Steuer-Phishing-Welle: Kriminelle nutzen KI für perfekte Betrugsmails

Eine massive Welle KI-gestützter Phishing-Angriffe zielt auf Steuerzahler und Unternehmen. Finanzämter warnen vor täuschend echten Mails und QR-Code-Betrug.

Die Steuersaison 2026 erreicht ihren Höhepunkt – und mit ihr eine beispiellose Welle professioneller Phishing-Angriffe auf deutsche Steuerzahler. Verbraucherschützer und Finanzämter schlagen Alarm.

Innerhalb der letzten 72 Stunden haben Sicherheitsexperten einen massiven Anstieg betrügerischer Nachrichten registriert. Die Täter locken mit angeblichen Steuerrückzahlungen und dringenden Kontobestätigungen. Besonders perfide: Dank künstlicher Intelligenz und für Smartphones optimierter Fake-Portale umgehen die Angreifer immer häufiger traditionelle Sicherheitsfilter.

Anzeige

Da Kriminelle ihre Betrugsversuche verstärkt auf mobile Endgeräte zuschneiden, ist ein effektiver Basisschutz für das Mobiltelefon heute unverzichtbar. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie Ihr Android-Smartphone mit fünf einfachen Schritten gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Finanzämter warnen vor koordinierten Angriffen

Bereits Ende April identifizierten die Finanzverwaltungen mehrerer Bundesländer eine Serie koordinierter Phishing-Versuche. Die Verbraucherzentrale berichtet von E-Mails mit Betreffzeilen wie „Offizielle Mitteilung zur Kontobestätigung“ oder „Es wurde eine Differenz zu Ihren Gunsten festgestellt“. Die Nachrichten imitieren täuschend echt das Erscheinungsbild des offiziellen ELSTER-Portals und des Bundeszentralamts für Steuern.

Der Köder: eine vermeintliche Steuererstattung. Die Empfänger werden aufgefordert, ihre Bankdaten über ein verlinktes „Sicherheitsportal“ zu bestätigen. Die gefälschten Webseiten sind oft nicht von echten Behördenseiten zu unterscheiden – mit offiziellen Logos und professionellem Layout, speziell optimiert für mobile Geräte.

KI-generierte Täuschung und der „Quishing“-Trend

Ein neues Phänomen der diesjährigen Steuer-Saison: Rund 82,6 Prozent aller Phishing-Mails werden inzwischen von KI generiert, wie Daten des Sicherheitsunternehmens KnowBe4 zeigen. Die Technologie produziert sprachlich perfektes Deutsch – die früher typischen Rechtschreibfehler als Warnsignal fallen damit weg.

Besonders rasant verbreitet sich das sogenannte Quishing – Phishing per QR-Code. Sicherheitsanalysten von Microsoft und anderen Firmen beobachten Steuer-Mails mit eingebetteten QR-Codes, die zu Abfrageseiten für Zugangsdaten führen. Diese Codes sind für herkömmliche E-Mail-Scanner schwer zu analysieren. Die Angreifer zielen gezielt auf Smartphone-Nutzer, bei denen eine gefälschte URL auf dem kleinen Bildschirm weniger auffällt.

Der psychologische Druck hat sich ebenfalls verschärft: Viele aktuelle Phishing-Varianten setzen strikte Fristen – angeblich verfällt die Rückzahlung innerhalb von 24 bis 48 Stunden. Das soll überstürzte Reaktionen erzwingen, bevor die Opfer bei ihrem Finanzamt nachfragen können.

Unternehmen im Visier – Trojaner als Steuerbescheid getarnt

Die aktuelle Welle betrifft nicht nur Privatpersonen. Zunehmend im Fokus: Steuerberater, Lohnbuchhaltungen und kleine sowie mittlere Unternehmen. Sicherheitsforscher identifizierten Kampagnen, die mit Steuer-Themen getarnte Schadsoftware verbreiten – darunter manipulierte Versionen von Fernwartungssoftware wie ConnectWise ScreenConnect.

Die Masche: Als offizielle Steuerdokumente oder Mitteilungen über Unstimmigkeiten getarnt, werden Mitarbeiter dazu gebracht, Software zu installieren, die den Angreifern dauerhaften Fernzugriff auf Firmensysteme verschafft. Der Missbrauch solcher RMM-Tools (Remote Monitoring and Management) ist laut Branchenberichten im Jahresvergleich um 277 Prozent gestiegen. Besonders tückisch: Diese Programme werden von Standard-Antivirenlösungen oft als legitime Administrationssoftware eingestuft.

Anzeige

Besonders in Unternehmen nutzen Angreifer oft raffinierte psychologische Manipulationstaktiken, um Sicherheitsbarrieren zu umgehen. Das kostenlose Anti-Phishing-Paket bietet eine detaillierte Risikoanalyse und zeigt in vier konkreten Schritten, wie Sie Ihre Firma effektiv gegen moderne Hacker-Angriffe schützen. Anti-Phishing-Paket für Unternehmen jetzt kostenlos anfordern

Hinter den Angriffen auf Unternehmen steckt eine doppelte Gewinnerwartung: der Zugriff auf sensible Mitarbeiterdaten wie Lohn- und Steuerbescheinigungen sowie das Abfangen von Firmenrückzahlungen. Schätzungen zufolge wurde in diesem Steuerzyklus bereits fast jeder fünfte Steuerzahler direkt mit Steuerbetrug konfrontiert.

Bedrohungslage in Deutschland bleibt extrem hoch

Die aktuelle Phishing-Welle trifft auf ein ohnehin angespanntes Cyber-Sicherheitsniveau. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verzeichnete in seinem jüngsten Lagebericht durchschnittlich 119 neue Sicherheitslücken pro Tag – ein Anstieg um 24 Prozent.

Die Bitkom-Studie zur wirtschaftlichen Lage untermauert die Dramatik: 87 Prozent der deutschen Unternehmen wurden in den letzten zwölf Monaten Opfer von Cyberangriffen, Spionage oder Sabotage. Der Gesamtschaden für die deutsche Wirtschaft erreichte mit 289,2 Milliarden Euro einen neuen Rekord, davon entfielen 202,4 Milliarden Euro direkt auf Cyberattacken.

Zwar sanken die durchschnittlichen Kosten eines einzelnen Datenlecks in Deutschland laut IBM-Studie leicht auf 3,87 Millionen Euro – doch Industrie und Finanzsektor liegen weiter deutlich darüber. Die Steuersaison ist für internationale Cyberkriminelle daher ein besonders lukrutives Jagdrevier.

So schützen Sie sich vor Betrug

Die Finanzämter in Bayern und Nordrhein-Westfalen haben ihre Kommunikationsrichtlinien noch einmal klargestellt: Die Steuerverwaltung fordert niemals per E-Mail oder SMS sensible Daten wie Steuer-IDs, Kontodaten, Kreditkartennummern oder PINs an.

Offizielle digitale Kommunikation läuft ausschließlich über das sichere Postfach des ELSTER-Portals. Zwar können Nutzer eine Benachrichtigung über neue Nachrichten oder einen Steuerbescheid erhalten – diese E-Mails enthalten jedoch nie die Steuerdaten selbst als Anhang, noch direkte Links zu Login-Seiten mit Bankdaten-Abfrage.

Steuerzahler sollten die offizielle Adresse (elster.de) stets manuell im Browser eingeben, statt auf Links in E-Mails zu klicken. Bei Verdacht auf eine betrügerische Nachricht: sofort löschen oder an das Phishing-Radar der Verbraucherzentralen weiterleiten. Wer bereits Daten auf einer verdächtigen Seite eingegeben hat, sollte umgehend die Bank kontaktieren, um Konten zu sperren, und Anzeige bei der Polizei erstatten.

Ausblick: Die Welle reißt nicht ab

Mit den nahenden Abgabefristen rechnen Sicherheitsexperten mit anhaltend hohen Fallzahlen. Die Integration von Deepfake-Technologie und immer ausgefeilteren KI-gesteuerten Social-Engineering-Methoden macht die „menschliche Firewall“ zum entscheidenden Risikofaktor.

Die Bundesregierung setzt verstärkt auf die Umsetzung der NIS-2-Richtlinie, die die Widerstandsfähigkeit kritischer Infrastrukturen verbessern soll. Allerdings hatten bis Ende 2025 von rund 29.500 betroffenen Unternehmen erst etwa 11.500 ihre Registrierung beim BSI abgeschlossen. Künftig dürften verpflichtende Sicherheitsschulungen und die flächendeckende Einführung der Zwei-Faktor-Authentifizierung im Fokus stehen – um die Folgen gestohlener Zugangsdaten zumindest abzumildern.