In den vergangenen Tagen erreichte zahlreiche Bürgerinnen und Bürger sowie Unternehmen in nahezu allen Bundesländern eine E-Mail, die auf den ersten Blick amtlich wirkt.

Absender ist scheinbar das jeweilige Landesfinanzministerium oder die zuständige Finanzverwaltung, und angekündigt wird eine steuerliche Außenprüfung nach Paragraf 193 der Abgabenordnung. Wer die Nachricht öffnet, wird aufgefordert, eine angehängte Datei zu lesen, die vermeintlich weitere Informationen zur Prüfung enthält.

Am 14. Juli wurden entsprechende Betrugsversuche zunächst in Schleswig-Holstein bekannt, inzwischen warnen auch andere Bundesländer vor der koordinierten Angriffswelle.

Möglich wird diese Täuschung durch eine Technik namens E-Mail-Spoofing. Dabei manipulieren die Angreifer die Absenderadresse so, dass im Posteingang scheinbar eine offizielle Behörde als Absender erscheint, obwohl die Nachricht tatsächlich von den Kriminellen stammt. Der Anhang, der als PDF-Dokument ausgegeben wird, ist in Wahrheit eine HTML-Datei. Öffnet man sie, erscheint eine Eingabemaske, die zur Preisgabe eines Passworts auffordert. Wer dieser Aufforderung folgt, übermittelt sein Zugangspasswort direkt an die Angreifer, ohne dass davon zunächst etwas zu bemerken ist.

Da der Versand zudem in unmittelbarer zeitlicher Nähe zur allgemeinen Abgabefrist für die Steuererklärung 2026 liegt, geraten auch Privatpersonen leichter in den Fokus der Täter, weil das Thema Steuern in diesen Wochen ohnehin präsent ist.

Genau dieser Druck sorgt dafür, dass Empfängerinnen und Empfänger eher unüberlegt handeln, auf den Anhang klicken und ihre Zugangsdaten preisgeben, obwohl sie unter normalen Umständen misstrauischer wären.

Kein Finanzamt fordert dabei per E-Mail dazu auf, ein Passwort in eine angehängte Datei einzugeben, denn für die Kommunikation mit den Behörden ist ein solches Vorgehen schlicht nicht vorgesehen. Wer sich unsicher ist, ob eine Mail echt ist, kann diesen Unterschied als verlässlichen Anhaltspunkt nutzen und im Zweifel immer den offiziellen Weg über das zuständige Finanzamt wählen.

Werfen Sie stattdessen einen genauen Blick auf die tatsächliche Absenderadresse, denn diese weicht bei genauerem Hinsehen häufig von der offiziellen Domain der Behörde ab. Im Zweifel hilft ein direkter Anruf bei Ihrem zuständigen Finanzamt, dessen Nummer Sie über die offizielle Webseite und nicht über die verdächtige Mail ermitteln sollten, gegebenenfalls hilft hier auch ein Blick in den Steuerbescheid vom letzten Jahr.

Haben Sie die Datei bereits geöffnet und ein Passwort eingegeben, ändern Sie dieses umgehend und informieren Sie zusätzlich Ihre Bank sowie die zuständigen Behörden, falls das Passwort auch für andere Dienste verwendet wurde. Melden Sie verdächtige Mails außerdem der IT-Abteilung in Ihrem Betrieb, Kollegen oder der Verbraucherzentrale, damit weitere Empfänger rechtzeitig gewarnt werden können.