Phishing-Welle: BZSt warnt vor gefälschten Steuerbescheiden
Veröffentlicht am: 25.07.2026 um 01:30 Uhr | Redaktion boerse-global.de
Das Bundeszentralamt für Steuern (BZSt) warnt vor einer aktuellen Phishing-Welle. Kriminelle verschicken gefälschte E-Mails zu angeblichen Steuerrückerstattungen und täuschen dabei die Absenderadresse.
Die Masche ist raffiniert: Statt „elster.de“ nutzen die Täter die Domain „eister.de“ – das kleine „l“ wird durch ein „i“ ersetzt. Empfänger sollen für eine vermeintliche Rückzahlung von 221,50 Euro ihre Bankdaten auf einer externen Webseite eingeben. Das BZSt gab die Warnung am 24. Juli 2026 heraus.
Verbraucherzentralen schlagen Alarm
Bereits am Vortag warnte die Verbraucherzentrale Sachsen vor ähnlichen E-Mails. In diesen Fällen werden Empfänger aufgefordert, ihre IBAN für ein angebliches SEPA-Lastschriftmandat zu bestätigen. Eine spezialisierte Beratungsgesellschaft meldete zudem gefälschte Ankündigungen von Außen- oder Betriebsprüfungen.
Ein markantes Merkmal: Der angebliche PDF-Anhang entpuppt sich beim Öffnen als HTML-Datei. Auch der Bürgerbeauftragte von Rheinland-Pfalz und die Deutsche Rentenversicherung warnten am 23. und 24. Juli vor Phishing-Versuchen mit schädlichen Anhängen.
Internationaler Schlag gegen Phishing-Infrastruktur
Parallel zu den Warnungen vermeldete das Bundeskriminalamt (BKA) einen Erfolg. Im Rahmen der „Operation Olympus Blade“ wurden die Phishing-Plattformen Kratos und Tycoon2FA zerschlagen. In Zusammenarbeit mit FBI und indonesischen Behörden sicherten die Ermittler die Server.
Die Bilanz: zwölf Festnahmen in Pakistan, Entwickler in Indonesien gefasst. Die Plattform Kratos bediente seit 2024 rund 1.800 Nutzer und generierte etwa 300.000 Euro Umsatz. Monatlich wurden rund 15.000 Angriffskampagnen in über 30 Ländern abgewickelt.
Angesichts der Millionen wöchentlichen Phishing-Versuche in Deutschland ist ein proaktiver Schutz für Unternehmen wichtiger denn je. Dieser kostenlose Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie Sie Manipulationen rechtzeitig entlarven. Jetzt Gratis-Anti-Phishing-Paket für Firmen sichern
Die Täter setzten auf Session-Cookie-Diebstahl, um die Multi-Faktor-Authentifizierung (MFA) zu umgehen. Das Ausmaß wird an einer einzelnen Kampagne deutlich: Innerhalb von zwei Wochen registrierten die Ermittler 81 Millionen Anmeldeversuche.
KI macht Phishing gefährlicher
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beziffert den Anteil von Phishing an allen Cyberangriffen auf 90 Prozent. Laut IT-Branche ist mittlerweile jede dritte unerwünschte E-Mail ein Betrugsversuch.
Die Qualität der Anschreiben steigt rasant. Künstliche Intelligenz macht Phishing-Mails sprachlich kaum noch von echten Behördenschreiben unterscheidbar. KI-gestützte Methoden erreichen bei der Umgehung von MFA Erfolgsquoten von bis zu 54 Prozent.
Ein großer Softwarehersteller registrierte im zweiten Quartal 2026 insgesamt 7,6 Milliarden Phishing-Versuche. Während QR-Code-Phishing leicht rückläufig war, stiegen Angriffe über Kalendereinladungen im Juni um 277 Prozent. Mobile Banking-Trojaner legten im ersten Quartal um 56 Prozent zu.
Da herkömmliche Passwörter und selbst viele MFA-Methoden kein Hindernis mehr für moderne Hacker-Angriffe darstellen, wird eine neue Technologie immer wichtiger. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie Ihre Konten bei Amazon, Microsoft oder WhatsApp mit Passkeys dauerhaft absichern. Passkeys-Ratgeber kostenlos herunterladen
Was Betroffene wissen müssen
Im Schadensfall greift grundsätzlich § 675u BGB: Die Bank muss nicht autorisierte Zahlungen erstatten. Die Haftung entfällt jedoch bei grober Fahrlässigkeit – etwa wenn Warnsignale ignoriert oder TANs auf offensichtlich gefälschten Seiten eingegeben wurden.
Experten raten: Bei Zweifeln direkt bei der Behörde oder dem Finanzamt anrufen. Offizielle Stellen fordern Bankdaten oder Zahlungen niemals per E-Mail an. Technologisch zeichnet sich ein Wandel ab: Microsoft will die SMS-Authentifizierung bis Anfang 2027 einstellen. Große deutsche E-Mail-Anbieter setzen ab September 2026 verstärkt auf Passkeys.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
