Immer häufiger berichten Bürger und Unternehmen über betrügerische E-Mails, die angeblich vom Bundeszentralamt für Steuern stammen. Diese Phishing-Versuche zielen auf sensible Steuerdaten und persönliche Informationen ab – mit teils gravierenden Folgen.
Ein neuer Trick alter Täter: Phishing im Namen der Finanzverwaltung
Phishing hat viele Gesichter – seit Frühjahr 2024 häufen sich in Deutschland betrügerische E-Mails, die vorgeben, vom Bundeszentralamt für Steuern (BZSt) oder dem Finanzamt zu stammen. Die gefälschten Nachrichten suggerieren Steuerrückzahlungen oder unerledigte Zahlungen und fordern Empfänger auf, einem beigefügten Link zu folgen oder persönliche Informationen preiszugeben. Wie aus einer aktuellen Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) hervorgeht, greifen Kriminelle gezielt auf gefälschte Behörden-Logos und scheinbar offizielle Absenderadressen zurück, um Seriosität zu suggerieren.
Diese E-Mails landen nicht nur in privaten Postfächern, sondern treffen vermehrt auch Unternehmen. Laut einer gemeinsamen Analyse des BZSt und der Allianz für Cybersicherheit wurden allein im Q1/2025 über 85.000 Phishing-Vorgänge im Namen deutscher Finanzbehörden gemeldet – rund 27 % mehr als im Vorjahreszeitraum.
Wie die Täter vorgehen: Taktiken und Täuschungsstrategien
Die betrügerischen E-Mails sind professionell gestaltet. Häufig wird im Betreff Bezug auf Steuerrückerstattungen oder ‚Fehlermeldungen beim ELSTER-Konto‘ genommen. Das Ziel: den Empfänger emotional unter Druck setzen – entweder durch den Anreiz einer Rückzahlung oder durch Angst vor einer finanziellen Sanktion. Technisch setzen Täter auf sogenannte Social-Engineering-Techniken, ergänzt durch gefälschte Webseiten, die kaum von echten staatlichen Portalen zu unterscheiden sind.
Besonders perfide: Die Links in den Mails führen auf HTTPS-geschützte Seiten mit täuschend echten Domains, etwa „bzst-de.org“ oder „bundeszentralamt-steuer.eu“. Dort werden Empfänger gebeten, ihre Steuer-ID, persönliche Daten oder gar Kreditkarteninformationen zur „Verifikation“ einzugeben. Auch PDF-Anhänge mit vermeintlich amtlichem Schriftverkehr können Malware enthalten.
Ein Beispiel aus einem aktuellen Fall: Eine Berliner Unternehmerin erhielt eine E-Mail vom angeblichen „BZSt-Servicenetz“, in der ihr eine Überweisung von 1.254,30 € zugesichert wurde – gegen Übermittlung ihrer Bankdaten innerhalb von 48 Stunden. Erst durch einen Anruf bei ihrem Steuerberater entging sie dem Betrug.
Der Schaden: Zwischen Identitätsdiebstahl und finanziellen Verlusten
Phishing ist mehr als nur ein lästiger Spam-Versuch. Wer auf betrügerische E-Mails hereinfällt, riskiert nicht nur den Diebstahl persönlicher Informationen, sondern auch den Zugriff auf Steuerdaten, Onlinebanking und ELSTER-Zugänge.
Eine Studie des Digitalverbands Bitkom von März 2025 zeigt: Rund 34 % aller Internetnutzer in Deutschland waren bereits Ziel von Phishing-Versuchen. Etwa 11 % erlitten dadurch finanzielle Schäden – bei durchschnittlich 756 Euro pro Fall. Noch besorgniserregender: Bei Unternehmen liegt der Schaden pro Phishing-Vorfall im Schnitt bei über 11.000 Euro, wie eine Untersuchung der Wirtschaftsprüfungsgesellschaft KPMG belegt.
Die Angreifer nutzen gestohlene Daten nicht nur für finanziellen Betrug, sondern auch für weiterführende Identitätsdiebstähle, etwa bei der Eröffnung von Fake-Unternehmen oder betrügerischen Anträgen beim Finanzamt.
Wie man Phishing-E-Mails erkennt: Diese Merkmale sind verdächtig
Institutionen wie das BZSt oder ELSTER betonen immer wieder: Sie fordern niemals per E-Mail sensible Informationen wie Bankverbindungen, Passwörter oder persönliche ID-Daten an. Dennoch gelingt es Kriminellen, mit immer raffinierteren Methoden Misstrauen zu unterlaufen.
Folgende Merkmale deuten auf eine Phishing-Nachricht hin:
- Ungewöhnlicher Absender: Offizielle Stellen nutzen niemals kostenlose Mailingdienste wie Gmail oder Yahoo.
- Druck erzeugende Sprache: Begriffe wie „letzte Mahnung“, “zeitkritisch“ oder Zahlungsfristen von 24 Stunden sind typische Warnsignale.
- Rechtschreibfehler und Stilbrüche: Auch wenn die Nachricht optisch professionell wirkt, enthalten Texte oft sprachliche Ungereimtheiten.
- Verdächtige Links: Durch Mouseover lassen sich echte URLs von Fake-Domains unterscheiden.
- Anhänge unbekannter Herkunft: PDF-, ZIP- oder Word-Dateien sollten nie ungeprüft geöffnet werden.
Strategien für Unternehmen und Privathaushalte: Schutz vor Phishing
Die Verteidigung gegen Phishing-Angriffe beginnt mit Wachsamkeit – und setzt den Einsatz technischer sowie organisatorischer Schutzmaßnahmen voraus. Unternehmen sind besonders gefährdet, da Phishing häufig als Einstiegspunkt für komplexere Cyberangriffe dient, etwa Ransomware-Infektionen oder CEO-Fraud.
Drei zentrale Maßnahmen zur Prävention:
- Schulung und Sensibilisierung: Regelmäßige Awareness-Trainings und Phishing-Simulationen schaffen Aufmerksamkeit und stärken die Sicherheitskultur im Unternehmen.
- Spam-Filter und E-Mail-Gateways: Moderne Sicherheitslösungen prüfen Absender, Header, Links und Anhänge in Echtzeit auf verdächtige Muster.
- Zwei-Faktor-Authentifizierung (2FA): Besonders wichtig für den Zugriff auf ELSTER, Unternehmensportale oder Cloud-Dienste.
Für Privatanwender empfiehlt sich insbesondere die Nutzung geprüfter Antivirenlösungen, das Vermeiden direkter Klicks auf Links in E-Mails und die Verifikation verdächtiger Behördennachrichten über offizielle Websites oder Hotlines.
Behördliche Maßnahmen, Meldewege und die Rolle der Strafverfolgung
Das Bundeskriminalamt (BKA) und das BZSt arbeiten aktiv mit Providern und internationalen Ermittlungsbehörden zusammen, um Phishing-Infrastrukturen zu identifizieren und abzuschalten. In Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) wurden 2024 bereits über 3.400 Phishing-Domains vom Netz genommen, darunter 285 speziell im Kontext gefälschter Steuer-E-Mails.
Wer eine verdächtige Nachricht erhält, sollte diese umgehend an die zentrale Anlaufstelle melden:
- Phishing-Meldestelle des BZSt: phishing@bzst.bund.de
- Verbraucherzentrale: Online-Meldung unter www.verbraucherzentrale.de/phishing
- BSI: Verdachtsmeldung über www.bsi.bund.de/DE/Themen/Verbraucher
Vor allem beim Verdacht auf Datenmissbrauch sollten Betroffene zudem Anzeige bei der Polizei erstatten. In schweren Fällen kann das Sperren von Bank-, Steuer- oder ELSTER-Konten erforderlich sein.
Fazit: Digitale Wachsamkeit ist Bürgerpflicht
Phishing ist längst keine Randerscheinung mehr, sondern eine florierende Schattenindustrie. Dass nun auch das Bundeszentralamt für Steuern ins Visier digitaler Betrüger gerät, zeigt die perfide Anpassungsfähigkeit der Täter. Umso wichtiger ist es, dass Unternehmen wie Privatpersonen ihre digitale Resilienz stärken, Sicherheitsmaßnahmen implementieren und vor allem: skeptisch bleiben.
Haben auch Sie in letzter Zeit eine verdächtige E-Mail erhalten? Teilen Sie Ihre Erfahrungen mit der Community – und helfen Sie so, digitale Aufklärung sichtbar zu machen.
