ELSTER-Phishing: Wie erkennt man falsche Mails in Deutschland?

ELSTER-Phishing lässt sich vor allem an der verlangten Handlung erkennen: Eine vermeintliche Nachricht des deutschen Finanzamts fordert sensible Daten, eine Anmeldung über einen verdächtigen Link oder das Öffnen eines angeblichen Steuerbescheids im Anhang. Sicherer ist der unabhängige Aufruf des ELSTER-Portals. Wer bereits Bankzugangsdaten weitergegeben hat, braucht umgehend Kontakt zur eigenen Bank.

• Echte Benachrichtigungen und gefälschte Steuerbescheide sind nicht dasselbe.
• Persönliche Anrede, korrektes Deutsch und Behördenlogos beweisen keine Echtheit.
• Die Prüfung erfolgt über das selbst aufgerufene Portal oder das unabhängig kontaktierte Finanzamt.
• Nach einer Dateneingabe richtet sich die Reaktion danach, welche Informationen betroffen sind.

Woran lässt sich ELSTER-Phishing in Deutschland erkennen?

Kriminelle nutzen Steuerfragen als Vorwand, weil eine angekündigte Rückzahlung erfreut und eine angebliche Forderung verunsichert. Der zentrale Prüfpunkt lautet deshalb nicht, ob die Nachricht amtlich aussieht, sondern was sie von Ihnen verlangt. Besonders verdächtig sind Aufforderungen, Bankzugänge offenzulegen oder vertrauliche Angaben über einen unerwarteten Link zu bestätigen.

Nach den am 29. Oktober 2026 geprüften Sicherheitshinweisen von ELSTER fragt die Steuerverwaltung vertrauliche Angaben nicht per E-Mail ab. Dazu gehören etwa die Steuernummer, Bankverbindungen und geheime Zugangsinformationen. Auch eine konkrete Erstattung oder Nachzahlung wird nach diesen Hinweisen nicht unmittelbar im Nachrichtentext mitgeteilt.

Warum reichen Absendername und gute Sprache nicht aus?

Der sichtbare Name im Posteingang kann eine Behörde vortäuschen, ohne dass die Nachricht von dort stammt. Ein unpassender Absender ist ein Warnsignal; eine plausibel wirkende Anzeige ist dagegen noch kein Echtheitsnachweis. Ebenso wenig genügt ein bekanntes Logo.

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, weist auf zunehmend überzeugende Fälschungen hin. Fehlerfreies Deutsch und eine persönliche Ansprache schließen einen Angriff daher nicht aus. Künstliche Eile, angedrohte Nachteile oder eine ungewöhnliche Datenabfrage verdienen mehr Aufmerksamkeit als die sprachliche Qualität.

Welche ELSTER-E-Mails können tatsächlich echt sein?

Eine Benachrichtigung über neue Inhalte kann zum regulären Verfahren gehören. Daraus folgt aber nicht, dass jeder Link in einer ähnlich gestalteten Nachricht vertrauenswürdig ist. ELSTER unterscheidet zwischen solchen Hinweisen und den eigentlichen Steuerinformationen, die nicht als gewöhnlicher E-Mail-Anhang verschickt werden.

Eine Datei mit der Behauptung, darin stecke der neue Steuerbescheid oder eine Rechnung der Steuerverwaltung, ist deshalb ein erhebliches Warnzeichen. Das gilt auch dann, wenn Sie gerade auf eine Rückmeldung zur Steuererklärung warten. Ein passender Zeitpunkt kann eine Fälschung glaubwürdiger machen, bestätigt aber ihre Herkunft nicht.

Für echte Rückfragen zu Unterlagen hilft es, den offiziellen Kommunikationsweg getrennt vom verdächtigen Posteingang zu prüfen. Wie sich Unterlagen dafür vorbereiten lassen, erklärt der Beitrag über Belege für die Steuererklärung und das Nachreichen von Nachweisen. Eine per E-Mail verlangte Dateneingabe ersetzt diese Prüfung nicht.

Wie prüft man eine verdächtige Nachricht ohne ihren Link?

Der risikoärmere Weg beginnt außerhalb der Nachricht: Öffnen Sie ELSTER über eine selbst eingegebene bekannte Adresse oder ein bereits geprüftes Lesezeichen. Eine Anmeldung über den mitgeschickten Button ist dafür nicht erforderlich. Prüfen Sie anschließend im eigenen Benutzerkonto, ob ein entsprechender Vorgang vorliegt.

1. Die Nachricht zunächst stehen lassen, ohne zu antworten oder einen Anhang zu öffnen.
2. Das bekannte Portal unabhängig aufrufen und die dort verfügbaren Mitteilungen prüfen.
3. Bei Unklarheit das zuständige Finanzamt über selbst recherchierte Kontaktdaten ansprechen.
4. Die verdächtige Nachricht nicht zur Grundlage einer Zahlung oder Datenfreigabe machen.

Auch eine Telefonnummer in der fraglichen E-Mail kann Teil der Täuschung sein. Die gemeinsame Phishing-Checkliste von BSI und Polizeilicher Kriminalprävention empfiehlt deshalb, Kontaktdaten unabhängig zu ermitteln. Ein Rückruf bei der echten Stelle ist aussagekräftiger als eine Antwort an den unbekannten Absender.

Bedeutet HTTPS, dass die Seite sicher ist?

HTTPS zeigt eine verschlüsselte Verbindung an, bestätigt aber nicht, dass hinter der Seite das Finanzamt steht. Laut BSI nutzen auch Phishing-Seiten entsprechende Zertifikate. Entscheidend bleibt daher, welche Adresse tatsächlich aufgerufen wurde und ob der Zugang unabhängig von der verdächtigen Nachricht erfolgte.

Auch eine Aufforderung zur Installation einer zusätzlichen Sicherheits-App verdient eine separate Prüfung. Die Verbraucherzentrale NRW beschreibt eine gefälschte Anwendung mit dem Namen ElsterSecure+; die echte Anwendung zur Authentifizierung heißt ElsterSecure. Ein Zusatz im vertrauten Namen kann also gerade der Unterschied zwischen Original und Täuschung sein.

Was hilft, wenn bereits Daten eingegeben wurden?

Ein angeklickter Link, ein übermitteltes Passwort und freigegebene Bankdaten sind unterschiedliche Situationen. Für die nächsten Schritte ist wichtig, möglichst genau festzuhalten, was passiert ist. Notieren Sie, welche Angaben eingegeben, welche Dateien heruntergeladen und welche Freigaben bestätigt wurden, ohne die betrügerische Seite erneut aufzurufen.

Bankdaten oder Zahlungsfreigaben betroffen

Wurden Zugangsdaten zum Onlinebanking oder Kartendaten weitergegeben, hat der Schutz des Zahlungsverkehrs Vorrang. Die BSI-Notfallcheckliste nennt die Sperrung des betroffenen Zugangs, die Kontrolle der Umsätze und die Abstimmung weiterer Schritte mit der Bank. Nutzen Sie dafür bekannte Kontaktwege statt Angaben aus der verdächtigen Nachricht.

Bereits bestätigte Aufträge gehören ausdrücklich ins Gespräch mit dem Institut. Ein Passwortwechsel allein klärt nicht, ob schon eine Zahlung ausgelöst wurde. Weitere Grundlagen beschreibt unser Beitrag zum Schutz des Zugriffs auf das eigene Konto.

Passwort oder andere persönliche Angaben betroffen

Nach der Weitergabe eines Passworts nennt die BSI-Checkliste dessen Änderung und die Prüfung weiterer möglicherweise betroffener Benutzerkonten. Relevant ist insbesondere, ob dasselbe Kennwort mehrfach verwendet wurde oder das E-Mail-Konto betroffen ist. Änderungen erfolgen über die echten Dienste und möglichst von einem vertrauenswürdigen Gerät aus.

Bei einem Betrugsverdacht oder eingetretenem Schaden kommen außerdem Polizei und Verbraucherzentrale als Anlaufstellen infrage. Bewahren Sie vorhandene Nachrichten und Belege für die Klärung auf, ohne verdächtige Anhänge auszuführen. Ob Geld zurückgeholt werden kann, lässt sich aus dem bloßen Vorliegen einer Phishing-Mail nicht ableiten.

Gilt diese Prüfung auch für Österreich und die Schweiz?

Die hier beschriebenen Aussagen zur deutschen Steuerverwaltung beziehen sich auf ELSTER in Deutschland. Sie sind keine Aussage über Benachrichtigungsverfahren österreichischer oder schweizerischer Steuerbehörden. Für Leserinnen und Leser dort bleibt jedoch die allgemeine Sicherheitsfrage gleich: Stammt die verlangte Handlung wirklich von der zuständigen Stelle?

Wer steuerliche Angelegenheiten in Deutschland hat, kann auch aus dem Ausland eine entsprechende Nachricht erhalten. Wohnort und Sprache allein entscheiden deshalb nicht über ihre Echtheit. Maßgeblich sind der tatsächliche Vorgang und dessen unabhängige Bestätigung.

Nach einem sicher abgerufenen deutschen Bescheid stellt sich möglicherweise eine andere Frage: Ist der Inhalt richtig? Dafür erläutert der Artikel über Einspruch und Änderungsantrag beim Steuerbescheid die grundsätzlichen Unterschiede. Die inhaltliche Prüfung beginnt erst, wenn Herkunft und Dokument geklärt sind.

Informativer Inhalt, keine Finanzberatung.