Steuer-Phishing: So erkennen Sie falsche Mails im Namen des Bundes
Betrüger imitieren Steuerbehörden, versprechen Rückzahlungen oder verlangen Zahlungen. Entscheidend sind Absender, Internetadresse und der Druck, sofort zu handeln.
Steuer-Phishing wirkt vor allem dann, wenn der Anlass plausibel erscheint. Eine angebliche Steuerrückerstattung, eine ausstehende Zahlung oder ein dringender Abgleich persönlicher Daten trifft viele Menschen in einem Moment, in dem sie ohnehin mit Behördenpost rechnen. Genau diese Erwartung nutzen Kriminelle.
Die Eidgenössische Steuerverwaltung warnt laufend vor Nachrichten, die ihren Namen, ihr Erscheinungsbild oder erfundene Absenderdomains verwenden. Häufig versprechen sie eine Rückzahlung und verlangen dafür Kreditkarten- oder Bankdaten. Andere Varianten erzeugen Zeitdruck mit einer angeblichen Rechnung oder Mahnung. Entscheidend ist deshalb nicht, welche Geschichte die Mail erzählt, sondern wohin sie den Empfänger führen will.
Fünf Prüfungen vor jedem Klick
Erstens: Prüfen Sie die vollständige Absenderadresse, nicht nur den angezeigten Namen. Offizielle E-Mail-Adressen der Bundesverwaltung enden auf «admin.ch». Doch selbst eine exakt passende Absenderadresse kann gefälscht sein: Die ESTV dokumentiert auch Nachrichten mit vorgetäuschtem «noreply@estv.admin.ch». Die sichtbare Adresse allein beweist daher nichts. Kantonale Steuerbehörden verwenden zudem eigene Domains.
Zweitens: Fahren Sie mit dem Mauszeiger über den Link, ohne zu klicken. Auf dem Smartphone lässt sich die Zieladresse meist durch langes Drücken anzeigen. Abweichende Schreibweisen, zusätzliche Wörter und fremde Domainendungen sind Warnzeichen. Sicherer ist, die bekannte Behördenadresse selbst in den Browser einzugeben.
Drittens: Misstrauen Sie unerwarteten Rückzahlungen. Eine Behörde benötigt nicht spontan Kartennummer, PIN, E-Banking-Passwort oder Einmalcode per Mailformular, um Geld zu überweisen.
Viertens: Lassen Sie sich nicht drängen. Drohungen mit Gebühren, Kontosperren oder kurzen Fristen sollen eine Prüfung verhindern. Rufen Sie die zuständige Stelle über eine Nummer an, die Sie auf der offiziellen Website oder einem früheren Schreiben finden – nie über die Kontaktdaten der verdächtigen Mail.
Fünftens: Öffnen Sie unerwartete Anhänge nicht. Auch ein PDF oder Office-Dokument kann auf eine Phishing-Seite verweisen oder Schadsoftware enthalten.
Weshalb perfekte Sprache kein Gütesiegel mehr ist
Früher verrieten holprige Formulierungen viele Massenmails. Das ist heute ein schwaches Kriterium. Korrekte Sprache, passende Schweizer Begriffe und eine überzeugende Gestaltung beweisen keine Echtheit.
Auch ein bekanntes Logo beweist nichts. Bilder und ganze Websites lassen sich kopieren. Technisch zuverlässiger sind die tatsächlich aufgerufene Domain, der unabhängige Rückruf und die Frage, ob die verlangte Handlung zum üblichen Behördenprozess passt.
Nach einem Klick zählt die Reaktion
Wer nur auf einen Link geklickt, aber keine Daten eingegeben und nichts heruntergeladen hat, sollte die Seite schliessen und das Gerät auf ungewöhnliche Downloads prüfen. Wurden Passwörter eingegeben, müssen sie sofort über die echte Website geändert werden – auch bei allen anderen Diensten, auf denen dasselbe Passwort verwendet wird.
Bei Kreditkarten- oder Bankdaten ist die Bank beziehungsweise der Kartenanbieter umgehend zu kontaktieren. Zahlungen können unter Umständen gestoppt, Karten gesperrt und Zugänge überwacht werden. Wurde Geld überwiesen, empfiehlt das BACS zusätzlich eine Anzeige bei der Polizei. Verdächtige Nachrichten können über das Meldeformular des Bundesamts gemeldet werden; solche Hinweise helfen, Kampagnen und gefälschte Seiten schneller zu erkennen.
Nicht jede falsche Rechnung ist Steuer-Phishing
Es gibt eine zweite Masche: Kriminelle verändern echte Rechnungen oder täuschen in einem laufenden E-Mail-Verlauf eine neue IBAN vor. Das BACS bezeichnet dies als Rechnungsmanipulationsbetrug. Hier kann der Absender tatsächlich bekannt wirken, weil ein Mailkonto kompromittiert wurde. Ungewöhnliche Zahlungsänderungen sollten deshalb telefonisch über einen bereits bekannten Kontakt bestätigt werden.
Die wirksamste Regel ist unbequem, aber einfach: Eine dringende Behördenmail wird nicht über den darin enthaltenen Link gelöst. Wer den Kommunikationsweg wechselt und die Stelle unabhängig kontaktiert, nimmt Betrügern den entscheidenden Vorteil – den Zeitdruck.
QR-Code und PDF sind keine Abkürzung zur Sicherheit
Ein allgemeiner QR-Code kann auf eine gefälschte Website führen. Der Swiss QR Code einer Schweizer QR-Rechnung enthält dagegen Zahlungsdaten; auch diese können zu einem betrügerischen Empfänger führen. Prüfen Sie Empfängername und IBAN in der Banking-App und vergleichen Sie sie mit früheren, bestätigten Angaben. Bei elektronischen Rechnungen ist der direkte Login ins E-Banking sicherer als ein Einstieg über Mail oder Anhang. Eine plausibel aussehende Schweizer QR-Rechnung beweist nicht, dass der Zahlungsempfänger echt ist.
