Am 2. November 2026 zeigte ein Handy in Österreich eine SMS von +43 676 6299131. Auf Deutsch stand dort, die FinanzOnline-Registrierung sei an diesem Tag abgelaufen, und die Leser sollten ihre Angaben aktualisieren. Der Link war finanz.on-datenerneuerung.cc. Die Nummer auf dem Bildschirm ist das, was das Telefon angezeigt hat. Eine angezeigte Nummer kann der Absender wählen. Es ist kein Schalter im Finanzministerium.
FinanzOnline ist der echte Online-Dienst des österreichischen Bundesministeriums für Finanzen. Dort geben Menschen Steuererklärungen ab, und Unternehmen geben dort ab. Erreicht wird er unter finanzonline.bmf.gv.at. Am 18. Oktober 2026 warnte das Ministerium erneut vor SMS, E-Mails, Anrufen und nachgebauten Websites, die die Namen des Ministeriums, des Finanzamts, des Zollamts und von FinanzOnline benutzen. Eine echte Mitteilung, hieß es, sei ein digital signierter Bescheid, per Post oder in die FinanzOnline-Databox. Das Ministerium fragt nicht nach einem Passwort, einer Karte oder Kontodaten. Watchlist Internet, die Meldestelle des Österreichischen Instituts für angewandte Telekommunikation, fasst dieselbe Regel für diese Welle in einem Satz: Das Ministerium schickt keine SMS, die einen Link enthält.
Die SMS vom 2. November ist diese Welle mit einem neuen Host. Die Seite kopiert das Portal, fragt dann nach der Person und danach nach der IBAN und der Bank.
Wie es abläuft
- Eine SMS sagt, die FinanzOnline-Registrierung sei abgelaufen oder stehe davor. Das Datum ist heute oder ein Tag in der Nähe, damit sich die Nachricht wie eine Frist anfühlt und nicht wie ein Rundschreiben.
- Der Link ist nicht finanzonline.bmf.gv.at. In dieser Nachricht war der Host finanz.on-datenerneuerung.cc, gebaut aus „finanz“ und einem deutschen Wort für das Erneuern von Daten. Die Seite, die sich öffnete, nutzte https. Ein Schloss heißt, die Verbindung ist verschlüsselt. Es sagt nichts darüber, wem die Seite gehört.
- Die Seite ist als FinanzOnline verkleidet. Das rote Zeichen, die Worte „Bundesministerium Finanzen“ und ein Kasten, der sagt, die Registrierung laufe aus. Das Formular fragt nach vollständigem Namen, E-Mail, Geburtsdatum, Telefonnummer und Adresse, bis zur Stiege und zur Türnummer.
- Unter der Adresse fragt es nach der IBAN, dann nach der Bank. Ein gelber Hinweis sagt, die Bank müsse verknüpft werden, damit künftige automatische Schritte ausgeführt werden können. Das Bankfeld ist als Pflicht markiert. Das ist der Schritt, an dem die Kontodaten weggehen. Das echte FinanzOnline-Login holt auf dem Weg hinein keine IBAN ein.
- Der Knopf sagt „Weiter“. Diese Seite ist nicht das Ende des Formulars. Die Beschreibung desselben Musters bei Watchlist sagt, die nächste Seite sei als die eigene Bank der Person verkleidet und frage nach dem Login zum Online-Banking. Die Landespolizei in Vorarlberg hat beschrieben, was auf das Formular folgen kann: ein Anruf wegen einer verdächtigen Überweisung, mit der Bitte, eine Push-Nachricht auf dem Telefon freizugeben, und in anderen Fällen Anweisungen, Geld am Automaten zu bewegen, um es „in Sicherheit zu bringen“.
Woran man es erkennt
Die SMS und die Seite darunter wurden geöffnet, um zu sehen, was der Link tat. In das Formular wurde nichts eingetippt.
Die Adresszeile ist die Prüfung. Die einzige FinanzOnline-Adresse ist finanzonline.bmf.gv.at, von Hand getippt, oder ein Lesezeichen, das Sie selbst angelegt haben. Ein Host, der nur das Wort „finanz“ enthält, auf .cc oder auf einer anderen Endung, ist eine andere Seite.
Das Formular ist die zweite Prüfung. Eine Anmeldung fragt nach einem Login. Diese Seite fragt nach einer Straße, einer Türnummer, einer IBAN und einer Bank, und sie geht nicht weiter, bis eine Bank gewählt ist. Ein früheres Beispiel derselben Maske bei Watchlist fragte nach Name, Geburtsdatum, Postleitzahl, Telefonnummer, Kontonummer und Bank und ging dann zum Bank-Login weiter.
Die Fußzeile ist die dritte Prüfung, und sie ist dazu da, Sie scheitern zu lassen. Impressum, Datenschutz und eine Zeile über Fred, den Chatbot der Finanzverwaltung, sind die Worte des echten Portals. Bei früheren Kopien stellte Watchlist fest, dass diese Links wirklich die eigenen Seiten des Ministeriums öffnen. Ein Link, der das Formular verlässt, macht das Formular nicht zum Ministerium.
Das Datum in der SMS wird ausgetauscht, während die Welle weiterläuft. Eine Nachricht, die Watchlist aufführt, sagt, die FinanzOnline-ID laufe am 24. Oktober 2026 ab, und zeigt auf finanzonline2.cc. Frühere Hosts, die in den öffentlichen Warnungen genannt werden, sind finanz.online-reaktivierung.cc und finanz.online-erneuern.cc. Der Satz ist derselbe. Der Host ist der Teil, den sie ändern.
Eine Seite, die Sie nachschlagen wollen, ohne sie zu öffnen, kann über die Seitenprüfung laufen. Die Prüfung liest die Adresse. Sie fragt nicht nach einer IBAN, einem Namen oder einer Bank.
Dieselbe Form, mit einem anderen Finanzamt im Briefkopf, ist die HMRC-Erstattungsmail, die nicht von HMRC ist.
Fälle und Zahlen
Dieser Host ist neu. Eine öffentliche Registrierungsabfrage zeigt, dass on-datenerneuerung.cc am 21. Oktober 2026 angelegt wurde, zwölf Tage vor der SMS. Der Registrar ist NiceNIC International Group Co., Limited. Der Name des Inhabers ist geschwärzt. Der Eintrag nennt die Vereinigten Staaten und keine Organisation, und das sagt nicht, wer die Nachrichten geschickt hat. Die Nameserver gehören zu Cloudflare, also verbirgt der öffentliche Eintrag auch die Maschine hinter der Seite. Keine Ministeriumswarnung, die am 2. November 2026 zu finden war, nennt genau diesen Host. Das Muster darum herum ist schon beschrieben. Der Host, den Watchlist für die SMS vom 24. Oktober aufführt, finanzonline2.cc, ist eine eigene Registrierung: angelegt am 22. Oktober 2026, über CNOBIN Information Technology Limited, auf Nameservern, die nicht die von Cloudflare sind. Dasselbe Kostüm, anderer Eintrag.
Die Warnung des Ministeriums vom 18. Oktober 2026 nennt „verdächtige Anmeldeversuche und nötige Aktualisierungen bei FinanzOnline“ unter den Geschichten, die erzählt werden, neben Steuerrückzahlungen, dem Klimabonus, der Familienbeihilfe, offenen Forderungen und Fragen zu Krypto-Beständen. Eine Warnung vom Januar 2026 beschreibt E-Mails, die Unternehmen sagen, Firmendaten in FinanzOnline müssten über ein verlinktes Formular geprüft werden, auf einer Seite im FinanzOnline-Stil, die nach persönlichen Daten und Zahlungsangaben fragt. Das Ministerium sagte, diese Nachrichten und diese Seiten seien Fälschungen.
Watchlist Internet nennt die SMS eine lang laufende Welle, die auf Kontaktdaten und Bankdaten zielt. Die Seite der Bundesregierung zur Sicherheit im Netz beschreibt das Gegenstück auf finanz.online-erneuern.cc: Nach dem Formular fragt eine zweite Seite die Person, sich im Online-Banking anzumelden, was das echte FinanzOnline-Portal nicht tut.
In Vorarlberg sagte die Landespolizei gegenüber VOL.AT, Anzeigen zu diesem Muster seien bereits erstattet worden. Eine Fallzahl oder eine Verlustsumme nannten sie nicht. Die Arbeiterkammer sagte demselben Medium, Anfragen über die letzten Wochen und Monate lägen im mittleren Hunderterbereich, und abgeschlossene Verluste seien selten. Das Medium beschreibt außerdem einen Fall aus dem Vorjahr, in dem 180.000 € verloren gingen. Das ist ein berichteter Fall, keine nationale Summe, und die Polizei hat ihn nicht als ihre Zahl übernommen.
Was tun und wohin man sich wendet
Tippen Sie nichts in die Seite. Drücken Sie nicht auf „Weiter“. Löschen Sie die SMS. Wenn an der Registrierung wirklich etwas zu prüfen ist, tippen Sie finanzonline.bmf.gv.at. Eine Nachricht in diesem Postfach oder ein Brief ist der Weg, auf dem das Ministerium sagt, dass es Ihnen schreibt.
Wenn das Formular schon abgeschickt wurde, sind die IBAN und der Name der Bank weg, auch wenn sich noch kein Geld bewegt hat.
Rufen Sie die Bank unter der Nummer an, die auf der Karte oder auf einem Kontoauszug steht. Sagen Sie, dass eine IBAN und der Name der Bank in eine Seite getippt wurden, die aus einer FinanzOnline-SMS geöffnet wurde. Bitten Sie sie, das Konto zu beobachten und eine Überweisung zu stoppen, die Sie nicht veranlasst haben. Wenn eine spätere Seite nach einem Login zum Online-Banking gefragt hat oder ein Anrufer Sie bitten wollte, eine Push-Nachricht freizugeben, bitten Sie die Bank, das Online-Banking zu sperren und neue Zugänge auszugeben. Die Vorarlberger Polizei sagte gegenüber VOL.AT, eine Überweisung, die gerade erst ausgeführt wurde, lasse sich manchmal noch stoppen, und der dringende Anruf gehe an die Bank. Nutzen Sie die Nummer, die Sie schon hatten. Ein Anrufer, der sich als die Bank vorstellt und eine Bestätigung braucht, um eine Zahlung zu stornieren, ist der Schritt, den die Polizei beschrieben hat.
Eine Anzeige kann auf einer Polizeidienststelle erstattet werden. Verdacht auf Internetkriminalität kann auch an die Meldestelle gehen, die die Seiten des Innenministeriums zur Sicherheit im Netz aufführen. Die SMS, mit einem Screenshot und den Feldern, die Sie ausgefüllt haben, kann an Watchlist Internet gehen. Dort erscheinen anonymisierte Warnungen. Geld zurückholen sie nicht. Das tut die Bank.
Gehen Sie nicht auf die Seite zurück, um zu löschen, was geschickt wurde. Auf dieser Seite gibt es nichts, das Sie löschen können. Wenn irgendwo auf dem Weg ein FinanzOnline-Passwort eingetippt wurde, ändern Sie es erst, nachdem Sie finanzonline.bmf.gv.at selbst geöffnet haben.
Beginnen Sie bei Hilfe. Ein späterer Anrufer, der anbietet, das Geld zurückzuholen oder das Konto gegen eine Gebühr zu sichern, ist ein zweiter Ansatz bei derselben Person: Recovery.
Dies sind allgemeine Informationen, keine Rechts- oder Finanzberatung. Die Regeln und die Zahlen ändern sich. Wenn Geld bereits abgeflossen ist, wenden Sie sich über die Hilfeseiten an die Bank und die Behörden.