Bundeszentralamt für Steuern. Davon soll die Mail angeblich stammen. Ein erster Schock für jeden Krypto-Investor.
Die Nachricht trägt den Betreff „Dringend: Krypto-Steuerprüfung“ und behauptet, steuerlich relevante Vorgänge rund um Kryptowährungen würden für die Jahre 2021 bis 2025 überprüft.
Auf den ersten Blick wirkt die Mail professionell: BZSt-Logo, ein angebliches Aktenzeichen und steuerliche Fachbegriffe wie Bitcoin, Ether, Altcoins, NFT-Verkäufe, Staking-Gewinne, DeFi-Einnahmen, Airdrops und Hardforks.
Genau diese Mischung soll offenbar Seriosität erzeugen. Bei genauerem Hinsehen gibt es jedoch mehrere deutliche Hinweise darauf, dass es sich nicht um echte Behördenkommunikation handelt, sondern um einen Phishing-Versuch.
Der Reddit-User JOZ4F20 hat bitcoinbasis das Bild freundlicherweise zur Verfügung gestellt. (zum Thread)
Absenderadresse passt nicht zum Bundeszentralamt für Steuern
Das auffälligste Warnsignal ist die Absenderadresse. Zwar wird im Mailprogramm als Name „Bundeszentralamt für Steuern“ angezeigt. Dahinter steht jedoch offenbar die Adresse charlaa at loveandlearnchildcare com. Diese Domain hat erkennbar keinen Bezug zu einer deutschen Bundesbehörde.
Das bedeutet nicht automatisch, dass der Betreiber der Domain selbst hinter dem Betrugsversuch steckt. Denkbar ist auch, dass ein echtes Postfach kompromittiert wurde, die Adresse nur gefälscht ist oder eine Mail-Konfiguration missbraucht wurde.
Für Empfänger ist der Fall trotzdem klar: Eine echte Krypto-Steuerprüfung des Bundeszentralamts für Steuern würde nicht verschickt.
Antwortadresse führt ins Leere
Zusätzlich fällt im Screenshot eine zweite Adresse auf. Wer auf die Nachricht antwortet, würde offenbar nicht an die sichtbare Absenderadresse schreiben, sondern an info at isopod de. Auch diese Domain hat keinen erkennbaren Bezug zum Bundeszentralamt für Steuern.
Diese Domain wurde von GoDaddy geparkt.
Eine solche Abweichung zwischen Absender und Antwortadresse ist bei Phishing-Mails ein klassisches Warnsignal. Sie kann dazu dienen, Antworten der Empfänger auf ein anderes Postfach umzuleiten, während der sichtbare Absender lediglich Vertrauen vortäuschen soll.
Wir haben sowohl die im Screenshot sichtbare Absenderadresse unter loveandlearnchildcare darauf aufmerksam gemacht. Bis zur Veröffentlichung lag keine Rückmeldung vor. Bei einer Rückmeldung ergänzen wir den Beitrag.
Die Mail von info@isopod wurde nicht gefunden.
Betroffener Nutzer nennt mögliche Spuren
Der Reddit-Nutzer JOZ4F20, der den Screenshot geteilt hat, antwort auf unsere Nachfrage, ob er Anmerkunden/Ideen hat, woher das kommen könnte, folgendes:
„Also ich hab über Wiso Steuer meine Steuererklärung gemacht, ansonsten PayPal benutze ich, da sind auch Coinbase Transaktionen zu sehen. Falls da irgendwas undicht wäre. Web.de hat auch schon sehr lange diverse fehlgeschlagene Logins festgestellt, nur das zu backtracen war mir bisher nicht möglich. Google Account hab ich auch. Man muß halt leider aufpassen, aber Paranoia hilft ja auch nicht.“
Diese Angaben beweisen nicht, woher die Scammer die E-Mail-Adresse haben. Sie zeigen aber, warum solche Betrugsversuche oft schwer zurückzuverfolgen sind. Eine Adresse kann aus alten Datenlecks, gekauften Spamlisten, kompromittierten Konten, Scraping, Malware oder öffentlich zugänglichen Profilen stammen.
Auch fehlgeschlagene Login-Versuche bei einem Mailanbieter können ein Hinweis darauf sein, dass eine Adresse bereits in automatisierten Credential-Listen kursiert. Solche Listen werden von Angreifern genutzt, um bekannte Mailadressen mit geleakten Passwörtern oder Passwortvarianten durchzuprobieren.
Wichtig ist dabei die Einordnung: Es gibt keinen Beleg dafür, dass WISO Steuer, PayPal, Coinbase, Web.de oder Google für den konkreten Vorfall verantwortlich sind. Die genannten Dienste zeigen lediglich, welche digitalen Spuren im Alltag eines Krypto-Nutzers zusammenkommen können und warum Phishing-Mails heute oft erstaunlich passend wirken.
Warum Krypto-Steuern als Köder funktionieren
Die Masche ist deshalb gefährlich, weil sie ein echtes Thema aufgreift. Krypto-Steuern sind für viele Anleger kompliziert. Verkäufe, Haltefristen, Staking-Erträge, NFT-Geschäfte oder DeFi-Aktivitäten können steuerliche Fragen auslösen. Wer in den vergangenen Jahren aktiv gehandelt hat, kann bei einer angeblichen Steuerprüfung schnell nervös werden.
Genau darauf zielt die Mail ab. Der Betreff erzeugt Druck, das Layout vermittelt Seriosität. Besonders kritisch ist der im Schreiben sichtbare Link „Jetzt initiieren“. Solche Links können Empfänger auf gefälschte Webseiten führen, auf denen persönliche Daten, Steuerinformationen, Ausweiskopien, Login-Daten oder andere sensible Angaben abgefragt werden.
Was Nutzer jetzt beachten sollten
Wer eine solche Mail erhält, sollte keine Links anklicken, keine Anhänge öffnen und keine Daten eingeben. Stattdessen sollte die tatsächliche Absenderadresse geprüft werden. Noch besser ist ein Blick in die vollständigen E-Mail-Header. Dort lässt sich erkennen, über welche Server die Mail tatsächlich lief.
Betroffene sollten außerdem ihre wichtigsten Konten absichern: Passwörter ändern, Zwei-Faktor-Authentifizierung aktivieren, Weiterleitungsregeln im Mailpostfach prüfen, aktive Sitzungen kontrollieren und Login-Verläufe bei Mailanbieter, Google, PayPal und Krypto-Plattformen ansehen.
Wer viele fehlgeschlagene Login-Versuche sieht, sollte das ernst nehmen, auch wenn nicht jeder Versuch automatisch bedeutet, dass ein Konto kompromittiert wurde.
