DAC8-Phishing: ELSTER-Masche 2026 – was Geschädigte wissen sollten

Deshalb sollten Krypto-Inhaber, die eine angebliche BZSt-Mail erhalten haben, sofort handeln: Seit Anfang 2026 missbrauchen Betrüger die EU-Richtlinie DAC8 als Tarnung für eine massive Phishing-Kampagne. Die Oberfinanzdirektion Baden-Württemberg warnte am 23. März 2026 ausdrücklich davor, dass Kriminelle gefälschte ELSTER-Seiten einsetzen, um Wallet-Daten, Steuernummern und Zugangsdaten abzugreifen. Folglich ist jede unaufgeforderte E-Mail, die eine DAC8-Datenüberprüfung fordert, als Betrugsversuch einzustufen.

Zahlreiche Betroffene suchen daher nach ELSTER Krypto-Phishing, DAC8 Betrug oder BZSt-Mail Steuerbetrug 2026. Wenn Sie auf diesem Weg hierher gelangt sind, hatten Sie vermutlich selbst Kontakt zu einer solchen Nachricht. Dieser Beitrag erläutert somit, was DAC8-Phishing bedeutet, welche Normen es verletzt und welche rechtlichen Schritte Ihnen offenstehen.

Was regelt DAC8 – und wie nutzen Betrüger die Richtlinie?

DAC8 (Directive on Administrative Cooperation, 8. Fassung) ist eine echte EU-Richtlinie, die am 17. Oktober 2023 auf EU-Ebene verabschiedet wurde. Insofern ist sie kein Phantom, sondern ein tatsächlich existierendes Regelwerk. In Deutschland wurde die Umsetzung am 19. Dezember 2025 beschlossen; seit dem 1. Januar 2026 sind Krypto-Dienstleister daher verpflichtet, Transaktionsdaten automatisch an Finanzbehörden zu übermitteln. Folglich erzeugt DAC8 bei Krypto-Inhabern genau die Verunsicherung, die Betrüger für ihre DAC8-Phishing-Kampagnen benötigen.

Tatsächlich leitet keine Behörde auf Grundlage von DAC8 ein individuelles Prüfverfahren per E-Mail ein. Der Datenaustausch läuft deshalb ausschließlich zwischen den beteiligten Institutionen, ohne persönliche Aufforderungen an einzelne Steuerpflichtige. Dennoch setzen die Betrüger eine knappe Frist und drohen mit Geldbußen bis zu 500.000 Euro sowie einer Freiheitsstrafe wegen Steuerhinterziehung. Somit ist die DAC8-Phishing-Masche ein psychologisch kalkulierter Angriff auf das Vertrauen in echte Behördenkommunikation.

Welche Verfahrenslücke schließt die Norm – und was fehlt bei DAC8-Phishing?

DAC8 schafft erstmals eine harmonisierte Meldepflicht für Krypto-Dienstleister gegenüber Finanzbehörden. Außerdem ergänzt MiCAR Art. 59 ff. parallel den Regulierungsrahmen für Krypto-Dienstleister. Deshalb bietet DAC8 zwar mehr Transparenz, aber keinen unmittelbaren Verbraucherschutz gegen Phishing. Insofern schließt die Norm eine regulatorische Berichtslücke, lässt jedoch die Strafverfolgung von Phishing-Tätern dem allgemeinen Strafrecht überlassen.

Bei DAC8-Phishing fehlt demzufolge die Behördeneigenschaft vollständig. Die Täter agieren ohne Lizenz, ohne Meldepflicht und ohne jede Aufsicht. Zudem behaupten sie fälschlicherweise, im Auftrag des Bundeszentralamts für Steuern zu handeln, was eine zusätzliche Strafbarkeit nach StGB § 132a (Amtsanmaßung) begründen kann. Folglich verstärkt die institutionelle Täuschung die rechtliche Schwere der Tat erheblich.

Was stellt die Behörde fest – und was nicht?

Die OFD Baden-Württemberg stellte am 23. März 2026 fest, dass Betrüger gefälschte ELSTER-Webseiten mit Bezug zu DAC8 einsetzen. Sie trifft damit eine behördliche Tatsachenfeststellung, jedoch keine strafrechtliche Verurteilung. Ob einzelne Täter verurteilt werden, bleibt deshalb der strafrechtlichen Ermittlung überlassen. Trotzdem ist die Behördenwarnung ein starkes Indiz für eine zivilrechtliche Geltendmachung nach BGB § 823 Abs. 2.

Viele Betroffene fragen sich, ob nach einem Klick auf den Link noch Handlungsmöglichkeiten bestehen. Dennoch ist auch dann rechtliches Handeln möglich. Wer seine Zugangsdaten auf einer gefälschten Seite eingegeben hat, kann somit sowohl strafrechtliche als auch zivilrechtliche Schritte einleiten. Insofern ist kein Fall von vornherein aussichtslos.

Welche forensischen Ansatzpunkte ergeben sich?

Wenn Sie eine DAC8-Phishing-Mail erhalten haben und auf den Link geklickt haben, empfiehlt sich zunächst eine vollständige Beweissicherung. Dazu gehören die Original-E-Mail als EML-Datei, Screenshots der aufgerufenen Seite sowie Kontoauszüge zu eingetretenen Schäden. Darüber hinaus sollten Sie ELSTER-Passwort und -Zertifikat sofort sperren und Ihre Bank informieren. Weiterführende Informationen finden Sie daher in der Übersicht zu Scam-Broker-Warnungen auf kryptoschaden.de sowie im Beitrag zur Blockchain-Forensik bei Krypto-Betrug.

Das Versenden von DAC8-Phishing-Mails ist nach StGB § 263a (Computerbetrug) und StGB § 263 (Betrug) strafbar. Außerdem können nach StGB § 73 i.V.m. StPO § 111e erlangte Vermögenswerte eingezogen werden, auch wenn die Täter im Ausland sitzen. Eine Strafanzeige bei der zuständigen Polizeidienststelle ist deshalb sinnvoll. Frühzeitiges Handeln erhöht somit die Rückführungschancen erheblich.

Was bedeutet das für Personen mit Verlust durch DAC8-Phishing?

Wenn Sie durch das DAC8-Phishing Geld verloren haben oder Ihre Bank eine Erstattung verweigert, empfiehlt sich umgehend rechtlicher Beistand. Vorschnelles Einverständnis mit einer Erstattungsverweigerung sollte deshalb vermieden werden. Stattdessen lohnt sich eine Prüfung der Ansprüche nach BGB § 675u und § 675v gegenüber dem kontoführenden Institut sowie nach BGB § 826 gegen die Täter. Mehr dazu erfahren Sie daher im Beitrag zur Rückforderung von Kryptowerten bei unerlaubten Anbietern.

Zudem sollten Sie alle weiteren Konten prüfen, bei denen Sie dieselbe E-Mail-Adresse oder dasselbe Passwort verwenden, und wo möglich die Zwei-Faktor-Authentifizierung aktivieren. Sollten vermeintliche Rückgewinnungshelfer Kontakt aufnehmen, empfiehlt es sich ebenso, diese als Folgebetrug einzustufen und zu ignorieren. Eine spezialisierte Kanzlei kann folglich die konkreten Rückführungshebel in Ihrem Fall einschätzen. Deshalb gilt: Je früher Sie handeln, desto besser sind Ihre Chancen auf eine erfolgreiche Rückführung.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern