„Ist das Spam?“
Die Mail sah erstaunlich seriös aus.
Japans National Tax Agency. e-Tax. „Wichtig“. Steuerrückzahlung. Frist. Sicherheitshinweise. Datenschutz. Amtliche Adresse. Registrierungsnummer. Copyright.
Selbst ganz unten wirkt alles noch offiziell.
Vielleicht sogar zu offiziell.
Dann steht dort ein konkreter Rückzahlungsbetrag im Bereich von 80.000 Yen, und das Gehirn denkt für einen Moment:
„Moment… wirklich?“
Doch der Link erzählt eine andere Geschichte.
Die Mail trägt den Anzug der Steuerbehörde.
Auf dem Namensschild steht:
shoofimafi[.]com
Behördenanzug.
Mysteriöses .com-Namensschild.
Fall erledigt.
Das Beunruhigende ist, dass modernes Phishing nicht mehr wie eine schlecht übersetzte Nachricht voller Tippfehler aussehen muss. Die japanische National Tax Agency warnte in einem Update vom 18. März 2026 ausdrücklich davor, dass Angreifer echte wirkende e-Tax-Logos und Figuren verwenden [1].
Die Frage lautet daher nicht mehr:
„Sieht es verdächtig aus?“
Sondern:
„Ist die Struktur echt?“
1. Professionelles Aussehen ist Teil des Angriffs
Die falsche Mail stapelt Vertrauenssignale:
- Name der National Tax Agency und e-Tax
- konkreter Rückzahlungsbetrag
- Frist
- Hinweise auf My-Number-Authentifizierung
- Servicezeiten
- Datenschutztext
- amtlich wirkende Adresse und Registrierungsdaten
- saubere HTML-Schaltflächen
Jedes Element wirkt einzeln plausibel.
Und jedes lässt sich leicht kopieren.
Die japanische Steuerbehörde bestätigt Phishingfälle mit gefälschten sichtbaren Absendernamen, Adressen und e-Tax-Logos [1]. Der Council of Anti-Phishing Japan weist ebenfalls darauf hin, dass Phishingseiten echte Websites kopieren und visuell extrem schwer zu unterscheiden sein können [2].
Deshalb sind dies schwache Signale:
„die Sprache klingt natürlich“ „das Logo stimmt“ „eine Adresse steht da“ „es gibt eine Datenschutzerklärung“
Öffentliche Informationen kann jeder kopieren.
Auch Betrüger können einen ordentlichen Footer bauen.
2. URL zerlegen, Verkleidung verlieren
Der verdächtige Link sah in entschärfter Form so aus:
hxxps://shoofimafi[.]com/HNG2lycwWJ.chiba-city[.]jp
Am Ende steht „chiba-city.jp“.
Das klingt irgendwie amtlich.
Aber URLs liest man nicht nach Stimmung.
Der Verbraucherleitfaden 2026 des Council of Anti-Phishing Japan erklärt, dass bei einer normalen URL die Domain zwischen „https://“ und dem ersten folgenden „/“ steht [2].
Also:
- Schema: hxxps
- tatsächlicher Host: shoofimafi[.]com
- Pfad: /HNG2lycwWJ.chiba-city[.]jp
„chiba-city.jp“ ist nicht das Ziel.
Es ist Text im Pfad.
Man betritt kein Gebäude der Steuerbehörde.
Man betritt ein fremdes Gebäude, in dessen Flur ein paar amtlich klingende Wörter stehen.
Das echte e-Tax nutzt Domains aus der Familie e-tax.nta.go.jp.
Dieser Link nicht.
Hier kann man aufhören.
3. Die Aufforderung, die Android-e-Tax-App herunterzuladen, ist sogar historisch falsch
Die Mail forderte Android-Nutzer auf, eine „e-Tax-App“ zu laden.
Die offizielle Website erklärt jedoch, dass der Dienst der Android-App „e-Tax“ bereits am 4. Januar 2021 beendet wurde [3].
Eine Mail aus 2026, die sagt:
„Sie haben die Android-e-Tax-App nicht? Hier herunterladen“
hat Zeitreisen erfunden.
Man erwartete eine Steuererstattung.
Stattdessen ist zuerst eine seit 2021 tote App auferstanden.
Phishingkits können alte Texte wiederverwenden, die früher einmal korrekt waren. Wer den aktuellen Stand eines Dienstes kennt, erkennt auch „veraltete Wahrheit“ als Warnsignal.
4. Auch die Steuerchronologie passt nicht
Die Nachricht behauptete im September 2026, die Rückzahlung sei auf Grundlage des gesamten Steuerjahres 2026 vom 1. Januar bis 31. Dezember festgelegt worden.
Die National Tax Agency erklärt, dass die Einkommensteuer für das gesamte Kalenderjahr vom 1. Januar bis 31. Dezember berechnet und normalerweise danach erklärt wird [4].
Im September ist der 31. Dezember noch nicht passiert.
Die Mail hat zukünftiges Einkommen bereits berechnet.
Sogar die nächsten 3 Monate sind damit angeblich schon eingerechnet.
Das ist keine Steuerverwaltung.
Das ist Wahrsagerei.
Natürlich kann es legitime Rückzahlungen während des Jahres oder für frühere Jahre geben. Die richtige Frage ist:
Passt der Zeitraum, den die Mail angeblich ausgewertet hat, zum Datum, an dem sie behauptet, alles sei endgültig?
Design lässt sich leicht kopieren. Institutionelle Zeitabläufe konsistent zu kopieren ist schwieriger.
5. Wie echte e-Tax-Mails funktionieren
Laut e-Tax verwenden offizielle Benachrichtigungen feste Vorlagen und zeigen folgenden Absender:
e-Tax（National Tax Electronic Filing and Payment System）info@e-tax.nta.go.jp [5]
Doch daraus sollte man keine neue Abkürzung machen.
Ein korrekt aussehender Absender beweist die Echtheit nicht.
Die Behörde warnt ausdrücklich, dass sichtbare Absendernamen und Adressen gefälscht werden können [1].
Stärker ist das Verhalten:
Offizielle e-Tax-Mails enthalten grundsätzlich keine URLs im Nachrichtentext [1][5].
Für den Rückzahlungsstatus soll man die e-Tax-Website selbst öffnen, sich in die Webversion einloggen und unter My Page → Rückzahlung/Steuer → Bearbeitungsstatus nachsehen [6].
Lass nicht die Mail dein Ziel bestimmen.
Öffne das offizielle Portal selbst.
6. HTTPS, Schloss und schöner Footer sind keine Ausweise
Der alte Tipp „achte auf HTTPS und das Schloss“ reicht nicht mehr.
Der Council of Anti-Phishing Japan erklärt, dass auch Phishingseiten verschlüsselte Verbindungen und gültige Zertifikate verwenden können. Das Schloss allein beweist daher nicht, dass die Seite der gewünschten Organisation gehört [2].
HTTPS sagt vor allem:
„Die Verbindung zu diesem Server ist verschlüsselt.“
Es sagt nicht:
„Dieser Server gehört der japanischen Steuerbehörde.“
Man kann sehr sicher verschlüsselt mit einem Betrüger kommunizieren.
Es bleibt Betrug.
Dasselbe gilt für Logos, Adressen, Registrierungsnummern, Datenschutztexte und Copyright.
Öffentliche Daten sind kopierbar.
7. 30-Sekunden-Prüfung
1) Nicht den Link in der Mail benutzen
Rückzahlung, Mahnung, Identitätsprüfung, Kontosperre, Frist, Gewinn.
Je stärker die Emotion, desto mehr Abstand vom Link.
2) Bei Geld, Steuern oder Konten den offiziellen Dienst selbst öffnen
Gespeichertes Lesezeichen, offizielle App oder selbst eingegebene offizielle Adresse.
Der Leitfaden 2026 empfiehlt ebenfalls bekannte korrekte URLs oder offizielle Apps statt Links aus ungeprüften Nachrichten [2].
3) Wenn du die URL prüfst, prüfe den Host
Zwischen „https://“ und dem ersten „/“.
Ein Markenname im Pfad ändert nicht den tatsächlichen Server.
Selbst wenn dahinter 100 echt wirkende Wörter stehen, bleibt der tatsächliche Host derselbe.
4) Institutionelle Zeit prüfen
Ist das Steuerjahr vorbei? Existiert die App noch? Gibt es dieses Verfahren wirklich?
5) Nicht von „Was, wenn es doch echt ist?“ treiben lassen
Eine echte Rückzahlung muss auch sichtbar sein, wenn du den offiziellen Dienst selbst öffnest.
Ein echtes Steuerproblem muss über offizielle Kanäle überprüfbar sein.
8. Warum das gerade jetzt wichtig ist
Im August 2026 erhielt der Council of Anti-Phishing Japan 82.338 Phishingmeldungen, etwa 24,5 % mehr als im Vormonat [7].
Auch Phishing im Namen öffentlicher Stellen nahm zu.
Derselbe Bericht beschreibt sauber gestaltete HTML-Mails und den Missbrauch legitimer Onlinedienste, wodurch rein visuelle Beurteilung noch unzuverlässiger wird [7].
Das alte Klischee ist gefährlich:
„schlechte Grammatik = Phishing“ „hässliches Design = Betrug“ „Betrug sieht man sofort“
Sicherer ist:
Gehe davon aus, dass die Optik den Test besteht.
Dann prüfe die Struktur.
9. Wenn du schon geklickt hast
Nur die Seite geöffnet
Wenn du nichts eingegeben oder heruntergeladen hast, schließe sie und interagiere nicht weiter.
Öffne danach den offiziellen Dienst selbst und prüfe den echten Status.
Benutzername oder Passwort eingegeben
Rufe den offiziellen Dienst über einen vertrauenswürdigen Weg auf und ändere die Zugangsdaten.
Wenn dasselbe Passwort anderswo genutzt wird, ändere es dort ebenfalls.
Kartendaten eingegeben
Kontaktiere sofort den Kartenanbieter über einen offiziellen Kanal und folge den Anweisungen zum Sperren oder Ersetzen.
Unbekannte Android-App installiert
Das ist riskanter als nur eine Webseite zu öffnen.
Beende unnötige Netzwerknutzung, sichere wichtige Konten von einem anderen vertrauenswürdigen Gerät und prüfe das Telefon mit offiziellen Sicherheitsfunktionen oder professioneller Hilfe.
Gehe nicht davon aus, dass das Löschen der App automatisch alles erledigt.
Fazit: Struktur statt Kostüm
Optisch war die Mail stark.
Steuerbehörde. e-Tax. Rückzahlung. Frist. Datenschutz. Adresse. Registrierung.
Alles vorhanden.
Strukturell fällt sie auseinander:
- Ziel-Domain gehört nicht zur Steuerbehörde
- bewirbt eine Android-App, die 2021 eingestellt wurde
- Steuerjahres-Chronologie ergibt keinen Sinn
- Navigationsweg entspricht nicht der offiziellen e-Tax-Anleitung
Die nützliche Regel lautet:
„Gerade weil es seriös aussieht, ist die Optik kein Beweis.“
Anzug der Steuerbehörde.
Namensschild einer mysteriösen .com-Domain.
Lies das Namensschild.
Quellen (7)
- e-Tax, 「e-Taxを装った不審なメール等にご注意ください」, updated 2026-03-18 e-tax.nta.go.jp
- フィッシング対策協議会, 「利用者向けフィッシング詐欺対策ガイドライン 2026年度版」 antiphishing.jp
- e-Tax, 「e-Taxアプリについて」／Android向けe-Taxアプリは2021-01-04サービス終了 e-tax.nta.go.jp
- 国税庁, 「所得税のしくみ」 nta.go.jp
- e-Tax, 「『税務署からのお知らせ』等のメールが届いた方へ」 e-tax.nta.go.jp
- e-Tax, 「還付金処理状況確認について」 e-tax.nta.go.jp
- フィッシング対策協議会, 「2026/08 フィッシング報告状況」, 2026-09-18 antiphishing.jp
