ELSTER-Phishing: Gefälschte Steuer-Mails mit Frist im Umlauf

Die schnelle Antwort: Seit dem 30. Juli 2026 warnt die Verbraucherzentrale vor gefälschten E-Mails im Namen von Mein ELSTER. Die Nachricht trägt den Betreff „Mein ELSTER: Benachrichtigung zur Datensynchronisierung", nennt eine Kennnummer sowie eine Umsatzsteuer-Identifikationsnummer und setzt eine Frist zum 4. August 2026. Betroffen ist jeder, der diese Mail im Postfach findet, unabhängig davon, ob er ELSTER überhaupt nutzt.

Was genau seit dem 30. Juli verschickt wird

Das Phishing-Radar der Verbraucherzentrale führt die Kampagne seit dem 30. Juli 2026. Die Mail gibt sich als Benachrichtigung aus dem Postfach von Mein ELSTER aus und behauptet, es liege eine neue Verwaltungsmitteilung vor, die über eine verlinkte PDF-Datei abgerufen werden müsse. Dazu wird eine Frist gesetzt, im aktuellen Schwung auf den 4. August 2026.

Bemerkenswert ist nicht die Masche an sich, sondern ihre Ausstattung. Die Nachricht enthält eine Kennnummer und eine Umsatzsteuer-Identifikationsnummer, dazu behördentypische Formulierungen. Wer im Alltag mit dem Finanzamt zu tun hat, kennt genau diesen Ton. Die Verbraucherzentrale nennt als verräterische Merkmale eine unpersönliche Anrede, die Aufforderung zum Dateidownload über einen Link, auffällig allgemein gehaltene Formulierungen ohne konkrete Angabe, worum es inhaltlich geht, sowie die künstlich gesetzte Frist.

Diese Welle ist zudem kein Einzelschlag. Bereits kurz zuvor lief eine praktisch identische Kampagne, deren Stichtag auf den 31. Juli 2026 datiert war. Die Absender rollen dieselbe Vorlage offenbar mit fortlaufend verschobenem Datum erneut aus. Für Sie heißt das: Auch wenn der 4. August verstrichen ist, wird die nächste Variante mit neuem Stichtag mit hoher Wahrscheinlichkeit folgen. Die hier beschriebenen Prüfschritte behalten also über den Tag hinaus ihren Wert.

Bin ich betroffen? Der Test, der in dreißig Sekunden Klarheit schafft

Die verlässlichste Prüfung stammt vom Anbieter selbst. Auf den offiziellen Sicherheitshinweisen von ELSTER stehen drei Sätze, die diese Kampagne vollständig widerlegen. Erstens: „Die Steuerverwaltung sendet Ihnen grundsätzlich nur Benachrichtigungen, aber niemals die eigentlichen Steuerdaten oder Rechnungen in Form eines E-Mail-Anhangs." Zweitens: „Die Steuerverwaltung wird in einer E-Mail niemals Informationen, wie die Steuernummer, Kontoverbindungen, Kreditkartennummern, PIN oder die Antwort auf Ihre Sicherheitsabfrage, anfordern." Drittens: „Die Steuerverwaltung wird niemals direkt im E-Mail-Text über eine mögliche Nachzahlung oder Erstattung informieren."

Daraus folgt eine Regel, die ohne technisches Wissen auskommt und bei jeder künftigen Variante trägt: Sobald eine angebliche ELSTER-Mail Ihnen ein Dokument liefern, eine Datei zum Download anbieten oder eine Angabe von Ihnen abfragen will, ist sie gefälscht. Echte Benachrichtigungen sagen Ihnen lediglich, dass etwas im Postfach liegt. Den Inhalt bekommen Sie ausschließlich nach der Anmeldung im Portal zu sehen.

Der praktische Ablauf ist deshalb immer derselbe: Schließen Sie die Mail, öffnen Sie einen neuen Browser-Tab, tippen Sie elster.de von Hand ein und melden Sie sich dort an. Liegt tatsächlich eine Mitteilung vor, sehen Sie sie im Postfach. Liegt keine vor, war die Mail eine Fälschung. Klicken Sie zur Kontrolle niemals den Link aus der fraglichen Nachricht an, denn er führt Sie im Zweifel auf genau die Infrastruktur, die Sie gerade überprüfen wollen. Wie Sie eine gefälschte Absender-Domain an der Adresszeile erkennen und warum ausgerechnet seriöse Institute diese Prüfung so schwer machen, lesen Sie in unserer Analyse zu den irreführenden Domains im Bankenumfeld.

Sie haben geklickt: die richtige Reihenfolge der Gegenmaßnahmen

Entscheidend ist, wie weit Sie gegangen sind. Für die vier realistischen Stufen gelten unterschiedliche Konsequenzen.

• Nur die Mail geöffnet: Das allein ist in aller Regel unkritisch. Verschieben Sie die Nachricht in den Spam-Ordner, damit Ihr Anbieter den Absender künftig besser filtert, und löschen Sie sie anschließend. Antworten Sie nicht, auch nicht empört, denn jede Antwort bestätigt, dass die Adresse aktiv gelesen wird.
• Den Link angeklickt, aber nichts weiter getan: Schließen Sie die Seite, ohne etwas einzugeben, und lassen Sie einen aktuellen Virenscan über das Gerät laufen. Bleiben Sie in den folgenden Tagen aufmerksam gegenüber ungewöhnlichem Verhalten, etwa neuen Symbolleisten im Browser oder unerwarteten Anmeldeaufforderungen.
• Die Datei heruntergeladen und geöffnet: Trennen Sie das Gerät vom Netzwerk und führen Sie eine vollständige Prüfung mit einem aktuellen Schutzprogramm durch. Wichtig ist die Reihenfolge: Vergeben Sie neue Passwörter erst, wenn das Gerät als sauber gilt, sonst laufen die frischen Zugangsdaten direkt in dieselbe Falle. Nutzen Sie im Zweifel für die Passwortwechsel ein zweites Gerät.
• Zugangsdaten eingegeben: Ändern Sie das betroffene Passwort sofort und überall dort, wo Sie dieselbe Kombination verwendet haben. Melden Sie sich in Mein ELSTER an und kontrollieren Sie die hinterlegte Bankverbindung. Prüfen Sie zusätzlich Ihr E-Mail-Konto auf neu eingerichtete Weiterleitungsregeln, ein beliebter und leicht übersehener Trick, um künftige Bestätigungsmails still mitzulesen.

Wer bei Schritt drei oder vier gelandet ist, sollte den Blick anschließend weiten. Die E-Mail-Adresse, an die diese Kampagne ging, steht offenkundig auf einer Verteilerliste, und solche Listen verschwinden nicht von selbst. Adresse aus dem Handel nehmen lassen ist deshalb der Schritt, der die nächste Welle kleiner macht.

Warum ausgerechnet Ihre Adresse angeschrieben wurde

Viele Empfänger schließen aus der genannten Umsatzsteuer-Identifikationsnummer, es müsse einen Einbruch bei der Finanzverwaltung gegeben haben. Dafür gibt es keinen Anhaltspunkt, und die naheliegende Erklärung ist deutlich unspektakulärer. Wer eine Umsatzsteuer-Identifikationsnummer besitzt und eine Website betreibt, muss sie im Impressum angeben. Sie steht dort öffentlich, unmittelbar neben Name, Anschrift und E-Mail-Adresse. Für Selbstständige, Kleinunternehmer und Vereine bedeutet das: Der komplette Datensatz, der die Mail glaubwürdig macht, ist auf der eigenen Website frei abrufbar und maschinell in großer Zahl einsammelbar.

Bei Privatpersonen ohne eigene Website stammt die Adresse dagegen typischerweise aus zwei anderen Quellen. Zum einen aus früheren Datenlecks, in denen E-Mail-Adressen samt Namen abgeflossen sind. Zum anderen aus dem regulären Adresshandel, in dem Werbe- und Adressbroker wie Acxiom, AZ Direct oder Schober Kontaktprofile aufbauen, anreichern und weitergeben. Landen solche Bestände über eine schwarze Schaf-Weitergabe oder über ein Leck bei einem Abnehmer im Umlauf, ergibt sich daraus genau die Zielliste, die eine Kampagne wie diese braucht. Die Kennnummer in der Mail ist dann schlicht erfunden oder generiert, sie muss nur nach Aktenzeichen aussehen.

Das erklärt auch, warum ein Teil der Empfänger diese Mail bekommt, obwohl er ELSTER noch nie benutzt hat. Verschickt wird nicht an ELSTER-Nutzer, sondern an eine eingekaufte oder erbeutete Liste. Der Absender rechnet damit, dass ein ausreichender Anteil davon steuerpflichtig ist, und das ist bei einer Massenaussendung an deutsche Adressen eine sichere Wette.

Genau an dieser Stelle setzt unsere Kernleistung an: Statt jede einzelne Phishing-Mail abzuwehren, verkleinern wir die Liste, auf der Sie überhaupt stehen. Datenputzer fordert bei über 100 Brokern die Löschung Ihrer Werbe- und Profildaten nach Art. 17 DSGVO an, also dort, wo für die weitere Verarbeitung keine tragfähige Rechtsgrundlage mehr besteht. Löschanfragen an die Broker starten und der Verteiler, aus dem solche Kampagnen schöpfen, wird spürbar dünner.

Datentyp-Risiko: Warum Steuerdaten schwerer wiegen als ein Shop-Passwort

Um die Tragweite einzuordnen, hilft ein Blick darauf, was in einem Mein-ELSTER-Konto tatsächlich zusammenläuft. Es sind nicht nur Zahlen, sondern ein zusammenhängendes Persönlichkeitsprofil.

Die Spalte rechts ist der eigentliche Punkt. Ein Passwort ist ein Wegwerfartikel, es lässt sich in einer Minute ersetzen. Alles darüber begleitet Sie über Jahre. Deshalb ist der Schaden eines erfolgreichen Angriffs auf ein Steuerkonto nicht mit dem eines gekaperten Shop-Zugangs vergleichbar: Aus dem Shop-Konto folgt im schlimmsten Fall eine Bestellung, aus dem Steuerkonto folgt ein Datensatz, mit dem sich glaubhaft eine fremde Identität behaupten lässt.

Diese Bausteine sind auch der Grund, warum Folgeangriffe oft überzeugender wirken als der Erstkontakt. Spear-Phishing, also der maßgeschneiderte Angriff auf eine einzelne Person statt der Massenmail, lebt von genau solchen Details. Wer Ihren Arbeitgeber, Ihre Adresse der letzten Jahre und Ihre ungefähre Einkommenshöhe kennt, formuliert eine Nachricht, die keine der klassischen Warnsignale mehr enthält.

Wenn Sie eine dieser Mails melden wollen

Die Verbraucherzentrale Nordrhein-Westfalen betreibt für das Phishing-Radar eine Meldestelle und nimmt verdächtige Nachrichten unter phishing@verbraucherzentrale.nrw entgegen. Leiten Sie die Mail dorthin weiter, bevor Sie sie löschen. Das kostet Sie eine halbe Minute und verbessert die Datenlage für die Warnungen, aus denen dann wiederum Meldungen wie diese entstehen. Wichtig dabei: weiterleiten genügt, Sie müssen die enthaltenen Links dafür nicht anfassen.

Haben Sie tatsächlich Daten preisgegeben oder ist Geld abgeflossen, gehört der Vorgang zusätzlich zur Polizei. Für die Anzeige sind der vollständige Mail-Text samt Kopfzeilen, der Zeitpunkt und eine Beschreibung dessen, was Sie eingegeben haben, die entscheidenden Angaben. Sichern Sie diese Informationen, bevor Sie das Postfach aufräumen.

Häufige Fragen zur ELSTER-Phishing-Welle

Was bleibt, wenn die Frist verstrichen ist

Am Ende bleibt eine unbequeme Unsicherheit: Wer diese Kampagne erhalten hat, weiß nicht, aus welcher Quelle seine Adresse stammt und wo sie sonst noch liegt. Erbeutete und gehandelte Datensätze tauchen selten sofort und selten nur einmal auf. Sie werden zunächst still weitergereicht, für gezielte Wellen wie diese genutzt und häufig erst Wochen oder Monate später breiter verkauft oder als Sammlung veröffentlicht. Eine einmalige Prüfung von heute kann deshalb trügerisch beruhigen. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sofort, sobald sie infolge eines Hacks oder einer Datenpanne im Darknet auftaucht oder gehandelt wird. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie als Kunde von einem solchen Vorfall betroffen, weisen wir Sie aktiv auf passende Sammel- oder Musterklagen und mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen wahrnehmen können (ein Hinweis auf passende Verfahren, keine eigene Rechtsberatung). Der Unterschied zum kostenlosen Check ist dabei entscheidend: Dieser zeigt nur bereits bekannte, veröffentlichte Leaks. Das dauerhafte Monitoring ist das, was Sie beim nächsten Vorfall rechtzeitig erreicht.