Die Faustregel ist einfach: Das Finanzamt fragt niemals per E-Mail nach Zugangsdaten, Kontonummern oder Kreditkartendaten – und schickt keine Erstattungsformulare zum Ausfüllen.
Zuletzt fachlich geprüft am 28. Juli 2026 · Rechtsstand: Veranlagungszeitraum 2026
Die Finanzverwaltung warnt vor Phishing-Mails im Namen von ELSTER und Finanzämtern. Typische Muster: angekündigte Außenprüfung, angebliche Steuererstattung nach Eingabe von Kontodaten, Drohung mit Vollstreckung. Kommunikation der Finanzverwaltung erfolgt über Post oder das ELSTER-Postfach; E-Mails enthalten allenfalls Benachrichtigungen ohne Datenabfrage. Nie auf Links klicken, keine Anhänge öffnen, Zugangsdaten niemals eingeben.
Woran du Phishing erkennst
Die Fälschungen sind gut gemacht: Logo, Aktenzeichen, Steuernummer-Platzhalter, sogar Paragrafen. Verlässliche Merkmale sind deshalb nicht Rechtschreibfehler, sondern das Verhalten, das von dir verlangt wird.
| Merkmal | Bewertung |
|---|---|
| Aufforderung, Zugangs- oder Kontodaten einzugeben | immer Betrug |
| Link auf ein „ELSTER-Login“ außerhalb von elster.de | immer Betrug |
| Angebliche Erstattung, die du „bestätigen“ musst | immer Betrug |
| Anhang mit Rechnung, ZIP- oder Office-Datei | sehr verdächtig |
| Extremer Zeitdruck („innerhalb von 24 Stunden“) | sehr verdächtig |
| Reine Benachrichtigung „Neues Dokument im Postfach“ ohne Datenabfrage | kann echt sein – im Portal selbst prüfen |
Was das Finanzamt nie tut
Steuerdaten unterliegen dem Steuergeheimnis nach § 30 AO. Deshalb versendet die Finanzverwaltung keine Bescheide, Prüfungsanordnungen oder Zahlungsaufforderungen als E-Mail-Anhang. Erstattungen werden ohne weitere Eingabe auf die im Bescheid genannte Bankverbindung überwiesen – eine „Bestätigung der IBAN“ per Formular gibt es nicht.
Auch Zahlungen in Kryptowährung, per Gutscheincode oder Sofortüberweisung fordert kein Finanzamt. Rückstände werden über Mahnung, Vollstreckungsankündigung und den Vollziehungsbeamten geltend gemacht – schriftlich und mit Aktenzeichen, das du unter deiner bekannten Amtsnummer verifizieren kannst.
Wenn du geklickt hast
Ruhe bewahren und in dieser Reihenfolge handeln: 1. Netzverbindung des Geräts trennen, wenn ein Anhang geöffnet wurde. 2. ELSTER-Passwort ändern, Zertifikatsdatei sperren bzw. neu beantragen. 3. Bank informieren, wenn Kontodaten eingegeben wurden, und Zahlungen sperren. 4. Anzeige bei der Polizei erstatten. 5. Vorfall an dein Finanzamt und an das BSI melden.
Die ELSTER-Zertifikatsdatei (.pfx) plus PIN ist die digitale Identität gegenüber dem Finanzamt. Speichere sie nicht in Cloud-Ordnern, versende sie nie per E-Mail und nutze eine PIN, die du nirgends sonst verwendest.
Dauerhaft schützen
Rufe ELSTER immer über ein eigenes Lesezeichen auf, niemals über Links aus Nachrichten. Aktiviere Benachrichtigungen im Portal, damit du echte Postfach-Eingänge selbst kontrollieren kannst. Halte Betriebssystem, Browser und Virenschutz aktuell und trenne berufliche von privaten E-Mail-Adressen.
Für Unternehmen zusätzlich: Beschäftigte gezielt zu Rechnungs- und Behördenphishing schulen, das Vier-Augen-Prinzip bei Zahlungen einführen und Bankverbindungsänderungen von Lieferanten immer telefonisch über eine bekannte Nummer verifizieren.
Deine Checkliste
Hak ab, was auf dich zutrifft – dein Fortschritt wird automatisch gespeichert.
Phishing-Schutz umsetzen
6 Punkte- 1. Lesezeichen für elster.de anlegenNie über Links aus E-Mails einsteigen.
- 2. Absender und Ziel prüfenDomain genau lesen, Link vorher anzeigen lassen.
- 3. Zertifikatsdatei sichernOffline speichern, PIN nur hier verwenden.
- 4. Keine Daten in Formulare eingebenDas Finanzamt fragt nie per Mail nach IBAN oder Passwort.
- 5. Verdachtsfälle meldenFinanzamt, BSI und ggf. Polizei informieren.
- 6. Team schulenIm Betrieb: Rechnungs- und Behördenphishing besprechen.
Häufige Fragen (FAQ)
Schickt das Finanzamt überhaupt E-Mails?
Ja, aber im Wesentlichen als Benachrichtigung, dass im ELSTER-Postfach ein Dokument bereitliegt. Inhaltliche Bescheide und Datenabfragen erfolgen so nicht.
Woran erkenne ich eine echte Postfach-Benachrichtigung?
Sie fordert keine Eingabe von Daten. Prüfe den Eingang immer, indem du ELSTER selbst über dein Lesezeichen aufrufst.
Ich habe meine Zugangsdaten eingegeben – was nun?
Sofort Passwort ändern, Zertifikat sperren und neu beantragen, Finanzamt informieren und Anzeige erstatten.
Kann ich Schadensersatz verlangen?
Gegenüber den Tätern theoretisch ja, praktisch selten durchsetzbar. Prüfe die Erstattungspflicht deiner Bank bei nicht autorisierten Zahlungen.
Gilt das auch für SMS und Messenger?
Ja. Die gleichen Muster tauchen als SMS („Smishing“) und in Messengern auf, teils mit Anrufen im Nachgang.
Quellen & Rechtsgrundlagen
Alle Angaben wurden am 28. Juli 2026 anhand der folgenden Quellen geprüft. Rechtsstand: Veranlagungszeitraum 2026.
Wir übersetzen Steuerrecht in verständliche Sprache und prüfen jede Zahl gegen die Primärquelle. Dieser Beitrag ersetzt keine individuelle Beratung durch Steuerberater, Rechtsanwalt oder Lohnsteuerhilfeverein.