Identitätsdiebstahl Österreich 2026 - was tun & wie vorbeugen
Was tun bei Identitätsdiebstahl?
Bei Identitätsdiebstahl zählt Tempo. Ändern Sie sofort die Passwörter der betroffenen Konten und aktivieren Sie die Zwei-Faktor-Authentifizierung, reklamieren Sie unberechtigte Abbuchungen bei Ihrer Bank, erstatten Sie bei der Polizei Anzeige und widersprechen Sie jeder Forderung schriftlich, die aus dem Missbrauch entstanden ist.
Wer untätig bleibt, riskiert mehr als finanziellen Schaden. Aus einer Bestellung auf fremden Namen werden Mahnungen, daraus Inkasso, daraus ein negativer Bonitätseintrag - und im schlimmsten Fall eine Strafverfolgung wegen einer Tat, die man nie begangen hat. Die gute Nachricht: Wer richtig und rasch reagiert, haftet für fremde Geschäfte nicht.
Was Kriminelle mit Ihren Daten anstellen
Identitätsdiebstahl heißt, dass Dritte Ihre persönlichen Daten erbeuten und in Ihrem Namen handeln. Die Daten stammen aus Phishing-Mails, gehackten Onlineshops, Datenlecks oder schlicht aus einer unbedacht verschickten Ausweiskopie. Das offizielle Portal onlinesicherheit.gv.at nennt als typische Einfallstore Social Engineering - das gezielte Ausnutzen von Hilfsbereitschaft, Neugier oder Zeitdruck.
Mit den Daten lässt sich viel anfangen, und kaum etwas davon ist harmlos:
- Einkäufe auf Rechnung in Ihrem Namen, deren Mahnungen bei Ihnen landen.
- Zahlungen mit erbeuteten Karten- oder Kontodaten, oft in kleinen Beträgen, um nicht aufzufallen.
- Eröffnung eines Kontos oder Abschluss eines Vertrags unter Ihrem Namen, wenn eine digitale Ausweiskopie vorliegt.
- Gefälschte Social-Media-Profile, mit denen weitere Personen aus Ihrem Umfeld betrogen werden.
Warnzeichen sind ausbleibende Post von Bank oder Behörde, unbekannte Abbuchungen, Mahnungen für nie bestellte Ware oder Login-Benachrichtigungen, die Sie nicht ausgelöst haben. Je früher Sie diese Signale ernst nehmen, desto kleiner der Schaden.
Sofortmaßnahmen nach Art des Missbrauchs
Die meisten Ratgeber listen allgemeine Tipps. Hilfreicher ist die Frage: Was genau wurde missbraucht - und was tue ich dafür konkret? Diese Matrix ordnet die wichtigsten Fälle.
| Was passiert ist | Sofort tun | Frist / Hinweis |
|---|---|---|
| Konto-/Kartendaten missbraucht | Bank/Kartenanbieter anrufen, Karte sperren, Abbuchungen reklamieren und rückbuchen lassen | Unautorisierte Lastschrift: 8 Wochen Rückbuchung; Anzeige erstatten |
| Bestellung auf Ihren Namen | Händler/Inkasso schriftlich widersprechen, Identitätsmissbrauch und Anzeige anführen | Sie haften nicht - kein gültiger Vertrag |
| Login gekapert | Passwort ändern, überall wo dasselbe Passwort lief, MFA aktivieren | Anbieter über Kompromittierung informieren |
| Ausweiskopie geleakt | Anzeige erstatten, Bank/Behörden vorwarnen, Datenleck-Check | Watchlist Internet melden |
| Fake-Profil in Ihrem Namen | Screenshots sichern, Plattform melden, Bekannte warnen | Anzeige bei Polizei |
Drei Schritte gelten fast immer: Beweise sichern (Screenshots, Mahnungen, Kontoauszüge), Anzeige bei der Polizei erstatten und die Anzeigenbestätigung aufheben. Diese Bestätigung ist später Ihr wichtigstes Dokument - sie wehrt Forderungen ab und ermöglicht die Bereinigung falscher Einträge.
Verdächtige Abbuchungen gehören sofort an die Bank gemeldet; wie Sie Ihre Zugänge grundsätzlich absichern, steht im Beitrag zur Online-Banking-Sicherheit. Ein eigenes, gut abgesichertes Girokonto mit aktiven Push-Benachrichtigungen für jede Transaktion macht Missbrauch früh sichtbar.
Ein typischer Fall - und wie er richtig läuft
Ein Beispiel zeigt, warum die Reihenfolge zählt. Frau M. erhält eine Mahnung über 480 Euro für ein Smartphone, bestellt auf Rechnung bei einem Onlineshop, geliefert an eine fremde Adresse. Bestellt hat sie nichts. Ihre Daten stammten aus einem Leck eines anderen Shops, in dem sie Jahre zuvor einkauft hatte.
Falsch wäre: zahlen, um Ruhe zu haben. Oder die Mahnung ignorieren. Beides endet teuer - im ersten Fall ist das Geld weg, im zweiten folgen Inkasso und Bonitätseintrag. Richtig läuft es so: Frau M. macht ein Foto der Mahnung, geht zur Polizei und erstattet Anzeige gegen unbekannt. Mit der Anzeigenbestätigung widerspricht sie dem Händler schriftlich und nachweislich, schildert den Identitätsmissbrauch und fordert die Rücknahme der Forderung. Sie zahlt keinen Cent. Parallel prüft sie auf einem Datenleck-Checker, welche ihrer Konten betroffen sind, ändert dort die Passwörter und schaltet die Zwei-Faktor-Authentifizierung ein. Der ganze Vorgang kostet sie einen Nachmittag - aber keine 480 Euro und keinen Eintrag.
Phishing - der häufigste Einstieg
Bevor Daten missbraucht werden, müssen sie erbeutet werden, und der meistgenutzte Weg dorthin ist Phishing: gefälschte Mails oder SMS, die zur Eingabe von Zugangs- oder Bankdaten verleiten. Sie geben sich als Bank, Post, Finanzamt, Streamingdienst oder Paketzusteller aus. Wer die Muster kennt, fällt seltener darauf herein:
- Dringlichkeit und Drohung: “Ihr Konto wird gesperrt”, “letzte Mahnung”, “Paket kann nicht zugestellt werden” - künstlicher Zeitdruck soll das Nachdenken ausschalten.
- Links statt offizieller Wege: Eine echte Bank fordert nie per Mail-Link zur Eingabe von TAN oder Passwort auf. Im Zweifel die Seite selbst im Browser öffnen, nie über den Link in der Nachricht.
- Abweichende Absenderadresse: Der angezeigte Name stimmt, die tatsächliche Adresse dahinter ist kryptisch oder falsch geschrieben.
- Unpersönliche Anrede und Fehler: Auch wenn KI die Texte besser gemacht hat - generische Anreden und schräge Formulierungen bleiben ein Warnsignal.
Die Regel ist einfach: Keine sensiblen Daten über einen Link oder am Telefon herausgeben, den oder das jemand anderes initiiert hat. Im Zweifel den Anbieter über die offizielle, selbst herausgesuchte Nummer kontaktieren.
Sie haften nicht für fremde Bestellungen
Der häufigste Schock kommt per Post: eine Mahnung für Ware, die man nie bestellt hat. Hier hilft ein klarer rechtlicher Grundsatz. Ein Vertrag setzt eine eigene Willenserklärung voraus. Wer nicht selbst bestellt hat, ist nicht gebunden - der Vertrag kommt schlicht nicht zustande. Sie schulden weder den Kaufpreis noch Mahnspesen.
Wichtig ist, nicht zu schweigen. Widersprechen Sie dem Händler, dem Inkassobüro oder dem Gericht schriftlich und unverzüglich, am besten nachweislich. Verweisen Sie auf den Identitätsmissbrauch und legen Sie die Anzeigenbestätigung bei. Bei aggressivem Inkasso oder fragwürdigen Forderungen stützt Sie zusätzlich der Konsumentenschutz; unberechtigte Inkassokosten müssen Sie nicht akzeptieren.
Entstand durch den Missbrauch bereits ein negativer Eintrag bei einer Wirtschaftsauskunftei, lässt er sich entfernen. Beantragen Sie bei KSV1870 oder CRIF die Berichtigung und Löschung der falschen Daten, gestützt auf das Recht auf Berichtigung (Art. 16 DSGVO) und Löschung (Art. 17 DSGVO). Auch hier ist die Anzeige der Beleg. Lassen Sie das schleifen, kann ein einziger Fremdeintrag später den eigenen Kredit oder Handyvertrag kosten.
Wie groß ist das Risiko?
Die Zahlen sind unbequem. Laut dem Cybercrime-Report 2024 des Bundeskriminalamts gab es in Österreich 62.328 Anzeigen wegen Internetkriminalität, davon über 31.000 Fälle von Internetbetrug. Innenminister und Bundeskriminalamt sprechen von einer Verdoppelung der Cyberkriminalität im Fünf-Jahres-Vergleich.
| Cybercrime in Österreich (Bundeskriminalamt) | Wert |
|---|---|
| Anzeigen Internetkriminalität 2024 | 62.328 |
| davon Internetbetrug | über 31.000 |
| Entwicklung im 5-Jahres-Vergleich | etwa verdoppelt |
Hinter den Zahlen steht ein Verdacht, den Fachstellen teilen: Die Dunkelziffer ist hoch, weil viele Betroffene aus Scham oder Unsicherheit keine Anzeige erstatten. Genau das ist der Fehler. Ohne Anzeige gibt es keine Bestätigung - und ohne Bestätigung lassen sich Forderungen und falsche Einträge nur schwer abwehren.
Vorbeugen: so schützen Sie Ihre Identität
Die meisten Fälle lassen sich mit wenigen Gewohnheiten verhindern. Die offizielle Empfehlung von onlinesicherheit.gv.at lässt sich auf einen Kern eindampfen:
- Ein Passwort pro Dienst, verwaltet in einem Passwort-Manager - kein Mehrfachgebrauch.
- Multi-Faktor-Authentifizierung überall aktivieren, wo es möglich ist. Sie ist der wirksamste Einzelschutz.
- Datensparsamkeit: nur die Daten herausgeben, die wirklich nötig sind.
- Ausweiskopien nur mit Wasserzeichen und Verwendungszweck, nie unverschlüsselt per Mail.
- Keine sensiblen Daten auf Zuruf - weder am Telefon noch über Links in E-Mails oder SMS.
- Konten regelmäßig prüfen und nicht mehr genutzte Accounts löschen.
Manche Anbieter werben mit einer eigenen Datenmissbrauch- oder Cyber-Versicherung, die Folgekosten und Rechtsbeistand nach einem Identitätsdiebstahl abdeckt. Für die meisten Privatpersonen ist sie kein Muss - die wirksame Vorsorge sind starke Passwörter und Zwei-Faktor-Schutz, nicht eine Polizze. Sinnvoll kann sie sein, wenn man beruflich stark exponiert ist oder bereits einmal betroffen war.
Ein konkreter Routinetipp: Prüfen Sie ein- bis zweimal im Jahr auf haveibeenpwned.com oder leakchecker.uni-bonn.de, ob Ihre E-Mail-Adresse in einem bekannten Datenleck auftaucht. Taucht sie auf, ändern Sie sofort die betroffenen Passwörter. Wer regelmäßige Ratenkäufe nutzt, sollte zusätzlich die Buy-now-pay-later-Konten im Blick behalten - sie sind ein beliebtes Ziel, weil sie ohne Vorabzahlung funktionieren.
Wenn aus Datenmissbrauch Schulden werden
Im schlimmsten Verlauf bleibt trotz Widerspruch eine Forderung offen, oder mehrere Verträge wurden in Ihrem Namen geschlossen. Dann ist das kein reines Cyber-Problem mehr, sondern ein finanzielles. Lassen Sie es nicht so weit kommen, dass Mahnungen zu Exekutionen werden.
Für die finanzielle Seite gibt es kostenlose Hilfe: Die staatlich anerkannte Schuldenberatung unterstützt auch dann, wenn Schulden durch fremdes Verschulden entstanden sind, und prüft jede Forderung auf ihre Berechtigung. Eskaliert die Lage trotz allem, klärt der Beitrag zum Privatkonkurs den letzten Ausweg. Der bessere Weg bleibt aber immer der frühe: anzeigen, widersprechen, dokumentieren - bevor aus gestohlenen Daten ein finanzieller Scherbenhaufen wird.
Häufig gestellte Fragen
Was tun bei Identitätsdiebstahl in Österreich?
Sofort handeln: betroffene Passwörter ändern und Zwei-Faktor-Schutz aktivieren, verdächtige Abbuchungen bei der Bank reklamieren und rückbuchen lassen, bei der Polizei Anzeige erstatten und unberechtigten Forderungen schriftlich widersprechen.
Muss ich für Bestellungen zahlen, die jemand mit meinen Daten gemacht hat?
Nein. Wer eine Bestellung nicht selbst getätigt hat, ist daran nicht gebunden - es kommt kein gültiger Vertrag zustande. Widersprechen Sie Mahnung oder Inkasso schriftlich und verweisen Sie auf den Identitätsmissbrauch samt Anzeige.
Wie erkenne ich, ob meine Daten gestohlen wurden?
Warnzeichen sind fehlende Post von Bank oder Behörden, unbekannte Abbuchungen, Mahnungen für nie bestellte Ware und Login-Warnungen. Prüfen Sie Ihre E-Mail-Adresse auf haveibeenpwned.com oder leakchecker.uni-bonn.de auf bekannte Datenlecks.
Wo erstatte ich Anzeige wegen Identitätsdiebstahl?
Bei jeder Polizeidienststelle. Bringen Sie Ausweis und alle Belege mit (Mahnungen, Screenshots, Kontoauszüge). Die Bestätigung der Anzeige brauchen Sie, um Forderungen abzuwehren und falsche Bonitätseinträge löschen zu lassen.
Wie bekomme ich falsche Einträge bei der Bonitätsauskunft weg?
Beantragen Sie bei der Wirtschaftsauskunftei (z. B. KSV1870, CRIF) die Berichtigung oder Löschung der durch Identitätsmissbrauch entstandenen Einträge - gestützt auf Art. 16 und 17 DSGVO. Die Anzeigenbestätigung dient als Nachweis.
Wie schütze ich mich vor Identitätsdiebstahl?
Für jeden Dienst ein eigenes Passwort plus Passwort-Manager, überall Multi-Faktor-Authentifizierung, Datensparsamkeit, Ausweiskopien nur mit Wasserzeichen und Verwendungszweck, keine sensiblen Daten auf Zuruf per Telefon oder Link weitergeben.
Chefredakteur finanzguide.at