Gefälschte Schweizer Steuer-Mail sammelt Daten ohne Passwortabfrage

Eine E-Mail im Namen der Eidgenössischen Steuerverwaltung (ESTV) verspricht eine Rückerstattung. Der Link führt zu einer „Datenbestätigung“ mit Schweizer Wappen und Feldern für persönliche Angaben. Das Bundesamt für Cybersicherheit (BACS) warnt seit 9. November 2026: Die Nachricht ist gefälscht.

Das vom BACS veröffentlichte Muster zeigt Felder für den vollständigen Namen und das Geburtsdatum. Nach Angaben der Behörde werden auch Telefonnummer und Bankverbindung abgefragt. Passwörter oder Kreditkartendaten verlangt das Formular nicht. Das ist dennoch Phishing – also der betrügerische Versuch, persönliche Daten zu sammeln.

Das BACS vermutet, dass die Angaben für spätere Betrugsversuche verwendet werden könnten. Welche konkreten Folgeschäden bereits entstanden sind, geht aus der Warnung nicht hervor.

Wer eine solche Mail erhält, sollte den Link nicht öffnen und keine Daten eingeben. Eine unerwartete Rückerstattung lässt sich über die selbst aufgerufene Behördenwebsite und die dort genannten Kontaktwege prüfen. Das BACS empfiehlt, die Nachricht zu melden und danach zu löschen.

Mimikama dokumentierte bereits am 10. August eine gefälschte ELSTER-Rückerstattung, deren Folgeseite Steuerdaten und Geburtsdatum abfragte. Das wiederkehrende Muster zeigt: Phishing zielt nicht nur auf Passwörter. Auch persönliche Angaben können spätere Täuschungsversuche glaubwürdiger wirken lassen.

Quellen

• Bundesamt für Cybersicherheit (BACS): Phishing im Namen der Eidgenössischen Steuerverwaltung (ESTV), 2026-11-09
• Eidgenössische Steuerverwaltung (ESTV): Digitale Bedrohungen
• Mimikama: Fake-Steuererstattung von ELSTER, 2026-08-10