# 89 Millionen Euro Schaden: Was ICT-Risikokontrollen übersehen > Der Beitrag von Swiss GRC erklärt, warum Überweisungsbetrug in Österreich 2025 mit rund 89 Millionen Euro den grössten Teil des Schadens verursachte. Er richtet sich an Finanzunternehmen und zeigt, wie sich ICT-Risikokontrollen unter DORA durch realistische Tests prüfen lassen. - URL: https://swissgrc.com/89-millionen-euro-schaden-ict-risikokontrollen-dora/ - Herausgeber: SwissGRC® - Veröffentlicht: 2026-08-21 - Zuletzt aktualisiert: 2026-08-27 ## Kernaussagen - Die Oesterreichische Nationalbank registrierte für 2025 einen Zahlungsverkehrsbetrug von 115,4 Millionen Euro, ein Anstieg von 17,6 Prozent gegenüber dem Vorjahr. - Überweisungen machten neun Prozent der Betrugsfälle aus, verursachten aber rund 89 Millionen Euro und damit 78 Prozent des Gesamtschadens. - In 83 Prozent der Überweisungsfälle waren Social-Engineering-Angriffe verantwortlich, bei denen die Opfer die Zahlung selbst freigeben. - Der durchschnittliche Verlust liegt bei Überweisungen bei rund 3.000 Euro, bei Kartenzahlungen bei rund 75 Euro je Fall. - Nach Artikel 6 Absatz 4 der DORA-Verordnung müssen Finanzunternehmen für die IKT-Risikokontrollfunktion ein angemessenes Mass an Unabhängigkeit sicherstellen. - Swiss GRC empfiehlt, Rückrufpflicht, Schwellenwerte und Eskalationsweg einzeln zu prüfen und in der nächsten IKS-Prüfrunde einen simulierten CEO-Fraud-Testfall durchzuführen. Die Oesterreichische Nationalbank hat für 2025 einen Zahlungsverkehrsbetrug von insgesamt 115,4 Millionen Euro registriert, ein Anstieg von 17,6 Prozent gegenüber dem Vorjahr. Überweisungen machten dabei nur neun Prozent der Betrugsfälle aus, verursachten aber rund 89 Millionen Euro und damit 78 Prozent des Gesamtschadens. Verantwortlich waren in 83 Prozent dieser Fälle Social-Engineering-Angriffe, bei denen die Opfer die Zahlung selbst freigeben. Für die ICT-Risikokontrollen unter DORA liegt darin eine Lehre, die reine Kontrolldokumentation nicht sichtbar macht. Kurz zusammengefasst Ein aktueller Betrugsbericht zeigt, dass Social-Engineering-Angriffe auf Überweisungen zwar selten, aber besonders teuer sind. Die Lehre für die Kontrolllandschaft: Dokumentierte Kontrollen wie das Vier-Augen-Prinzip sagen nichts darüber aus, ob sie unter Zeitdruck tatsächlich greifen. Wirksamkeit lässt sich nur durch realistische Tests prüfen, nicht durch Prozessbeschreibungen allein. 89Mio. Euro Schaden durch betrügerische Überweisungen in Österreich 2025 Oesterreichische Nationalbank, zitiert nach Meinbezirk.at 83% Anteil der Überweisungsverluste, die auf Social Engineering zurückgehen Oesterreichische Nationalbank, zitiert nach Meinbezirk.at 3.000Euro Durchschnittlicher Verlust pro betrügerischer Überweisung 2025 Oesterreichische Nationalbank, zitiert nach Leadersnet.at ## Warum verursachen wenige Überweisungsfälle den grössten Schaden? Weil der durchschnittliche Verlust pro betrügerischer Überweisung mit rund 3.000 Euro weit über dem einer Kartenzahlung liegt und in Einzelfällen die Millionengrenze überschreitet. Neun von zehn Betrugsfällen betrafen laut Oesterreichischer Nationalbank Kartenzahlungen mit einem durchschnittlichen Verlust von rund 75 Euro je Fall. Bei Überweisungen lag der Schnitt bei rund 3.000 Euro, in Einzelfällen bei mehr als einer Million Euro. Gemessen an der Zahl der Transaktionen liegt die österreichische Betrugsrate bei Überweisungen mit 0,004 Prozent doppelt so hoch wie im EU-Durchschnitt. Diese Verteilung folgt einem Muster, das in vielen Risikoregistern unterrepräsentiert ist: hohe Frequenz bei niedrigem Einzelschaden gegenüber niedriger Frequenz bei hohem Einzelschaden. Kontrollkataloge, die primär an Fallzahlen kalibriert sind, unterschätzen leicht das zweite Muster, obwohl es den grösseren Teil der Schadenssumme trägt. ## Was hat Social Engineering mit dem ICT-Risikorahmen von DORA zu tun? DORA verlangt eine unabhängige IKT-Risikokontrollfunktion, doch diese überwacht in erster Linie technische und prozessuale Kontrollen, nicht den Moment, in dem eine autorisierte Person eine Zahlung selbst freigibt. Gemäss Artikel 6 Absatz 4 der DORA-Verordnung müssen Finanzunternehmen für ihre IKT-Risikokontrollfunktion ein angemessenes Mass an Unabhängigkeit sicherstellen, umgesetzt über eine Trennung von Risikomanagement-, Kontroll- und Revisionsfunktionen nach dem Modell der drei Verteidigungslinien, wie die österreichische Finanzmarktaufsicht FMA erläutert. Social Engineering unterläuft diese Struktur, ohne sie formal zu verletzen: Die Person, die die Zahlung freigibt, handelt innerhalb ihrer Befugnisse, getäuscht durch eine vorgetäuschte Dringlichkeit. Wie [ISMS: Menschen, Prozesse und Technologie sind entscheidend](https://swissgrc.com/isms-menschen-prozesse-und-technologie-sind-entscheidend-2/) beschreibt, ist eine technische Kontrolle nur so wirksam wie das Verhalten der Person, die sie im Ernstfall bedient. ## Warum macht Dokumentation eine Kontrolllücke nicht sichtbar? Weil ein dokumentiertes Vier-Augen-Prinzip in jeder Prüfungsakte vollständig aussieht, aber nichts darüber aussagt, ob es unter Zeitdruck und vermeintlicher Dringlichkeit tatsächlich eingehalten wird. Ein Kontrollregister bestätigt die Existenz eines Prozessschritts, nicht seine Wirkung im konkreten Angriffsszenario. Wie der Beitrag [Risikomanagement dient der Zielerreichung, nicht sich selbst](https://swissgrc.com/risikomanagement-dient-der-zielerreichung-nicht-sich-selbst/) einordnet, verfehlt ein System seinen Zweck, wenn es auf dem Papier vollständig ist, aber operativ nie unter realen Bedingungen getestet wurde. Erst eine gezielte Prüfung zeigt, ob eine Rückrufpflicht bei geänderten Kontodaten tatsächlich eingehalten wird oder ob Ausnahmegenehmigungen unter Zeitdruck stillschweigend zur Regel werden. Genau dieser Unterschied zwischen dokumentierter und gelebter Kontrolle bleibt in einem Standardaudit oft unentdeckt. ## Welche konkreten Kontrollelemente sollte der Betrieb jetzt prüfen? Drei Elemente zeigen im Ernstfall am ehesten, ob die Freigabekette hält: der Rückrufkanal, die Schwellenwertlogik und der Eskalationsweg. Diese drei Elemente lassen sich einzeln überprüfen und liefern damit belastbarere Aussagen als eine reine Prozessbeschreibung. - Rückrufpflicht: Besteht bei geänderten Zahlungsdaten eine Pflicht zur Verifikation über einen zweiten, unabhängigen Kanal, und wird diese Pflicht stichprobenartig geprüft? - Schwellenwerte: Werden Überweisungen ab einer festgelegten Höhe unabhängig von Tageszeit und vorgetäuschter Dringlichkeit manuell gegengeprüft? - Eskalation: Können Mitarbeitende eine Zahlung anhalten, ohne dass dies als Vertrauensbruch gegenüber einer vermeintlichen Führungsperson gewertet wird? ## Was ist der nächste Schritt für die eigene Kontrolllandschaft? Die interne Revision sollte im nächsten Prüfzyklus einen simulierten Social-Engineering-Testfall für die Zahlungsfreigabe durchführen, statt sich auf eine Bestätigung der Prozessdokumentation zu beschränken. Der Gedanke der [FINMA-Aufsichtsmitteilung 05/2025 als Weckruf zu Resilience by Design](https://swissgrc.com/finma-aufsichtsmitteilung-05-2025-als-weckruf-zu-resilience-by-design/), Resilienz von Beginn an in Prozesse einzubauen statt sie nachträglich zu prüfen, lässt sich direkt auf Zahlungsfreigaben übertragen. Ein konkreter erster Schritt ist ein simulierter CEO-Fraud-Testfall in der nächsten IKS-Prüfrunde, gemeinsam verantwortet von interner Revision und dem Team für Zahlungsverkehr, mit Auswertung der tatsächlichen Reaktionszeit und Eskalationswege statt nur der Prozessunterlagen. Passend dazu ### Kontrollen wirksam prüfen statt nur dokumentieren Das Modul unterstützt Planung und Nachverfolgung von Wirksamkeitstests für Kontrollen wie Zahlungsfreigaben. Testergebnisse und Massnahmen bleiben nachvollziehbar dokumentiert. [Internes Kontrollsystem](https://swissgrc.com/iks-software/) Für die Praxis ## Das Wichtigste in Kürze - Wenige Fälle mit hohem Einzelschaden verursachen bei Überweisungsbetrug den grössten Anteil der Gesamtsumme, nicht die Masse der Kleinbetrugsfälle. - Eine dokumentierte IKT-Risikokontrollfunktion nach DORA deckt Social Engineering nur ab, wenn Prozesse wie Rückruf und Eskalation regelmässig unter realistischen Bedingungen getestet werden. - Die interne Revision sollte Wirksamkeitstests für Zahlungsfreigaben statt reiner Dokumentenprüfungen in den nächsten Prüfzyklus aufnehmen. - Schwellenwerte und Rückrufpflichten sind nur so belastbar, wie sie unter Zeitdruck tatsächlich durchgesetzt werden. FAQ ## Häufige Fragen ### Wie hoch war der Zahlungsverkehrsbetrug in Österreich 2025 insgesamt? Die Oesterreichische Nationalbank registrierte für 2025 einen Gesamtschaden von 115,4 Millionen Euro, ein Anstieg von 17,6 Prozent gegenüber dem Vorjahr. Überweisungen machten nur neun Prozent der Fälle aus, verursachten aber rund 89 Millionen Euro und damit 78 Prozent der Schadenssumme. ### Was unterscheidet den durchschnittlichen Schaden bei Kartenbetrug von Überweisungsbetrug? Kartenzahlungen machten neun von zehn Betrugsfällen aus, mit einem durchschnittlichen Verlust von rund 75 Euro pro Fall. Bei Überweisungen lag der Durchschnitt bei rund 3.000 Euro, in Einzelfällen bei über einer Million Euro, weshalb wenige Fälle den grössten Schadensanteil verursachen. ### Warum verhindert ein dokumentiertes Vier-Augen-Prinzip Social Engineering nicht zuverlässig? Die freigebende Person handelt formal innerhalb ihrer Befugnisse, wird aber durch vorgetäuschte Dringlichkeit getäuscht. Ein Kontrollregister bestätigt nur die Existenz des Prozessschritts, nicht seine tatsächliche Einhaltung unter Zeitdruck im konkreten Angriffsszenario. ### Welche Rolle sollte die interne Revision bei der Prüfung von Zahlungsfreigaben übernehmen? Die interne Revision sollte im nächsten Prüfzyklus einen simulierten Social-Engineering-Testfall für die Zahlungsfreigabe durchführen, gemeinsam mit dem Team für Zahlungsverkehr, und dabei tatsächliche Reaktionszeiten und Eskalationswege auswerten statt nur die Prozessdokumentation zu bestätigen. ### Welche drei Kontrollelemente zeigen im Ernstfall, ob eine Freigabekette hält? Massgeblich sind die Rückrufpflicht bei geänderten Zahlungsdaten über einen zweiten Kanal, die Schwellenwertlogik für die manuelle Gegenprüfung ab einer festgelegten Betragshöhe und ein Eskalationsweg, der Mitarbeitenden erlaubt, eine Zahlung ohne Vertrauensbruch anzuhalten. Quellen 1. [DORA – IKT-Risikomanagement](https://www.fma.gv.at/querschnittsthemen/dora/dora-ikt-risiko-management/)Finanzmarktaufsicht Österreich (FMA) 2. [OeNB-Report: Zahlungsbetrug verursachte im Vorjahr 115 Millionen Euro Schaden](https://www.meinbezirk.at/c-wirtschaft/zahlungsbetrug-verursachte-im-vorjahr-115-millionen-euro-schaden_a8857823)MeinBezirk.at ## Häufige Fragen ### Wie hoch war der Zahlungsverkehrsbetrug in Österreich 2025? Die Oesterreichische Nationalbank registrierte für 2025 einen Gesamtschaden von 115,4 Millionen Euro, 17,6 Prozent mehr als im Vorjahr. Überweisungen machten neun Prozent der Fälle aus, verursachten aber rund 89 Millionen Euro oder 78 Prozent der Schadenssumme. ### Warum verursachen wenige Überweisungsfälle den grössten Betrugsschaden? Der durchschnittliche Verlust pro betrügerischer Überweisung liegt bei rund 3.000 Euro und damit weit über den rund 75 Euro bei Kartenzahlungen. In Einzelfällen überschreitet er sogar eine Million Euro. ### Warum verhindert ein dokumentiertes Vier-Augen-Prinzip Social Engineering nicht zuverlässig? Die freigebende Person handelt formal innerhalb ihrer Befugnisse und wird durch vorgetäuschte Dringlichkeit getäuscht. Ein Kontrollregister bestätigt nur, dass der Prozessschritt existiert, nicht dass er unter Zeitdruck eingehalten wird. ### Welche Kontrollelemente zeigen, ob eine Zahlungsfreigabe im Ernstfall hält? Der Beitrag nennt drei Elemente: die Rückrufpflicht über einen zweiten, unabhängigen Kanal, die manuelle Gegenprüfung ab einer festgelegten Betragshöhe und einen Eskalationsweg, mit dem Mitarbeitende eine Zahlung anhalten können, ohne dass dies als Vertrauensbruch gilt. ### Was sollte die interne Revision im nächsten Prüfzyklus tun? Sie sollte einen simulierten Social-Engineering-Testfall für die Zahlungsfreigabe durchführen, gemeinsam mit dem Team für Zahlungsverkehr. Ausgewertet werden die tatsächliche Reaktionszeit und die Eskalationswege statt nur die Prozessunterlagen.