89 Millionen Euro Schaden: Was ICT-Risikokontrollen übersehen

Die Oesterreichische Nationalbank hat für 2025 einen Zahlungsverkehrsbetrug von insgesamt 115,4 Millionen Euro registriert, ein Anstieg von 17,6 Prozent gegenüber dem Vorjahr. Überweisungen machten dabei nur neun Prozent der Betrugsfälle aus, verursachten aber rund 89 Millionen Euro und damit 78 Prozent des Gesamtschadens. Verantwortlich waren in 83 Prozent dieser Fälle Social-Engineering-Angriffe, bei denen die Opfer die Zahlung selbst freigeben. Für die ICT-Risikokontrollen unter DORA liegt darin eine Lehre, die reine Kontrolldokumentation nicht sichtbar macht.

Warum verursachen wenige Überweisungsfälle den grössten Schaden?

Weil der durchschnittliche Verlust pro betrügerischer Überweisung mit rund 3.000 Euro weit über dem einer Kartenzahlung liegt und in Einzelfällen die Millionengrenze überschreitet. Neun von zehn Betrugsfällen betrafen laut Oesterreichischer Nationalbank Kartenzahlungen mit einem durchschnittlichen Verlust von rund 75 Euro je Fall. Bei Überweisungen lag der Schnitt bei rund 3.000 Euro, in Einzelfällen bei mehr als einer Million Euro. Gemessen an der Zahl der Transaktionen liegt die österreichische Betrugsrate bei Überweisungen mit 0,004 Prozent doppelt so hoch wie im EU-Durchschnitt. Diese Verteilung folgt einem Muster, das in vielen Risikoregistern unterrepräsentiert ist: hohe Frequenz bei niedrigem Einzelschaden gegenüber niedriger Frequenz bei hohem Einzelschaden. Kontrollkataloge, die primär an Fallzahlen kalibriert sind, unterschätzen leicht das zweite Muster, obwohl es den grösseren Teil der Schadenssumme trägt.

Was hat Social Engineering mit dem ICT-Risikorahmen von DORA zu tun?

DORA verlangt eine unabhängige IKT-Risikokontrollfunktion, doch diese überwacht in erster Linie technische und prozessuale Kontrollen, nicht den Moment, in dem eine autorisierte Person eine Zahlung selbst freigibt. Gemäss Artikel 6 Absatz 4 der DORA-Verordnung müssen Finanzunternehmen für ihre IKT-Risikokontrollfunktion ein angemessenes Mass an Unabhängigkeit sicherstellen, umgesetzt über eine Trennung von Risikomanagement-, Kontroll- und Revisionsfunktionen nach dem Modell der drei Verteidigungslinien, wie die österreichische Finanzmarktaufsicht FMA erläutert. Social Engineering unterläuft diese Struktur, ohne sie formal zu verletzen: Die Person, die die Zahlung freigibt, handelt innerhalb ihrer Befugnisse, getäuscht durch eine vorgetäuschte Dringlichkeit. Wie ISMS: Menschen, Prozesse und Technologie sind entscheidend beschreibt, ist eine technische Kontrolle nur so wirksam wie das Verhalten der Person, die sie im Ernstfall bedient.

Warum macht Dokumentation eine Kontrolllücke nicht sichtbar?

Weil ein dokumentiertes Vier-Augen-Prinzip in jeder Prüfungsakte vollständig aussieht, aber nichts darüber aussagt, ob es unter Zeitdruck und vermeintlicher Dringlichkeit tatsächlich eingehalten wird. Ein Kontrollregister bestätigt die Existenz eines Prozessschritts, nicht seine Wirkung im konkreten Angriffsszenario. Wie der Beitrag Risikomanagement dient der Zielerreichung, nicht sich selbst einordnet, verfehlt ein System seinen Zweck, wenn es auf dem Papier vollständig ist, aber operativ nie unter realen Bedingungen getestet wurde. Erst eine gezielte Prüfung zeigt, ob eine Rückrufpflicht bei geänderten Kontodaten tatsächlich eingehalten wird oder ob Ausnahmegenehmigungen unter Zeitdruck stillschweigend zur Regel werden. Genau dieser Unterschied zwischen dokumentierter und gelebter Kontrolle bleibt in einem Standardaudit oft unentdeckt.

Welche konkreten Kontrollelemente sollte der Betrieb jetzt prüfen?

Drei Elemente zeigen im Ernstfall am ehesten, ob die Freigabekette hält: der Rückrufkanal, die Schwellenwertlogik und der Eskalationsweg. Diese drei Elemente lassen sich einzeln überprüfen und liefern damit belastbarere Aussagen als eine reine Prozessbeschreibung.

• Rückrufpflicht: Besteht bei geänderten Zahlungsdaten eine Pflicht zur Verifikation über einen zweiten, unabhängigen Kanal, und wird diese Pflicht stichprobenartig geprüft?
• Schwellenwerte: Werden Überweisungen ab einer festgelegten Höhe unabhängig von Tageszeit und vorgetäuschter Dringlichkeit manuell gegengeprüft?
• Eskalation: Können Mitarbeitende eine Zahlung anhalten, ohne dass dies als Vertrauensbruch gegenüber einer vermeintlichen Führungsperson gewertet wird?

Was ist der nächste Schritt für die eigene Kontrolllandschaft?

Die interne Revision sollte im nächsten Prüfzyklus einen simulierten Social-Engineering-Testfall für die Zahlungsfreigabe durchführen, statt sich auf eine Bestätigung der Prozessdokumentation zu beschränken. Der Gedanke der FINMA-Aufsichtsmitteilung 05/2025 als Weckruf zu Resilience by Design, Resilienz von Beginn an in Prozesse einzubauen statt sie nachträglich zu prüfen, lässt sich direkt auf Zahlungsfreigaben übertragen. Ein konkreter erster Schritt ist ein simulierter CEO-Fraud-Testfall in der nächsten IKS-Prüfrunde, gemeinsam verantwortet von interner Revision und dem Team für Zahlungsverkehr, mit Auswertung der tatsächlichen Reaktionszeit und Eskalationswege statt nur der Prozessunterlagen.

FAQ

Häufige Fragen

Wie hoch war der Zahlungsverkehrsbetrug in Österreich 2025 insgesamt?

 

Die Oesterreichische Nationalbank registrierte für 2025 einen Gesamtschaden von 115,4 Millionen Euro, ein Anstieg von 17,6 Prozent gegenüber dem Vorjahr. Überweisungen machten nur neun Prozent der Fälle aus, verursachten aber rund 89 Millionen Euro und damit 78 Prozent der Schadenssumme.

Was unterscheidet den durchschnittlichen Schaden bei Kartenbetrug von Überweisungsbetrug?

 

Kartenzahlungen machten neun von zehn Betrugsfällen aus, mit einem durchschnittlichen Verlust von rund 75 Euro pro Fall. Bei Überweisungen lag der Durchschnitt bei rund 3.000 Euro, in Einzelfällen bei über einer Million Euro, weshalb wenige Fälle den grössten Schadensanteil verursachen.

Warum verhindert ein dokumentiertes Vier-Augen-Prinzip Social Engineering nicht zuverlässig?

 

Die freigebende Person handelt formal innerhalb ihrer Befugnisse, wird aber durch vorgetäuschte Dringlichkeit getäuscht. Ein Kontrollregister bestätigt nur die Existenz des Prozessschritts, nicht seine tatsächliche Einhaltung unter Zeitdruck im konkreten Angriffsszenario.

Welche Rolle sollte die interne Revision bei der Prüfung von Zahlungsfreigaben übernehmen?

 

Die interne Revision sollte im nächsten Prüfzyklus einen simulierten Social-Engineering-Testfall für die Zahlungsfreigabe durchführen, gemeinsam mit dem Team für Zahlungsverkehr, und dabei tatsächliche Reaktionszeiten und Eskalationswege auswerten statt nur die Prozessdokumentation zu bestätigen.

Welche drei Kontrollelemente zeigen im Ernstfall, ob eine Freigabekette hält?

 

Massgeblich sind die Rückrufpflicht bei geänderten Zahlungsdaten über einen zweiten Kanal, die Schwellenwertlogik für die manuelle Gegenprüfung ab einer festgelegten Betragshöhe und ein Eskalationsweg, der Mitarbeitenden erlaubt, eine Zahlung ohne Vertrauensbruch anzuhalten.

Quellen

1. DORA – IKT-RisikomanagementFinanzmarktaufsicht Österreich (FMA)
2. OeNB-Report: Zahlungsbetrug verursachte im Vorjahr 115 Millionen Euro SchadenMeinBezirk.at