Wenn Steuerdaten gestohlen werden: Warum ein Datenleck erst der Anfang eines Betrugs sein kann
Cyberangriff auf französische Finanzverwaltung betrifft 678.000 Nutzer – weshalb gestohlene Daten für Ermittler vor allem als Ausgangsmaterial für weitere Angriffe interessant sind
Ein Cyberangriff auf eine Finanzbehörde ist bereits für sich genommen ein schwerwiegender Sicherheitsvorfall. Doch der eigentliche Schaden kann erst Wochen oder Monate später entstehen.
Genau das macht den aktuellen Fall aus Frankreich so interessant.
Das französische Finanzministerium bestätigte einen Cyberangriff auf die Direction générale des Finances publiques (DGFiP), die französische Generaldirektion für öffentliche Finanzen. Nach Angaben des Ministeriums wurden Daten von 678.000 Nutzern entwendet. Betroffen sind sowohl Privatpersonen als auch professionelle beziehungsweise geschäftliche Nutzer.
Nach bisherigem Kenntnisstand hatte ein Angreifer angegeben, bereits Ende Juni in Systeme der Steuerverwaltung eingedrungen zu sein. Untersuchungen bestätigten anschließend einen unbefugten Zugriff sowie die Einsichtnahme und Extraktion von Steuerzahlerdaten. Welche konkreten Daten bei den einzelnen Betroffenen abgeflossen sind, wird noch untersucht. Betroffene sollen individuell informiert werden.
Gerade dieser letzte Punkt ist entscheidend.
Denn aus Sicht eines Ermittlers ist ein Datendiebstahl nicht zwangsläufig das Ende eines Cyberangriffs.
Er kann der Anfang einer völlig neuen Angriffskette sein.
Daten sind heute Tatmittel
Cyberkriminelle benötigen für einen erfolgreichen Betrug nicht immer Zugang zu einem Bankkonto oder das Passwort eines Opfers.
Oft benötigen sie zunächst etwas anderes:
Informationen.
Namen, Anschriften, Telefonnummern, E-Mail-Adressen, Geschäftsbeziehungen, Unternehmensdaten, Ansprechpartner, steuerliche Informationen oder andere persönliche Merkmale können einzelne Puzzleteile darstellen.
Für sich genommen erscheint manches davon zunächst relativ harmlos.
Werden diese Informationen jedoch miteinander kombiniert, entsteht möglicherweise ein ziemlich genaues Profil einer Person oder eines Unternehmens.
Genau hier treffen Cybercrime, OSINT und klassische Ermittlungsmethoden aufeinander.
Das Bundesamt für Sicherheit in der Informationstechnik weist ausdrücklich darauf hin, dass Daten aus Datenlecks für Identitätsmissbrauch eingesetzt und mit weiteren öffentlich verfügbaren Informationen kombiniert werden können.
Der gefährliche zweite Angriff
Stellen wir uns ein einfaches Szenario vor.
Ein Unternehmer erhält eine E-Mail.
Der Absender scheint eine Behörde, ein Steuerberater, eine Bank oder ein bekannter Geschäftspartner zu sein.
Die Nachricht enthält:
- seinen korrekten Namen,
- die richtige Firmenbezeichnung,
- möglicherweise eine zutreffende Anschrift,
- plausible steuerliche Zusammenhänge,
- vielleicht sogar Informationen über Ansprechpartner oder geschäftliche Vorgänge.
Danach folgt die Aufforderung, eine Rechnung zu prüfen, ein Dokument herunterzuladen, Zugangsdaten zu bestätigen oder eine Zahlung vorzunehmen.
Die Wahrscheinlichkeit, dass ein Empfänger einer solchen Nachricht Glauben schenkt, ist erheblich höher als bei einer schlecht formulierten Massen-Phishing-Mail.
Genau das ist Social Engineering.
Der Angreifer attackiert nicht primär die technische Infrastruktur.
Er attackiert das Vertrauen eines Menschen.
ENISA und das BSI zählen Phishing, Spear-Phishing, Whaling und weitere Manipulationstechniken zu den typischen Formen des Social Engineering. Dabei werden reale Informationen genutzt, um eine Geschichte möglichst glaubwürdig erscheinen zu lassen.
Aus einem Datenleck wird Spear-Phishing
Massen-Phishing funktioniert nach dem Gießkannenprinzip.
Spear-Phishing funktioniert anders.
Hier wird ein konkretes Ziel vorbereitet.
Je mehr ein Täter über diese Zielperson weiß, desto überzeugender kann seine Legende werden.
Gerade bei Unternehmen können Informationen über Geschäftsführer, Buchhaltung, Steuerberater, Lieferanten oder interne Zuständigkeiten besonders wertvoll sein.
Ein Täter könnte öffentlich verfügbare Daten aus LinkedIn, Handelsregistern, Unternehmenswebseiten, Presseveröffentlichungen oder sozialen Netzwerken mit gestohlenen Informationen kombinieren.
Aus vielen einzelnen Informationen entsteht dann ein sogenanntes Target Package.
Und genau an diesem Punkt wird aus einem ursprünglichen Datenleck möglicherweise ein gezielter Betrugsversuch.
CEO-Fraud beginnt häufig mit Informationsbeschaffung
Ähnliches gilt für den sogenannten CEO-Fraud oder Business Email Compromise.
Der klassische Angriff lautet beispielsweise:
Der vermeintliche Geschäftsführer fordert einen Mitarbeiter der Finanzabteilung auf, kurzfristig eine Überweisung vorzunehmen.
Moderne Angriffe sind jedoch wesentlich raffinierter.
Täter können vorher recherchieren:
Wer darf Zahlungen freigeben?
Wer vertritt wen?
Welche Geschäftspartner existieren?
Ist ein Geschäftsführer gerade auf Geschäftsreise?
Welche Projekte laufen aktuell?
Welche Kanzlei oder welcher Steuerberater betreut das Unternehmen?
Welche Sprache verwendet der Geschäftsführer?
Heute können zusätzlich KI-generierte Texte, manipulierte Stimmen oder Deepfakes eingesetzt werden.
Der eigentliche Angriff dauert vielleicht nur wenige Minuten.
Die Vorbereitung kann jedoch Tage oder Wochen zuvor begonnen haben.
Steuerdaten besitzen einen besonderen Vertrauensbonus
Hinzu kommt ein psychologischer Faktor.
Eine Nachricht über eine angebliche Steuerprüfung, Rückerstattung, Nachzahlung oder behördliche Anfrage besitzt automatisch eine gewisse Autorität.
Werden darin zusätzlich echte persönliche oder geschäftliche Informationen verwendet, sinkt die natürliche Skepsis des Empfängers.
Das macht gestohlene Daten aus Behördenbeständen besonders interessant für Social Engineering.
Dabei muss ausdrücklich festgehalten werden:
Im aktuellen französischen Fall ist bislang nicht abschließend bekannt, welche konkreten Datenfelder bei allen 678.000 Betroffenen entwendet wurden. Ebenso bedeutet ein Datendiebstahl selbstverständlich nicht automatisch, dass jeder Betroffene anschließend Opfer eines Betrugs wird.
Aus ermittlungstaktischer Sicht muss jedoch genau dieses Folgerisiko berücksichtigt werden.
Identitätsdiebstahl: Das Opfer erfährt häufig erst später davon
Eine weitere Gefahr ist Identitätsmissbrauch.
Kriminelle versuchen möglicherweise, mit fremden Daten:
Konten oder Benutzerprofile zu eröffnen, Verträge abzuschließen, bestehende Accounts zu übernehmen, zusätzliche Informationen zu beschaffen oder gegenüber Dritten eine fremde Identität glaubwürdig vorzutäuschen.
Das BSI beschreibt ausdrücklich, dass Datenlecks eine Grundlage für Identitätsdiebstahl darstellen können.
Problematisch ist dabei vor allem die zeitliche Verzögerung.
Ein gestohlener Datensatz verliert nicht automatisch nach einigen Tagen seinen Wert.
Daten können gespeichert, weiterverkauft, mit anderen Datensätzen zusammengeführt und später erneut verwendet werden.
Deshalb sollte nach einem relevanten Datenleck nicht nur gefragt werden:
„Was wurde gestohlen?“
Die wesentlich wichtigere Frage lautet:
„Was könnte ein Täter mit diesen Informationen als Nächstes tun?“
OSINT funktioniert auch in die andere Richtung
Als Ermittler nutzen wir Open Source Intelligence, kurz OSINT, um öffentlich zugängliche Informationen strukturiert auszuwerten.
Genau dieselben Möglichkeiten stehen allerdings auch Kriminellen zur Verfügung.
Ein Name aus einem Datenleck kann der Ausgangspunkt sein.
Danach folgen beispielsweise:
Unternehmenswebseiten, soziale Netzwerke, Presseberichte, öffentliche Register, frühere Datenlecks, Domaininformationen oder öffentlich erkennbare Geschäftsbeziehungen.
Aus wenigen Ausgangsdaten kann dadurch ein erstaunlich detailliertes Bild entstehen.
Das ist einer der Gründe, weshalb Unternehmen Cybersecurity nicht ausschließlich als Aufgabe ihrer IT-Abteilung betrachten sollten.
Informationssicherheit ist heute gleichzeitig Unternehmenssicherheit.
Was Unternehmen nach einem Datenleck tun sollten
Wird bekannt, dass Daten des eigenen Unternehmens oder von Mitarbeitern möglicherweise kompromittiert wurden, sollten mehrere Ebenen gleichzeitig betrachtet werden.
Zunächst muss geklärt werden, welche Informationen betroffen sein könnten.
Danach sollte geprüft werden, welche Angriffsszenarien sich aus diesen Informationen entwickeln lassen.
Besonders sensible Funktionen sind dabei häufig:
Geschäftsführung, Buchhaltung, Treasury, Personalabteilung, IT-Administration, Assistenz der Geschäftsleitung sowie Mitarbeiter mit umfangreichen Zahlungs- oder Zugriffsrechten.
Diese Personen sollten unmittelbar für mögliche Folgeangriffe sensibilisiert werden.
Gleichzeitig kann es sinnvoll sein, ungewöhnliche Veränderungen zu beobachten:
neue Login-Versuche, Passwort-Reset-Anfragen, verdächtige E-Mails, ungewöhnliche Zahlungsaufforderungen, Änderungen von Bankverbindungen oder Kontaktversuche unter vermeintlich bekannten Identitäten.
Zahlungsänderungen niemals nur per E-Mail bestätigen
Eine der einfachsten Sicherheitsmaßnahmen ist gleichzeitig eine der wirkungsvollsten:
Ändert ein Lieferant plötzlich seine Bankverbindung, sollte dies über einen bereits bekannten und unabhängigen Kommunikationskanal verifiziert werden.
Nicht über die Telefonnummer aus der verdächtigen E-Mail.
Nicht über einen darin enthaltenen Link.
Sondern beispielsweise über eine bereits bekannte Telefonnummer oder einen bestehenden persönlichen Ansprechpartner.
Dasselbe gilt für außergewöhnliche Zahlungsaufforderungen durch Geschäftsführer oder andere Führungskräfte.
Eine Unternehmenskultur, in der Mitarbeiter ungewöhnliche Vorgänge hinterfragen dürfen, ist ein wichtiger Teil der Sicherheitsarchitektur.
Wenn der Betrug bereits passiert ist, beginnt die Beweissicherung
Ist bereits Geld geflossen oder wurden Accounts übernommen, zählt häufig jede Stunde.
Dann geht es nicht nur darum, Systeme wiederherzustellen.
Es geht um Beweise.
Relevant können beispielsweise sein:
E-Mail-Header, Login-Protokolle, IP-Adressen, Kommunikationsverläufe, Zahlungsinformationen, Wallet-Adressen, Domains, Telefonnummern, Benutzerkonten und technische Metadaten.
Wer diese Spuren vorschnell löscht oder Systeme verändert, kann spätere Ermittlungen erheblich erschweren.
Deshalb sollten technische Forensik und kriminalistische Analyse möglichst früh zusammengedacht werden.
Unsere Ermittler-Perspektive: Nicht beim Cyberangriff stehen bleiben
Bei Detegere betrachten wir wirtschaftskriminelle Sachverhalte nicht isoliert.
Ein Cyberangriff kann einen technischen Ursprung haben.
Der anschließende Betrug kann jedoch vollständig außerhalb der ursprünglichen IT-Infrastruktur stattfinden.
Dann geht es plötzlich um Personen, Firmen, Zahlungsströme, Kommunikationsstrukturen, digitale Identitäten und internationale Verbindungen.
Hier verbinden sich klassische Ermittlungsarbeit, OSINT, Corporate Intelligence und IT-Forensik.
Die entscheidende Frage lautet deshalb nicht allein:
Wie konnte jemand in ein System eindringen?
Sondern ebenfalls:
Wer steckt dahinter, welche Informationen besitzt der Täter jetzt – und was wird er möglicherweise damit versuchen?
Der Fall Frankreich ist eine Warnung weit über Frankreich hinaus
678.000 betroffene Nutzer sind eine beeindruckende Zahl.
Doch die eigentliche Lehre dieses Falls liegt nicht in der Zahl.
Sie liegt in der Erkenntnis, dass Daten heute einen eigenständigen wirtschaftlichen und kriminellen Wert besitzen.
Ein Datensatz kann kopiert werden.
Er kann weiterverkauft werden.
Er kann mit anderen Informationen angereichert werden.
Und er kann Monate später Bestandteil eines völlig anderen Angriffs werden.
Deshalb endet professionelle Cyberabwehr nicht mit der Schließung einer technischen Sicherheitslücke.
Nach dem Angriff beginnt die Frage nach dem nächsten Schritt des Täters.
Genau dort beginnt kriminalistische Analyse.
FAQ – Datenlecks, Identitätsdiebstahl und Cyberbetrug
Wie viele Menschen sind vom Cyberangriff auf die französische Finanzverwaltung betroffen?
Nach Angaben des französischen Finanzministeriums wurden Daten von 678.000 Nutzern entwendet. Betroffen sind Privatpersonen und professionelle beziehungsweise geschäftliche Nutzer.
Welche Daten wurden beim französischen Finanzministerium gestohlen?
Zum aktuellen Stand vom 15. August 2026 ist noch nicht abschließend veröffentlicht, welche konkreten Daten bei jedem Betroffenen eingesehen oder extrahiert wurden. Die französischen Behörden untersuchen den Vorfall weiter und wollen betroffene Nutzer individuell informieren.
Warum sind gestohlene Steuerdaten für Betrüger interessant?
Je nach Art der Daten können sie dazu beitragen, ein Opfer glaubwürdig anzusprechen oder dessen Identität vorzutäuschen. Werden gestohlene Informationen mit öffentlich verfügbaren Daten kombiniert, können sehr zielgerichtete Social-Engineering- oder Phishing-Angriffe entstehen.
Was ist Spear-Phishing?
Spear-Phishing ist eine gezielte Form des Phishings. Anders als bei massenhaft versendeten Nachrichten wird die Kommunikation auf eine bestimmte Person oder Organisation zugeschnitten. Ziel ist es, durch glaubwürdige Informationen Vertrauen zu erzeugen und das Opfer zu einer Handlung zu bewegen.
Was bedeutet Social Engineering?
Social Engineering bezeichnet die gezielte Manipulation von Menschen, um Informationen, Zugangsdaten, Zahlungen oder andere Handlungen zu erreichen. Der Angriff richtet sich damit weniger gegen eine technische Schwachstelle als gegen menschliches Vertrauen.
Können Daten aus verschiedenen Quellen miteinander kombiniert werden?
Ja. Genau darin liegt ein wesentliches Risiko. Informationen aus Datenlecks können mit öffentlich verfügbaren Informationen aus sozialen Netzwerken, Unternehmenswebseiten, Registern oder anderen Quellen zusammengeführt werden. Dadurch kann ein wesentlich vollständigeres Profil entstehen.
Was ist OSINT?
OSINT steht für Open Source Intelligence und bezeichnet die systematische Gewinnung und Auswertung öffentlich zugänglicher Informationen. Professionell eingesetzt ist OSINT ein wichtiges Instrument für Ermittlungen, Due Diligence und Risikoanalysen. Die gleichen öffentlich zugänglichen Informationen können jedoch grundsätzlich auch von Kriminellen zur Vorbereitung von Angriffen genutzt werden.
Was sollte ein Unternehmen nach einem bekannten Datenleck tun?
Das Unternehmen sollte zunächst feststellen, welche Daten betroffen sein könnten und welche Folgeangriffe daraus denkbar sind. Besonders gefährdete Mitarbeiter sollten sensibilisiert, Zugänge überprüft und ungewöhnliche Kommunikations- oder Zahlungsanforderungen besonders sorgfältig verifiziert werden. Bei konkreten Verdachtsmomenten sollte frühzeitig eine professionelle Beweissicherung erfolgen.
Kann eine Wirtschaftsdetektei bei Cyberbetrug helfen?
Je nach Sachverhalt können kriminalistische Ermittlungen, OSINT, Corporate Intelligence, Personen- und Unternehmensrecherchen sowie IT-forensische Untersuchungen miteinander kombiniert werden. Ziel kann beispielsweise sein, digitale Spuren zu sichern, Täterstrukturen zu analysieren, Firmenverbindungen aufzudecken oder Zahlungs- und Kommunikationswege nachzuvollziehen.
Warum sollte nach einem Datenleck auch langfristig erhöhte Aufmerksamkeit gelten?
Gestohlene Informationen können gespeichert, kombiniert und zu einem späteren Zeitpunkt eingesetzt werden. Deshalb muss ein möglicher Folgeangriff nicht unmittelbar nach Bekanntwerden eines Datenlecks stattfinden.
Fazit
Der Cyberangriff auf die französische Finanzverwaltung zeigt exemplarisch, weshalb Unternehmen und Privatpersonen bei einem Datenleck nicht ausschließlich auf den unmittelbaren technischen Schaden schauen sollten.
Gestohlene Daten sind Rohmaterial für weitere Straftaten.
Je genauer Täter ihre Opfer kennen, desto glaubwürdiger können Phishing, Social Engineering, Identitätsmissbrauch oder Zahlungsbetrug werden.
Moderne Unternehmenssicherheit muss deshalb Cybersecurity und Ermittlungsarbeit miteinander verbinden.
Denn der gefährlichste Angriff ist möglicherweise nicht derjenige, bei dem Daten gestohlen werden – sondern derjenige, der anschließend mit diesen Daten vorbereitet wird.
Autor: Oliver Peth – Kriminalist und Inhaber von Privat Investigation Service Detegere. Schwerpunkt: Wirtschaftsermittlungen, Corporate Intelligence, OSINT und komplexe nationale sowie internationale Ermittlungsverfahren.
Quellen: Aktuelle Berichterstattung von Reuters zum Cyberangriff auf die französische Finanzverwaltung vom 14. August 2026 sowie Informationen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und der European Union Agency for Cybersecurity (ENISA).
Bild: KI generiert:
