ELSTER-Phishing 2026: Gefälschte Steuererstattung als Köder
Eine angebliche Steuererstattung im Namen von ELSTER ist derzeit einer der wirksamsten Köder für Phishing-Betrug in Deutschland.
Kaum eine Behörde eignet sich für Kriminelle so gut als Absender-Maske wie das Finanzamt. Wer eine E-Mail mit dem Betreff einer angeblichen Steuerrückerstattung erhält, reagiert selten misstrauisch, sondern erfreut. Genau diese Erwartungshaltung nutzt eine aktuell kursierende Betrugswelle aus, die sich als offizielle Kommunikation der Steuerverwaltung tarnt und mit dem bekannten Kürzel ELSTER wirbt.
Die Masche folgt einem inzwischen bewährten Muster aus Phishing-Kampagnen im Finanzsektor: eine seriös wirkende Nachricht, ein dringlicher Handlungsaufruf und eine täuschend echt nachgebaute Eingabemaske. Wer als Kanzlei regelmäßig mit gefälschten Bank- und Behördenmails befasst ist, erkennt die Parallelen zu Fällen rund um gefälschte Bank-Mails oder gefälschte Förderbank-Kommunikation sofort wieder.
Dieser Beitrag ordnet die aktuelle Masche ELSTER Phishing Steuererstattung rechtlich ein, benennt konkrete Warnzeichen und zeigt, welche Schritte Betroffene einleiten sollten, wenn bereits Daten eingegeben oder Zahlungen ausgelöst wurden.
Wenn Sie auf einen Link in einer angeblichen ELSTER-Mail geklickt oder Bank- beziehungsweise Steuerdaten eingegeben haben, sollten Sie die Vorfälle zeitnah anwaltlich dokumentieren lassen. Jetzt unverbindlich Kontakt aufnehmen.
So läuft die Masche ELSTER Phishing Steuererstattung ab
Der typische Ablauf beginnt mit einer E-Mail oder SMS, die vorgibt, vom Bundeszentralamt für Steuern oder direkt von ELSTER zu stammen. Der Betreff verspricht meist eine Steuererstattung in konkreter Höhe, die angeblich nur noch bestätigt werden muss. Ein eingebetteter Button führt auf eine Website, die dem echten ELSTER-Portal optisch nachempfunden ist, jedoch auf einer fremden Domain liegt.
Auf dieser gefälschten Seite werden Nutzer aufgefordert, persönliche Daten wie Steuer-ID, Geburtsdatum und häufig auch Bankverbindung samt TAN-Verfahren einzugeben, angeblich um die Steuererstattung auf das eigene Konto überweisen zu lassen. Tatsächlich fließen die Daten direkt an die Angreifer, die sie entweder für Identitätsdiebstahl nutzen oder um eine unautorisierte Überweisung vom Konto des Opfers auszulösen.
Rechtlich handelt es sich bei dieser Täuschung um einen klassischen Betrugsversuch nach § 263 StGB, da ein Mensch – nicht ein technisches System – durch die vorgetäuschte Behördenkommunikation zur Preisgabe von Daten oder zur Vornahme einer Vermögensverfügung bewegt werden soll.
Warum ELSTER als Köder für Phishing-Steuererstattung so wirkungsvoll ist
ELSTER genießt als amtliches Steuerportal ein hohes Vertrauen, das Betrüger gezielt ausnutzen. Anders als bei Werbemails oder Gewinnbenachrichtigungen erwarten viele Bürgerinnen und Bürger tatsächlich Post vom Finanzamt, insbesondere nach Abgabe der Steuererklärung. Die zeitliche Nähe zur Steuersaison erhöht die Plausibilität einer angeblichen Erstattung erheblich.
Hinzu kommt, dass viele Menschen den Ablauf einer echten Steuererstattung nicht genau kennen. Während das Finanzamt Erstattungen ausschließlich über den im ELSTER-Konto hinterlegten Steuerbescheid mitteilt und niemals per E-Mail-Link zur Dateneingabe auffordert, wirkt eine gut gestaltete Fälschung für Laien oft überzeugend authentisch.
- Dringlichkeit: kurze Fristen von wenigen Tagen sollen unter Druck setzen
- Autorität: Logo, Farbschema und Amtssprache imitieren das echte Portal
- Personalisierung: teils werden Name und Wohnort aus Datenlecks eingesetzt
- Kanalvielfalt: parallel kursieren E-Mail-, SMS- und teils QR-Code-Varianten
Warnzeichen: Woran Sie ELSTER Phishing Steuererstattung erkennen
Einige Merkmale wiederholen sich bei nahezu jeder Variante dieser Masche und lassen sich mit etwas Aufmerksamkeit zuverlässig identifizieren.
- Absenderadresse endet nicht auf eine offizielle Behördendomain (z. B. bzst.de oder die jeweilige Landesfinanzverwaltung)
- Aufforderung zur Eingabe von Bankdaten oder TAN zur angeblichen Auszahlung einer Erstattung
- Rechtschreib- und Grammatikfehler trotz professionellem Layout
- Link führt beim Überfahren mit der Maus auf eine offensichtlich fremde Domain
- Sehr kurze Reaktionsfrist mit angedrohtem Verfall der Erstattung
- Anhang oder Link statt Hinweis, sich direkt im eigenen ELSTER-Konto einzuloggen
Wer unsicher ist, sollte grundsätzlich nie über einen E-Mail-Link auf das ELSTER-Portal zugreifen, sondern die Adresse manuell im Browser eingeben oder die offizielle App nutzen. Diese Vorsichtsmaßnahme gilt analog auch bei vermeintlichen Mitteilungen von Banken, wie sie im Zusammenhang mit gefälschten E-Mails der Baden-Württembergischen Bank oder gefälschten Sparda-Bank-Mails immer wieder dokumentiert wird.
Strafrechtliche Einordnung: Betrug nach § 263 StGB und Datenmissbrauch
Die Masche ELSTER Phishing Steuererstattung erfüllt in ihrer Grundform den Tatbestand des Betrugs gemäß § 263 StGB: Getäuscht wird über die vermeintliche Herkunft der Nachricht, wodurch ein Irrtum erregt wird, der zu einer schädigenden Vermögensverfügung – etwa der Preisgabe von Zugangsdaten oder der Autorisierung einer Überweisung – führen soll.
Werden im Zuge der Täuschung personenbezogene Daten wie Steuer-ID, Geburtsdatum oder Bankverbindung unrechtmäßig verarbeitet, kann zusätzlich ein Verstoß gegen strafbewehrte Datenschutzvorschriften vorliegen, etwa § 42 BDSG, der die unbefugte Verarbeitung besonders geschützter Daten unter Strafe stellt. Diese Einordnung betrifft die Angreifer, nicht die Betroffenen selbst – wer auf die Masche hereinfällt, macht sich nicht strafbar.
In der Praxis überschneidet sich die ELSTER-Masche häufig mit Techniken, die auch bei gefälschten Wallet- oder Börsenkommunikation zum Einsatz kommen, etwa der Nachbau bekannter Login-Oberflächen. Parallelen finden sich unter anderem bei Fällen rund um gefälschte Hardware-Wallet-E-Mails oder gefälschte Krypto-Börsen-Websites.
Als erfahrene Anwälte im Bank- und Kapitalmarktrecht helfen wir Ihnen, die Vorgehensweise der Betrüger rechtlich einzuordnen und konkrete Schritte zur Rückforderung Ihrer Gelder einzuleiten. Kontaktieren Sie uns jederzeit für ein unverbindliches Erstgespräch.
Wenn Bankdaten abgegriffen wurden: Erstattungsanspruch nach § 675u BGB
Besonders relevant wird die Masche ELSTER Phishing Steuererstattung, wenn Betroffene im Glauben, die Auszahlung zu bestätigen, tatsächlich eine TAN eingegeben und damit eine Überweisung ausgelöst haben. In diesem Fall greift grundsätzlich der zivilrechtliche Erstattungsanspruch aus § 675u BGB: Eine nicht autorisierte Zahlung begründet dem Grunde nach einen Anspruch gegen die Bank auf unverzügliche Erstattung.
Die bloße Weitergabe einer TAN im Rahmen der Täuschung ist keine wirksame Autorisierung der Zahlung im Sinne des Zahlungsdiensterechts. Entscheidend ist jedoch, ob der Bank der Einwand der groben Fahrlässigkeit nach § 675v BGB gelingt – dann kann der Anspruch entfallen oder sich mindern. Die Beweislast für grobe Fahrlässigkeit trägt dabei die Bank, nicht der Kunde.
Der Bundesgerichtshof hat sich mit einer vergleichbaren Konstellation im Urteil XI ZR 107/24 vom 22. Juli 2025 befasst: Eine Kundin hatte nach einem Anruf mit gefälschter Bank-Rufnummer TANs preisgegeben und unterlag, weil sie am Folgetag – nach einer erkennbaren Bedenkzeit – erneut TANs herausgab. Der BGH stellte klar, dass ein sogenanntes Augenblicksversagen die grobe Fahrlässigkeit im Einzelfall ausschließen kann, wenn die Situation überraschend kam und kein Reflexionszeitraum bestand. Die Entscheidung lässt sich nicht pauschal auf jeden Phishing-Fall übertragen, zeigt aber, dass die zeitliche Abfolge der Dateneingabe entscheidend für die rechtliche Bewertung ist.
Fristen: Die 13-Monats-Ausschlussfrist des § 676b BGB
Wer nach dem Muster ELSTER Phishing Steuererstattung eine nicht autorisierte Zahlung feststellt, sollte den Vorfall zügig gegenüber der eigenen Bank anzeigen. Nach § 676b Abs. 2 BGB besteht eine Ausschlussfrist von 13 Monaten ab Belastungsbuchung, innerhalb derer die Erstattung geltend gemacht werden muss – wird diese Frist versäumt, kann der Anspruch verloren gehen.
Parallel dazu gilt die zivilrechtliche Regelverjährung von drei Jahren gemäß §§ 195, 199 BGB für etwaige Schadensersatzansprüche gegen Dritte, etwa gegen die Betreiber der Phishing-Infrastruktur, sofern diese identifiziert werden können. In der Praxis ist die Identifizierung der eigentlichen Täter jedoch häufig schwierig, weshalb der Fokus meist auf dem Erstattungsanspruch gegen die eigene Bank liegt.
Sofortmaßnahmen nach ELSTER Phishing Steuererstattung
Wer bereits auf einen Link geklickt oder Daten eingegeben hat, sollte unverzüglich handeln, um Schäden zu begrenzen und Beweise zu sichern.
- Bank sofort telefonisch kontaktieren und Konto beziehungsweise Karte sperren lassen (zentrale Sperrnummer 116 116)
- Zugangsdaten zum echten ELSTER-Konto und zum Online-Banking umgehend ändern
- Screenshots der Phishing-Mail, der gefälschten Webseite und der Kontobewegungen sichern
- Vorfall bei der örtlichen Polizeidienststelle zur Anzeige bringen
- Bei Zahlungsauslösung schriftlich und fristwahrend Erstattung gegenüber der Bank verlangen
- Betroffene Konten und Dienste auf ungewöhnliche Aktivitäten weiter beobachten
Diese Reihenfolge deckt sich mit der Vorgehensweise, die sich bei anderen bankspezifischen Betrugsmaschen bewährt hat, etwa bei gefälschten Mitteilungen im Namen der Comdirect oder der Volksbank mit gefälschten VR-SecureGo-E-Mails.
Strafanzeige, Ermittlungsverfahren und Akteneinsicht als Geschädigter
Nach Erstattung einer Strafanzeige wegen Betrugs nach § 263 StGB leitet die Staatsanwaltschaft ein Ermittlungsverfahren ein, das jedoch bei international agierenden Tätergruppen oft nur begrenzt zu einer Identifizierung führt. Geschädigte haben dennoch ein berechtigtes Interesse daran, den Verfahrensstand zu verfolgen und gegebenenfalls Informationen für zivilrechtliche Ansprüche zu erhalten.
Hierfür steht das Akteneinsichtsrecht nach § 406e StPO zur Verfügung. Als Verletzter kann Einsicht in die Ermittlungsakte über einen Rechtsanwalt bei Darlegung eines berechtigten Interesses beantragt werden; auch ohne anwaltliche Vertretung ist Einsicht möglich, wenn auch praktisch eingeschränkter. Über den Antrag entscheidet im Vorverfahren die zuständige Staatsanwaltschaft.
In Fällen, in denen ein Geldbetrag bereits an Dritte weitergeleitet wurde, kann zusätzlich ein Vermögensarrest nach § 111e StPO in Betracht kommen, um vorhandene Vermögenswerte der Täter oder involvierter Finanzagenten vorläufig zu sichern, bevor sie ins Ausland transferiert werden.
Abgrenzung: Wann Geldwäsche-Aspekte relevant werden
Werden über Phishing erschlichene Beträge über zwischengeschaltete Konten sogenannter Finanzagenten weitergeleitet, rückt neben dem eigentlichen Betrug auch die Geldwäschestrafbarkeit nach § 261 StGB in den Fokus – allerdings ausschließlich für die daran beteiligten Mittelspersonen, nicht für die eigentlich Geschädigten. Der Grundtatbestand setzt Vorsatz oder zumindest Leichtfertigkeit voraus; reine Verstöße gegen geldwäscherechtliche Sorgfaltspflichten sind demgegenüber primär Ordnungswidrigkeiten nach § 56 GwG.
Für Geschädigte bedeutet dies in der Praxis: Wird das eigene Konto vorübergehend von der Bank aufgrund einer Verdachtsmeldung angehalten, weil verdächtige Zahlungseingänge festgestellt wurden, beruht dies regelmäßig auf § 46 GwG und betrifft nur die konkret gemeldete Transaktion, nicht das gesamte Konto dauerhaft.
Prävention: So schützen Sie sich künftig vor Phishing-Steuererstattung
Der wirksamste Schutz gegen ELSTER Phishing Steuererstattung liegt in einer klaren Grundregel: Das Finanzamt fordert niemals per E-Mail oder SMS zur Eingabe von Bankdaten auf, um eine Erstattung auszulösen. Jede Kommunikation zu Steuerbescheiden erfolgt über den offiziellen Postweg oder das persönliche ELSTER-Konto, in das sich Nutzer ausschließlich über die selbst eingegebene Adresse einloggen sollten.
- Zwei-Faktor-Authentifizierung für das ELSTER-Konto aktivieren
- Niemals TANs am Telefon oder auf externen Webseiten preisgeben
- Absenderadresse und Linkziel vor jedem Klick genau prüfen
- Verdächtige Mails an die Verbraucherzentrale oder das BSI melden, statt zu antworten
- Familienmitglieder, insbesondere ältere Angehörige, gezielt über die aktuelle Masche informieren
Diese Grundregeln lassen sich auf nahezu jede bankspezifische Phishing-Variante übertragen, unabhängig davon, ob sich die Täter als Finanzamt, als App-Store-Betreiber im Rahmen eines App Store Betrugs oder als klassisches Kreditinstitut ausgeben.
Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
FAQs – Häufig gestellte Fragen zu ELSTER Phishing Steuererstattung
Ist die ELSTER-Steuererstattungs-Mail immer ein Phishing-Versuch?
E-Mails, die eine Steuererstattung ankündigen und zur Eingabe von Bankdaten über einen Link auffordern, sind praktisch immer ein Fall von ELSTER Phishing Steuererstattung. Das Finanzamt informiert ausschließlich über den Steuerbescheid und das persönliche ELSTER-Konto, niemals über einen E-Mail-Link zur Dateneingabe.
Was mache ich, wenn ich bereits meine Bankdaten eingegeben habe?
Kontaktieren Sie umgehend Ihre Bank, lassen Sie Konto und Karten sperren und ändern Sie alle betroffenen Zugangsdaten. Sichern Sie parallel Screenshots der Phishing-Mail als Beweis und erstatten Sie Strafanzeige bei der Polizei.
Bekomme ich mein Geld zurück, wenn eine Überweisung ausgelöst wurde?
Bei einer nicht autorisierten Zahlung besteht grundsätzlich ein Erstattungsanspruch nach § 675u BGB gegen die Bank. Dieser kann jedoch entfallen, wenn der Bank der Nachweis grober Fahrlässigkeit nach § 675v BGB gelingt; die Beweislast dafür trägt die Bank.
Wie viel Zeit habe ich, um eine unautorisierte Zahlung zu melden?
Nach § 676b Abs. 2 BGB gilt eine Ausschlussfrist von 13 Monaten ab der Belastungsbuchung. Wer diese Frist versäumt, riskiert den Verlust des Erstattungsanspruchs, weshalb schnelles Handeln ratsam ist.
Kann ein Augenblicksversagen mir bei der Erstattung helfen?
Der BGH hat im Urteil XI ZR 107/24 entschieden, dass ein Augenblicksversagen grobe Fahrlässigkeit im Einzelfall ausschließen kann, etwa wenn die Täuschung überraschend kam und keine Bedenkzeit bestand. Erneute Dateneingabe nach erkennbarer Bedenkzeit wird dagegen strenger bewertet.
Woran erkenne ich die gefälschte ELSTER-Webseite konkret?
Typische Merkmale sind eine abweichende Domain, die Aufforderung zur Eingabe von TANs, Rechtschreibfehler sowie ein künstlich erzeugter Zeitdruck. Im Zweifel sollten Sie die Adresse des echten Portals immer manuell eingeben.
Ist der Versand der Phishing-Mail selbst schon strafbar?
Der Versand einer Phishing-Mail mit dem Ziel, Daten oder Geld zu erlangen, erfüllt bereits im Versuchsstadium den Tatbestand des Betrugs nach § 263 StGB. Die konkrete Strafbarkeit hängt vom Einzelfall und dem Ermittlungsverfahren ab.
Sollte ich verdächtige Mails an eine Behörde melden?
Ja, das BSI und die Verbraucherzentralen nehmen Meldungen zu Phishing-Kampagnen entgegen und können Warnungen aussprechen. Eine Meldung hilft zudem, weitere Betroffene zu schützen, ohne dass Sie selbst mit den Absendern interagieren müssen.
Was passiert mit meinen Daten, wenn sie bereits abgeflossen sind?
Neben der Kontosicherung sollten Sie mit erhöhter Wachsamkeit auf Identitätsmissbrauch reagieren, etwa bei unbekannten Vertragsabschlüssen. Eine anwaltliche Prüfung kann klären, welche zivil- und strafrechtlichen Schritte im konkreten Fall sinnvoll sind.
Wann sollte ich anwaltlichen Rat einholen?
Spätestens wenn eine Zahlung ausgelöst wurde oder die Bank eine Erstattung verweigert, empfiehlt sich eine anwaltliche Einschätzung. Auch bei laufenden Ermittlungsverfahren kann eine Akteneinsicht nach § 406e StPO sinnvolle Zusatzinformationen liefern.
