Wie sicher sind Österreichs Websites? Nur 12 Prozent gegen E-Mail-Betrug geschützt

Ein Kunde von euch öffnet sein Postfach und findet eine Rechnung. Euer Name, euer Logo, nur die Kontonummer gehört jemand anderem. Bei 88 Prozent der österreichischen Firmen-Domains ist genau das jederzeit möglich, weil niemand die Absenderfälschung blockiert. Ich habe im September 2026 mehr als 330.000 aktive österreichische Websites samt ihren Domains geprüft. Hier sind die Zahlen, und was du in zehn Minuten dagegen tun kannst.

Die Rechnung trägt euren Namen, geschrieben hat sie wer anderer

Bei einem Tischler in Wien läutet das Handy, dran ist eine Stammkundin. Sie hat die Rechnung gerade überwiesen, wie gewünscht auf das neue Konto. Nur hat der Tischler nie eine neue Rechnung geschickt, und ein neues Konto gibt es auch nicht. Jemand hat ein E-Mail mit dem Absender der Tischlerei verschickt, gleiches Logo, gleiche Signatur.

Dafür braucht es keinen Hackerangriff, und in euer Postfach muss auch niemand einbrechen. Das E-Mail-System funktioniert nämlich wie die klassische Post. Auf ein Kuvert kann jeder schreiben, was er will, auch euren Firmennamen als Absender, und ob das stimmt, prüft unterwegs niemand. Bei den meisten österreichischen Domains lässt sich der Absender deshalb mit ein paar Klicks fälschen, weil technisch nie konfiguriert wurde, dass gefälschte Mails abzuweisen sind.

Mit Domain meine ich dabei eure Internet-Adresse, etwa tischlerei-beispiel.at. An ihr hängt die Website, und an ihr hängen die E-Mail-Adressen wie office@tischlerei-beispiel.at. Wer die Domain besitzt, kann allen Mailservern der Welt mitteilen, wie streng sie mit angeblichen Mails von dieser Adresse umgehen sollen. Nur tut das kaum jemand.

Nur 12 Prozent der Domains sind gegen E-Mail-Betrug geschützt

Nur 12 Prozent der österreichischen Firmen-Domains verhindern wirksam, dass Betrüger E-Mails in ihrem Namen verschicken. Der Schutz heißt DMARC und ist ein einzelner Eintrag beim Domain-Anbieter, der allen Mailservern der Welt sagt, wie sie mit gefälschten Absendern umgehen sollen.

Rund 300.000 aktive österreichische Domains haben ein Postfach. 42 Prozent davon haben so einen Eintrag, bei 30 Prozent steht er aber nur im Beobachtungsmodus, der Fälschungen zwar meldet, aber durchlässt. 58 Prozent haben gar nichts.

Beobachtungsmodus heißt, der Eintrag existiert zwar, sagt den empfangenden Mailservern aber nur "gebt mir Bescheid, stellt die Mail trotzdem zu". Für den Betrüger macht das keinen Unterschied, seine gefälschte Rechnung landet genauso im Posteingang.

Zur Einordnung, ganz ohne Technikwissen. Ein Mailserver kann beim Empfang jeder Mail nachschauen, ob der angebliche Absender die Mail überhaupt verschicken durfte. Die Antwort darauf hinterlegt der Domain-Inhaber selbst, in drei kleinen Einträgen, und die Post-Analogie von vorhin passt dafür erstaunlich gut. Der erste Eintrag (SPF) ist die Liste der Poststellen, die Briefe mit eurem Absender aufgeben dürfen, den haben immerhin 86 Prozent. Der zweite (DKIM) klebt auf jede Mail ein fälschungssicheres Siegel. Und der dritte (DMARC) ist die Anweisung an den Briefträger, was er mit einem Brief tun soll, bei dem Liste oder Siegel nicht passen. Wegwerfen, in den Spam schieben oder trotzdem zustellen.

Warum prüft das E-Mail-System den Absender nicht von selbst?

Weil es dafür nie gebaut wurde. Das Verfahren (SMTP) über das bis heute jede E-Mail läuft, stammt aus dem Jahr 1982, als das Internet ein überschaubarer Club aus Universitäten war und niemand an Betrug dachte. SPF, DKIM und DMARC wurden erst Jahrzehnte später nachgerüstet und sind bis heute freiwillig. Wer sie nicht einrichtet, verschickt seine Post auf dem Stand von 1982.

Was du in zehn Minuten tun kannst

Der Schutz kostet nichts, und programmieren musst du dafür auch nichts.

Achtung bei mehreren Absendern

Kommen eure Mails von mehreren Stellen, etwa aus dem Büro-Postfach, vom Newsletter-Tool und aus dem Rechnungsprogramm, müssen alle in den Einträgen stehen. Fehlt eine, landen eure eigenen Mails im Spam. Genau dafür ist der Beobachtungsmodus am Anfang da.

Warum das gerade für kleine Betriebe zählt

Große Konzerne haben eine IT-Abteilung, die solche Einträge pflegt. Beim Installateur in Wels, in der Ordination in Graz oder in der Steuerberatungskanzlei in Wien kümmert sich meist niemand darum, und genau dort wirkt die gefälschte Rechnung am besten, weil die Kunden dem Absender vertrauen.

Dazu kommt, dass sich die Betrüger niemanden gezielt aussuchen müssen. Solche Angriffe laufen automatisiert, Programme klappern die Domains der Reihe nach ab, prüfen in Sekunden, wo der Schutz fehlt, und verschicken dann massenhaft Mails. Ob dahinter ein Konzern steckt oder eine Bäckerei mit drei Mitarbeitern, ist dem Programm egal. Es zählt nur, dass die Tür offen steht.

Aus meiner Erfahrung wissen die meisten Betriebe gar nicht, dass es diesen Schutz gibt, bis es passiert ist. Die Zahlen aus dem Report sagen dasselbe. Neun von zehn Betrieben in Österreich haben die Tür offen stehen, und die meisten ahnen nichts davon.

Der ganze Website-Report Österreich 2026

Alle Ergebnisse aus mehr als 330.000 aktiven österreichischen Websites auf einer Seite, mit interaktiver Karte je Bundesland und Wiener Bezirk.

Zum ganzen Website-Report

Jede zehnte Website in Österreich ist unsicher

82 Prozent der österreichischen Websites leiten ihre Besucher automatisch auf die sichere, verschlüsselte Verbindung um, die der Browser mit dem Schloss-Symbol anzeigt. Bei jeder zehnten Website ist die Verschlüsselung kaputt, und 1 Prozent hat gar keine.

Hinter dem Schloss-Symbol steckt ein Zertifikat, eine Art digitaler Ausweis der Website, den der Browser bei jedem Besuch kontrolliert und mit dem er die Verbindung verschlüsselt. Kaputt bedeutet meistens ein Zertifikat, das nicht zur Adresse passt, weil mehrere Domains auf demselben Server liegen und nur eine davon eingerichtet wurde.

Der Browser zeigt dann gar nicht erst die Website, sondern eine große rote Warnung mit dem Satz "Die Verbindung ist nicht sicher", und praktisch jeder Besucher dreht an dieser Stelle um.

Betroffen sind rund 32.000 Websites, bei weiteren 5.000 ist das Zertifikat schlicht abgelaufen, weil niemand den Ausweis verlängert hat. Bei einem modernen Hoster passiert das automatisch im Hintergrund, bei alten Verträgen muss jemand daran denken, und genau das passiert nicht.

Drei von vier Zertifikaten stammen von Let's Encrypt, einer gemeinnützigen Zertifizierungsstelle, die sie gratis ausstellt und alle paar Monate automatisch erneuert. Das bezahlte Zertifikat, für das Hoster früher Jahr für Jahr kassiert haben, ist in Österreich praktisch ausgestorben. Wer heute noch dafür zahlt, zahlt für nichts.

So prüfst du das in zehn Sekunden

Tipp eure Adresse ohne https:// in den Browser ein, also http://deine-domain.at. Werdet ihr automatisch auf https:// weitergeleitet und das Schloss-Symbol ist sichtbar, passt alles. Bleibt es bei http:// oder erscheint eine Warnung, solltet ihr das unbedingt beheben lassen.

Dabei geht es um mehr als das Symbol im Browser. Ohne Verschlüsselung wandert alles, was ein Besucher auf eurer Website eintippt, im Klartext durchs Netz, vom Namen im Kontaktformular bis zur Telefonnummer. Eine unverschlüsselte Verbindung ist wie eine Postkarte, jeder, durch dessen Hände sie unterwegs geht, kann mitlesen. Im offenen WLAN eines Kaffeehauses reicht dafür ein Laptop am Nebentisch. Sobald solche personenbezogenen Daten übertragen werden, ist das auch rechtlich nicht erlaubt. Art. 32 DSGVO verlangt Schutzmaßnahmen nach dem Stand der Technik und nennt die Verschlüsselung ausdrücklich als Beispiel.

Vorsicht! Ein Schloss heißt nicht automatisch seriös

Auch Betrugsseiten tragen heute fast immer ein gültiges Zertifikat. Das Schloss sagt nur, dass kein Dritter die Kommunikation mitlesen kann, nicht, mit wem du sprichst. Als Besucher also zusätzlich auf die Adresse selbst schauen.