Online-Banking Sicherheit 2026: Schutz & Haftung
Wie sicher ist Online-Banking in Österreich 2026?
Technisch ist Online-Banking dank starker Kundenauthentifizierung sehr sicher - die Schwachstelle ist der Mensch. Fast alle erfolgreichen Betrugsfälle laufen heute über Phishing, bei dem Opfer ihre Zugangsdaten selbst preisgeben oder eine Zahlung freigeben. Wer die Maschen kennt und die Sorgfaltsregeln einhält, ist gut geschützt - und im Schadensfall oft anspruchsberechtigt.
Seit der Zahlungsdiensterichtlinie PSD2 ist für jede Anmeldung und jede Überweisung eine Zwei-Faktor-Freigabe vorgeschrieben: etwas, das Sie wissen (PIN), plus etwas, das Sie haben (Ihr Smartphone mit der Banking-App). Diese starke Kundenauthentifizierung hat den klassischen Datendiebstahl per gestohlenem Passwort weitgehend wertlos gemacht. Deshalb haben die Betrüger ihre Strategie verlagert - weg vom technischen Hack, hin zur Manipulation des Kontoinhabers.
Phishing, Smishing, Quishing: die Maschen 2026
Alle Varianten verfolgen dasselbe Ziel, sie unterscheiden sich nur im Kanal. Diese vier sollten Sie auseinanderhalten können:
- Phishing - die gefälschte E-Mail. Angeblich von Ihrer Bank, mit Link auf eine täuschend echte Login-Seite.
- Smishing - dieselbe Masche per SMS. Oft als Paketbenachrichtigung oder angebliche Kontosperre getarnt.
- Vishing - der Anruf. Ein vermeintlicher Bankmitarbeiter drängt Sie, eine Überweisung zur “Sicherung Ihres Kontos” freizugeben.
- Quishing - der manipulierte QR-Code, etwa auf gefälschten Strafzetteln, Parkautomaten oder in Briefen. QR-Code-Betrug zählt 2026 zu den am schnellsten wachsenden Methoden.
Neu und gefährlich ist der KI-Faktor. Wo früher Rechtschreibfehler und holprige Anrede die Fälschung verrieten, generiert künstliche Intelligenz heute Nachrichten, die den Tonfall echter Banken, Paketdienste und Behörden exakt imitieren. Die alte Faustregel “schlechtes Deutsch entlarvt den Betrug” trägt nicht mehr. Was bleibt, ist die inhaltliche Prüfung: Keine echte Bank fordert Sie je auf, eine TAN oder ein Passwort herauszugeben oder eine Zahlung zur “Verifizierung” freizugeben.
Besonders perfide ist die Kombination aus mehreren Kanälen. Im realen Gerichtsfall, den wir unten zeigen, kam zuerst die Phishing-Mail, dann der manipulative Anruf - so wurde das Opfer Schritt für Schritt zur Selbstfreigabe von 41 Überweisungen gebracht.
Wer haftet bei Online-Banking-Betrug?
Die entscheidende Frage lautet immer: War die Zahlung autorisiert oder nicht? Bei einer nicht autorisierten Zahlung - die Kriminellen überweisen ohne Ihr Zutun - greift § 68 ZaDiG 2018. Dann muss die Bank den Betrag unverzüglich erstatten, Ihr Selbstbehalt liegt bei maximal 50 Euro. Der volle Schaden bleibt nur bei Ihnen hängen, wenn Sie vorsätzlich oder grob fahrlässig gehandelt haben.
Der Haken: Wenn Sie die Überweisung per Zwei-Faktor selbst freigegeben haben, gilt sie juristisch als autorisiert - auch wenn Sie getäuscht wurden. Dann wird es komplizierter, und es kommt darauf an, ob die Bank ihre eigenen Schutzpflichten erfüllt hat. Zwei aktuelle österreichische Gerichtsentscheidungen zeigen die ganze Bandbreite:
| Fall | Schaden | Ausgang | Begründung |
|---|---|---|---|
| OGH, 28.8.2024 | 27.650 € | Bank haftet nicht | Kunde gab Zahlungen per Zwei-Faktor selbst frei, handelte grob fahrlässig; Bank hatte funktionierende Sicherheitssysteme und vor Phishing gewarnt |
| OLG Linz, Fall des Monats | 200.000 € | Schadensteilung 50:50 | Trotz grober Fahrlässigkeit des Kunden: 41 Auslandsüberweisungen in 1,5 Stunden hätten das Fraud-Monitoring der Bank auslösen müssen |
Die Lehre aus beiden Urteilen: Pauschal “die Bank zahlt” gilt nicht, aber pauschal “Pech gehabt” eben auch nicht. Wenn die Zahlungsmuster derart auffällig sind, dass ein funktionierendes Betrugserkennungssystem hätte anschlagen müssen, kann die Bank mithaften - selbst wenn der Kunde grob fahrlässig war. Genau dieser Punkt wird in der Schlichtung und vor Gericht zum Hebel. Geben Sie deshalb nie vorschnell ein Mitverschulden zu Protokoll, sondern lassen Sie den Fall prüfen.
Phishing-Bericht 2025: die Zahlen aus Österreich
Das Sozialministerium (BMASGPK) hat im Mai 2026 seinen Phishing-Bericht 2025 veröffentlicht - die belastbarste österreichische Datenquelle zum Thema. Ausgewertet wurden 717 Beschwerden aus dem Zeitraum Jänner 2023 bis Dezember 2025.
| Kennzahl (2023-2025) | Wert |
|---|---|
| Erfasste Beschwerden | 717 |
| Durchschnittsschaden pro Fall | 4.333 € |
| Durchschnitt bei SEPA-Überweisungen | 8.514 € |
| Zahlungen an ausländische Empfänger | 77 % |
| Durchschnittsalter der Opfer | 47,8 Jahre |
| Schäden binnen Minuten nach Geräteregistrierung | 45 % |
| Über Schlichtung zurückgeholt | rund 1,5 Mio € |
Zwei Zahlen verdienen besondere Aufmerksamkeit. Erstens: In 45 Prozent der Fälle entstand der Schaden innerhalb von Minuten, nachdem ein neues Gerät für das Online-Banking registriert worden war. Genau deshalb fordert das Ministerium eine einstündige Sperrfrist für frisch registrierte Geräte - ein simpler struktureller Hebel, den noch nicht alle Banken umsetzen. Zweitens: 77 Prozent der Beträge flossen ins Ausland, was die Rückholung erheblich erschwert. Immerhin: In 76 Prozent der Beschwerden intervenierte die Schlichtungsstelle bei der Bank, und in 67 Prozent dieser Interventionen kam es zu einer Einigung - meist außergerichtlich.
Die gefährlichste Masche: das fremde Gerät
Dass 45 Prozent der Schäden binnen Minuten nach einer Geräteregistrierung entstehen, ist kein Zufall - dahinter steckt die derzeit wirksamste Methode. Sie funktioniert so: Die Täter erbeuten per Phishing Ihre Zugangsdaten und bringen Sie im selben Moment dazu, einen Aktivierungs- oder Freigabecode preiszugeben. Mit diesem Code registrieren sie die Banking-App auf ihrem eigenen Smartphone. Ab dann sitzt der Zweite Faktor bei den Kriminellen - und jede weitere Überweisung wird von deren Gerät aus völlig regelkonform freigegeben.
Das tückische daran: Nach außen sieht alles legitim aus, weil die Zwei-Faktor-Authentifizierung formal erfüllt ist. Genau deshalb fordert das Sozialministerium die einstündige Sperre für neu registrierte Geräte - eine Stunde Bedenkzeit, in der das Konto noch nicht von einem frischen Gerät aus geräumt werden kann. Für Sie heißt das praktisch: Jede unerwartete Aufforderung, ein “neues Gerät freizuschalten”, einen “Aktivierungscode zu bestätigen” oder die App “neu zu koppeln”, ist ein rotes Tuch. Eine Bank initiiert so etwas nie von sich aus per Anruf oder SMS. Prüfen Sie außerdem regelmäßig in den App-Einstellungen, welche Geräte für Ihr Konto freigegeben sind, und entfernen Sie unbekannte sofort.
Wo möglich, ist die Freigabe direkt in der Banking-App (appTAN, photoTAN) sicherer als eine SMS-TAN, weil sich SMS leichter umleiten oder abfangen lassen.
So schützen Sie sich konkret
Die wirksamsten Regeln kosten nichts und ein paar Sekunden Aufmerksamkeit:
- Bank-Adressen immer selbst eintippen. Nie über einen Link aus Mail oder SMS ins Online-Banking gehen. Setzen Sie ein Lesezeichen auf die echte Adresse.
- Vor jeder Freigabe den Auftrag in der App lesen. Empfänger-IBAN und Betrag im Freigabe-Text müssen exakt dem entsprechen, was Sie wollten. Stimmt etwas nicht - abbrechen.
- Niemals TAN oder Passwort weitergeben. Auch nicht an einen Anrufer, der sich als Bank, Polizei oder Techniker ausgibt. Legen Sie auf und rufen Sie die offizielle Nummer Ihrer Bank zurück.
- Keine QR-Codes aus unerwarteter Post oder von Aufklebern scannen, die zu Zahlungen oder Logins führen.
- Transaktionslimits niedrig halten und Push-Benachrichtigungen für jede Kontobewegung aktivieren. So merken Sie eine ungewollte Abbuchung sofort.
- App und Smartphone aktuell halten, Banking nur über die offizielle App, nicht im fremden WLAN ohne Bedacht.
- Bei Zeitdruck misstrauisch werden. Jede Nachricht, die mit Kontosperre, Frist oder Strafe drängt, will Ihr Nachdenken ausschalten - genau das ist das Warnsignal. Nehmen Sie sich die Minute und rufen Sie Ihre Bank über die offizielle Nummer an.
Wer unsicher ist, ob eine Nachricht echt ist, findet aktuelle Betrugsbeispiele bei der Watchlist Internet. Dieselbe Sorgfalt gilt übrigens bei vermeintlichen Top-Renditen: Viele Fälle starten gar nicht beim Konto, sondern bei einem Fake-Broker oder unseriösen Krypto-Angeboten - die FMA warnt 2026 verstärkt davor.
Was tun, wenn es passiert ist?
Tempo entscheidet. In den ersten Minuten lässt sich eine Überweisung manchmal noch stoppen.
- Sofort sperren. Karte und Online-Banking über den österreichischen Sperrnotruf 116 116 (rund um die Uhr) sperren lassen.
- Bank schriftlich auffordern, die Zahlung zurückzuholen und - bei nicht autorisierten Zahlungen - nach § 68 ZaDiG zu erstatten. Setzen Sie das per Mail oder Online-Banking-Nachricht auf, nicht nur telefonisch.
- Anzeige erstatten bei der Polizei. Die Bestätigung brauchen Sie für die weitere Durchsetzung.
- Schlichtungsstelle einschalten. Die Gemeinsame Schlichtungsstelle hilft kostenlos und hat laut Bericht in zwei von drei Interventionen eine Einigung erzielt. Auch der gesetzliche Konsumentenschutz und die AK beraten.
- Beweise sichern. Screenshots der Phishing-Nachricht, Anrufzeiten, Transaktionsbelege.
Ein abgeräumtes Konto trifft anders als ein Anlageverlust: Hier geht es um Ihr unmittelbar verfügbares Geld auf Girokonto und Sparbuch. Die gute Nachricht ist, dass diese Guthaben durch die Einlagensicherung gegen eine Bankpleite geschützt sind - gegen Betrug schützt aber nur Ihre eigene Wachsamkeit plus, im Streitfall, das Zahlungsdiensterecht. Beim Konten-Check lohnt zusätzlich ein Blick in den Banken-Vergleich, denn Sicherheitsfeatures wie Geräte-Sperrfristen und Echtzeit-Benachrichtigung unterscheiden sich je nach Institut.
Häufig gestellte Fragen
Bekomme ich mein Geld zurück, wenn ich Phishing-Opfer wurde?
Bei einer wirklich nicht autorisierten Zahlung muss die Bank nach § 68 ZaDiG erstatten, Ihr Selbstbehalt liegt bei maximal 50 Euro. Haben Sie die Überweisung aber per Zwei-Faktor-Authentifizierung selbst freigegeben und dabei grob fahrlässig gehandelt, kann die Haftung ganz oder teilweise bei Ihnen bleiben.
Was ist der Unterschied zwischen Phishing, Smishing und Quishing?
Phishing läuft über E-Mail, Smishing über SMS, Vishing über Anrufe und Quishing über manipulierte QR-Codes. Das Ziel ist immer dasselbe: Sie sollen Zugangsdaten preisgeben oder eine Zahlung freigeben. QR-Code-Betrug nimmt 2026 besonders stark zu.
Wie hoch ist der durchschnittliche Schaden bei Bank-Phishing?
Laut Phishing-Bericht 2025 des Sozialministeriums liegt der Durchschnittsschaden pro Fall bei 4.333 Euro. Bei betrügerischen SEPA-Überweisungen sind es im Schnitt sogar 8.514 Euro, weil hier oft mehrere Beträge ins Ausland abfließen.
Woran erkenne ich eine gefälschte Bank-Nachricht?
Echte Banken fragen niemals per Mail, SMS oder Telefon nach TAN, Passwort oder vollständigen Kartendaten. Warnsignale sind Zeitdruck, Links auf fremde Domains, unpersönliche Anrede und Rechtschreibfehler. KI macht Fälschungen 2026 aber sprachlich nahezu perfekt - prüfen Sie deshalb immer die Absenderadresse und tippen Sie Bank-Adressen selbst ein.
Haftet die Bank, wenn ihr Betrugserkennungssystem versagt?
Möglich. Das OLG Linz teilte den Schaden 50:50, weil 41 Auslandsüberweisungen über 200.000 Euro binnen 1,5 Stunden das Fraud-Monitoring der Bank hätten auslösen müssen. Trotz grober Fahrlässigkeit des Kunden trug die Bank die Hälfte.
Was muss ich sofort tun, wenn Geld weg ist?
Konto und Karte sofort über die Sperrnotruf-Hotline 116 116 sperren, die Bank schriftlich auffordern, die Zahlung rückgängig zu machen, Anzeige bei der Polizei erstatten und den Fall der Schlichtungsstelle melden. Je schneller Sie reagieren, desto eher lässt sich eine Überweisung noch stoppen.
Chefredakteur finanzguide.at