Achtung Phishing: Angebliches BMF-Schreiben zu Krypto-Steuern ist Betrugsversuch

BMF-Phishing aus Deutschland: Fake-Mail führt zu Trojaner und Datenklau

Ein harmlos wirkendes Schreiben über angebliche steuerliche Pflichten bei Krypto-Assets entpuppt sich als gefährlicher Phishing-Angriff. Was zunächst wie eine amtliche Erinnerung des deutschen Bundesfinanzministeriums (BMF) aussieht, ist in Wahrheit ein gezielter Versuch, Nutzer:innen auf manipulierte Webseiten zu locken – mit dem Ziel, Schadsoftware zu installieren und sensible Daten abzugreifen.

Es handelt sich um diese E-Mail:

Was ist passiert?

Zahlreiche Nutzer:innen erhielten kürzlich E-Mails mit folgendem Betreff: „Ihre steuerlichen Pflichten bei Online‑Plattformen und Krypto‑Assets “

Die E-Mail selbst, stammte nicht vom Finanzministerium, sondern von einer externen Adresse mit dem Domainnamen ishizone.com – einer asiatischen Privatdomain, die in keinerlei Zusammenhang mit deutschen Behörden steht.

Die Nachricht nutzt den offiziellen Ton deutscher Behörden, nennt sogar fiktive Aktenzeichen („GZ: IV D 1 – S 0550/00340/007/037“) und zitiert ein angebliches BMF-Schreiben zu „Einzelfragen zu Kryptowerten“. Ein eingebetteter Button führt vermeintlich zu einer PDF-Datei auf einer Regierungsseite.

Was steckt wirklich dahinter?

In Wahrheit verbirgt sich hinter dem Link eine .url-Datei, die über einen Amazon S3-Server ausgeliefert wird (alppi-cuw9kbz3n-dep.s3.ap-southeast-1.amazonaws.com). Diese Datei öffnet bei Ausführung eine betrügerische Webseite mit täuschend echter BMF-Optik, deren Domain jedoch entlarvend ist: https://www.bundesfinanzministerium-de.bmf-schreiben.disclosure-process.top

Diese Adresse wirkt auf den ersten Blick glaubwürdig, gehört aber zur Domain-Endung .top – einem bekannten Tummelplatz für Phishing und Malware-Kampagnen.

Technische Analyse: Gefährliche Trojaner im Hintergrund

Eine von uns durchgeführte tiefergehende Sandbox-Analyse zeigt, dass hinter der Kampagne hochgefährliche Schadprogramme stehen:

• Eine Outlook-Mail-Datei (demo-sample.msg) wurde als Träger für LokiBot identifiziert – einem berüchtigten Informationsstehler, der auf:
  • Browser-Passwörter
  • Krypto-Wallets
  • FTP-/E-Mail-Zugänge
    abzielt.
• Eine weitere .exe-Datei innerhalb der Kampagne wurde als Zombie-Botnetz-Komponente erkannt – d.h. infizierte Rechner können ferngesteuert werden.

Diese Funde belegen, dass es sich um mehrstufige Malware-Angriffe handelt – beginnend mit einer täuschend echten Mail, gefolgt von Linkumleitung, Download und Infektion.

Technische Infobox: Was ist LokiBot?

Name: LokiBot (auch: Loki, Loki PWS)
Typ: Infostealer-Trojaner
Verbreitung: Phishing-Mails, verseuchte Anhänge (.zip, .exe, .url, .docm), Fake-Websites
Erkennungsmerkmale: Verschlüsselte Datenübertragung, Exfiltration von Zugangsdaten, Tarnung im Speicher

Funktion

LokiBot ist eine Schadsoftware zur gezielten Ausspähung sensibler Daten. Nach der Infektion durchsucht er das System nach gespeicherten Zugangsdaten und leitet sie an einen Server der Angreifer weiter.

Ziele des Trojaners

• Browser-Passwörter (Chrome, Firefox, Edge, etc.)
• FTP-Zugangsdaten (z. B. FileZilla)
• E-Mail-Logins (Outlook, Thunderbird)
• Krypto-Wallets (z. B. MetaMask, Electrum)
• Systeminformationen (IP-Adresse, Benutzername)
• VPN- und Remote-Verbindungen

Besonderheiten

• Häufig Bestandteil mehrstufiger Angriffe
• Tarnung durch obfuskierte Scripts oder legitime Dateiformate
• Wird oft als Einstieg für spätere Ransomware genutzt
• Kann Screenshots erstellen oder Tastatureingaben protokollieren (Keylogging)

Schutzmaßnahmen

• Keine unbekannten Anhänge oder Links öffnen
• Zwei-Faktor-Authentifizierung aktivieren
• Regelmäßige Passwortänderung und keine Speicherung im Browser
• Aktuelle Antiviren-Software mit Verhaltenserkennung
• Betriebssystem und Software stets aktuell halten

Mimikama-Hinweis: LokiBot gehört zu den aktivsten Passwortdieben im Netz. Schon eine scheinbar harmlose Datei – wie eine gefälschte .url im Stil eines „BMF-Schreibens“ – kann zur Infektion führen. Wer verdächtige Aktivitäten bemerkt, sollte sein Gerät vom Netz trennen und eine professionelle Sicherheitsüberprüfung durchführen lassen.

Ziel der Täter

Die Kombination aus Steuerbezug und Krypto-Thematik deutet darauf hin, dass geschäftlich aktive Personen, Freiberufler und Krypto-Investor:innen ins Visier genommen werden. Durch den Behörden-Look soll Vertrauen erzeugt werden, um eine initiale Interaktion (Klick auf Button) zu provozieren.

Was tun, wenn du betroffen bist?

• Nicht klicken, keine Anhänge öffnen
• E-Mail löschen, niemals antworten
• Bei Klick auf Datei oder Link:
  • Gerät isolieren (kein WLAN, kein LAN)
  • Antivirus-Scan durchführen
  • Passwörter ändern (insbesondere Krypto-Zugänge, E-Mail, Banking)

Fazit

Diese Phishing-Kampagne ist besonders perfide, weil sie offizielle Kommunikation imitiert und ein sensibles Thema wie Krypto-Besteuerung nutzt. Wer nicht genau hinschaut, könnte versehentlich sein System mit einem gefährlichen Trojaner infizieren. Dass hinter dem Angriff u. a. LokiBot steckt, zeigt die hohe kriminelle Energie.

Lesen Sie auch: Gefährliche FinanzOnline-Falle: Diese SMS führt zu folgenschwerem Betrug!