03.09.2026

Pfändungsbeschluss? § 249 Abgabeordnung? Aktenzeichen Oe7V-8XX? Und das vom Präsident des Bundeszentralamtes für Steuern?

ZAC: Hört sich „legit“ an. Von wegen! Das ist wieder eine typische Phishing-Kampagne, die bewusst auf behördlich macht.
Aktuell stellen wir einen verstärken Umlauf der nachfolgenden E-Mail fest:





Das Geschriebene wirkt authentisch und unterscheidet sich von den fast veralteten schlechten Translator-Phishing-Mails. Vielmehr könnten der präzise Aufbau und der amtliche Ausdruck mithilfe einer KI verfasst worden sein. Ein eindeutiger Nachweis einer KI-Generierung ist anhand des E-Mail-Texts jedoch nicht möglich.
Zusätzlich kann durch den Einsatz vermeintlicher Aktenzeichen/Vorgangsnummern gegenüber der Empfängerseite Druck erzeugt werden. Für den Versand der Phishing-Mails werden oft missbrauchte Postfächer missbraucht, um die Spuren zu verwischen und die Strafverfolgung zu erschweren. Aus diesem Grund wurden die Absender-Konten zensiert

Was macht die HTML-Datei?
Wird die Datei geöffnet werden Sie auf die nachfolgende Anmeldemaske weitergeleitet:



Diese Phishing-Kampagne vergibt IDs, um Ihre E-Mail-Adresse in der Anmeldmaske vorauszufüllen. Anschließend wird nach altbekannter Vorgehensweise die Eingabe des Passworts verlangt. Das Logo sowie der Schriftzug des BZSt wird gezielt "geblurt" (im Sinne von gezielter Unschärfe) dargestellt, um die Phishing-Maske in den Vordergrund zu stellen. Zusätzlich wird darauf hingewiesen, dass es sich hier um eine sichere/verschlüsselte Verbindung handelt. Letzteres ebenfalls ein typisches Mittel des Social Engineerings.
Nach dem „Klick“ auf Anmelden wird vorerst angezeigt, dass es einen Fehler gab. Die Daten werden dennoch an den Sever des Täters weitergeleitet. Nach dem fünften fehlgeschlagenen Versuch ist der Sechste erfolgreich. Im Anschluss erhalten Sie die nachgolfende Erfolgsmeldung.



Aus den Metadaten der Datei kann unter anderem festgestellt werden, dass die eingegebenen Daten zu einer bestimmten Domain übermittelt werden. Hinter dieser Domain befindet sich die nachfolgende Anmeldemaske.



Der Quelltext dieser Maske ist eindeutig mit „Inbox Quartermaster – email credential management“ betitelt. Somit liegt der Verdacht nahe, dass es sich hier um das Backend dieser Phishing-Kampagne handeln könnte.



Durch den Einsatz diverser Javascript-Befehle entsteht eine dynamische Phishing-HTML, die nicht nur eingegebene Passwörter, sondern auch weitere Daten wie User-Agent und IP-Adresse ausspäht und weiterleitet.

Wie können Sie sich schützen?

• Basismaßnahmen E-Mail
  - Von wo kommt die E-Mail?
  - Was will die E-Mail?
  - Links, Verlinkte Bilder/Formen? Anlagen?
  - Fortgeschritten: Erweiterten E-Mail-Header überprüfen (lassen)
• Strikte Nutzung von E-Mail Authentifizierungsverfahren (SPF, DKIM, DMARC) für ein- und ausgehenden E-Mail-Verkehr
• Einsatz von E-Mail-Filter-Lösungen, die eingehende Nachrichten auf Spam, Phishing, Malware oder gefälschte Absender prüfen und gefährliche E-Mails blockieren
• Nutzung von starken, einzigartigen Passwörtern sowie Aktivierung einer Mehrfaktor-Authentifizierung für E-Mail-Konten
  - Besser: Passkey/Hardwae-Keys
• Keine Wiederverwendung jeglicher Passwörter
  - Empfehlung: Passwortmanager
• Implementierung von Präventionsmaßnahmen, um das Personal kontinuierlich über aktuelle Angriffsszenarien aufzuklären
• Sollten Sie Ihre Zugangsdaten preisgegeben haben, benachrichtigen Sie bestenfalls unverzüglich Ihre IT-Abteilung und/oder die zuständige Stelle/Person, um die erforderlichen Maßnahmen einzuleiten

Über den nachfolgenden Link gelangen Sie zur offiziellen Warnmeldung des BZSt.
BZSt-Warnmeldung