Smishing & Phishing – Betrüger missbrauchen den Namen der ESTV zur Steuersaison 2026
Gefälschte SMS und E-Mails im Namen der Eidgenössischen Steuerverwaltung (ESTV) fordern zur 'Prüfung der Veranlagung 2025' auf. Betroffen sind Schweizer KMU, Grenzgänger und Unternehmen in FL mit Mehrwertsteuerpflicht in der Schweiz.
Update vom 22. Oktober 2026
Wir haben den Hinweis zur Kommunikation der ESTV präzisiert. Die bisherige Aussage, die ESTV kommuniziere ausschliesslich per Post, war zu absolut.
Was ist passiert?
Pünktlich zur Steuersaison 2026 kursieren Smishing- und Phishing-Kampagnen im Namen der Eidgenössischen Steuerverwaltung (ESTV). Die Nachrichten fordern Empfänger auf, eine angebliche "Prüfung der Veranlagung 2025" durchzuführen. Enthaltene Links führen auf täuschend echte Phishing-Seiten, auf denen Login-Daten, Kreditkarteninformationen oder MTAN-Codes abgegriffen werden. Einige Varianten enthalten Anhänge mit Schadsoftware.
Moderne Phishing-Kits nutzen Echtzeit-Relays, die eingegebene MTAN-Codes sofort weiterleiten – womit auch Zwei-Faktor-Authentifizierung in Echtzeit umgangen werden kann. Die Kampagne ist zeitlich präzise auf die Erwartungshaltung der Empfänger abgestimmt: Wer eine Steuerprüfung erwartet, klickt eher.
Wen betrifft es?
- Schweizer Unternehmen und ihre Mitarbeitenden
- Unternehmen in Liechtenstein (FL) mit Geschäftsbeziehungen oder Mehrwertsteuerpflicht in der Schweiz
- Grenzgängerinnen und Grenzgänger mit Steuerpflicht in der Schweiz oder FL
- Treuhänder und Finanzbuchhaltungen, die Steuerdossiers verwalten
Besonders exponiert: KMU ohne strukturiertes Security-Awareness-Programm.
Was ist zu tun?
- Mitarbeitende sensibilisieren: Gib Login-, Bank- oder Kreditkartendaten nie über Links aus SMS oder E-Mails ein. Echte E-Mails der ESTV stammen von Adressen auf @admin.ch – der Absender kann aber gefälscht sein: Die ESTV warnt selbst vor Phishing-Mails mit dem Absender noreply@estv.admin.ch.
- Verdächtige Nachrichten melden: Leite sie dem BACS (ehemals NCSC) über antiphishing.ch weiter.
- Keine Links öffnen: Rufe bei Unsicherheit estv.admin.ch direkt im Browser auf, nie über Links in SMS oder E-Mail.
- IT informieren: Sammle die eingegangenen Meldungen intern, um das Ausmass der Kampagne einzuschätzen.
- MFA härten: Sichere alle Zugänge zu Finanz- und Steuertools mit Zwei-Faktor-Authentifizierung und setze wo möglich auf Authenticator-Apps statt SMS-Codes.
Dieses Advisory dient der Information. Für Unterstützung bei deiner Awareness-Strategie kontaktiere uns.
Bereit, deine Angriffsfläche zu kennen?
Erzähl uns kurz von deinem Vorhaben. Wir melden uns mit einem konkreten Vorschlag.
Erstgespräch anfragen