BVAEB und ELSTER: Phishing mit angeblicher Datenprüfung

Damit die Pension weiterkommt, müsse man rasch seine Daten überprüfen: So lautet die Drohung einer gefälschten SMS im Namen der BVAEB, die Watchlist Internet am 15. Oktober 2026 dokumentiert hat. Eine am selben Tag von der Verbraucherzentrale beschriebene ELSTER-Mail verspricht dagegen eine Steuererstattung. Auch hier soll die Auszahlung von einer Datenbestätigung abhängen. Beide Nachrichten machen aus einer Geldleistung einen vermeintlich dringenden Arbeitsauftrag an die Empfänger.

Für diese Darstellung gibt es bei den echten Stellen klare Gegenbelege. Die BVAEB warnt selbst vor gefälschten Pensionskonto-SMS. ELSTER erklärt, dass die Steuerverwaltung per E-Mail weder Kontoverbindungen noch Kreditkartennummern anfordert. Die Nachrichten zeigen anschaulich, wie Betrüger einen bekannten Namen mit einer erfundenen Bedingung für die Auszahlung verbinden.

Die Drohung steckt in der angeblichen Datenprüfung

Die von Watchlist Internet veröffentlichte SMS fordert eine Überprüfung der Daten für die Pensionsauszahlung bis 15. Oktober 2026. Wer dem enthaltenen Link folgt, soll damit angeblich Unterbrechungen vermeiden. Diese Frist war bei der Erstellung dieses Artikels am 16. Oktober bereits verstrichen. Sie ist Bestandteil der dokumentierten Fälschung und sagt nichts über einen tatsächlichen Handlungsbedarf bei der BVAEB aus.

Die ELSTER-Mail trägt laut Verbraucherzentrale den Betreff „AW: Ihr Steuerbescheid 2025 – Erstattung bestätigt“. Für die behauptete Erstattung sollen Bank- und Kartendaten bestätigt werden. Bis 25. Oktober verlangt die Nachricht eine Eingabe von Kartendaten über einen Link und eine Freigabe; andernfalls könne die Erstattung nicht bearbeitet werden. Die Verbraucherzentrale ordnet die Frist und die angedrohte Nichtbearbeitung als Mittel ein, um Druck zu erzeugen.

Im direkten Vergleich wird der Aufbau sichtbar: Erst behauptet die Nachricht einen Anspruch auf Geld oder dessen weitere Auszahlung. Dann stellt sie ein Hindernis auf, das der Empfänger angeblich selbst beseitigen muss. Der angebotene Link erscheint dadurch als Weg, ein finanzielles Problem zu vermeiden. Das ist eine Einordnung der beiden Nachrichtentexte; wie einzelne Menschen darauf reagieren, wurde in diesen Warnungen nicht untersucht.

Vertraute Namen ersetzen keinen Echtheitsnachweis

Die vorgetäuschte Rolle einer zuständigen Stelle passt zu einem bekannten Manipulationsprinzip. Das österreichische Portal Onlinesicherheit.gv.at beschreibt Social Engineering als das Beeinflussen von Menschen, um unbefugt an vertrauliche Informationen oder Zugänge zu gelangen. In dem von der Wirtschaftskammer verantworteten Beitrag werden auch Druck und Einschüchterung als eingesetzte Mittel erläutert. Bei den hier dokumentierten Nachrichten übernehmen die Fristen und die angeblichen Folgen des Nichtstuns diese Rolle.

Ein vertrauter Name im Absenderfeld reicht deshalb zur Prüfung nicht aus. Die Verbraucherzentrale weist darauf hin, dass Absenderangaben gefälscht werden können. Ebenso wenig beweist eine persönliche Anrede die Echtheit: Betrüger können den Namen ihrer Empfänger bereits kennen. Umgekehrt ist eine unpersönliche Anrede ein möglicher Warnhinweis, aber keine notwendige Voraussetzung für Phishing – also den Versuch, über täuschende Nachrichten sensible Daten abzugreifen.

Entscheidend ist, was die echte Stelle tatsächlich verlangt

Bei der BVAEB lässt sich die Aufforderung mit deren eigener Warnung abgleichen. Die Versicherungsanstalt erklärt, dass die beschriebenen SMS zur Aktualisierung von Pensionskonto-Daten weder von ihr noch von der Sozialversicherung stammen. Kein Sozialversicherungsträger verlange sensible Datenänderungen per SMS oder E-Mail. Wer seine Pension betreffende Angaben klären möchte, sollte die BVAEB über einen unabhängig herausgesuchten offiziellen Kontakt erreichen.

ELSTER nennt ebenfalls konkrete Grenzen seiner Kommunikation: Die Steuerverwaltung informiert im E-Mail-Text nicht direkt über eine mögliche Erstattung oder Nachzahlung und fordert dort keine vertraulichen Bank- oder Kartendaten an. Das bedeutet zugleich, dass eine echte Benachrichtigung per E-Mail grundsätzlich möglich ist. Hinweise im eigenen Konto sollte man über die selbst geöffnete offizielle Seite elster.de prüfen. Eine verdächtige Nachricht muss dafür nicht als Einstieg dienen.

Bekannte Maschen in aktuell dokumentierten Fassungen

Mimikama hat bereits am 15. Juni eine gefälschte Pensionskonto-SMS im Namen von PV Österreich dokumentiert. Am 10. August folgte eine Warnung vor einer angeblichen ELSTER-Steuererstattung, bei der eine nachgebaute Seite persönliche Steuerdaten verlangte. Die Fälle zeigen wiederkehrende Vorwände; eine gemeinsame Täterschaft lässt sich daraus nicht ableiten. Auch die beiden Warnungen vom 15. Oktober enthalten keine Angaben, aus denen sich die Größe einer Betrugswelle oder die Zahl geschädigter Menschen bestimmen ließe.

Wer auf einer solchen Seite bereits sensible Zahlungs- oder Zugangsdaten eingegeben hat, sollte sofort die eigene Bank beziehungsweise den Kartenanbieter kontaktieren und notwendige Sperren veranlassen. Betroffene Passwörter müssen geändert werden. Die ursprüngliche Nachricht sollte als Beleg gesichert werden. Für eine Rückfrage bei der echten Stelle verwendet man einen unabhängig ermittelten Kontakt – auch eine Telefonnummer innerhalb der verdächtigen Nachricht gehört zunächst zu deren ungeprüften Angaben.