So prüfst du eine Mitteilung der Steuerverwaltung oder der AHV-Ausgleichskasse

So prüfst du eine Mitteilung der Steuerverwaltung oder der AHV-Ausgleichskasse

«Eidgenössische Steuerverwaltung: Sie haben Anspruch auf eine Rückerstattung von CHF 342.20. Bestätigen Sie hier Ihre Kartendaten.» Oder umgekehrt: «Sie haben offene AHV-Beiträge. Vermeiden Sie die Betreibung, indem Sie jetzt bezahlen.» Behörden sind eine ausgezeichnete Tarnung für Betrug: Alle kennen sie, niemand will Ärger mit ihnen, und ihre echten Abläufe sind kompliziert genug, dass eine gefälschte Nachricht plausibel wirkt. Das Bundesamt für Cybersicherheit (BACS) warnt zum Beispiel vor Phishing-E-Mails im Namen der AHV, die mit einer angeblichen Rückerstattung Kartendaten stehlen wollen.

Diese Kampagnen kommen in Wellen und folgen demselben Gerüst wie gefälschte Bussen- oder Paket-SMS: bekannte Institution + offener Geldbetrag (für oder gegen dich) + Zeitdruck + Link. Wer eine davon prüfen kann, kann alle prüfen.

Die Grundregel: Behörden erledigen nichts über Links in SMS

Merke dir zwei Dinge:

1. Steuerverwaltung und AHV-Ausgleichskasse verlangen keine Bankdaten, Passwörter oder Zahlungen über einen Link in einer unerwarteten SMS oder E-Mail. Behördengänge online erledigst DU über offizielle Portale, die du selbst aufrufst, etwa mit AGOV, dem Login der Bundesbehörden, oder über das offizielle Steuerportal deines Kantons.
2. Eine echte Rückerstattung braucht keine «Bestätigung deiner Kartendaten» per Link. Steht dir Geld zu, zahlt die Behörde es auf dem offiziellen Weg aus; Kreditkartendaten per SMS oder E-Mail verlangt sie dafür nicht.

Jede Nachricht, die dich drängt, auf einen Link zu tippen, um bei einer Behörde Geld zu erhalten, zu zahlen oder etwas zu «regeln», ist grundsätzlich verdächtig. Nicht weil Behörden nie Mitteilungen verschicken, sondern weil der Link als Erledigungsweg nicht ihre Arbeitsweise ist.

Wie die gefälschte Nachricht aussieht

• Die Rückerstattung. Ein besonders wirksamer Köder: «Sie haben Anspruch auf eine Rückerstattung», mit einem konkreten, glaubwürdigen Betrag. Der Link führt auf eine gefälschte Seite, die ein Behördenportal imitiert und wo du persönliche Daten und Kartendaten eingibst. Genau dieses Muster beschreibt das BACS bei der AHV.
• Die Schuld oder Betreibung. «Letzte Mahnung vor der Betreibung», «offene Beiträge bei der Ausgleichskasse». Spielt mit Angst statt mit Hoffnung, aber das Ziel ist dasselbe: deine Daten und deine Karte.
• Der Termin oder Vorgang. Varianten, die dich bitten, «einen Termin zu bestätigen» oder «deine Daten zu aktualisieren», mit Link. Auf den ersten Blick weniger dringend, genauso gefälscht.
• Ähnliche Domains. Links mit «estv», «steuer», «ahv» oder «admin» plus Bindestrichen und zusätzlichen Wörtern, auf Domains, die nicht die offiziellen sind. Die Bundesämter findest du unter admin.ch, zum Beispiel estv.admin.ch oder bsv.admin.ch; die offizielle AHV-Informationsseite ist ahv-iv.ch. Die Adresse deiner Ausgleichskasse oder deiner kantonalen Steuerverwaltung schlägst du selbst nach, statt sie aus einer Nachricht zu übernehmen. Laut einem Warnhinweis der ESTV enden echte E-Mail-Adressen der ESTV immer auf @admin.ch oder einer Subdomain davon.
• Anrufe mit Computerstimme. Auch am Telefon geben sich Betrüger als Behörden aus, etwa als «Bundespolizei», Zoll, Gericht oder Kantonspolizei. Das BACS beschreibt diese Anrufe im Namen von Fake-Behörden. Unsere Regel: auflegen, keine Taste drücken, nichts bestätigen.
• Absender, der nichts beweist. Wie bei allen SMS und E-Mails: Der Absender lässt sich fälschen und beweist weder das eine noch das andere. Auch eine Absenderadresse auf admin.ch ist für sich allein kein Echtheitsbeweis.

Wie du prüfst, ob etwas Echtes dahintersteckt

Die Methode ist die übliche: Nachricht schliessen und selbst zum offiziellen Kanal gehen. Bei Behörden ist das besonders einfach, weil die offiziellen Kanäle eindeutig und bekannt sind:

1. Tippe nicht auf den Link. Schliesse die Nachricht.
2. Geh selbst auf die offizielle Seite. Tippe die Adresse im Browser ein (bei der ESTV etwa estv.admin.ch, für AHV-Fragen die offizielle Informationsseite ahv-iv.ch oder die Website deiner Ausgleichskasse) oder nutze die offiziellen Apps und Portale. Wichtig: Die Einkommens- und Vermögenssteuer veranlagt die Steuerverwaltung deines Kantons; die ESTV ist die Steuerverwaltung des Bundes. Komm nicht über den Link aus der Nachricht dorthin und auch nicht über eine hastige Suche.
3. Melde dich an und schau nach. Gibt es eine Rückerstattung, eine Rechnung, ein Verfahren oder eine Mitteilung, findest du sie im offiziellen Portal oder in deiner Post. Steht dort nichts, war die Nachricht gefälscht.
4. Kommst du mit dem Portal nicht zurecht, ruf die offiziellen Kontaktnummern an (die du selbst auf der offiziellen Website nachschlägst, nicht aus der Nachricht) oder geh persönlich am Schalter vorbei.

Gibt es wirklich etwas zu erledigen, tust du das im offiziellen Portal oder auf dem offiziellen Weg. Nie über den Link einer Nachricht. Es ist genau dieselbe Gewohnheit, die wir empfehlen, wenn angeblich deine Bank anruft oder schreibt.

Was tun, wenn du schon getippt oder Daten eingegeben hast

• Nur getippt und wieder geschlossen: Fast sicher ist nichts passiert. Blockieren, löschen, fertig.
• Kartendaten eingegeben: Ruf sofort deine Bank an, lass die Karte sperren und eine neue ausstellen. Behalte die Belastungen der folgenden Wochen im Blick.
• Login-Daten eines Behördenportals eingegeben (etwa für AGOV oder das Steuerportal deines Kantons): Sichere den Zugang so schnell wie möglich über den offiziellen Weg, ändere Passwörter und prüfe, ob es Vorgänge oder Änderungen gibt, die du nicht kennst.
• Melde und zeige an: Den Versuch meldest du dem BACS über das Meldeformular. Hast du Geld verloren, erstatte Strafanzeige bei der Kantonspolizei, mit Screenshots der Nachricht und des Links.
• Melde die Absendernummer im Verzeichnis der Spam-Nummern.

Kurze Fragen

Schreibt die Steuerverwaltung überhaupt per E-Mail oder SMS? Behörden können auf elektronischem Weg informieren, aber eine echte Nachricht verlangt keine Karten- oder Login-Daten in der Nachricht selbst, und du kannst alles im offiziellen Portal nachprüfen, das du selbst öffnest. Bei der ESTV kommt dazu: Echte Absenderadressen enden auf @admin.ch oder einer Subdomain davon. Im Zweifel gilt die Nachricht als ungeprüft, bis du sie im Portal oder über die offizielle Kontaktnummer bestätigt hast.

Und die AHV? Dasselbe: Informationen ja, Erledigung über einen Link in einer unerwarteten Nachricht nein. Eine «AHV-Rückerstattung», für die du Kartendaten eingeben sollst, beschreibt das BACS ausdrücklich als Phishing.

Muss ich rund um die Steuererklärung besonders aufpassen? Ja, weil der Kontext den Betrügern hilft: Wenn alle mit Steuererklärung oder Steuerrechnung beschäftigt sind, passt eine «offene Rückerstattung» ins Bild. Misstraue in dieser Zeit jeder Steuernachricht mit Link doppelt.

Ist eine E-Mail mit offiziellem Logo vertrauenswürdiger als eine SMS? Nein. Ein Logo ist in einer Minute kopiert, und auch der E-Mail-Absender lässt sich fälschen. Es gilt dieselbe Regel: keine eingehenden Links, selbst ins Portal gehen.

Wenn dich so eine Nachricht erreicht hat, melde sie im Verzeichnis der Spam-Nummern von NoCall: Diese Kampagnen wechseln ihre Tarnung je nach Saison, und deine Meldung hilft der nächsten Person, das Muster rechtzeitig zu erkennen.