Gefälschte Mails locken mit Steuererstattung – so erkennen Sie den Betrug

Aktuell sind wieder gefälschte E-Mails im Namen von ELSTER im Umlauf. Sie sehen täuschend echt aus, nennen eine konkrete Bescheid-Nummer und versprechen eine Steuererstattung von mehreren hundert Euro. Ausgezahlt werde das Geld angeblich aber erst nach einer „Identitätsprüfung“ – und genau darüber greifen Kriminelle Zugangs- und Bankdaten ab.

Uns liegt ein aktuelles Exemplar dieser Masche vor. Es zeigt intestine, wie professionell solche Fälschungen inzwischen gestaltet sind – und woran Sie sie trotzdem erkennen.

So sieht die gefälschte ELSTER-Mail aus

Die Nachricht imitiert das Format von Mein ELSTER samt grünem Stern-Brand, Statuskacheln und Schloss-Image. Angezeigt werden ein „Bescheid“ für die „Einkommensteuer 2025/2026“, eine Erstattung von 560,80 Euro und der Hinweis, dass noch eine Identitätsprüfung ausstehe.

Wer auf den Button klickt, landet nicht bei ELSTER, sondern auf einer nachgebauten Seite, die Zugangsdaten und Bankverbindung abfragt. Die Daten fließen direkt an die Täter.

Sieben Merkmale, an denen Sie die Fälschung erkennen

1. Der Absender passt nicht. In unserem Fall stand als Antwortadresse eine non-public Freemail-Adresse eines Drittanbieters. Behördenpost kommt nie von einem Hotmail-, Gmail- oder GMX-Konto. Achten Sie auch auf Tippfehler-Domains wie „elstre.de“ oder Konstruktionen wie „elster.de.steuern-portal.com“.
2. Ein „Steuerjahr 2025/2026“ gibt es nicht. Die Einkommensteuer wird immer für ein einzelnes Kalenderjahr veranlagt. Doppeljahre kennt das deutsche Steuerrecht hier nicht – ein deutlicher Hinweis auf eine Fälschung.
3. Die Anrede bleibt unpersönlich. „Sehr geehrte Nutzerin, sehr geehrter Nutzer“ steht in keinem echten Bescheid. Das Finanzamt kennt Ihren Namen, Ihre Steuernummer und Ihre Anschrift.
4. Die zitierten Paragrafen passen nicht zum Sachverhalt. § 11 GwG richtet sich an Banken, Notare und andere Verpflichtete nach dem Geldwäschegesetz, Artwork. 24 eIDAS-VO an qualifizierte Vertrauensdiensteanbieter. Für die Auszahlung einer Steuererstattung ist beides ohne Bedeutung. Juristisch klingende Verweise sollen hier nur Autorität vortäuschen.
5. Es wird Zeitdruck aufgebaut. Eine Frist von 14 Tagen, nach der die Erstattung angeblich verfällt, ist ein klassisches Druckmittel. Eine Steuererstattung verfällt nicht, weil Sie einen Hyperlink nicht angeklickt haben.
6. Sicherheits-Deko statt echter Sicherheit. Schloss-Image, „TLS 1.3“, „Ende-zu-Ende-Verschlüsselung“: Diese Hinweise kann jede beliebige Webseite behaupten. Sie sagen nichts darüber aus, wer am anderen Ende sitzt.
7. Der Hyperlink führt nicht auf elster.de. Fahren Sie mit der Maus über den Button, ohne zu klicken – die Zieladresse erscheint unten im Browser oder Mailprogramm. Echt sind nur www.elster.de und mein.elster.de.

So kommuniziert die Steuerverwaltung tatsächlich

ELSTER selbst warnt auf seiner Sicherheitsseite ausdrücklich vor solchen Mails. Vier Punkte davon sollten Sie sich merken:

• Die Steuerverwaltung versendet nur Benachrichtigungen, dass eine Nachricht im ELSTER-Postfach bereitliegt – niemals die Steuerdaten selbst und niemals Bescheide oder Rechnungen als E-Mail-Anhang.
• Sie informiert nie direkt im E-Mail-Textual content über eine Nachzahlung oder Erstattung. Genau das tut die gefälschte Mail aber – mit großer Zahl und Eurozeichen.
• Sie fordert niemals per E-Mail Steuernummer, Kontoverbindung, Kreditkartennummer, PIN oder Sicherheitsabfragen an.
• Anhänge aus unsicherer Quelle sollten Sie grundsätzlich nicht öffnen.

Ihren echten Steuerbescheid erhalten Sie in Papierform per Put up oder – wenn Sie dem elektronischen Abruf zugestimmt haben – als digitaler Steuerbescheid im geschützten Bereich von Mein ELSTER. Auch bei SteuerGo sehen Sie den Bescheidabgleich nach dem Login in Ihrem Konto, nicht in einer E-Mail.

Was Sie jetzt tun sollten

• Nicht klicken, nicht antworten, keine Anhänge öffnen und keine Daten eingeben.
• Die Mail als Spam markieren und anschließend löschen.
• Wenn Sie unsicher sind: Tippen Sie www.elster.de selbst in die Adresszeile ein – nie über den Hyperlink in der Mail – und prüfen Sie Ihr ELSTER-Postfach. Liegt dort nichts vor, struggle die Mail eine Fälschung.
• Warnen Sie Angehörige, die solche Mails möglicherweise weniger kritisch lesen.

Sie haben schon geklickt oder Daten eingegeben?

Dann handeln Sie zügig, aber ohne Panik:

1. Bankzugang sperren lassen. Der Sperr-Notruf 116 116 ist rund um die Uhr erreichbar. Informieren Sie zusätzlich Ihre Financial institution direkt.
2. Passwörter ändern – das ELSTER-Passwort und alle Zugänge, bei denen Sie dasselbe Passwort verwendet haben.
3. Kontobewegungen prüfen und unberechtigte Abbuchungen sofort bei der Financial institution reklamieren.
4. Anzeige erstatten – bei jeder Polizeidienststelle oder on-line über die Internetwache Ihres Bundeslandes.
5. Finanzamt informieren, wenn Zugangsdaten zu Mein ELSTER betroffen sind.

Phishing melden

Verdächtige Mails können Sie an das Phishing-Radar der Verbraucherzentrale weiterleiten: phishing@verbraucherzentrale.nrw. Aktuelle Warnungen und allgemeine Tipps veröffentlicht außerdem das Bundesamt für Sicherheit in der Informationstechnik (BSI).