Alexander Tampier
19. Juni 2026 · 13 Min. Lesezeit
Scam-Schäden in Europa: GASA 2026 für KMU
GASA 2026 nennt rund 50 Mrd. Euro Scam-Schäden in Europa. Österreichische KMU brauchen Awareness plus Prozesse gegen Betrugsrisiken.
Scams sind kein Randthema mehr, sondern ein messbares Geschäftsrisiko. Die GASA-Studie 2026 befragte 22.260 Erwachsene in Europa und zeigt: 75 % hatten im vergangenen Jahr Kontakt mit einem Scam (GASA, 2026). Für österreichische KMU zählt deshalb nicht nur, ob Mitarbeitende Betrug erkennen. Entscheidend ist, ob Prozesse Fehler abfangen, bevor Geld, Daten oder Zugänge verloren gehen.
Key Takeaways
- Europa verlor laut GASA-Bericht rund 50 Milliarden Euro durch Scams.
- Awareness reicht nicht, weil 71 % sich sicher fühlen, aber Interaktion und Verluste trotzdem auftreten.
- KMU brauchen Freigabeprozesse, Rückrufregeln, MFA, Stammdatenkontrollen und klare Meldewege.
Was zeigen die Scam-Schäden in Europa laut GASA 2026?
Die GASA-Studie beziffert die europäischen Scam-Verluste auf rund 50 Milliarden Euro in zwölf Monaten, wie Deutsche Welle unter Bezug auf GASA berichtet (Deutsche Welle, 2026). Für KMU bedeutet das: Betrugsversuche sind kein Verbraucherproblem, sondern ein Marktphänomen mit direkter Relevanz für Zahlungs-, Daten- und Identitätsprozesse.
Die Zahl wird in manchen Briefings als Größenordnung von 49 bis 50 Milliarden Euro diskutiert. Die hier verifizierte Quelle nennt jedoch „around €50 billion“ für die untersuchten europäischen Länder. Dieser Unterschied ist wichtig, weil es sich um eine gerundete Schätzung handelt, nicht um eine buchhalterisch exakte Schadenssumme.
GASA meldet außerdem, dass 75 % der Befragten im vergangenen Jahr einen Scam wahrgenommen haben. E-Mail, Telefon und SMS waren die wichtigsten Einstiegspunkte (GASA, 2026). Genau diese Kanäle sind auch im KMU-Alltag zentral: Rechnungen, Freigaben, Lieferantenkommunikation und Support-Anfragen laufen häufig dort zusammen.
Für Geschäftsführungen liegt die Kernaussage nicht in der Gesamtsumme. Sie liegt im Muster: Scams greifen dort an, wo Kommunikation, Vertrauen und Geschwindigkeit zusammenkommen. Das sind Managementprozesse, nicht nur IT-Systeme.
Wie sich Geschäftsführerbetrug konkret abspielt und mit klaren Freigabeprozessen stoppen lässt, zeigt der Beitrag CEO-Fraud: So schützen sich österreichische KMU.
Citation Capsule: Die GASA-Studie 2026 erfasste 22.260 Erwachsene in Europa und fand, dass 75 % im Vorjahr einen Scam erlebt hatten. Deutsche Welle berichtete unter Bezug auf GASA über rund 50 Milliarden Euro Verluste in zwölf Monaten (GASA, 2026; Deutsche Welle, 2026).
Quelle: GASA, State of Scams in Europe 2026. Gestaltung nach ClickWise Warm Trust: forest, lime, warm-white, moderate Rundungen.
Warum schützt Awareness allein nicht vor Scam-Schäden?
Awareness allein reicht nicht, weil 71 % der Befragten laut GASA überzeugt sind, Scams erkennen zu können, aber 8 % der Exponierten dennoch interagierten und 6 % finanzielle oder datenbezogene Verluste erlitten (GASA, 2026). Für KMU muss Schulung daher durch Prozesskontrollen ergänzt werden.
Diese Lücke zwischen Selbstvertrauen und Verhalten ist für Unternehmen besonders relevant. Wer sich sicher fühlt, überspringt eher Rückfragen. Das kann bei einer gefälschten Lieferantenrechnung, einer angeblichen Bankmeldung oder einer dringenden Nachricht der Geschäftsführung teuer werden.
Die GASA-Zahlen zeigen zudem: Von Personen, die mit einem Scam interagierten, erlitten 22 % finanzielle oder datenbezogene Verluste (Deutsche Welle, 2026). Eine einzelne Interaktion ist also nicht harmlos. Sie kann Zahlung, Zugangsdaten oder interne Informationen betreffen.
In der Praxis zeigt sich häufig ein wiederkehrendes Muster: Mitarbeitende erkennen auffällige Nachrichten nach Schulungen besser, aber sie brauchen klare Entscheidungspfade für Grenzfälle. Eine getestete Regel wie „Zahlungsdaten nie ohne Rückruf ändern“ wirkt oft stärker als ein weiteres Merkblatt.
Wie sich rollenspezifische Schulungen und Simulationen budgetieren und messbar machen lassen, zeigt der Leitfaden zu Awareness-Training-Kosten für KMU.
Citation Capsule: GASA 2026 zeigt eine deutliche Awareness-Lücke: 71 % der Befragten trauen sich zu, Scams zu erkennen, dennoch interagierten 8 % der Exponierten mit Betrüger:innen und 6 % erlitten finanzielle oder datenbezogene Verluste (GASA, 2026).
Welche Scam-Risiken treffen österreichische KMU konkret?
Österreichische KMU sollten Scam-Risiken in Zahlungs-, Identitäts- und Supportprozessen suchen, weil 34.069 Fälle von Internetbetrug im Jahr 2023 angezeigt wurden (BKA/BMI Cybercrime Report, 2023). Der KMU-Bezug entsteht besonders bei Rechnungsbetrug, CEO-Fraud, Lieferanten-Imitation, Payroll-Änderungen und gefälschtem IT-Support. Viele dieser Angriffe sind gezielt auf einzelne Rollen zugeschnitten; die Mechanik dahinter erklärt der Beitrag Was ist Spear Phishing?.
Die österreichischen Zahlen brauchen Kontext. Der Internetbetrug stieg 2023 österreichweit um 23,3 % auf 34.069 angezeigte Fälle (BKA/BMI Cybercrime Report, 2023). Die oft zitierte Steigerung von 32,6 % bezieht sich nur auf Tirol, von 2.230 Fällen 2022 auf 2.957 Fälle 2023 (BKA/BMI PKS, 2023).
Für 2024 meldete das BKA 31.768 Internetbetrugsfälle, ein Rückgang von 6,8 % gegenüber 2023, bei 62.328 Cybercrime-Anzeigen insgesamt (BKA Cybercrime Report, 2024). Das ist eine Entspannung gegenüber dem Vorjahr, aber kein Signal zur Entwarnung.
KMU sollten diese Daten nüchtern lesen. Eine sinkende Fallzahl kann viele Ursachen haben: verändertes Anzeigeverhalten, bessere Prävention, andere Täterstrategien oder Verschiebungen zwischen Deliktsarten. Für das einzelne Unternehmen bleibt die Frage gleich: Welche Anfrage könnte bei uns eine Zahlung, ein Konto oder eine Identität verändern?
Citation Capsule: In Österreich wurden 2023 insgesamt 34.069 Internetbetrugsfälle angezeigt, ein Plus von 23,3 % zum Vorjahr. 2024 sank die Zahl auf 31.768 Fälle, während Cybercrime-Anzeigen insgesamt bei 62.328 lagen (BKA/BMI Cybercrime Report, 2023; BKA Cybercrime Report, 2024).
Quellen: BKA/BMI Cybercrime Report 2023 und BKA Cybercrime Report 2024. Balken zeigen angezeigte Internetbetrugsfälle, nicht Gesamtschäden.
Scam-Schäden in Europa als Management-Risiko übersetzen
KMU sollten Scam-Schäden in Europa als Managementrisiko behandeln, weil GASA nur 3 % der Betroffenen als meldend ausweist (GASA, 2026). Wenn Vorfälle selten gemeldet werden, fehlt der Geschäftsführung ein realistisches Lagebild über Angriffswege, Prozesslücken und wiederkehrende Entscheidungsfehler.
Das Management muss deshalb zuerst definieren, welche Entscheidungen nicht allein getroffen werden dürfen. Dazu gehören neue Lieferantenbankdaten, ungewöhnliche Vorauszahlungen, dringende Auslandsüberweisungen, Payroll-Änderungen und Zugriffsfreigaben für externe Tools.
Eine gute Scam-Kontrolle ist kein Misstrauen gegenüber Mitarbeitenden. Sie ist eine Entlastung. Wenn Regeln klar sind, muss niemand unter Zeitdruck entscheiden, ob eine Nachricht der Geschäftsführung echt ist. Der Prozess nimmt Druck aus der Situation.
Besonders wirksam sind Rückrufregeln auf bekannten Nummern. Eine Telefonnummer aus der verdächtigen E-Mail darf dabei nie verwendet werden. Die richtige Nummer stammt aus dem ERP, dem bestehenden Lieferantenakt oder einem bereits verifizierten Kontaktverzeichnis.
Citation Capsule: GASA 2026 berichtet, dass nur 3 % der Scam-Vorfälle an Behörden gemeldet wurden. Für KMU bedeutet diese niedrige Meldequote, dass interne Reportingwege, einfache Eskalationsregeln und eine nicht strafende Fehlerkultur für ein realistisches Risikobild notwendig sind (GASA, 2026).
Welche Kontrollen senken das Risiko am stärksten?
Die wirksamsten Kontrollen kombinieren Technik, Prozess und Training, weil der durchschnittliche Scam-Verlust laut Deutsche Welle unter Bezug auf GASA bei 2.369 Euro lag (Deutsche Welle, 2026). KMU sollten daher nicht auf Einzelmaßnahmen setzen, sondern mehrere kleine Hürden vor Zahlung, Datenänderung und Login setzen.
Erstens braucht es Vier-Augen-Freigaben für Zahlungen oberhalb definierter Schwellen. Die Schwelle sollte zur Unternehmensgröße passen. Wichtig ist nicht nur die zweite Freigabe, sondern die Pflicht, ungewöhnliche Empfänger, Eilaufträge und geänderte Bankdaten aktiv zu prüfen.
Zweitens sollten Lieferantenstammdaten geschützt werden. Änderungen an IBAN, Rechnungsadresse oder Kontaktperson brauchen einen dokumentierten Rückruf. Das gilt auch dann, wenn die E-Mail glaubwürdig wirkt oder der Absender bekannt erscheint.
Drittens gehört MFA auf kritische Systeme. E-Mail, Finanztools, Cloud-Speicher, Remote-Zugänge und Admin-Konten sollten nicht nur mit Passwort geschützt sein. Credential-Phishing wird gefährlicher, wenn ein gestohlenes Passwort sofort ausreicht.
Viertens brauchen Mitarbeitende rollenspezifische Simulationen. Buchhaltung, Assistenz, Geschäftsführung, HR und IT sehen unterschiedliche Betrugsvarianten. Ein generisches Training übersieht diese Unterschiede. Was hilft also wirklich? Übungen, die den eigenen Arbeitsalltag abbilden.
Citation Capsule: Deutsche Welle nennt unter Bezug auf GASA einen durchschnittlichen Scam-Verlust von 2.369 Euro und eine Rückerstattungsquote von 35 % unter Personen, die Verluste meldeten. Prävention bleibt deshalb günstiger als nachträgliche Schadensbegrenzung (Deutsche Welle, 2026).
Wie sollte ein KMU nach einem Scam-Verdacht reagieren?
Ein KMU sollte bei Scam-Verdacht sofort Zahlungen stoppen, Zugänge sichern und intern melden, weil 35 % der Personen mit gemeldeten Verlusten laut Deutsche Welle eine Rückerstattung erhielten (Deutsche Welle, 2026). Schnelle Meldung verbessert die Chancen auf Schadensbegrenzung und liefert Daten für Prävention.
Der erste Schritt ist ein definierter Stopp-Prozess. Die Buchhaltung muss wissen, wen sie bei verdächtigen Zahlungen sofort erreicht. Die IT muss wissen, welche Konten zu sperren sind. Die Geschäftsführung muss wissen, wann Bank, Versicherung, Datenschutzverantwortliche oder Behörden einzubeziehen sind.
Der zweite Schritt ist Beweissicherung. E-Mails, Header, Telefonnummern, Zahlungsdaten, Screenshots und Zeitpunkte sollten dokumentiert werden. Das hilft bei interner Analyse und bei externen Meldungen. Zugleich verhindert es, dass hektische Löschaktionen wichtige Hinweise vernichten.
Der dritte Schritt ist Lernen ohne Schuldzuweisung. Wenn Mitarbeitende Sanktionen fürchten, melden sie spät oder gar nicht. Die GASA-Meldequote von 3 % zeigt, wie stark Unterreporting sein kann (GASA, 2026). Eine klare Meldekultur ist daher Teil der Kontrolle.
Citation Capsule: Nach GASA wurden nur 3 % der Scam-Vorfälle an Behörden gemeldet, während Deutsche Welle unter Bezug auf GASA berichtet, dass 35 % der Personen mit gemeldeten Verlusten eine Rückerstattung erhielten. Schnelles Reporting kann daher finanziell relevant sein (GASA, 2026; Deutsche Welle, 2026).
FAQ zu Scam-Schäden in Europa und KMU
Was bedeutet die GASA-Studie 2026 für österreichische KMU?
Die Studie zeigt, dass Scam-Kontakt in Europa sehr verbreitet ist: 75 % der Befragten erlebten im Vorjahr einen Scam (GASA, 2026). Für KMU heißt das, Betrugsprävention muss im Tagesgeschäft verankert sein, besonders bei Zahlungen, Stammdaten und Login-Schutz.
Sind die rund 50 Milliarden Euro Scam-Schäden in Europa exakt belegt?
Die verifizierte Quelle nennt rund 50 Milliarden Euro Verluste in zwölf Monaten, nicht exakt 49 Milliarden Euro (Deutsche Welle, 2026). Der Wert sollte daher als gerundete Größenordnung verstanden werden. Für KMU bleibt die operative Lehre gleich: Scams verursachen messbare wirtschaftliche Schäden.
Warum ist Selbstvertrauen bei Scam-Erkennung riskant?
Selbstvertrauen kann trügen, weil 71 % der Befragten laut GASA überzeugt waren, Scams erkennen zu können, aber 8 % dennoch interagierten (GASA, 2026). KMU sollten deshalb Awareness mit Freigabeprozessen, Rückrufen und technischen Kontrollen kombinieren.
Welche österreichische Zahl ist für Internetbetrug aktuell?
Für 2024 meldete das BKA 31.768 Internetbetrugsfälle und 62.328 Cybercrime-Anzeigen insgesamt (BKA Cybercrime Report, 2024). Im Jahr 2023 waren es 34.069 Internetbetrugsfälle. Der Rückgang 2024 ändert nichts daran, dass das absolute Niveau für Unternehmen relevant bleibt.
Autor und fachliche Einordnung
Dieser Beitrag entstand in der ClickWise-Redaktion für Cybersecurity Awareness und richtet sich an Geschäftsführung und IT-Verantwortliche in österreichischen KMU. Die Analyse stützt sich auf GASA, Deutsche Welle sowie österreichische BKA/BMI-Berichte, wurde am 19. Juni 2026 erstellt und am 14. Juli 2026 erneut fachlich geprüft.
Der Schwerpunkt liegt auf organisatorischen Kontrollen, Awareness, Meldewegen und Managemententscheidungen. Rechtliche, versicherungsbezogene oder forensische Detailfragen sollten Sie im konkreten Anlassfall mit den zuständigen Fachstellen, Ihrer Bank, Ihrer Versicherung und qualifizierten Berater:innen klären.
Fazit: Scam-Prävention ist Führungsaufgabe
Die GASA-Studie 2026 liefert keine Panikbotschaft, sondern eine Managementbotschaft. Scam-Schäden in Europa sind groß genug, um in Geschäftsführung, IT, Buchhaltung und HR gemeinsam behandelt zu werden. Awareness bleibt wichtig, aber sie ist nur der Anfang.
Österreichische KMU sollten jetzt die wenigen Prozesse prüfen, bei denen Betrug den größten Schaden auslösen kann: Zahlungen, Stammdaten, Zugangsdaten, Supportkontakte und interne Freigaben. Wer dort Rückrufregeln, Vier-Augen-Prinzip, MFA, Meldewege und rollenspezifische Übungen verbindet, senkt das Risiko ohne übertriebene Komplexität.
