Cybercrime in Österreich

Das Wichtigste in Kürze

• Cybercrime ist kein eigener Straftatbestand, sondern ein Sammelbegriff für eine Vielzahl von Delikten des StGB und des Nebenstrafrechts.
• Das Bundeskriminalamt zählte 2025 insgesamt 63.459 Anzeigen im Bereich Internetkriminalität; 21.988 davon entfielen auf Cybercrime im engeren Sinn.
• Der betrügerische Datenverarbeitungsmissbrauch (§ 148a StGB) ist mit 17.799 Anzeigen im Jahr 2025 das mit Abstand häufigste Delikt im engeren Sinn.
• Seit 1. Jänner 2025 bedarf die Beschlagnahme und Auswertung von Datenträgern wie Mobiltelefonen einer vorherigen gerichtlichen Bewilligung (§§ 115f ff StPO).
• Das NISG 2026 trat am 1. Oktober 2026 in Kraft und erweitert den Kreis cybersicherheitsrechtlich verpflichteter Unternehmen erheblich.
• Bei einer Datenschutzverletzung läuft parallel die 72-Stunden-Frist des Art. 33 DSGVO – unabhängig davon, ob eine Strafanzeige erstattet wird.
• Die Zahlung eines Lösegelds ist in Österreich nicht generell verboten, aber auch nicht generell erlaubt. Ob sie zulässig und wirtschaftlich vertretbar ist, ist im Einzelfall zu prüfen und zu dokumentieren – Verhandlungen mit den Angreifern sind davon unabhängig fast immer sinnvoll.
• Geschwindigkeit entscheidet. Bei Zahlungs- und Kryptotransaktionen bestimmt das Zeitfenster der ersten Stunden, ob Sicherungsmaßnahmen greifen.

Was bedeutet Cybercrime in Österreich?

Cybercrime bezeichnet Straftaten, die entweder gegen Computersysteme und Daten selbst gerichtet sind oder bei denen Informations- und Kommunikationstechnologie als Tatmittel eingesetzt wird. Ein eigener Straftatbestand „Cybercrime“ existiert im österreichischen Recht nicht.

Das Bundeskriminalamt unterscheidet – in Anlehnung an die Budapester Konvention – zwei Kategorien:

Cybercrime im engeren Sinn erfasst Angriffe, die sich gegen Netzwerke, Geräte, Dienste oder Daten richten. Typische Beispiele sind Hacking, Datenbeschädigung und DDoS-Angriffe.

Cybercrime im weiteren Sinn erfasst klassische Delikte, die mithilfe von Informations- und Kommunikationstechnologie (IKT) geplant, vorbereitet oder ausgeführt werden – vor allem Internetbetrug, aber auch Erpressung, gefährliche Drohung oder Suchtmittelhandel im Darknet.

Cybercrime in Österreich: die Zahlen 2025

Nach dem Cybercrime Report 2025 des Bundeskriminalamts wurden im Jahr 2025 in Österreich 63.459 Fälle von Internetkriminalität angezeigt. Das entspricht einem Anstieg von 1,8 Prozent gegenüber 2024. Die Aufklärungsquote sank um 0,9 Prozentpunkte auf 30,8 Prozent.

Entwicklung 2021–2025

Quelle: Bundeskriminalamt, Cybercrime Report 2025 (Polizeiliche Kriminalstatistik)

Cybercrime im engeren Sinn: Delikte im Jahresvergleich

Im engeren Sinn stiegen die Anzeigen 2025 um 8,6 Prozent auf 21.988 Fälle.

Quelle: Bundeskriminalamt, Cybercrime Report 2025

Weitere Kennzahlen aus dem Jahr 2025

• Internetbetrug (§§ 146 bis 148 StGB): 31.001 angezeigte Fälle, ein Rückgang um 2,4 Prozent gegenüber 2024.
• Cyber Trading Fraud: Die Schadenssumme belief sich nach Angaben des Bundeskriminalamts auf rund 120 Millionen Euro. Das Bundeskriminalamt hat dafür eine eigene Ermittlungsgruppe eingerichtet.
• Ransomware: 111 angezeigte Fälle im Bundesgebiet. Bei rund 40 Prozent der Anzeigen war keine eindeutige Zuordnung zu einer Tätergruppierung möglich. Identifiziert wurden unter anderem INC, Akira, RansomHub, LockBit 4.0 und Qilin.
• Erpressung im Internet (§§ 144, 145 StGB): 2.380 Anzeigen, ein Rückgang um 18,8 Prozent bei einer Aufklärungsquote von 9,6 Prozent.

Das Bundeskriminalamt weist ausdrücklich darauf hin, dass die Dunkelziffer bei Internetkriminalität besonders hoch ist, weil viele Betroffene aus Scham, Angst oder wegen geringer Schadenshöhe keine Anzeige erstatten.

Die wichtigsten Cybercrime-Tatbestände im österreichischen StGB

Die zentralen Straftatbestände für Cybercrime im engeren Sinn finden sich in den §§ 118a, 119, 119a, 126a, 126b, 126c, 148a und 225a StGB. Hinzu treten bei Cybercrime im weiteren Sinn insbesondere Betrug (§§ 146 ff StGB), Erpressung (§§ 144, 145 StGB), gefährliche Drohung (§ 107 StGB) und Nötigung (§ 105 StGB).

Praxishinweis: In der Realität liegt fast nie ein einzelner Tatbestand vor. Ein Ransomware-Angriff verwirklicht typischerweise § 118a StGB (Eindringen), § 126a StGB (Verschlüsselung) und §§ 144 f StGB (Lösegeldforderung) nebeneinander. Für die Anzeige ist diese Mehrfachqualifikation relevant, weil sie den Strafrahmen und damit auch die zulässigen Ermittlungsmaßnahmen beeinflusst.

Die fünf großen Fallgruppen in der Praxis

1. Krypto- und Anlagebetrug

Cyber Trading Fraud bezeichnet Anlagebetrug über gefälschte Handelsplattformen, auf denen Opfern fingierte Kursgewinne angezeigt werden, während die eingezahlten Mittel tatsächlich abgeflossen sind. Nach Angaben des Bundeskriminalamts entstand allein durch diese Betrugsform im Jahr 2025 in Österreich ein Schaden von rund 120 Millionen Euro.

Typische Erscheinungsformen: Fake-Trading-Plattformen, Pig Butchering (langfristiger Vertrauensaufbau vor der Investitionsaufforderung), Love Scam, Rug Pulls und sogenannte Recovery Scams, bei denen Betrugsopfer ein zweites Mal geschädigt werden.

Rechtlich stehen hier §§ 146 ff StGB, die Sicherstellung von Vermögenswerten nach der StPO und – bei identifizierbarem Kryptodienstleister – zivilrechtliche und aufsichtsrechtliche Ansatzpunkte im Vordergrund. Seit 30. Dezember 2024 ist die Verordnung (EU) 2023/1114 (MiCAR) vollständig anwendbar; zuständige Behörde für Kryptowerte-Dienstleister in Österreich ist die Finanzmarktaufsicht (FMA) nach dem MiCA-Verordnung-Vollzugsgesetz (MiCA-VVG, BGBl. I Nr. 111/2024). Das verbessert die Ansprechbarkeit regulierter Dienstleister erheblich.

2. Ransomware und Angriffe auf Unternehmen

Ein Ransomware-Angriff löst in Österreich regelmäßig drei parallele Pflichtenstränge aus: strafrechtlich die Frage der Anzeige, datenschutzrechtlich die Meldepflicht nach Art. 33 DSGVO und gesellschaftsrechtlich die Sorgfaltspflicht der Geschäftsleitung.

Eine allgemeine Pflicht des Opfers einer Straftat, diese anzuzeigen, besteht in Österreich nicht. Für Geschäftsleiter gilt jedoch ein anderer Maßstab: Sie handeln für die Gesellschaft und müssen bei sonstiger Haftung deren Interessen wahren. Ob angezeigt wird, ist daher eine dokumentationspflichtige Abwägungsentscheidung – nicht eine Frage des Bauchgefühls.

Die Frage der Lösegeldzahlung wirft eigenständige strafrechtliche und haftungsrechtliche Fragen auf – insbesondere zur Untreue (§ 153 StGB), zur Beteiligung an einer kriminellen Vereinigung (§ 278 StGB) sowie zur Sanktions- und Geldwäscheprüfung. Sie ist ohne Einzelfallprüfung nicht beantwortbar. Wie Verhandlungen mit Angreifern geführt werden und was bei einer Zahlungsabwicklung rechtlich zu beachten ist, behandelt der Abschnitt „Verhandlung mit Ransomware-Angreifern und Begleitung der Lösegeldzahlung“ weiter unten.

3. Phishing und Kontobetrug

Bei einem nicht autorisierten Zahlungsvorgang hat der Zahlungsdienstleister des Zahlers den Betrag nach § 67 ZaDiG 2018 unverzüglich, jedenfalls aber bis zum Ende des folgenden Geschäftstags zu erstatten, nachdem ihm der Vorgang bekannt wurde oder angezeigt wurde.

Die Haftung des Zahlers ist in § 68 ZaDiG 2018 geregelt: Bei leicht fahrlässiger Verletzung der Sorgfaltspflichten nach § 63 ZaDiG 2018 kann der Zahlungsdienstleister höchstens 50 Euro verlangen. Bei Vorsatz oder grober Fahrlässigkeit haftet der Zahler dagegen voll. Die Auseinandersetzung dreht sich in der Praxis daher fast immer um die Frage, ob grobe Fahrlässigkeit vorliegt – und wer sie zu beweisen hat.

Auf unionsrechtlicher Ebene ist eine Klärung im Gange: Der Generalanwalt beim EuGH hat am 5. März 2026 in der Rechtssache C-70/25 die Auffassung vertreten, dass eine Bank die unverzügliche Erstattung eines nicht autorisierten Zahlungsvorgangs nicht unter Berufung auf grobe Fahrlässigkeit des Kunden verweigern darf; ein allfälliger Rückforderungsanspruch sei gesondert geltend zu machen. Zum Rechtsstand dieses Beitrags konnte ein abschließendes Urteil des Gerichtshofs nicht festgestellt werden. Schlussanträge binden den Gerichtshof nicht.

4. Strafverfahren und digitale Beweismittel

Seit 1. Jänner 2025 ist der Zugriff auf Datenträger und Daten zum Zweck der Auswertung in Österreich in den §§ 115f bis 115l StPO eigenständig geregelt und setzt eine vorherige gerichtliche Bewilligung voraus.

Hintergrund ist das Erkenntnis des Verfassungsgerichtshofs vom 14. Dezember 2023, G 352/2021. Der VfGH hob § 110 Abs 1 Z 1 und Abs 4 sowie § 111 Abs 2 StPO mit Ablauf des 31. Dezember 2024 auf, weil die Sicherstellung von Datenträgern ohne richterliche Bewilligung und ohne ausreichenden Rechtsschutz einen unverhältnismäßigen Eingriff in das Grundrecht auf Datenschutz (§ 1 DSG) und das Recht auf Achtung des Privatlebens (Art. 8 EMRK) darstellt.

Mit dem Strafprozessrechtsänderungsgesetz 2024 wurde daraufhin eine eigene Ermittlungsmaßnahme geschaffen. Sie trennt die technische Datenaufbereitung von der inhaltlichen Auswertung und stärkt die Transparenz- und Mitwirkungsrechte der Beschuldigten.

Warum das für Betroffene relevant ist: Wird heute ein Mobiltelefon oder ein Laptop sichergestellt, ist der Ablauf ein anderer als vor 2025. Die Anordnung muss die zu beschlagnahmenden Datenkategorien eingrenzen, und Beschuldigte können auf die Festlegung der Auswertungsparameter Einfluss nehmen. Das ist ein Verteidigungsansatz, der früh gesetzt werden muss.

5. Cyber-Erpressung und Persönlichkeitsrechte

Sextortion, Cybermobbing, Identitätsmissbrauch und Deepfakes betreffen überwiegend Privatpersonen. Das Bundeskriminalamt beobachtete 2025 unter anderem die Erpressung mittels sogenannter „Police-Fake-Mails“, bei denen ein Absender aus dem Behördenbereich vorgetäuscht und mit einem Strafverfahren gedroht wird.

Neben der strafrechtlichen Seite (§§ 107c, 144, 145, 107 StGB) sind hier zivilrechtliche Unterlassungs- und Beseitigungsansprüche sowie Löschungsansprüche gegenüber Plattformen zu prüfen.

Rechtsrahmen über das Strafrecht hinaus

Cybercrime löst in Österreich regelmäßig Pflichten außerhalb des Strafrechts aus. Die folgende Übersicht fasst die zentralen Fristen zusammen.

NISG 2026: Was sich am 1. Oktober 2026 änderte

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) wurde am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025) und trat am 1. Oktober 2026 in Kraft. Gleichzeitig tritt das NISG 2018 außer Kraft.

Der Nationalrat beschloss das Gesetz am 12. Dezember 2025 mit der erforderlichen Zweidrittelmehrheit, nachdem ein erster Umsetzungsversuch 2024 gescheitert war. Errichtet wird ein Bundesamt für Cybersicherheit als zentrale Cybersicherheitsbehörde. Betroffene Einrichtungen haben sich innerhalb von drei Monaten nach Inkrafttreten – also bis 31. Dezember 2026 – zu registrieren.

Der Anwendungsbereich weitet sich erheblich aus: Während das NISG 2018 nur einen kleinen Kreis designierter Betreiber kritischer Infrastruktur erfasste, ist von rund 4.000 betroffenen Einrichtungen in Österreich die Rede. Maßgeblich sind Sektorzugehörigkeit, Unternehmensgröße und Territorialität. Die NIS2-Richtlinie sieht für wesentliche Einrichtungen Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor.

Praktische Konsequenz: Unternehmen, die bisher nicht NIS-reguliert waren, müssen die Betroffenheit selbst prüfen. Eine behördliche Zuweisung erfolgt nicht automatisch.

Was im akuten Fall zu tun ist

Für Privatpersonen

1. Zahlungsvorgang sofort stoppen. Bei Kontoabbuchungen unverzüglich die Bank kontaktieren und die Sperre veranlassen. Die Erstattungspflicht nach § 67 ZaDiG 2018 knüpft an die Anzeige beim Zahlungsdienstleister an.
2. Beweise sichern, bevor gelöscht wird. Screenshots mit sichtbarem Datum, vollständige E-Mail-Header, Chatverläufe, Transaktions-IDs, Wallet-Adressen, Kontoauszüge.
3. Prüfen Sie möglichen rechtlichen Schritte / Anzeige bei einer Polizeidienststelle erstatten. In der Regel empfielt es sich (zumindest) eine anwaltliche (Erst-)Beratung in Anspruch zu nehmen. Straftaten können bei jeder Polizeidienststelle angezeigt werden. 
4. Keine Zweitzahlung leisten. Reagieren Sie nicht auf sogenannte Recovery Services oder vermeintliche Behörden die Sie kontaktieren und Ihnen versprechen ihr Geld zurückzubringen oder behaupten, ihr Geld gefunden zu haben. Es handelt sich um Folgebetrug.
5. Bei Kryptotransaktionen: Transaktionsdaten vollständig dokumentieren. Die Nachverfolgbarkeit hängt davon ab, ob die Empfängeradressen und Transaktions-Hashes gesichert wurden.

Für Unternehmen

1. Incident-Response-Team aktivieren und Entscheidungswege festlegen. Wer entscheidet über Abschaltung, Kommunikation, Zahlung?
2. Beweissicherung vor Wiederherstellung. Das Bundeskriminalamt weist darauf hin, dass Systeme häufig noch vor Anzeigenerstattung repariert oder neu installiert werden – genau das vernichtet die Zuordnungsmöglichkeit zur Tätergruppe.
3. Die 72-Stunden-Frist des Art. 33 DSGVO prüfen. Sie läuft unabhängig davon, ob der technische Vorfall bereits vollständig geklärt ist und kennt kein Wochenende.
4. NISG-Betroffenheit prüfen und die Meldepflichten gegenüber der Cybersicherheitsbehörde beachten.
5. Versicherung frühzeitig einbinden. Cyberversicherungsbedingungen enthalten regelmäßig Obliegenheiten zur unverzüglichen Anzeige und zur Abstimmung von Dienstleistern.
6. Kommunikation vorbereiten, nicht improvisieren. Ein kommunizierendes Unternehmen kann den Rahmen der Offenlegung mitgestalten; ein nachträglich ertapptes befindet sich dauerhaft in der Defensive.
7. Prüfung der rechtlichen Zulässigkeit sowie Sanktionsprüfung vor jeder Erwägung einer Zahlung.

Verhandlung mit Ransomware-Angreifern und Begleitung der Lösegeldzahlung

Verhandlungen mit Ransomware-Angreifern sind auch dann sinnvoll, wenn eine Zahlung nicht ernsthaft in Betracht gezogen wird. Sie verschaffen Zeit, liefern Erkenntnisse über Angriffsvektor und tatsächlich abgeflossenen Datenbestand und schaffen die Entscheidungsgrundlage, die das Management für eine haftungssichere Entscheidung benötigt.

ATB.LAW führt in Ransomware-Fällen die Kommunikation mit den Angreifern und begleitet betroffene Unternehmen durch die Entscheidung über eine allfällige Lösegeldzahlung – von der rechtlichen Zulässigkeitsprüfung über die Verhandlungsführung bis zur technischen Abwicklung.

Verhandlungsführung ist eine eigene Disziplin bzw. Warum die Verhandlung nicht die Geschäftsführung selbst führen sollte

Die Verhandlung einer Cyber-Erpressung folgt eigenen Regeln und hat mit einer kaufmännischen Verhandlung wenig gemeinsam. Auf der Gegenseite steht kein Vertragspartner, sondern eine arbeitsteilig organisierte Tätergruppe, die über ein eingespieltes Vorgehen, über Erfahrungswerte aus einer Vielzahl paralleler Fälle und über ein wirtschaftliches Interesse an der Fortsetzung ihres Geschäftsmodells verfügt.

Diese Asymmetrie prägt die gesamte Kommunikation. Die Angreifer setzen bewusst kurze Fristen und drohen mit Veröffentlichung oder Weiterverkauf der Daten, um informierte Entscheidungen zu erschweren. Sie kennen die typischen Reaktionsmuster betroffener Unternehmen, weil sie diese Situation regelmäßig herbeiführen – für das betroffene Unternehmen ist es dagegen in aller Regel der erste Fall dieser Art.

Hinzu kommt: Jede Äußerung im Chat-Portal der Tätergruppe ist potenziell beweisrelevant – gegenüber Behörden, gegenüber der Versicherung und gegebenenfalls später gegenüber Gesellschaftern. Verhandlungsführung in Cyber-Erpressungsfällen ist daher eine Spezialdisziplin an der Schnittstelle von Strafrecht, Compliance und IT-Forensik und sollte nicht von der Geschäftsführung selbst, sondern von einer damit erfahrenen externen Stelle übernommen werden.

Die Führung der Kommunikation durch einen Rechtsanwalt hat drei praktische Effekte:

– Entkopplung der Entscheidung vom Druck. Es wird verhandelt, bevor entschieden ist. Zeitgewinn ist dabei ein eigenständiges Verhandlungsziel.
– Erfahrung aus geführten Verhandlungen. ATB.LAW führt seit mehreren Jahren regelmäßig Verhandlungen mit Ransomware-Tätergruppen. Aus dieser Praxis ergeben sich Einschätzungen, die einem erstmals betroffenen Unternehmen nicht zur Verfügung stehen: wie eine konkrete Gruppierung auf Verzögerung, Gegenangebote oder Nachweisverlangen reagiert, welche Forderungshöhen realistisch verhandelbar sind, welche Angaben der Täter erfahrungsgemäß belastbar sind – und mit welchen Strategien die Lösgeldforderung nach unten verhandelt werden kann. 
– Dokumentation. Der gesamte Verhandlungsverlauf wird strukturiert festgehalten und ist damit Teil der Entscheidungsdokumentation der Geschäftsleitung.

Anwaltliche Kommunikation unterliegt zudem der Verschwiegenheitspflicht. Die Abstimmung zwischen Geschäftsführung, IT-Forensik und Rechtsvertretung kann dadurch offener geführt werden als in einer rein internen Struktur.

Die rechtliche Zulässigkeitsprüfung vor einer Lösegeldzahlung

Eine Lösegeldzahlung ist in Österreich nicht ausdrücklich verboten. Sie kann jedoch je nach Konstellation strafrechtlich relevant sein, insbesondere nach § 153 StGB (Untreue), § 278 StGB (kriminelle Vereinigung), § 278b StGB (terroristische Vereinigung) und § 278d StGB (Terrorismusfinanzierung).

Die wichtigsten Prüfpunkte im Überblick:

Untreue (§ 153 StGB). Maßgeblich ist, ob die Zahlung nach sorgfältiger Abwägung der Vor- und Nachteile im Interesse der Gesellschaft liegt. Überwiegen die abgewendeten Nachteile, fehlt es an einer Vermögensschädigung. Wo möglich, empfiehlt sich zusätzlich die Einbindung der Gesellschafter. Verbandsverantwortlichkeit nach dem VbVG scheidet aus, weil das Unternehmen bei der Untreue selbst das Opfer wäre.

Geldwäscherei (§ 165 StGB). Entgegen einer verbreiteten Annahme begeht ein redlich wirtschaftendes Unternehmen durch eine Lösegeldzahlung keine Geldwäscherei: Das eingesetzte Vermögen stammt nicht aus einer Vortat, sondern ist Vermögen des Opfers.

Kriminelle und terroristische Vereinigung (§§ 278, 278b StGB). Hier liegt das eigentliche Risiko. In der Literatur wird bei Ransomware Fällen in solchen Konstellationen regelmäßig auf Rechtfertigungs- und Entschuldigungsgründe, insbesondere den entschuldigenden Notstand nach § 10 StGB, verwiesen. Die Abwägung ist einzelfallabhängig und muss dokumentiert werden.

Sanktionsrecht. Vor jeder Zahlung ist zu prüfen, ob Sanktionsrecht entgegensteht. Mehrere Ransomware-Gruppierungen und die mit ihnen verbundenen natürlichen Personen sind auf internationalen Sanktionslisten erfasst. Bei US-Bezug – etwa durch Dienstleister oder Handelsplätze – können zusätzlich Vorgaben des US-Rechts relevant sein. Die Prüfung erfolgt sowohl zur Tätergruppe als auch zur konkreten Empfängeradresse.

Lösegeldzahlung – Abwicklung: Was bei der Zahlung zu beachten ist

Wird nach Abwägung entschieden zu zahlen, ist die Abwicklung selbst ein eigener Arbeitsschritt:

1. Wallet-Screening vor der Transaktion. Die vom Angreifer genannte Empfängeradresse wird auf Sanktionsbezug und auf Verbindungen zu bekannten Clustern geprüft.
2. Beschaffung der Kryptowerte über einen regulierten Dienstleister. Seit 30. Dezember 2024 gilt die MiCAR. Kryptowerte-Dienstleister unterliegen in Österreich der Aufsicht der FMA. Eine kurzfristige Beschaffung größerer Beträge ist ohne Vorbereitung regelmäßig nicht darstellbar – ein Grund, die Zahlungsfähigkeit bereits im Krisenplan zu klären.
3. Gesicherte Abwicklung. Eine geordnete und sichere Abwicklung von Lösegeldzahlungen / Kryptotransaktionen erforderte erfordert Erfahrunge und Know How. Eine geschlossene Dokumentationskette ist Voraussetzung für eine allfällige Refundierung durch eine Cyberversicherung.
4. Lückenlose Dokumentation. Transaktions-Hashes, Zeitstempel, Verhandlungsverlauf, Screening-Ergebnisse und Entscheidungsgrundlage – erforderlich für Versicherung, Behörden, Abschlussprüfung und die Entlastung der Organe.

Eine Lösegeldzahlung beseitigt keine Meldepflicht. Die Frist des Art. 33 DSGVO läuft unabhängig davon, ob verhandelt oder gezahlt wird. Auch die Zusage der Angreifer, erbeutete Daten zu löschen, ändert nichts daran, dass eine Verletzung des Schutzes personenbezogener Daten eingetreten ist.

Beweissicherung: rechtliche und technische Ebene

In Cybercrime-Verfahren ist regelmäßig eine Kombination aus juristischer Expertise und technischer Analyse erforderlich. Die rechtliche Durchsetzung hängt in der Praxis häufig davon ab, ob technische Spuren rechtzeitig, vollständig und nachvollziehbar dokumentiert wurden.

Relevante Spurenträger sind unter anderem: IP-Adressen und Zeitstempel (unter Berücksichtigung von Carrier-Grade NAT), Device- und Log-Daten, E-Mail-Header, KYC-Daten bei Zahlungs- und Kryptodienstleistern, Kontoverbindungen und Blockchain-Transaktionen.

Transaktionen auf öffentlichen Blockchains wie Bitcoin sind dauerhaft gespeichert und können deshalb grundsätzlich auch Jahre später noch analysiert werden. Entscheidend für die Rückholung ist nicht die Nachverfolgbarkeit allein, sondern die Frage, ob die Mittel an einem regulierten Dienstleister mit Identifizierungspflichten angekommen sind – und ob dort rechtzeitig Sicherungsmaßnahmen veranlasst werden.

Die Arbeitsteilung ist dabei klar: TRCN GmbH erstellt die technische Transaktionsanalyse und die forensische Dokumentation. ATB.LAW übernimmt die rechtliche Beratung und Vertretung – gegenüber Staatsanwaltschaft, Gericht, Bank, Kryptobörse oder Versicherung.

Zuständige Stellen in Österreich

Häufige Fehler

• Die DSGVO-Frist wird übersehen, weil die IT-Aufarbeitung im Vordergrund steht. Art. 33 DSGVO knüpft an die Kenntniserlangung an, nicht an die vollständige Aufklärung.
• Die Geschäftsführung verhandekt selbst mit den Angreifern. Unüberlegte Angaben zu Umsatz, Versicherungsdeckung oder Datenkritikalität erhöhen die Forderung unmittelbar.
• Zahlung ohne vorheriges Sanktions- und Wallet-Screening. Das Risiko liegt nicht nur bei der Tätergruppe, sondern auch bei der konkreten Empfängeradresse.
• Anzeige wird unterlassen, weil „ohnehin nichts passiert“. Damit entfallen auch Sicherstellungsmöglichkeiten und der Zugang zum Verfahrensakt.
• Kein Privatbeteiligtenanschluss. Wer sich dem Strafverfahren nicht als Privatbeteiligter anschließt (§ 67 StPO), verliert Akteneinsicht, Antragsrechte und die Möglichkeit eines Zuspruchs.
• Deutsche Rechtsinformationen werden ungeprüft übernommen. Die §§ 675u ff BGB gelten in Österreich nicht; maßgeblich sind §§ 63, 67, 68 ZaDiG 2018.
• Systeme werden neu aufgesetzt, bevor gesichert wurde. Das erschwert sowohl die Strafverfolgung als auch den Versicherungsnachweis.
• Zweitzahlungen an vermeintliche Rückholdienste. Recovery Scams sind ein eigenständiges Geschäftsmodell.

Wann anwaltliche Vertretung sinnvoll ist

ATB.LAW berät und vertritt regelmäßig Geschädigte von Cybercrime-Fällen sowie Unternehmen in Incident-Response-Situationen und Beschuldigte in Cybercrime-Strafverfahren.

Rechtliche Unterstützung ist typischerweise dann angezeigt, wenn eine der folgenden Fragen im Raum steht:

• Ist der Schaden über einen Zahlungsdienstleister oder eine Kryptobörse noch erreichbar?
• Sollen Sicherungsmaßnahmen im Strafverfahren beantragt werden?
• Bestehen zivilrechtliche Ansprüche gegen Bank, Plattform oder Dienstleister?
• Läuft eine Melde- oder Offenlegungsfrist?
• Wurden Datenträger sichergestellt und soll die Auswertung eingegrenzt werden?
• Steht eine Entscheidung über eine Lösegeldzahlung an und ist geklärt, ob sie zulässig ist?
• Soll die Kommunikation mit den Angreifern professionell und dokumentiert geführt werden?
• Muss eine Zahlung sanktionsrechtlich geprüft und technisch abgewickelt werden??

ATB.LAW übernimmt in Ransomware-Fällen auch die Verhandlungsführung gegenüber der Tätergruppe und begleitet Unternehmen durch die Abwicklung einer allfälligen Lösegeldzahlung – gemeinsam mit TRCN GmbH für die blockchainforensische Prüfung der Zahlungsadresse.

Fazit

Cybercrime ist in Österreich kein Randphänomen, sondern ein Massendelikt mit sinkender Aufklärungsquote. Für Betroffene folgt daraus eine praktische Konsequenz: Die Wahrscheinlichkeit, dass ein Fall allein durch die Anzeige gelöst wird, ist statistisch gering. Entscheidend ist, was in den ersten Stunden und Tagen an Sicherungs-, Melde- und Beweisschritten tatsächlich gesetzt wird.

Für Unternehmen kam 2026 ein zusätzlicher Faktor hinzu: Mit dem Inkrafttreten des NISG 2026 am 1. Oktober 2026 wurde Cybersicherheit für einen deutlich größeren Kreis von Einrichtungen zu einer durchsetzbaren Rechtspflicht – mit Registrierungs-, Melde- und Nachweispflichten und einem Sanktionsregime im zweistelligen Millionenbereich.

Wenn Sie von einem Cybercrime-Vorfall betroffen sind, prüfen wir die rechtlichen und technischen Handlungsmöglichkeiten – von der Beweissicherung über die Strafanzeige und den Privatbeteiligtenanschluss bis zur Durchsetzung zivilrechtlicher Ansprüche. Bei Cybererpressung / Ransomware übernehmen wir neben den klassisch juristischen Tätigkeiten auch die Lösegeldverhandlung und organsiieren – sofern notwendig – die Lösegeldzahlung.

Häufige Fragen: