Nach der Betrugsnachricht kommt der Anruf – die Freigabe braucht eine zweite Person

Eine Mail nennt einen Betrag mit Frist und verlangt, dass jemand klickt, unterschreibt oder überweist. Wer in diesem Moment allein am Schreibtisch sitzt, hat niemanden, der nachfragt.

Die Bank prüft den Namen, nicht die Forderung

Empfängerüberprüfung. Seit 9. Oktober 2025 müssen Banken im Euroraum nach der EU-Verordnung 2024/886 vor jeder SEPA-Überweisung prüfen, ob Empfängername und IBAN zusammenpassen. Bei einer Abweichung zeigt die Bank eine Warnung. Laut den Kundeninformationen von Sparkasse und Volksbank lässt sich die Überweisung trotz Warnhinweis freigeben, und Unternehmen können bei Sammelüberweisungen auf die Prüfung verzichten.

Grenze. Gegen zwei der drei Maschen unten hilft der Abgleich gar nicht. Wer Bankdaten auf einer gefälschten Seite eingibt, überweist nichts. Wer einen Vertrag mit einer real existierenden Firma unterschreibt, zahlt später an den richtigen Namen.

Drei Maschen folgen demselben Muster

• Steuererstattung per Mail. Eine Mail mit dem Absendernamen „FinanzOnline“ verspricht laut der am 23. September dokumentierten Warnung 3.612 Euro Steuererstattung binnen ein bis drei Werktagen, sobald das Bankkonto „verbunden“ sei. Der Link führt auf eine gefälschte Seite. Das Finanzministerium hält fest, dass die Finanzverwaltung per Bescheid informiert – per Post oder in die FinanzOnline-Databox.
• Eintrag in ein Register. Laut Watchlist Internet vom 30. September verschickt eine Agentur vorausgefüllte PDF-Formulare für ein „Gewerbeauskunftsregister“, Rücksendung bis 2. Oktober. Erst im Kleingedruckten steht der Basiseintrag um 98 Euro im Monat zuzüglich Mehrwertsteuer, zwei Jahre verbindlich – nach Rechnung der Watchlist über 2.800 Euro. Angeschrieben werden laut Watchlist österreichische Unternehmen, die Daten stammen aus öffentlich zugänglichen Firmenangaben. Das Register war am 30. September laut Watchlist noch leer. Der Betreiber ist nach diesen Angaben eine im Juni 2026 registrierte Firma in Murcia, Spanien. Es handelt sich also um eine Vertragsfalle mit echtem Absender.
• Neue Bankverbindung. Laut Wirtschaftskammer Oberösterreich fangen Kriminelle echte Rechnungen ab und tauschen die IBAN aus, teils mit einem Anruf zur angeblichen Kontoänderung. Das Geschäft ist echt, der Partner bekannt. Betroffen sind nach Angaben der Kammer immer öfter auch Geschäfte zwischen zwei österreichischen Unternehmen. Hier greift die Empfängerüberprüfung – solange niemand die Warnung wegklickt.

Gemeinsam ist allen drei Fällen ein konkreter Betrag mit kurzer Frist, über den eine Person allein entscheiden soll.

Nach der Nachricht kommt der Anruf

Klimabonus. Seit Monaten versprechen SMS und Mails einen angeblichen Klimabonus. Mimikama dokumentierte am 7. Oktober eine SMS, die eine Datenbestätigung bis zum selben Tag verlangte. Den Klimabonus gibt es laut klimabonus.gv.at ab 2025 nicht mehr. Offene Ansprüche aus 2022 bis 2024 lassen sich bis Ende Dezember 2027 ausschließlich über diese Website geltend machen, die Hotline ist seit 1. Juni 2026 eingestellt.

Zweite Stufe. Wie es weitergeht, zeigt ein Fall aus Kärnten. Laut Polizei gab ein 51-Jähriger im März nach einer solchen SMS seine Bankdaten ein. Einige Tage später meldete sich ein angeblicher Bankmitarbeiter und warnte ausgerechnet vor Klimabonus-Betrug. Um die Buchung rückgängig zu machen, sollte der Mann weitere Daten in eine App eingeben. Danach fehlte ein fünfstelliger Betrag auf seinem Konto. Wer nach der Nachricht schon Daten eingegeben hat, hält eine Warnung vor genau diesem Betrug für glaubwürdig, und darauf baut der Anruf auf.

Telefon. Die Freigaberegel muss deshalb ausdrücklich auch für Anrufe gelten. Auf einen Anruf hin gibt niemand einen Code weiter oder bestätigt etwas in einer App, und zurückgerufen wird nur unter der Nummer auf der Bankkarte oder im Vertrag.

Die zweite Person muss vor der Mail feststehen

Vier-Augen-Prinzip. Gemeint ist die Regel, dass eine zweite Person eine Zahlung, eine Unterschrift oder eine geänderte Bankverbindung freigibt, bevor sie wirksam wird. Sie schützt auch dort, wo die Mail echt aussieht, weil sie nicht vom Erkennen abhängt.

Kleinbetrieb. In einem Betrieb mit Inhaberin und zwei Angestellten gibt es oft keine zweite Person mit Überblick über die Zahlungen – dort übernimmt ein zweiter Prüfweg die Rolle der zweiten Person. Ich würde jede neue Bankverbindung über einen Rückruf unter der bekannten Nummer bestätigen und Formulare für Einträge, Abos oder Register erst nach einem Blick der Steuerberatung oder des Buchhaltungsbüros unterschreiben. Wer als Unternehmen bei Sammelüberweisungen auf die Empfängerüberprüfung verzichtet hat, verliert auch die Warnung der Bank.

Zeitpunkt. Die Regel muss schriftlich vorliegen, bevor die Mail kommt. Im Moment der Mail fehlt die Zeit, sie auszuhandeln – und die Frist im Betreff ist genau darauf angelegt.

Sechs Fragen vor der nächsten Zahlung

• Wer gibt im Zweifel frei, und wer vertritt diese Person im Urlaub?
• Ab welchem Betrag brauchen Zahlung oder Unterschrift eine zweite Person?
• Wie wird eine geänderte Bankverbindung bestätigt – Rückruf unter der bekannten Nummer, nicht unter der aus der Mail und nicht auf einen Anruf der angeblichen Bank hin?
• Wer darf eine Warnung der Empfängerüberprüfung übergehen, und wird das festgehalten?
• Hat der Betrieb bei Sammelüberweisungen auf die Empfängerüberprüfung verzichtet?
• Wohin geht eine verdächtige Mail, und wer informiert die anderen im Haus?

Kommunikation. Kursiert eine Fälschung im eigenen Namen, betrifft das auch Bürger, Mitglieder oder die Kundschaft. Wer dann informiert und auf welchem Kanal, gehört in denselben Ablauf wie die Freigabe.

Beispiel Deutsch-Wagram. Die Stadtgemeinde im Bezirk Gänserndorf warnte am 22. September auf ihrer Website vor Betrugsmails, die Namen oder Adressen von Bediensteten und politischen Vertretern verwenden. Offizielle Adressen enden laut Gemeinde auf @deutsch-wagram.gv.at, Nachrichten lassen sich telefonisch am Stadtamt prüfen. Laut MeinBezirk vom 6. Oktober fordern die Mails Beträge oder Gebühren; wie viele Menschen betroffen sind, kann die Gemeinde nicht sagen. Wer unsicher ist, kann die Mail an die Gemeinde weiterleiten, die IT-Abteilung prüft sie. Der Hinweis auf die eigene Domain hilft – wirksamer ist der Prüfweg, weil die Entscheidung dann nicht allein bei der Person liegt, die die Mail bekommen hat.

Absender und Betrag wechseln von Welle zu Welle. An der zweiten Freigabe scheitert jede dieser Maschen.

Peak Consulting begleitet KMU, Gemeinden, Pfarren und Vereine in Niederösterreich dabei, Freigabe- und Meldewege festzulegen, bevor der Ernstfall eintritt. Norbert Oberndorfer erarbeitet mit Ihnen den Ablauf und die Texte, mit denen Sie Kundschaft, Mitglieder oder Bürger informieren.