Falsche Absender, echter Handlungsdruck

Gefälschte DIHK-Mails und Steuerforderungen: Warum Namen, Logos und Aktenzeichen keinen Echtheitsnachweis ersetzen.

Von Oliver Peth, Kriminalist, Profiler und Inhaber von Privat Investigation Service Detegere
Veröffentlicht am 24. Oktober 2026

Eine Nachricht verweist auf fehlende Unterlagen. Ein vermeintlicher Behördenkontakt mahnt eine Zahlung an. Eine kurze Antwort soll genügen, damit der Vorgang erledigt ist. Im Unternehmensalltag können solche Mitteilungen zwischen Buchhaltung, Geschäftsleitung und Assistenz schnell weitergereicht werden.

Genau diese Abläufe können Betrüger ausnutzen. Die Nachricht soll wie eine Aufgabe wirken, die ordentlich und möglichst rasch abgearbeitet werden muss. Ob die behauptete Stelle den Vorgang tatsächlich veranlasst hat, gerät dabei leicht in den Hintergrund.

Die Warnungen der DIHK und des Landeskriminalamtes Nordrhein-Westfalen vom 23. Oktober 2026 geben Anlass, solche Nachrichten genauer zu prüfen.

Aktuelle DIHK-Warnung: Eine Empfangsbestätigung als Einstieg

Die DIHK beschreibt eine Nachricht, die im Namen einer tatsächlich existierenden Mitarbeiterin versandt wird. Die Empfänger sollen den Erhalt einer angeblich am Vortag verschickten E-Mail mit Unterlagen zur Unterschrift bestätigen. Die beschriebene Nachricht enthält keinen direkten Link zur Dateneingabe. Die DIHK ordnet sie dennoch als Betrugsversuch ein und berichtet, die missbrauchte Absenderdomain abschalten gelassen zu haben. Quelle: DIHK

Unsere fachliche Einordnung: Eine scheinbar harmlose Rückmeldung kann einen weiteren Austausch vorbereiten. Welche Folgeschritte tatsächlich vorgesehen sind, muss im Einzelfall untersucht werden. Für die erste Entscheidung zählt deshalb auch bei einer kurzen Bestätigungsbitte, ob Absender und Anlass unabhängig überprüfbar sind.

LKA NRW: Mehr als 570 erfasste Taten mit gefälschten Steuerforderungen

Das LKA NRW meldet für den Zeitraum 2025 bis Ende September 2026 mehr als 570 erfasste versuchte und vollendete Taten mit gefälschten Zahlungsaufforderungen im Namen des Bundeszentralamtes für Steuern. Die E-Mails beziehen sich unter anderem auf angebliche Steuerforderungen und Pfändungen. Teilweise werden sensible Daten verlangt; häufig enthalten die Nachrichten PDF-Anhänge. Die Zahl stammt aus einer anlassbezogenen Auswertung in Nordrhein-Westfalen und ist keine bundesweite Gesamtstatistik. Quelle: LKA Nordrhein-Westfalen

Für Unternehmen ergibt sich daraus eine konkrete Aufgabe: Auch eine Forderung mit bekanntem Behördennamen braucht einen verifizierten Anlass, einen nachvollziehbaren Empfänger und einen unabhängig bestätigten Kommunikationsweg.

Warum formale Merkmale so überzeugend wirken

Eine vollständige Signatur lässt sich kopieren. Der Name einer Beschäftigten kann auf einer echten Internetseite stehen und anschließend von Dritten missbraucht werden. Auch eine plausibel aufgebaute Vorgangsnummer sagt für sich genommen wenig darüber aus, wer eine Nachricht verfasst hat.

Wer bei einer Recherche lediglich feststellt, dass die genannte Person existiert, hat damit zunächst nur deren Existenz bestätigt. Ob sie diese konkrete E-Mail verschickt hat, bleibt eine eigene Prüffrage.

Dasselbe gilt für ein angehängtes Schreiben: Firmenlogo, Anschrift und ein ordentliches Layout können einen ersten Eindruck vermitteln. Für die Bewertung müssen Inhalt, Herkunft und behaupteter Anlass zusammenpassen.

Auch die technische Absenderanzeige verdient Aufmerksamkeit. Das Bundesamt für Verfassungsschutz erläutert in seinen Informationen zum Wirtschaftsschutz, wie manipulierte Absenderangaben und erzeugte Dringlichkeit bei Phishing zusammenwirken können. Quelle: Bundesamt für Verfassungsschutz

Die richtige Frage lautet: Lässt sich bestätigen, dass die angebliche Stelle genau diesen Vorgang veranlasst hat?

Fiktives Fallbeispiel: Die vermeintlich fehlende Compliance-Unterlage

Das folgende Beispiel ist zur Veranschaulichung erfunden. Es beschreibt kein konkretes Detegere-Mandat und keinen zusätzlich bestätigten Behördenfall.

Eine Mitarbeiterin eines mittelständischen Unternehmens erhält einen Hinweis auf angeblich fehlende Compliance-Unterlagen. Die Nachricht trägt den Namen einer realen Ansprechpartnerin und fordert eine kurze Bestätigung. Da die Geschäftsleitung häufig Dokumente zur Unterschrift erhält, erscheint der Anlass zunächst plausibel.

Die Mitarbeiterin gibt den Vorgang intern zur Prüfung weiter. Zuerst wird geklärt, ob die behauptete vorausgegangene Korrespondenz im Unternehmen überhaupt vorliegt. Anschließend wird die zuständige Organisation über eine unabhängig recherchierte Telefonnummer kontaktiert.

Im Beispiel bestätigt die Organisation, dass sie keinen solchen Vorgang führt. Die technische Prüfung stellt außerdem Abweichungen zwischen der verwendeten Adresse und den bekannten Kommunikationswegen fest.

Das Unternehmen dokumentiert die Nachricht und informiert die zuständigen Beschäftigten. Eine Zahlung oder Datenübermittlung wird nicht ausgelöst. Entscheidend ist die Prüfung des behaupteten Vorgangs über einen zweiten, verlässlichen Weg.

Welche Prüfschritte Unternehmen festlegen sollten

Eine unerwartete Nachricht braucht einen klaren internen Ansprechpartner. Beschäftigte sollten wissen, an wen sie verdächtige Forderungen weitergeben können und wer die weitere Prüfung übernimmt.

Für die praktische Bearbeitung empfehlen wir einen festen Ablauf:

Den Anlass im Unternehmen nachvollziehen. Gibt es die erwähnte Korrespondenz, einen bekannten Auftrag oder einen bereits bestätigten Vorgang? Wer wäre dafür zuständig?
Die angebliche Stelle unabhängig erreichen. Verwenden Sie bekannte Kontaktdaten oder recherchieren Sie diese selbst über den offiziellen Internetauftritt. Die Kontaktdaten innerhalb der verdächtigen Nachricht sollten nicht Grundlage der Verifizierung sein.
Die IT frühzeitig einbinden. Sie kann die Nachricht im Originalformat einschließlich der technischen Kopfzeilen sichern und die Übermittlungsmerkmale prüfen. Ein Screenshot hält den sichtbaren Inhalt fest, ersetzt aber nicht die Originalnachricht.
Freigaben nachvollziehbar dokumentieren. Halten Sie fest, wer den Vorgang geprüft hat, welche Rückmeldung vorliegt und auf welcher Grundlage weitere Schritte erfolgen.

Technische Kopfzeilen können Hinweise zum Versandweg liefern. Ihre Auswertung gehört in fachkundige Hände; sie ermöglicht für sich genommen nicht automatisch die Identifizierung einer verantwortlichen Person. Das BSI behandelt die Header-Auswertung als einen Bestandteil der Phishing-Analyse. Quelle: BSI

Bei verdächtigen Nachrichten sollten keine Links oder Anhänge geöffnet und keine sensiblen Informationen übermittelt werden. Wenn bereits Geld geflossen ist, sollte umgehend die Bank eingeschaltet werden. Bei Betrugsverdacht empfiehlt das LKA NRW eine Strafanzeige. Quelle: LKA Nordrhein-Westfalen

Echte elektronische Behördenkommunikation richtig einordnen

Pauschales Ignorieren ist ebenfalls keine verlässliche Arbeitsweise. Das Bayerische Landesamt für Steuern weist darauf hin, dass echte Benachrichtigungen auf neue Inhalte im ELSTER-Postfach hinweisen können. Bei Zweifeln soll der Zugang direkt über das offizielle Portal erfolgen. Gleichzeitig warnt die Behörde vor E-Mails, die sensible Daten abfragen oder vermeintliche Steuerunterlagen als Anhänge mitführen. Quelle: Bayerische Steuerverwaltung

Für die betriebliche Praxis bedeutet das: Den verdächtigen Kommunikationsweg verlassen und den Sachstand über den bestätigten Zugang oder die zuständige Stelle klären. So lassen sich auch möglicherweise echte Fristen gezielt überprüfen.

Wie Detegere einen Betrugsverdacht strukturiert untersucht

Bei Privat Investigation Service Detegere richten wir die Untersuchung auf die konkrete Frage des Mandanten aus: Wer behauptet was, welche Unterlagen liegen vor und welche Angaben können unabhängig bestätigt werden?

Je nach Sachverhalt kommen insbesondere folgende Schritte in Betracht:

OSINT-Recherche: Öffentlich zugängliche Informationen zu genannten Personen, Unternehmen, Internetauftritten und behaupteten Geschäftsbeziehungen auswerten und abgleichen.
Dokumentenverifizierung: Angaben, Zuständigkeiten und erkennbare Widersprüche untersuchen und geeignete Rückfragen bei angeblichen Ausstellern vorbereiten.
Rekonstruktion der Kommunikation: Nachrichten, Forderungen, Gesprächsnotizen und bereits veranlasste Handlungen in eine nachvollziehbare zeitliche Reihenfolge bringen.
Einbindung technischer Spezialisten: Bei entsprechenden Anhaltspunkten autorisierte Untersuchungen von E-Mails, Postfächern oder betroffenen Systemen koordinieren.
Bericht und Bewertung: Belegte Feststellungen, fachliche Einschätzungen und verbleibende offene Fragen verständlich dokumentieren.

Eine öffentlich bestätigte Person, ein existierendes Unternehmen und ein vorgelegtes Schriftstück müssen jeweils mit dem konkreten Vorgang verknüpft werden. Diese Verbindung ist Gegenstand der Prüfung. Eine bloße Namensübereinstimmung genügt dafür nicht.

Häufige Fragen zu gefälschten Compliance-Mails und Steuerforderungen

Ist eine Nachricht ohne direkten Link automatisch unbedenklich?

Nein. Die DIHK-Warnung vom 23. Oktober beschreibt gerade eine solche Nachricht. Auch bei einer Bestätigungsbitte sollten Absender und Anlass unabhängig geprüft werden.

Beweist der Name einer echten Mitarbeiterin die Echtheit?

Nein. Eine existierende Person kann ohne ihr Wissen als angebliche Absenderin genannt werden. Entscheidend ist die Bestätigung der konkreten Nachricht durch die zuständige Organisation.

Sollte ich bei einer angeblichen ELSTER-Nachricht direkt auf den Link klicken?

Rufen Sie das offizielle Portal selbst auf und prüfen Sie dort Ihr Postfach. Bei Unklarheiten helfen die unabhängig ermittelten Kontaktdaten der zuständigen Stelle.

Was ist sinnvoll, wenn bereits eine Antwort versandt wurde?

Melden Sie den Vorgang intern und lassen Sie prüfen, welche Informationen übermittelt wurden. Weitere Nachrichten mit Bezug auf denselben Vorgang sollten in die Untersuchung einbezogen werden. Bei weitergegebenen Zugangsdaten ist die zuständige IT unverzüglich einzubinden.

Kann Detegere die verantwortlichen Täter sicher ermitteln?

Welche Zuordnung möglich ist, hängt von den verfügbaren Spuren und ihrer Überprüfbarkeit ab. Wir prüfen den Sachverhalt und dokumentieren auch die Grenzen der gewonnenen Erkenntnisse.

Verdächtige Forderungen brauchen überprüfbare Antworten

Eine unerwartete Forderung verdient Aufmerksamkeit, gerade wenn sie vertraute Abläufe und bekannte Namen aufgreift. Eine unabhängige Verifizierung hilft, aus einem zunächst plausiblen Eindruck einen geklärten Sachstand zu machen.

Sie haben eine zweifelhafte Compliance-Mitteilung, eine auffällige Zahlungsaufforderung oder widersprüchliche Geschäftsunterlagen erhalten? Sprechen Sie mit uns vertraulich über Ihren Sachverhalt. Wir prüfen, welche Informationen gesichert und welche Angaben unabhängig verifiziert werden können.

Privat Investigation Service Detegere – Alzenau, deutschlandweit und international.

Autor: Oliver Peth, Kriminalist, Profiler und Inhaber von Privat Investigation Service Detegere. Seine Arbeit verbindet kriminalistische Analyse, OSINT-Recherche und die nachvollziehbare Aufbereitung komplexer Sachverhalte.

Quellen und redaktioneller Stand

Redaktionsstand: 24. Oktober 2026. Die Darstellung der aktuellen Warnungen beruht auf den nachstehenden Veröffentlichungen. Die fachliche Einordnung und das fiktive Beispiel sind als solche gekennzeichnet.

Bild: KI generiert