BZSt-Betrug 2026: Warnung vor gefälschten E-Mails zur Datenprüfung

Vorsicht vor gefälschten BZSt-Mails! Prüfen Sie verdächtige Links und Absender sofort, bevor Sie Ihre Daten leichtfertig preisgeben.

Von der Betrugs-Checker-Redaktion · Aktualisiert:

E-Mail jetzt prüfen – Kostenloser Schnell-Check · ohne Anmeldung

Einleitung: Warum das BZSt-Phishing 2026 brandgefährlich ist

Die Digitalisierung der Finanzverwaltung schreitet voran, doch mit ihr wächst auch die Gefahr durch Cyberkriminelle. Aktuell beobachten Experten eine massive Welle von betrügerischen E-Mails, die scheinbar vom Bundeszentralamt für Steuern (BZSt) stammen. Unter dem Vorwand einer notwendigen „Datenabteilung“ oder einer „dringenden Mitteilung im Postfach“ versuchen Betrüger, sensible Daten zu stehlen oder Schadsoftware zu verbreiten. Da Steuerangelegenheiten bei vielen Bürgern und Unternehmern sofortigen Handlungsdruck auslösen, ist diese Masche des BZSt-Betrugs 2026 besonders effektiv.

Kunden sollten wissen: Behörden kommunizieren sensible Daten niemals leichtfertig per E-Mail, insbesondere wenn es um Kontoverbindungen oder Passwörter geht. Wer in Hektik auf einen Link klickt, riskiert nicht nur den Verlust seiner Identität, sondern auch den Zugriff Unbefugter auf Geschäftskonten. Achten Sie auf aktuelle Warnungen, um stets auf dem Laufenden zu bleiben.

So läuft die Masche beim BZSt-Phishing 2026 ab

Die Täter gehen äußerst professionell vor. Die E-Mails nutzen offizielle Logos, eine amtliche Sprache und oft sogar korrekte Bezeichnungen von Abteilungen. Meist beginnt der Betrug mit einer Nachricht, die eine „Verifizierung von Unternehmensdaten“ fordert oder auf eine angebliche Steuerrückerstattung hinweist.

Betreff: Dringende Mitteilung Ihres Bundeszentralamts für Steuern (Referat Q4)

Sehr geehrte Damen und Herren,
im Rahmen einer routinemäßigen Überprüfung gemäß § 2026 der Abgabenordnung müssen wir Ihre hinterlegten Unternehmensdaten verifizieren. Bitte klicken Sie auf den untenstehenden Link, um sich im Portal anzumelden und Ihre Daten zu bestätigen. Sollte die Verifizierung nicht innerhalb von 48 Stunden erfolgen, wird Ihr Steuerkonto vorübergehend gesperrt.

[Link: bzst-portal-verifizierung-de.com]

Nach dem Klick landen die Opfer auf einer täuschend echt aussehenden Kopie der BZSt-Website. Dort werden sie aufgefordert, ihre ELSTER-Zugangsdaten, Ausweisdokumente oder sogar Bankverbindungen einzugeben. Sobald diese Daten abgeschickt wurden, haben die Betrüger vollen Zugriff.

Warnzeichen erkennen

Obwohl die Fälschungen immer besser werden, gibt es klare Anzeichen für Betrug. Ein offizielles Schreiben einer Bundesbehörde wird Sie niemals unter extremem Zeitdruck (z. B. 24 oder 48 Stunden) zu einer Online-Aktion zwingen. Auch die Absender-Adresse ist ein entscheidendes Indiz: Echte Mails des Amtes enden immer auf @bzst.bund.de – Varianten wie @bzst-service.de oder @bund-steuer.com sind sicher gefälscht.

  • Die E-Mail enthält Rechtschreibfehler oder eine ungewöhnliche Grammatik.
  • Sie werden mit „Sehr geehrter Kunde“ statt mit Ihrem korrekten Namen angesprochen.
  • In der Mail befindet sich ein Link, der zu einer fremden Domain führt (prüfen durch Drüberfahren mit der Maus).
  • Es wird mit Kontosperrungen oder hohen Bußgeldern bei Nichtbeachtung gedroht.
  • Die Mail fordert Sie auf, Dateianhänge (z.B. PDF oder ZIP) herunterzuladen, die angeblich wichtige Bescheide enthalten.

Was tun, wenn Sie betroffen sind?

Haben Sie bereits auf einen Link geklickt oder Daten eingegeben? Bewahren Sie Ruhe, aber handeln Sie schnell. Zuerst sollten Sie umgehend Ihre Passwörter ändern – nicht nur für die Steuerservices, sondern auch für Ihr E-Mail-Konto und Online-Banking, falls Sie dort ähnliche Zugangsdaten nutzen. Informieren Sie Ihre Bank, falls Sie Zahlungsdaten preisgegeben haben, um Lastschriften blockieren zu lassen.

  1. Erstatten Sie Anzeige bei der Polizei. Dies ist oft online möglich.
  2. Informieren Sie das echte Bundeszentralamt für Steuern über den Vorfall.
  3. Lassen Sie Ihre IT-Systeme (insbesondere im Unternehmen) auf Malware scannen.
  4. Dokumentieren Sie die Betrugs-Mail durch Screenshots und speichern Sie den Header der E-Mail.

So schützen Sie sich vor dem Steuer-Phishing im Jahr 2026

Prävention ist der beste Schutz. In unserem Ratgeber finden Sie tiefgehende Informationen zur allgemeinen Sicherheit im Netz. Speziell für das BZSt gilt: Öffnen Sie niemals Portale über Links in E-Mails. Geben Sie die Adresse der Behörde (www.bzst.de) immer manuell im Browser ein, wenn Sie Ihr Benutzerkonto prüfen möchten. Nutzen Sie zudem, wo immer möglich, die Zwei-Faktor-Authentisierung (2FA), um Ihre Logins abzusichern.

Häufige Fragen (FAQ)

Versendet das BZSt E-Mails mit Links zur Dateneingabe?

Nein, das Bundeszentralamt für Steuern fordert niemals dazu auf, sensible Daten wie Passwörter oder Kontoinformationen über einen Link in einer E-Mail einzugeben oder zu verifizieren.

Woran erkenne ich eine echte Nachricht vom Finanzamt oder BZSt?

Echte elektronische Benachrichtigungen enthalten lediglich den Hinweis, dass eine neue Nachricht in Ihrem sicheren Postfach (z. B. ELSTER) bereitliegt. Sie enthalten keine direkten Links zur Anmeldung oder Abfrage von Daten.

Ich habe einen Anhang in einer verdächtigen Mail geöffnet – was nun?

Trennen Sie das Gerät sofort vom Internet und führen Sie einen vollständigen Virenscan durch. Es besteht die Gefahr, dass Trojaner installiert wurden, die Ihre Tastatureingaben mitlesen.

Können auch Privatpersonen Ziel dieser Masche sein?

Ja, obwohl viele Nachrichten auf „Unternehmensdaten“ abzielen, gibt es Varianten, die sich an Privatpersonen wenden und beispielsweise angebliche Steuerrückerstattungen versprechen, um Kreditkartendaten abzugreifen.

Haben Sie eine verdächtige Nachricht vom BZSt erhalten?

Kriminelle nutzen immer perfidere Absenderadressen. Nutzen Sie unseren kostenlosen Checker, um die Seriosität der Nachricht oder des Links unverbindlich prüfen zu lassen.

Nachricht jetzt prüfen →

Warnzeichen

  • Die E-Mail fordert Sie auf, sensible Unternehmens- oder Personendaten über einen externen Link zu verifizieren.
  • Der Absender nutzt eine Domain, die nur ähnlich wie die offizielle Behördenadresse klingt (z. B. bzst-portal.de).
  • Die Nachricht erzeugt massiven Zeitdruck und droht bei Nichtbeachtung mit Kontosperrungen oder rechtlichen Schritten.
  • Es wird eine persönliche Anrede vermisst oder Ihr Name ist in der Nachricht fehlerhaft geschrieben.
  • In der E-Mail befinden sich Anhänge in Form von ZIP- oder ausführbaren Dateien, die angeblich Bescheide enthalten.
  • Die Gestaltung der E-Mail wirkt zwar professionell, weist aber bei genauem Hinsehen Fehler in Logodarstellung oder Layout auf.

So schützen Sie sich

  • Öffnen Sie offizielle Regierungsportale niemals über Links in E-Mails, sondern geben Sie die URL manuell im Browser ein.
  • Prüfen Sie die Absenderadresse genau: Offizielle Adressen enden auf @bzst.bund.de und enthalten keine kryptischen Zusätze.
  • Aktivieren Sie die Zwei-Faktor-Authentisierung für alle steuerlich relevanten Konten wie ELSTER oder Unternehmensportale.
  • Löschen Sie E-Mails, die eine sofortige Datenverifizierung unter Androhung von Kontosperren fordern, ohne auf Links zu klicken.
  • Nutzen Sie aktuelle Antiviren-Software und halten Sie Ihr Betriebssystem sowie Ihren Browser stets auf dem neuesten Stand.
  • Informieren Sie sich regelmäßig über offizielle Warnseiten wie die des BZSt oder der Verbraucherzentrale über neue Maschen.

Quellen

Weitere aktuelle Warnungen

Mehr zum Thema