Fake-Elster-Mails mit Steuererstattung: Warum das auch Ihren Betrieb trifft

Eine neue Phishing-Welle nimmt das Elster-Portal ins Visier

Seit Wochen warten viele Steuerpflichtige auf ihren Steuerbescheid 2025, und genau diese Wartezeit wird aktuell von Betrügern ausgenutzt. Es kursieren E-Mails, die eine angebliche Steuererstattung in Aussicht stellen und sich dabei als Elster-Portal ausgeben, das offizielle Steuerportal der deutschen Finanzverwaltung. Wer auf den enthaltenen Link klickt, landet auf einer nachgebauten Seite, die Zugangsdaten oder Bankverbindung abfragt, meist unter dem Vorwand, die Erstattung schnell auszahlen zu wollen.

Das Muster ist nicht neu, aber der Zeitpunkt ist geschickt gewählt. Die Wartezeit auf den Bescheid erzeugt bei vielen Menschen genau die Mischung aus Ungeduld und Hoffnung auf Geld, die Phishing-Mails ausnutzen wollen. Die Dringlichkeit im Betreff, die Aussicht auf eine Rückerstattung und die vertraute Optik des Elster-Logos senken die Hemmschwelle, schnell zu klicken statt genau hinzuschauen.

Warum das auch Ihr Unternehmen betrifft

Auf den ersten Blick wirkt das wie ein reines Privatpersonen-Thema, schliesslich reicht Elster private Einkommensteuererklärungen ein. Für Betriebe mit 5 bis 50 Mitarbeitenden ist die Lage trotzdem relevant, und zwar aus einem einfachen Grund: In kleineren Firmen werden geschäftliche und private Postfächer selten sauber getrennt. Die Buchhaltungskraft prüft am Firmenrechner auch die eigene Steuererklärung, der Inhaber checkt am Feierabend noch schnell das geschäftliche Postfach vom privaten Handy, und Passwörter werden häufiger wiederverwendet, als es die IT-Richtlinie vorsieht.

Ein Betrieb mit etwa 20 bis 30 Mitarbeitenden hätte typischerweise mehrere Kolleginnen und Kollegen, die privat auf eine Steuererstattung warten und damit für genau diesen Köder empfänglich sind. Klickt eine Person auf einer gemischt genutzten Maschine auf den Link und gibt Zugangsdaten preis, ist das nicht mehr nur ein privates Problem. Wiederverwendete Passwörter, gespeicherte Sessions im Browser oder ein kompromittiertes Endgerät im selben Netzwerk wie die Firmen-IT reichen aus, um aus einer privaten Unachtsamkeit ein geschäftliches Sicherheitsproblem zu machen.

Woran Sie die gefälschten Mails erkennen

Ein paar Grundregeln helfen zuverlässig, unabhängig davon, wie professionell die einzelne Mail gestaltet ist:

• Elster und das Finanzamt fordern niemals per E-Mail-Link zur Eingabe von Zugangsdaten oder Bankverbindung auf. Kommunikation zu Ihrem Steuerbescheid läuft über den Postweg oder über das Elster-Postfach, in das Sie sich über die selbst eingetippte offizielle Adresse einloggen, nie über einen Link aus einer E-Mail.
• Eine echte Steuererstattung wird nicht per Formular "bestätigt", sondern direkt auf das hinterlegte Konto überwiesen, ohne dass Sie vorher irgendwo Daten nachtragen müssen.
• Druck und Frist im Betreff, etwa "Erstattung verfällt" oder "sofort bestätigen", sind ein klassisches Alarmsignal. Echte Behördenpost drängt selten auf Minuten oder Stunden.
• Der Link in der Mail lohnt einen zweiten Blick, bevor geklickt wird. Zeigt die tatsächliche Zieladresse beim Hovern wirklich auf eine offizielle Elster- oder Finanzamts-Domain, oder auf etwas Ähnliches mit kleinen Abweichungen im Domainnamen?

Was Sie diese Woche konkret tun sollten

Für Betriebe reicht es nicht, auf den gesunden Menschenverstand einzelner Mitarbeitender zu hoffen, wenn private und geschäftliche Nutzung sich überschneiden. Drei Dinge sind mit überschaubarem Aufwand umsetzbar.

Erstens eine kurze Rundmail oder ein Hinweis in der nächsten Teambesprechung, der genau auf diese aktuelle Welle eingeht. Ein Satz reicht: "Elster verschickt keine E-Mails mit Links zur Steuererstattung, bei Zweifel bitte nicht klicken und Rückfrage stellen." Konkrete, aktuelle Warnungen wirken erfahrungsgemäss besser als allgemeine Sicherheitsschulungen, weil sie an ein reales, gerade laufendes Ereignis anknüpfen.

Zweitens sollte, wer Zweifel an einer bereits geklickten Mail hat, das Passwort des betroffenen Kontos umgehend ändern, und zwar überall dort, wo dasselbe Passwort noch verwendet wird. Genau das ist in der Praxis der meistunterschätzte Schritt, weil ein einzelnes wiederverwendetes Passwort die Tür zu mehreren Systemen gleichzeitig öffnet.

Drittens lohnt sich ein Blick darauf, ob im Betrieb überhaupt eine technische Basis existiert, die einen einzelnen Klick abfängt, bevor er zum Sicherheitsvorfall wird. Dazu zählen Mail-Filterung, eine Zwei-Faktor-Absicherung wichtiger Konten und ein Monitoring, das ungewöhnliche Logins erkennt, statt sich allein auf die Wachsamkeit jedes Einzelnen zu verlassen.

Unsere Einordnung

Aus unserer Sicht zeigt diese Welle exemplarisch, worauf wir bei kleineren Betrieben immer wieder stossen: Nicht die fehlende Technik ist meistens das Problem, sondern die Vermischung von privater und geschäftlicher Nutzung auf denselben Geräten und mit denselben Zugangsdaten. Eine Phishing-Mail, die eigentlich auf Privatpersonen zielt, wird dadurch zu einem Firmenrisiko, ohne dass im Betrieb irgendetwas grundsätzlich falsch gemacht worden wäre, ausser eben einmal zu schnell geklickt zu haben.

Wir empfehlen, solche aktuellen Wellen nicht als einmalige Warnung abzuhaken, sondern als Anlass zu nehmen, grundsätzlich zu prüfen, wo in Ihrem Betrieb private und geschäftliche IT-Nutzung noch zu eng verzahnt sind, und ob eine geklickte Mail heute unbemerkt bliebe oder auffallen würde. Wenn Sie das für Ihren Betrieb einordnen lassen möchten, erreichen Sie uns unter kontakt@it-meeder.de.