ELSTER-Phishing: Gefälschte Mail zur Steuererstattung – so erkennst du den Betrug

Am 10. August 2026 lag in meinem Postfach eine E-Mail von „Mein ELSTER Service” mit dem Betreff „Hinweis zur Auszahlung Ihrer Einkommensteuererstattung”. Darin: das ELSTER-Logo, ein grün hinterlegter Erstattungsstatus, eine ordentlich gesetzte Tabelle mit Referenznummer und Veranlagungsjahr – und die Zusage von 1.459,00 Euro. Ich müsse nur noch einen „letzten Online-Schritt” bestätigen, sonst könne die Auszahlung „vorübergehend zurückgehalten” werden.

Die Mail ist eine Fälschung. Kein Finanzamt der Welt schickt so etwas. Aber sie ist gut gemacht – deutlich besser als die holprigen Betrugsmails von vor ein paar Jahren – und sie trifft genau den Moment, in dem Millionen Menschen tatsächlich auf ihren Steuerbescheid warten.

Ich zeige dir hier die Mail im Original, gehe Zeile für Zeile durch die Details, die sie verraten, erkläre, wie eine echte Steuererstattung wirklich abläuft, und sage dir, was zu tun ist, wenn du schon geklickt oder Daten eingegeben hast.

Die Mail im Original

So sah die Nachricht aus, die bei mir ankam – Absendername „Mein ELSTER Service”, Betreff „Hinweis zur Auszahlung Ihrer Einkommensteuererstattung”:

Auf den ersten Blick wirkt das professionell: sauberes Layout, korrekte Rechtschreibung, keine krummen Formulierungen, eine plausible Summe. Genau das ist der Punkt. Die früher üblichen Warnsignale – Rechtschreibfehler, gebrochenes Deutsch, verpixelte Logos – fallen weitgehend weg, seit Betrugsmails mit Sprachmodellen erzeugt werden. Verlassen kann man sich darauf also nicht mehr.

Worauf man sich verlassen kann, ist die Logik des Vorgangs. Und die stimmt hier an einem Dutzend Stellen nicht.

Elf Details, die diese Mail verraten

1Das Logo trägt einen englischen Zusatz

Neben dem ELSTER-Schriftzug steht „Your online tax office”. Der echte Claim der deutschen Steuerverwaltung lautet „Ihr Online-Finanzamt” – auf Deutsch, so wie er auch auf den Seiten der Landesfinanzverwaltungen auftaucht. Ein englischer Untertitel in der Absenderkennung einer deutschen Behörde ist ein starkes Indiz dafür, dass hier jemand ein Logo nachgebaut hat, statt es zu verwenden.

2Die Anrede kennt deinen Namen nicht

„Sehr geehrte Steuerpflichtige, sehr geehrter Steuerpflichtiger” – das ist eine Serienbrief-Anrede. Dein Finanzamt kennt deinen Namen, deine Anschrift und deine Steuernummer. Es hat keinen Grund, dich anonym anzusprechen. Massenversand lässt sich nun einmal nicht personalisieren, wenn man nur E-Mail-Adressen aus einer Liste hat.

3Es gibt kein „Online-Finanzamt” als absendende Stelle

Unterschrieben ist die Mail mit „Ihr Online-Finanzamt”. So heißt keine Behörde. Zuständig ist immer ein konkretes Finanzamt mit Namen, Anschrift und Telefonnummer – oder, bei bestimmten Verfahren, das Bundeszentralamt für Steuern. ELSTER selbst ist nur das Portal, über das die Kommunikation läuft; es setzt keine Steuern fest und zahlt kein Geld aus.

4Weder Steuernummer noch Aktenzeichen

In der Mail steht kein einziges Merkmal, das dich als Steuerpflichtigen identifiziert: keine Steuernummer, keine Steuer-Identifikationsnummer, kein Aktenzeichen, kein zuständiges Finanzamt. Jedes echte Schreiben der Finanzverwaltung trägt diese Angaben – sie sind der ganze Sinn behördlicher Aktenführung.

5Die Referenznummer ist Fantasie

„Referenz: RF-784-2025-Q3”. Die Einkommensteuer wird für ein Kalenderjahr veranlagt, nicht für Quartale. Ein „Q3” taucht allenfalls bei Vorauszahlungsterminen auf – nie bei der Erstattung aus einem Jahresbescheid. Die Nummer soll Seriosität simulieren und hält der ersten Nachfrage nicht stand.

6Erstattungen werden nicht „genehmigt”

Der grüne Kasten meldet: „Erstattungsstatus: GENEHMIGT – letzter Schritt erforderlich”. Die Finanzverwaltung genehmigt keine Erstattungen. Sie setzt die Steuer mit einem Steuerbescheid fest; daraus ergibt sich rechnerisch eine Erstattung oder eine Nachzahlung. Ein Bescheid enthält außerdem immer eine Rechtsbehelfsbelehrung – hier fehlt sie, weil es keinen Bescheid gibt.

7Einen „letzten Online-Schritt” gibt es nicht

Das ist der Kern der Masche. In der echten Welt ist die Erstattung mit dem Bescheid erledigt: Das Finanzamt überweist auf das Konto, das in deiner Steuererklärung angegeben ist. Es gibt keine Freischaltung, keine Bestätigungsseite, keine Verifizierung von Zahlungsangaben. Wo eine Behörde angeblich Geld an eine Online-Handlung von dir knüpft, ist immer Betrug im Spiel.

8Der Betrag ist glaubwürdig gewählt

1.459,00 Euro klingt nicht nach Lotteriegewinn, sondern nach einer normalen Rückzahlung – das Statistische Bundesamt beziffert die durchschnittliche Erstattung auf rund 1.240 Euro. Solche Beträge sind bewusst gewählt: hoch genug, um zu locken, unauffällig genug, um nicht misstrauisch zu machen. Auffällig wird es erst, wenn man mitbekommt, dass in einer Welle alle Empfänger denselben Betrag genannt bekommen.

9Künstlicher Zeitdruck mit weicher Drohung

„Wenn Sie innerhalb von 7 Tagen nicht reagieren, kann die Auszahlung verzögert oder vorübergehend zurückgehalten werden.” Zeitdruck ist das wichtigste Werkzeug beim Phishing: Wer sich beeilt, prüft nicht. Und die Formulierung ist bewusst weich („kann”, „vorübergehend”), damit sie nicht zu absurd klingt. Tatsächlich verfällt ein Erstattungsanspruch nicht, weil du eine E-Mail ignorierst.

10Der Beruhigungssatz am Schluss

„Bereits erledigt? Dann können Sie diese Nachricht bedenkenlos ignorieren.” Der Satz wirkt harmlos und ist trotzdem Teil des Handwerks: Er senkt die Alarmbereitschaft und suggeriert einen laufenden Vorgang, an dem du schon beteiligt bist. Behörden schreiben so nicht.

11Der Button verbirgt sein Ziel

Sichtbar ist nur „Vorgang abschließen und Erstattung erhalten”. Wohin es geht, steht nirgends. In den dokumentierten Wellen dieses Jahres führten die Links auf fremde Domains – in einem von Mimikama im Mai 2026 beschriebenen Fall war der Linktext als elster.de/erstattung/abrufen/… gestaltet, das tatsächliche Ziel lag auf einer ganz anderen Domain. Prüfe Links, ohne sie zu öffnen: am Desktop mit der Maus darüberfahren und die Statuszeile lesen, am Handy den Link lange gedrückt halten, bis die Zieladresse erscheint. Alles, was nicht exakt auf elster.de endet – also etwa elster.de.sicher-portal.xyz –, ist eine fremde Seite.

Wie eine echte Steuererstattung wirklich abläuft

Wer den echten Ablauf einmal im Kopf hat, erkennt die Fälschung sofort – unabhängig davon, wie gut sie gemacht ist.

1. Du gibst die Steuererklärung ab, in der Regel elektronisch über „Mein ELSTER” oder eine Steuersoftware. Deine IBAN steht im Mantelbogen bzw. in den Stammdaten.
2. Das Finanzamt bearbeitet den Fall und erlässt einen Steuerbescheid. Der kommt per Post – oder, wenn du der elektronischen Bekanntgabe zugestimmt hast, digital in dein ELSTER-Postfach.
3. Bei elektronischer Bekanntgabe bekommst du höchstens eine schlichte Benachrichtigungsmail, dass etwas bereitliegt. Die Steuerverwaltung stellt dazu selbst klar, dass sie „nur Benachrichtigungen, aber niemals die eigentlichen Steuerdaten” per E-Mail versendet. Keine Beträge, keine Formulare, keine Dateneingabe.
4. Die Erstattung wird automatisch überwiesen – meist wenige Tage nach dem Bescheiddatum, auf das hinterlegte Konto. Du musst dafür gar nichts tun.
5. Eine geänderte Bankverbindung teilst du dem Finanzamt in der Steuererklärung oder schriftlich mit. Niemals über einen Link aus einer E-Mail.

Kurz: Zwischen Bescheid und Geld liegt kein Klick von dir. Wenn eine Nachricht behauptet, es gebe da noch einen Schritt, ist sie falsch.

Was die Täter tatsächlich wollen

Der versprochene Betrag ist nur der Köder. Auf der nachgebauten Seite geht es um drei Arten von Beute – oft in Kombination.

Kein Einzelfall: die Wellen der letzten Monate

Meine Mail ist der jüngste Ableger einer Serie, die sich seit Anfang 2026 durchzieht. Die Aufmachung wechselt, das Muster bleibt.

Bemerkenswert ist die Saisonalität: Die Wellen laufen dann besonders dicht, wenn viele Menschen tatsächlich auf einen Bescheid warten – im Frühsommer nach der Abgabefrist und im Spätsommer, wenn die Bearbeitung in den Finanzämtern läuft. Betrug funktioniert am besten, wenn die Erwartung schon da ist.

Was tun, wenn du geklickt hast?

Panik ist unnötig, Handeln nicht. Arbeite die Stufe ab, die auf dich zutrifft.

Nur den Link geöffnet, nichts eingegeben

Dann ist mit hoher Wahrscheinlichkeit nichts passiert. Schließe die Seite, gib keine Daten ein, lade nichts herunter. Wenn die Seite dir eine Datei angeboten hat und du sie geöffnet hast, führe einen Virenscan durch. Mail anschließend löschen und Absender blockieren.

Persönliche Daten eingegeben

Name, Anschrift, Geburtsdatum und Steuer-ID lassen sich nicht zurückholen. Rechne in den nächsten Wochen mit Folgeangriffen, die diese Daten verwenden, um glaubwürdiger zu wirken – auch per Telefon oder Post. Prüfe zusätzlich, ob unter deinem Namen Verträge auftauchen; eine Selbstauskunft bei der SCHUFA ist einmal jährlich kostenlos.

Bankverbindung oder Kreditkartendaten eingegeben

Hier zählt jede Stunde:

• Sofort die Bank bzw. den Kartenherausgeber anrufen und die Karte sperren lassen. Der Sperr-Notruf 116 116 funktioniert bundesweit rund um die Uhr.
• Keine Freigaben in der Banking-App bestätigen, egal wie plausibel sie beschriftet sind. Push-TAN-Anfragen, die du nicht selbst ausgelöst hast, immer ablehnen.
• Kontoumsätze täglich prüfen; unberechtigte Lastschriften kannst du in der Regel innerhalb von acht Wochen zurückbuchen lassen.
• Anzeige erstatten – in den meisten Bundesländern online über die Internetwache der Polizei. Die Anzeige brauchst du oft für die Erstattung durch die Bank.

ELSTER-Zugangsdaten eingegeben

• Passwort sofort ändern – über elster.de, selbst eingetippt, nicht über einen Link.
• Zertifikatsdatei prüfen: Wer die Datei plus PIN preisgegeben hat, sollte das Zertifikat über sein ELSTER-Konto sperren und neu erzeugen lassen.
• Postfach und Stammdaten kontrollieren, insbesondere die hinterlegte Bankverbindung, und das zuständige Finanzamt informieren.
• Wenn du dasselbe Passwort anderswo genutzt hast: dort ebenfalls ändern. Ein Passwortmanager nimmt dir diese Arbeit künftig ab – wie das kostenlos und geräteübergreifend geht, steht in meiner KeePass-Anleitung.

Wohin melden?

• Verbraucherzentrale, Phishing-Radar: Verdächtige Mails lassen sich an phishing@verbraucherzentrale.nrw weiterleiten. Die eingehenden Meldungen fließen in die öffentlichen Warnungen ein.
• BSI: Das Bundesamt für Sicherheit in der Informationstechnik veröffentlicht Warnungen und eine Checkliste für den Ernstfall.
• Polizei: Anzeige über die Online-Wache deines Bundeslandes, besonders wenn Geld abgeflossen ist.
• Dein Finanzamt: Kurzer Anruf, wenn du unsicher bist, ob eine Nachricht echt war – die Telefonnummer findest du auf dem letzten Bescheid, nicht in der verdächtigen Mail.
• E-Mail-Anbieter: Als Spam bzw. Phishing melden, damit weitere Empfänger geschützt werden.

So schützt du dich dauerhaft

Behandle E-Mail grundsätzlich nicht als Behördenkanal. Die Finanzverwaltung kommuniziert per Post oder über das Postfach in „Mein ELSTER”. Alles, was per Mail hereinkommt und eine Handlung verlangt, prüfst du im Portal – nie über den mitgelieferten Weg.

Tippe Adressen selbst. Lesezeichen für elster.de und für dein Online-Banking anlegen und ausschließlich diese benutzen. Damit läuft jede noch so perfekte Fälschung ins Leere.

Sichere deine Konten ab. Für jedes Konto ein eigenes, langes Passwort und – wo verfügbar – Zwei-Faktor-Authentifizierung. Ein Passwortmanager macht das praktikabel.

Misstraue Dringlichkeit. Fristen von wenigen Tagen, drohende Verzögerungen, „letzter Schritt”: Das sind Verkaufstechniken, keine Verwaltungsakte.

Sprich darüber. Diese Mails funktionieren am besten bei Menschen, die selten mit dem Finanzamt zu tun haben oder sich mit dem Ablauf unsicher fühlen. Ein kurzer Hinweis an Eltern, Großeltern oder Kollegen verhindert mehr Schaden als jedes Spamfilter-Update.

Fazit

Die Mail, die bei mir ankam, ist ein gutes Beispiel dafür, wie sich Phishing verändert hat: sauberes Deutsch, plausibler Betrag, glaubwürdiges Layout, dezenter Zeitdruck. Wer nur auf Rechtschreibfehler achtet, fällt darauf herein.

Was gleich geblieben ist, ist die Struktur. Betrug braucht immer eine Handlung von dir – einen Klick, eine Eingabe, eine Freigabe. Eine echte Steuererstattung braucht das nie. Sie kommt von allein, auf das Konto, das du längst angegeben hast, nach einem Bescheid, den du in Papierform oder in deinem ELSTER-Postfach findest.

Wenn du dir diesen einen Satz merkst, kannst du alle künftigen Varianten dieser Masche ignorieren – egal, wie überzeugend sie aussehen.

Häufige Fragen zur ELSTER-Phishing-Mail

Weiterlesen

• Elster Online Finanzamt: Belegnachreichung zur Steuererklärung – wie der echte Weg über das Portal aussieht
• KeePass Passwortmanager geräteübergreifend verwenden – eigene Passwörter für jedes Konto, kostenlos
• SafePal: Sicherheitswarnung vor gefälschten Briefen – dieselbe Masche, nur per Post
• Neuer SCHUFA-Score: alle Änderungen erklärt – warum die Selbstauskunft nach einem Datenabfluss sinnvoll ist
• Anlage KAP 2025: Schritt-für-Schritt-Anleitung – Kapitalerträge korrekt erklären

Quellen und Einordnung: Der Screenshot stammt aus einer E-Mail, die dem Autor am 10. August 2026 zugegangen ist. Die Aussagen zur E-Mail-Kommunikation der Steuerverwaltung stützen sich auf die Sicherheitshinweise auf elster.de („nur Benachrichtigungen, aber niemals die eigentlichen Steuerdaten oder Rechnungen in Form eines E-Mail-Anhangs"), auf die Warnung des BSI vom 4. Februar 2026 zu Phishing im Namen von ELSTER und dem Bundeszentralamt für Steuern sowie auf Warnungen von Landesfinanzverwaltungen. Die aufgeführten Wellen beruhen auf öffentlichen Warnungen, u. a. dem Phishing-Radar der Verbraucherzentrale (Warnung vom 7. August 2026 zu einer angeblichen Erstattung von 263,00 Euro im Namen des Bundeszentralamts für Steuern), einer Mimikama-Warnung vom 19. Mai 2026 zu einer Mail mit vorgetäuschtem elster.de-Link sowie Berichterstattung der Fachpresse zu den Wellen im Juni und Juli 2026. Die durchschnittliche Steuererstattung von rund 1.240 Euro ist eine Angabe des Statistischen Bundesamts. Stand aller Angaben: 10. August 2026. Alle Angaben ohne Gewähr; dieser Beitrag ersetzt keine Steuer- oder Rechtsberatung.