PAKISTAN / INDONESIEN / LONDON (IT BOLTWISE) – Das Bundeszentralamt für Steuern (BZSt) warnt vor einer neuen Phishing-Welle mit gefälschten Steuerbescheiden und angeblichen Rückerstattungen. Angreifer zielen darauf, Bankdaten auf externen Webseiten abzugreifen, wenn Empfänger in eine Mail-Kette mit subtil veränderter Absenderdomain geraten. Parallel dazu meldet das Bundeskriminalamt eine internationale Aktion gegen Phishing-Infrastruktur, bei der mehrere Plattformen zerschlagen wurden. Für Unternehmen verschiebt sich damit der Fokus noch stärker auf Web- und Identitätsschutz statt auf reine E-Mail-Filter.
Das Bundeszentralamt für Steuern (BZSt) stellt derzeit eine konkrete Phishing-Kampagne in den Mittelpunkt seiner Warnung: Kriminelle verschicken gefälschte E-Mails mit dem Versprechen einer Steuerrückerstattung. Besonders auffällig ist dabei der Kontakt über eine leicht veränderte Domain: Wo die Kommunikation eigentlich über „eister.de“ laufen müsste, verwenden die Täter „eister.de“ und ersetzen damit „el“ durch „i“. Diese Art von Typosquatting wirkt oft nur auf den zweiten Blick, reicht aber in der Praxis, um Nutzer in eine trügerische Vertrauenslage zu bringen.
Die Masche ist auf einen schnellen Wechsel vom „Prüfen“ zum „Handeln“ ausgelegt. In dem beschriebenen Beispiel werden Empfänger aufgefordert, für eine vermeintliche Rückzahlung von 221,50 Euro ihre Bankdaten auf einer externen Webseite einzugeben. Genau an dieser Stelle trennt sich die realistische Bedrohung von „Phishing als Spam-Problem“: Entscheidend ist nicht, ob die Mail technisch als Phishing erkennbar ist, sondern ob der Nutzer den nächsten Schritt im Browser ausführt, also Formulareingaben tätigt, Downloads startet oder Weiterleitungen akzeptiert. Dass ein angeblich beigefügtes Dokument beim Öffnen als HTML-Datei entlarvt wird, zeigt zudem, wie kreativ Angreifer Dateiformate tarnen, um klassische Sicherheitswarnungen zu umgehen oder Nutzerfehler wahrscheinlicher zu machen.
Nicht nur das BZSt beobachtet solche Muster. Bereits am Vortag warnte eine Verbraucherzentrale Sachsen vor ähnlichen E-Mails, in denen Empfänger zur Bestätigung einer angeblichen SEPA-Lastschriftmandatierung aufgefordert werden – inklusive der Aufforderung, eine IBAN zu übermitteln. Zusätzlich wird aus der beschriebenen Lage klar, dass sich das Zielprofil nicht auf eine einzige Behörde oder ein einzelnes Steuerszenario verengt: Eine spezialisierte Beratungsgesellschaft meldete gefälschte Ank ündigungen von Außen- oder Betriebsprüfungen, und auch der Bürgerbeauftragte von Rheinland-Pfalz sowie die Deutsche Rentenversicherung warnten in den Tagen davor vor Phishing-Versuchen mit schädlichen Anhängen. Für Sicherheitsteams bedeutet das: Der „Behördenbezug“ ist kein Schutzanker, sondern häufig nur das Social-Engineering-Material, während der eigentliche technische Angriff über Web- oder Anhangspfade läuft.
Während in Deutschland vor der nächsten Welle gewarnt wird, kommt parallel eine Strafverfolgungs-Komponente hinzu: Das Bundeskriminalamt berichtet über einen Erfolg im Rahmen der „Operation Olympus Blade“. Dabei sollen die Phishing-Plattformen Kratos und Tycoon2FA zerschlagen worden sein. Laut Darstellung liefen die Ermittlungen in Zusammenarbeit mit dem FBI und indonesischen Behörden, wobei Server gesichert wurden. Die Bilanz umfasst zwölf Festnahmen in Pakistan und die Erfassung von Entwicklern in Indonesien. Solche Einsätze sind für Unternehmen nicht nur „News am Rand“: Sie verändern das Bedrohungsökosystem, aber nicht die dahinterliegenden Mechanismen. Angreifer passen sich an, nutzen neue Infrastruktur und bleiben in der Regel bei denselben Konzepten: Identitätsbetrug, datenbasierte Social-Engineering-Iterationen und die Ausnutzung von Authentifizierungs- oder Session-Logik.
Technisch wird in der Meldung zudem die Abkürzung über die Authentifizierung herausgestellt. Ein besonders kritisches Element ist der Diebstahl von Session-Cookies, um Multi-Faktor-Authentifizierung (MFA) zu umgehen. Das ist in der Praxis deshalb wirksam, weil MFA oft erst beim initialen Login oder beim Abschluss eines bestimmten Authentifizierungsflows greift, während ein gestohlener Session-Zustand den „bereits authentifizierten“ Status weitertragen kann. Dass die Ermittler innerhalb von zwei Wochen 81 Millionen Anmeldeversuche in Zusammenhang mit einer Kampagne registrierten, macht die Skalierung deutlich: Phishing ist dabei nicht nur ein einzelnes „Klick“-Szenario, sondern ein massenhaft wiederholter Prozess, der Probabilistik nutzt. Selbst wenn nur ein kleiner Anteil der Empfänger reagiert, reicht die Masse für messbare Schadenssummen.
Die Dimension verschärft sich zusätzlich durch KI-gestützte Ansätze. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beziffert den Anteil von Phishing an allen Cyberangriffen mit 90 Prozent. Laut IT-Branchensicht ist mittlerweile „jede dritte unerwünschte E-Mail“ ein Betrugsversuch. Der Qualitätsanstieg betrifft dabei vor allem sprachliche Details: KI kann Anschreiben so formulieren, dass sie kaum noch von echten Behörden- oder Unternehmenskorrespondenzen zu unterscheiden sind. Gleichzeitig werden Umgehungen von MFA in der Meldung mit Erfolgsquoten von bis zu 54 Prozent in Verbindung gebracht. Dazu passt, dass ein großer Softwarehersteller im zweiten Quartal 2026 insgesamt 7,6 Milliarden Phishing-Versuche registriert haben will. Parallel dazu werden spezifische Trends genannt: QR-Code-Phishing sinkt leicht, Angriffe über Kalendereinladungen steigen im Juni um 277 Prozent, und Mobile-Banking-Trojaner legen im ersten Quartal um 56 Prozent zu. Diese Mischung aus Kanälen zeigt, dass Unternehmen nicht auf eine einzige Angriffsschiene optimieren sollten.
Auch auf der Verteidigungsseite zeichnet sich ein Wandel ab, der über „mehr Schulungen“ hinausgeht. Die Meldung stellt heraus, dass Passwörter und selbst viele MFA-Varianten für moderne Angriffe nicht mehr ausreichend sind und dass passwortlose Verfahren an Bedeutung gewinnen. Als technologische Richtung nennt sie, dass ein großer Softwarehersteller die SMS-Authentifizierung bis Anfang 2027 einstellen will und große deutsche E-Mail-Anbieter ab September 2026 verstärkt auf Passkeys setzen. Für Organisationen heißt das konkret: Identitäts- und Zugriffsschutz muss stärker an der sicheren Ende-zu-Ende-Eigenschaft der Authentifizierung ansetzen, statt allein auf Mustererkennung im Postfach zu vertrauen. Ergänzend bleibt operativ wichtig, dass bei Zweifeln Warnungen nicht „weggeklickt“ werden: Offizielle Stellen fordern Bankdaten oder Zahlungen typischerweise nicht per E-Mail an. Im Schadensfall verweist die Darstellung zudem auf die zivilrechtliche Grundlage nach § 675u BGB, macht aber klar, dass grobe Fahrlässigkeit – etwa das Ignorieren offensichtlicher Warnsignale oder das Eingeben von TANs auf gefälschten Seiten – die Erstattung gefährden kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BZSt warnt vor Phishing-Welle mit gefälschten Steuerbescheiden und 221,50 Euro" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BZSt warnt vor Phishing-Welle mit gefälschten Steuerbescheiden und 221,50 Euro" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BZSt warnt vor Phishing-Welle mit gefälschten Steuerbescheiden und 221,50 Euro« bei Google Deutschland suchen, bei Bing oder Google News!