamt: Enkel- oder Neffentrick, Bundeskriminalamt: Love Scam, Bundeskriminalamt: Anlagebetrug, Bundeskriminalamt: CEO Fraud, RIS: Zahlungsdienstegesetz 2018, RIS: OGH 7 Ob 95/24g, 28.8.2024, oesterreich.gv.at: Bankomatkarte, Stand 1.9.2026, AK Wien: Maßnahmenpaket gegen Phishing, Mai 2025, AK Wien: So holen Sie Kreditkartenzahlungen zurück, Europakonsument: Chargebacks, 23.3.2026, Ombudsstelle für Zahlungsprobleme: Tätigkeitsbericht, FMA: Trusted Flagger, 22.9.2026, FMA: Die aktuellsten Tricks der Finanzbetrüger, FMA: Warnungen 2024, 23.12.2024, FMA: Unternehmensdatenbank, Watchlist Internet: Meldeformular, Watchlist Internet: Phishing-Alarm, Watchlist Internet: Phishing-SMS im Namen von FinanzOnline, Watchlist Internet: Falscher Bankanruf. Stand: November 2026.

Hinweis: Diese Seite gibt einen allgemeinen Überblick und ersetzt weder Rechtsberatung noch die Beratung im Einzelfall. Wer im Betrugsfall haftet, entscheidet sich nach den genauen Umständen, und Sperrnummern, Limits und Fristen für Reklamationen stehen in den Bedingungen deiner Bank oder Kartenfirma. Das Rechenbeispiel verwendet Beispielwerte. Es ist keine Produktempfehlung und keine Kauf- oder Verkaufsempfehlung. Im Ernstfall helfen deine Bank, die Polizei, die Arbeiterkammer und der Verein für Konsumenteninformation.