Behörden-Phishing erkennen: Fake-Mails von ELSTER

Beim Behörden-Phishing tun Mails, SMS oder Webseiten so, als kämen sie vom Finanzamt, von ELSTER, einem Ministerium oder einer Kommune. Du sollst IBAN, Kartendaten, Ausweisfotos oder Zugangsdaten eingeben – oft mit einer Frist und der Drohung, sonst gäbe es kein Geld oder es drohe ein Bußgeld.

Das ist eine Form von Phishing. Der Köder wirkt, weil fast jeder irgendwann Post vom Amt erwartet. Die Regel dahinter ist einfach: Echte Behörden fordern solche Daten nicht über einen Link in der Mail.

Was echte Stellen per Mail tun

Die Steuerverwaltung sagt es selbst auf der ELSTER-Sicherheitsseite: Es kommen höchstens Benachrichtigungen, dass im geschützten Postfach etwas liegt. Keine Beträge im Mailtext, keine Rechnungen als Anhang, keine Steuernummer, keine Kontoverbindung, keine Kreditkarte, keine PIN.

Dasselbe Muster gilt für andere Ämter: Ein echter Bescheid kommt per Post oder liegt im bekannten Portal. Wer in der Mail einen Button zum „Freigeben“, „Verifizieren“ oder „Jetzt auszahlen“ setzt, will Betrug.

So läuft die Masche

1. Der Köder. Eine Erstattung, ein Restbetrag, ein Bußgeld, eine Förderung oder eine „Datenaktualisierung“.
2. Der Druck. 24 Stunden, sonst Sperre, sonst keine Auszahlung, sonst Inkasso.
3. Der Link. Die Seite kopiert Logo und Farben. Die Adresse gehört den Tätern – oft Typosquatting wie elster-… statt elster.de.
4. Die Daten. IBAN, Karte, Ausweis, Selfie-Video oder Login. Danach folgen Abbuchungen oder Identitätsdiebstahl.

Der Absender kann wie eine Behörde aussehen. Das ist oft E-Mail-Spoofing: Der Name im Posteingang sagt nichts über den echten Absender.

ELSTER, Finanzamt und Steuererstattung

Gerade um die Steuererklärung herum laufen Wellen mit Betreffzeilen wie „Ihr Steuerbescheid – Erstattung bestätigt“. Du sollst Kartendaten „freigeben“ oder das Online-Banking mit ELSTER verknüpfen. ELSTER zahlt kein Geld aus und verlangt keine Banking-Kopplung.

Weitere Steuer-Köder:

• IBAN für SEPA oder Lastschrift „bestätigen“
• Restbetrag oder Differenz zu deinen Gunsten
• Fake-App statt der echten ElsterSecure
• Prüfungsanordnung per Mail mit Dateneingabe

Prüfe nur so: elster.de selbst eintippen, anmelden, Postfach öffnen. Liegt dort nichts, war die Mail Betrug. Alternativ das zuständige Finanzamt über die Nummer vom letzten Bescheid anrufen – nicht über eine Nummer aus der verdächtigen Nachricht.

Weitere Amts-Köder

Dieselbe Falle, anderer Absender:

• Bundesnetzagentur oder Bundeszentralamt für Steuern: IBAN für eine Steuerrückerstattung aktualisieren. Die echte Kontaktadresse der Netzagentur ist nicht irgendwas mit .org.
• Rundfunkbeitrag: Zahlungsplan ändern, Rabatt bei Sofortüberweisung, Rückerstattung prüfen. Der echte Dienst verlangt das nicht per Mail-Link. Infos: rundfunkbeitrag.de.
• Bußgeld oder KBA: Geschwindigkeitsverstoß mit Download-Link. Das Kraftfahrt-Bundesamt verschickt keine solchen Mails.
• Ministerium: Klimasonderzahlung, Förderung, Ausweisfotos und Selfie-Video „zur Identitätsprüfung“.
• Stadt oder Inkasso: Abgetretene Bußgelder. Auffällig oft die Postleitzahl hinter dem Ortsnamen.
• Deutsche Rentenversicherung, IHK, Krankenkasse: Daten wegen neuer Gesetze aktualisieren.

Kommt der Köder per SMS, ist es Smishing. Eine gefälschte Einreiseerlaubnis ist ETA-Phishing, nicht dieselbe Masche. Ein Anruf angeblicher Polizisten, die Bargeld abholen wollen, gehört zu falschen Polizisten.

Daran erkennst du den Betrug

• Unpersönliche Anrede, fehlende Steuernummer, fehlendes zuständiges Amt.
• Konkreter Erstattungsbetrag oder Zahlungsaufforderung in der Mail.
• Button oder Link, über den du Daten eingeben sollst.
• Kurze Frist und Drohung mit Sperre, Gebühr oder entgangenem Geld.
• Absender bei einem Freemail-Dienst oder Domain, die nur ähnlich klingt.
• Gemischte Behörden-Logos, falsche Rechtsbegriffe, „Ihr Online-Finanzamt“ – so heißt keine Behörde.

Rechtschreibfehler sind kein verlässliches Merkmal mehr. Die Texte wirken oft sauber.

So schützt du dich

1. Nicht auf den Mail-Link klicken. Adresse selbst eintippen oder ein eigenes Lesezeichen nutzen.
2. Nichts eingeben, was eine Behörde schon hat oder nie per Mail braucht: IBAN, Karte, PIN, Ausweis, TAN.
3. Nicht antworten. Sonst wissen die Täter, dass die Adresse lebt.
4. Anhänge nicht öffnen, vor allem nicht .zip oder ein angebliches Bescheid-PDF aus dem Nichts.
5. Im Zweifel beim Amt nachfragen – über den bekannten Kanal, nicht über Kontaktdaten aus der Mail.

Aktuelle Wellen siehst du im Phishing-Radar der Verbraucherzentrale.

Wenn du schon Daten eingegeben hast

• Bank oder Kartenanbieter sofort informieren, Zugang sperren – 116116.
• Passwörter ändern, zuerst beim E-Mail-Konto.
• Anzeige bei der Polizei, Belege sichern – oft über Online-Strafanzeige.
• Bei Ausweisdaten die Schritte unter Identitätsdiebstahl mitgehen.

Mail oder Link prüfen

Kopiere Absender, Text oder die Webadresse in den FAKE-Checker, bevor du reagierst. Der Checker ersetzt nicht den Login auf der echten Amtsseite – aber er hilft, eine gefälschte Adresse zu erkennen.