Gerade sind Mails unterwegs, die im Namen von ELSTER eine Steuererstattung für 2025 versprechen und dafür Bank- und Kartendaten verlangen. Das echte ELSTER schickt dir nur eine Benachrichtigung, wenn etwas Neues im geschützten Postfach liegt. Die Steuerverwaltung fragt nie per Link in einer Mail nach Kontodaten. Solche Mails also löschen, nichts anklicken.
Geld vom Finanzamt hört jeder gern. Genau darauf setzt eine Mail, vor der die Verbraucherzentrale am 15. Oktober 2026 gewarnt hat. Der Betreff beginnt mit "AW: Ihr Steuerbescheid 2025" und spricht von einer bestätigten Erstattung. Auszahlen könne man sie aber erst, wenn du deine Bank- und Kartendaten bestätigst. Über einen Link, bis zum 25. Oktober.
Das ist Betrug. Hier steht, woran du ihn erkennst, was das echte ELSTER wirklich schickt und was du tust, falls du schon etwas eingegeben hast.
So funktioniert die Masche
Die Mail kommt angeblich von ELSTER, dem Online-Portal der Steuerverwaltung. Laut Verbraucherzentrale läuft sie so ab:
- Der Köder: Eine Erstattung für das Steuerjahr 2025 sei bestätigt.
- Der Haken: Ausgezahlt werde nur, wenn du Bank- und Kartendaten bestätigst.
- Der Druck: Eine Frist bis zum 25. Oktober 2026.
- Das Ziel: Deine Kartendaten, eingegeben auf einer gefälschten Seite.
Der Trick mit "AW:" im Betreff ist alt, wirkt aber: Es sieht aus, als hättest du selbst vorher geschrieben. Gerade wer gerade auf einen Steuerbescheid wartet, fällt darauf eher herein.
Was das echte ELSTER verschickt
Die Finanzverwaltung ist hier ungewöhnlich klar. Auf der Seite der Berliner Senatsverwaltung für Finanzen heißt es sinngemäß:
- ELSTER verschickt nur dann Mails, wenn ein neuer Eingang im geschützten ELSTER-Postfach liegt. Lesen kannst du ihn nur nach dem Einloggen.
- Die Steuerverwaltung verschickt niemals Aufforderungen oder Bestätigungen von Kontodaten als Link in einer Mail.
- Auch per SMS fragt sie nicht nach Kontodaten.
- Das Finanzamt fordert dich nicht per Mail, SMS oder Telefon auf, zu zahlen oder Informationen herauszugeben.
Die einfache Prüfung: Kommt eine Mail von ELSTER, öffne nicht den Link, sondern geh selbst auf die ELSTER-Seite und logg dich dort ein. Liegt im Postfach nichts, war die Mail falsch.
Weitere Varianten rund ums Finanzamt
Die Erstattungs-Mail ist nicht die einzige Masche. Die Berliner Finanzverwaltung warnt auch vor diesen Spielarten:
- SMS mit Erstattungsangebot. Ein kurzer Text, ein Link, eine angebliche Rückzahlung. Auch hier gilt: Link nicht öffnen, keine Daten eingeben.
- Gefälschte Bescheide als PDF. Mails im Namen des Bundeszentralamts für Steuern mit einem angeblichen Bescheid im Anhang. Solche Anhänge nicht öffnen.
- Zahlungsaufforderungen. Das Finanzamt fordert dich nicht per Mail, SMS oder Telefon auf, Geld zu zahlen oder Passwörter einzugeben.
Die Finanzverwaltung empfiehlt, im Zweifel die Warnhinweise beim Bundeszentralamt für Steuern, die Sicherheitshinweise von ELSTER und die Hinweise des BSI zu prüfen. Alle findest du über eine normale Suche, nicht über Links in verdächtigen Mails.
Was alle Varianten verbindet: Sie wollen, dass du schnell handelst und dabei den gewohnten Weg verlässt. Echte Post vom Finanzamt hat Zeit, bis du dich selbst eingeloggt hast. Ein Bescheid läuft dir nicht weg, nur weil du ihn erst am Abend im Postfach öffnest.
Was du mit so einer Mail tust
- Nichts anklicken, keine Anhänge öffnen, nicht antworten.
- Mail löschen oder in den Spam-Ordner verschieben.
- Wenn du wissen willst, ob wirklich etwas vom Finanzamt kam: selbst bei ELSTER einloggen und ins Postfach schauen.
Ein Finanzamt braucht deine Kreditkartendaten nicht, um dir Geld zu überweisen. Allein diese Frage entlarvt die Mail.
Gefälschte Mails im Namen von Banken laufen nach demselben Muster. Aktuelle Beispiele stehen im Ratgeber Bank-Phishing: Die Masche mit dem App-Update. Allgemeine Erkennungszeichen findest du unter Phishing-Mail erkennen.
Du hast schon Daten eingegeben?
Dann schnell handeln. Hast du Kartendaten eingegeben:
- Karte sofort sperren lassen, über deine Bank oder die Nummer auf der Rückseite der Karte.
- Umsätze prüfen, auch in den Tagen danach.
- Bei unberechtigten Abbuchungen die Bank informieren und Anzeige bei der Polizei erstatten.
Hast du auch Zugangsdaten für ELSTER oder dein E-Mail-Konto eingegeben, ändere diese Passwörter sofort. Wie du ein Konto wieder sicher bekommst, steht im Ratgeber E-Mail-Konto gehackt.
Für Selbstständige und kleine Betriebe
Im Büroalltag zwischen Rechnungen, Belegen und echter Steuerpost rutscht eine gefälschte Mail leichter durch als am Küchentisch.
- Legt im Team fest: Steuerpost wird nur über das ELSTER-Postfach oder den Steuerberater bearbeitet, nie über Links aus Mails.
- Wer die Buchhaltung macht, sollte die Masche kennen. Fünf Minuten im Teamgespräch reichen.
- Ein eigenes Passwort für ELSTER und ein Passwort-Manager senken das Risiko, dass ein Fehler gleich mehrere Zugänge trifft.
Die ehrliche Grenze: Keine Regel schützt, wenn im Stress doch geklickt wird. Deshalb lohnt es sich, den richtigen Weg so oft zu gehen, bis er Gewohnheit ist.
Quellen
- Verbraucherzentrale: Phishing-Radar, Warnung vom 15.10.2026 zu ELSTER
- Senatsverwaltung für Finanzen Berlin: Warnung vor Betrugsversuchen
Ein Anruf klärt meist in zehn Minuten, ob und wie ich helfen kann. Kostenlos und unverbindlich, ich gehe fast immer selbst ran.
