Eine Prüfungsanordnung, die als E-Mail kommt

Am 14. Juli 2026 warnte das Finanzamt Bamberg vor E-Mails zu angeblichen Betriebsprüfungen. Der Betreff berief sich auf eine Prüfungsanordnung nach § 193 der Abgabenordnung (AO), als Absender erschienen vermeintliche Adressen eines Ministeriums. Wer in einem kleinen Betrieb die Post vom Finanzamt bearbeitet, liest so etwas nicht gelassen. Eine Prüfung bedeutet Termine, Unterlagen und Fragen.

Es blieb nicht bei dieser einen Masche. Zwischen März und September 2026 haben das Finanzamt Bamberg, das Thüringer Finanzministerium und die Verbraucherzentrale wiederholt vor gefälschten E-Mails und Webseiten im Namen von Finanzamt und ELSTER gewarnt, dem Online-Finanzamt.

Dieser Beitrag zeigt, woran Sie eine Fälschung erkennen, was ausdrücklich kein Beweis für Echtheit ist und was Sie mit einer verdächtigen Mail tun. Er ersetzt keine Steuer- oder Rechtsberatung.

So sieht eine echte Prüfungsanordnung aus

Die Form steht im Gesetz. § 196 AO lautet: „Die Finanzbehörde bestimmt den Umfang der Außenprüfung in einer schriftlich oder elektronisch zu erteilenden Prüfungsanordnung mit Rechtsbehelfsbelehrung nach § 356.“ Nach § 197 Absatz 1 Satz 1 AO sind die Prüfungsanordnung, der voraussichtliche Prüfungsbeginn und die Namen der Prüfer dem Steuerpflichtigen angemessene Zeit vor Beginn der Prüfung bekanntzugeben, wenn der Prüfungszweck dadurch nicht gefährdet wird.

Was „elektronisch“ in der Praxis heißt, beschreibt das Finanzamt Bamberg in seiner Warnung vom 14. Juli 2026. Echte Prüfungsanordnungen verschickt danach das jeweils zuständige Finanzamt, nie ein Ministerium per E-Mail. Sie kommen über das gesicherte ELSTER-Postfach oder per Post. Eine echte Anordnung nennt laut derselben Meldung den Namen des Empfängers oder des Unternehmens, die Adresse, die Steuerarten, die Besteuerungszeiträume und den Namen der Prüferin oder des Prüfers.

Für Ihren Betrieb heißt das: Eine Prüfungsanordnung per E-Mail ist ein Warnzeichen. Ein Ministerium als Absender ebenfalls.

Die Maschen, vor denen gewarnt wurde

In zeitlicher Reihenfolge:

  • Nachgebaute Webseiten (Finanzamt Bamberg, 20. März 2026): Seiten, die dem ELSTER-Portal ähneln.
  • Synchronisierung des Mailkontos (Thüringer Finanzministerium, 15. Juli 2026): Die Mail bezieht sich auf Mitteilungen zur Körperschaftsteuer und verlangt, über einen Link ein IMAP-Konto zu synchronisieren, also ein E-Mail-Postfach.
  • Neue Nachricht im Postfach (Finanzamt Bamberg, 21. August 2026): ELSTER-Logo, ein Betreff, der eine neue Nachricht im ELSTER-Postfach meldet, dazu eine unpersönliche Anrede. Die Täter bauen Zeitdruck auf, etwa mit wichtigen Fristen oder einer angekündigten Steuererstattung.
  • Bescheid im Anhang (Finanzamt Bamberg, 3. September 2026): Die Mail fordert dazu auf, eine angehängte Datei zu öffnen, angeblich einen Steuerbescheid oder eine Rechnung. Echte Mails sind laut Finanzamt grundsätzlich nur Benachrichtigungen, ohne Steuerdaten oder Rechnungen im Anhang.
  • Korrektur der Steuerdaten (Verbraucherzentrale, 24. September 2026): Die Mail meldet angebliche Unstimmigkeiten im Steuerkonto. Eine Schaltfläche führt auf eine vermeintliche ELSTER-Seite, auf der man seine Zugangsdaten eingeben soll, und zwar noch am selben Tag.

Nachlesen lassen sich die Meldungen in den Betrugsmeldungen des Finanzamts Bamberg, in der Medieninformation des Thüringer Finanzministeriums und im Phishing-Radar der Verbraucherzentrale. Auch ELSTER selbst warnt auf elster.de unter „Betrugsversuche im Namen der Steuerverwaltung“: „Wir warnen ausdrücklich davor, auf diese Betrugs-E-Mails zu reagieren bzw. Links in den E-Mails zu öffnen.“

Was die echte Mail enthält und wonach nie gefragt wird

Nach der ELSTER-Hilfe informiert ELSTER per E-Mail darüber, dass ein Bescheid zum Abruf bereitgestellt wurde. Diese Mail wird unverschlüsselt verschickt. Sie nennt die Steuernummer und die Kurzbezeichnung des Bescheids, enthält keine weiteren personenbezogenen Daten und auch nicht den Bescheid selbst; den rufen Sie über Ihre Steuersoftware oder über Mein ELSTER ab, danach liegt er als PDF vor. Zugleich gilt, was das Finanzamt Bamberg am 10. Juni 2026 geschrieben hat: Die Steuerverwaltung fragt per E-Mail nie nach sensiblen Daten wie Steuernummer, Kontoverbindung, Kreditkartennummer, PIN oder Antworten auf Sicherheitsfragen. Beides widerspricht sich nicht. Die echte Mail nennt Ihre Steuernummer, sie fragt nicht danach. Eine Mail mit Ihrer Steuernummer ist also nicht automatisch gefälscht. Eine Mail, die Steuernummer, PIN oder Zugangsdaten von Ihnen haben will, ist dagegen ein deutliches Warnzeichen.

Warum die Benachrichtigung zum Normalfall werden kann

Nach § 122a Absatz 1 Satz 2 AO soll insbesondere dann durch Bereitstellung zum Abruf bekanntgegeben werden, wenn ein Steuer-, Steuermess- oder Feststellungsbescheid auf einer elektronisch übermittelten Erklärung beruht und weitere Voraussetzungen zur Übermittlung erfüllt sind. Diese Soll-Vorschrift ist nach Artikel 97 § 28 Absatz 2 des Einführungsgesetzes zur Abgabenordnung erstmals auf Verwaltungsakte anzuwenden, die nach dem 31. Dezember 2026 erlassen worden sind. § 122a Absatz 1 Satz 3 AO lautet: „Die abrufberechtigte Person ist am Tag der Bereitstellung elektronisch über die Abrufmöglichkeit und ihre Rechtswirkungen zu benachrichtigen.“ Wer seine Bescheide lieber auf Papier erhält, kann eine einmalige oder dauerhafte postalische Bekanntgabe nach § 122 Absatz 2 AO beantragen; dann ist Absatz 1 nach § 122a Absatz 2 AO nicht anzuwenden.

Das Bundesfinanzministerium hält in einem Schreiben vom 13. August 2026 fest: „Nach der neuen Fassung des § 122a AO ist für die elektronische Bekanntgabe von Verwaltungsakten ab dem 1. Januar 2027 keine ausdrückliche Einwilligung mehr notwendig“. Wer kein aktives ELSTER-Nutzerkonto hat, erhält Bescheide nach demselben Schreiben auch 2027 weiterhin per Post.

Was daraus für die Sicherheit folgt, ist unsere Überlegung, kein Gesetzestext. Wer abrufberechtigt ist, muss zu jedem bereitgestellten Bescheid benachrichtigt werden, nach der ELSTER-Hilfe per E-Mail. Diese Mail wird zum gewohnten Anblick. Fälschungen ahmen genau diesen Anblick nach: Die Masche vom 21. August 2026 meldete eine neue Nachricht im ELSTER-Postfach. Je vertrauter die echte Mail ist, desto weniger fällt die falsche auf.

Liegt dem Finanzamt eine Empfangsvollmacht Ihres Steuerbüros vor, wird der Bescheid dem Steuerbüro bereitgestellt. Ob Ihr Betrieb dann zusätzlich benachrichtigt wird, lässt sich aus den geprüften Quellen nicht beantworten. Fristen, Bekanntgabe und den Weg zurück zum Papier beschreibt unser Beitrag zum Steuerbescheid im ELSTER-Postfach.

Woran Sie eine Fälschung erkennen, und woran nicht

Als Hinweise auf eine Fälschung nennen die Warnungen:

  • Ein Anhang, der ein Steuerbescheid oder eine Rechnung sein soll.
  • Die Aufforderung, Zugangsdaten einzugeben oder Steuernummer, PIN oder Kontoverbindung zu nennen.
  • Zeitdruck, etwa durch Fristen, angekündigte Erstattungen oder eine Aktualisierung, die noch am selben Tag nötig sein soll.
  • Eine unpersönliche Anrede und keine konkreten Angaben zu Ihrem Fall.
  • Eine Prüfungsanordnung per E-Mail oder ein Ministerium als Absender.
  • Technische Aufträge wie die Synchronisierung eines Mailkontos.
  • Eine Absenderadresse, die nach ELSTER aussieht, aber nicht ganz stimmt. Das Thüringer Finanzministerium nennt als Beispiele Varianten mit Zusätzen und mit vertauschten Buchstaben.

Kein Beweis für Echtheit sind dagegen:

  • Eine richtig aussehende Absenderadresse. Absender lassen sich fälschen. Das BSI, das Bundesamt für Sicherheit in der Informationstechnik, schreibt: „Ein zweiter Ansatzpunkt für Adressfälscher sind fehlerhaft eingestellte E-Mail-Server, die jede beliebige E-Mail-Adresse verarbeiten. Hierüber lassen sich auch E-Mails mit gefälschtem Absender verschicken.“ Eine abweichende Domain, also ein anderer Teil nach dem @-Zeichen, ist ein Warnzeichen. Eine passende Adresse beweist nichts.
  • Das ELSTER-Logo. Die Fälschung vom 21. August 2026 trug es.
  • Ihre Steuernummer in der Mail. Die echte Benachrichtigung enthält sie ebenfalls.

Und der Link? Ob die echte Benachrichtigung einen Link enthält, sagt die ELSTER-Hilfe nicht. Das Thüringer Finanzministerium schreibt: „Bürgerinnen und Bürger werden in diesen Nachrichten des Online-Finanzamts ELSTER niemals aufgefordert, Links anzuklicken, persönliche Daten preiszugeben oder Anhänge zu öffnen.“ Unsere Empfehlung hängt davon nicht ab: Melden Sie sich nie über einen Link aus einer Mail an.

Was Sie mit einer verdächtigen Mail tun

  1. Nichts anklicken, nichts öffnen. Das Finanzamt Bamberg rät in seiner Meldung vom 21. August 2026, keinesfalls auf Links oder Schaltflächen in solchen Mails zu klicken. Anhänge bleiben zu.
  2. ELSTER selbst aufrufen. Tippen Sie die Adresse elster.de selbst in den Browser ein oder öffnen Sie Ihre Steuersoftware. Liegt tatsächlich ein Bescheid für Sie bereit, finden Sie ihn dort. Hat Ihr Steuerbüro eine Empfangsvollmacht, fragen Sie dort nach.
  3. Die Mail ignorieren. Die Verbraucherzentrale empfiehlt, sie in den Spam-Ordner zu verschieben.
  4. Bei einer Prüfungsanordnung per Mail nachfragen. Rufen Sie Ihr Steuerbüro oder Ihr Finanzamt an, unter einer Nummer, die Sie selbst heraussuchen, nicht unter einer aus der Mail.
  5. Wenn schon Daten eingegeben wurden: Das Thüringer Finanzministerium rät, sich bei Verdacht auf Datenpreisgabe unverzüglich an die örtliche Polizeidienststelle zu wenden. Informieren Sie außerdem Ihren IT-Dienstleister und Ihr Steuerbüro, damit geklärt wird, welche Zugänge betroffen sein können.

Was Sie Ihren Mitarbeitenden sagen

Wer im Betrieb die Post vom Finanzamt bearbeitet, braucht vor allem eine Regel, die in einen Satz passt:

Aus einer Mail, die nach Finanzamt oder ELSTER aussieht, öffnen wir keinen Anhang, klicken keinen Link an und geben keine Zugangsdaten ein; ELSTER rufen wir nur über die selbst eingetippte Adresse oder über unsere Steuersoftware auf.

Dazu gehören drei Absprachen:

  • Wer entscheidet im Zweifel? Eine benannte Person mit fester Vertretung, der verdächtige Mails gemeldet werden. Wer eine Mail meldet, statt sie zu öffnen, hat richtig gehandelt, auch wenn sie sich als echt herausstellt.
  • Was passiert mit einer Prüfungsanordnung per E-Mail? Sie wird gemeldet, nicht bearbeitet.
  • Wer bekommt die echten Benachrichtigungen? Das klären Sie mit Ihrem Steuerbüro. Erst wenn alle wissen, welche Mail regulär bei wem ankommt, fällt eine unerwartete auf.

An Ihren IT-Dienstleister können Sie zwei Fragen richten. Lassen sich Mails, die sich als Finanzamt oder ELSTER ausgeben, im Mailfilter markieren oder zurückhalten? Und zeigt das Mailprogramm bei Absendern von außerhalb des Betriebs einen sichtbaren Hinweis an?

Was offen bleibt

  • Link und Absender der echten Mail. Die geprüfte ELSTER-Hilfeseite nennt keine Absenderadresse und sagt nicht, ob die Benachrichtigung einen Link enthält. Deshalb machen wir die Echtheit an keinem der beiden fest.
  • Der Kanzlei-Fall. Ob ein Betrieb neben dem bevollmächtigten Steuerbüro selbst benachrichtigt wird, ist unbelegt.
  • Die Verwaltungspraxis. Über das Schreiben des Bundesfinanzministeriums hinaus haben wir nicht geprüft, wie die Finanzverwaltung die Bekanntgabe durch Bereitstellung im Einzelnen handhabt.
  • Keine Zahlen zur Verbreitung. Wie viele solcher Mails verschickt wurden und wie viele Betriebe betroffen sind, wissen wir nicht.
  • Österreich und die Schweiz haben wir nicht geprüft.

Gegen diese Mails hilft vor allem eine Regel, die alle im Betrieb kennen und anwenden. Schulungen zu Phishing gehören zu unseren Leistungen im Bereich Sicherheit; wenn Sie Ihr Team darauf vorbereiten möchten, sprechen Sie uns an. Steuerliche Fragen bleiben bei Ihrem Steuerbüro.