Gefälschter ELSTER-Steuerbescheid: Warum ich Benachrichtigungen vom Finanzamt nie wieder anklicke

Ich habe vor drei Tagen eine E-Mail bekommen, dass mir das Finanzamt angeblich 840 Euro erstattet. Ich habe die Nachricht sofort gelöscht.

Klingt bekloppt? Ist aber die einzig vernünftige Reaktion.

Pünktlich nach Ablauf der offiziellen Abgabefristen für die Steuererklärung rollt wieder eine gigantische Phishing-Welle durch Deutschland. Cyberkriminelle nutzen genau den Moment aus, in dem Millionen Menschen auf ihren Steuerbescheid warten und auf eine Rückzahlung hoffen. Die Mails sehen täuschend echt aus, tragen offizielle Logos und schreien dich mit Betreffzeilen wie „Ihr Steuerbescheid – Erstattung bestätigt“ förmlich an. Wer da im ersten Reflex morgens am Smartphone vor Freude grinst und auf den eingebetteten Link drückt, ist sein Erspartes schneller los, als das Finanzamt überhaupt arbeiten kann.

Der Trick mit der angeblichen Erstattung

Die Betrüger spielen ein dreistes Spiel mit deinen Emotionen. Auf der einen Seite steht das Versprechen auf leicht verdientes Geld. Auf der anderen Seite bauen sie künstlichen Zeitdruck und Autorität auf. In den Nachrichten heißt es dann plötzlich, die Auszahlung verfalle innerhalb von 48 Stunden, wenn keine Bestätigung erfolgt oder die hinterlegte Bankverbindung nicht sofort abgeglichen wird.

Wer den Button anklickt, landet auf einer perfekt nachgebauten Internetseite. Die Farben stimmen, die Schriften stimmen, sogar das Logo des Online-Finanzamts ELSTER sieht auf den ersten Blick vollkommen identisch aus. Dort wirst du aufgefordert, eine angebliche Sicherheitsprüfung oder Identitätsbestätigung durchzuführen.

Abgefragt werden nicht nur Anmeldename und PIN fürs Online-Banking, sondern oft auch gleich die Kreditkartennummer mitsamt CVC-Code, Geburtsdatum, Adresse und Steuer-ID. In besonders dreisten Fällen versuchen die Täter sogar, dich zur Freigabe einer Push-TAN auf deinem Smartphone zu verleiten. Sobald du diese Daten eingibst und abschickst, greifen Kriminelle deine Konten ab und räumen sie im Hintergrund eiskalt leer.

Mein Schutzschild gegen gefälschte Mails

Das Gute an der ganzen Sache ist: Man braucht keine teure Sicherheitssoftware und keinen Informatik-Abschluss, um diesen Müll eiskalt abzuwehren. Es reicht ein einziger fester Reflex im Alltag, den ich mir vor langer Zeit angewöhnt habe.

Ich klicke grundsätzlich niemals auf Links in E-Mails, die angeblich von Behörden, Banken oder dem Finanzamt stammen. Niemals. Egal wie echt die Nachricht aussieht oder welche Summe mir darin versprochen wird. Selbst wenn die Absender-Adresse im Mail-Programm auf den ersten Blick seriös wirkt, ignoriere ich den Button in der Mail konsequent.

Das echte Finanzamt arbeitet nach glasklaren Regeln, die man einmal verstanden haben muss:

• ELSTER verschickt zwar E-Mails, aber darin steht niemals eine konkrete Geldsumme und erst recht kein Link zu einer Anmeldeseite. In einer echten Benachrichtigung steht lediglich der neutrale Hinweis, dass im Posteingang deines persönlichen Benutzerkontos auf elster.de ein neues Dokument bereitliegt.
• Eine Steuererstattung wird vom Finanzamt immer vollautomatisch auf das Konto überwiesen, das du in deiner Steuererklärung angegeben hast. Eine nachträgliche Auszahlungsfreigabe oder Bestätigung per Internet-Link existiert im deutschen Steuerrecht schlichtweg nicht.
• Weder die Finanzverwaltung noch deine Hausbank werden dich jemals per E-Mail nach PINs, TANs, Kreditkartendaten oder Passwörtern fragen.

Wenn eine E-Mail mit einer angeblichen Steuererstattung in meinem Postfach landet, mache ich folgendes: Mail schließen. Browser öffnen. Ich tippe manuell www.elster.de in die Adresszeile ein oder wähle mein gespeichertes Lesezeichen, logge mich ganz normal mit meinem Zertifikat oder meinen Zugangsdaten ein und schaue im internen Postfach nach. Wenn dort keine Benachrichtigung liegt, war die E-Mail garantiert eine Fälschung. Thema erledigt, ohne dass auch nur ein einziges Risiko entstanden ist.

Wenn der Finger doch schneller war als der Verstand

Falls du im Eifer des Gefechts doch auf so einen Link geklickt und deine Daten auf der gefälschten Seite eingegeben hast, musst du sofort handeln. Hier zählt wirklich jede einzelne Minute, bevor die Betrüger deine Konten abräumen oder deine Identität missbrauchen.

Als Erstes greifst du direkt zum Telefon und wählst den zentralen Sperr-Notruf 116 116 oder rufst direkt bei deiner Bank an. Lass deinen Online-Banking-Zugang und alle betroffenen Kreditkarten auf der Stelle sperren. Je schneller das passiert, desto geringer ist die Chance für die Abzocker, Schaden anzurichten.

Danach änderst du sofort deine Passwörter – vor allem, falls du dieselbe Kombination aus E-Mail und Passwort auch bei anderen Onlinediensten nutzt. Zum Schluss sichere Screenshots der gefälschten Mail sowie der Phishing-Seite. Damit gehst du zur Polizei oder erstattest direkt über die Online-Wache Anzeige wegen Betrugsversuchs.

Lass dich von solchen Abzock-Mails im Alltag niemals unter Stress setzen. Mit einem kühlen Kopf und dem manuellen Umweg über die offizielle Website laufen die Betrüger komplett ins Leere.