Falsche SMS zur Steuererstattung: die Smishing-Welle der DGFiP zielt diesen Sommer auf 12,6 Millionen Haushalte

Jeden Sommer wird dasselbe Schema reaktiviert: kurz vor den Steuererstattungen versuchen Betrüger massenhaft, SMS zu versenden, die die DGFiP imitieren, um Steuerzahler in die Falle zu locken. 2026 hat die Kampagne ein beispielloses Ausmaß erreicht: 12,6 Millionen Haushalte erhalten zwischen dem 24. Juli (erste Welle) und dem 31. Juli (zweite Welle) eine Überweisung des französischen Fiskus, und die Cyberkriminellen richten ihre Nachrichten an diesem Kalender aus. Für einen SMS-Dienst wie Texto SMS Gratuit ist dies der richtige Moment, um daran zu erinnern, warum das Vertrauen in eine Kurzwahlnummer und das kritische Lesen jedes Links Ihre beste Verteidigung bleiben.

Wie der Betrug funktioniert

Die Vorgehensweise, die von Cybermalveillance.gouv.fr in der Warnung vom 15. Juli 2026 dokumentiert wurde, ist mittlerweile bestens eingespielt. Sie erhalten eine SMS – manchmal eine E-Mail oder einen Anruf –, die einer offiziellen Mitteilung der Direction générale des Finances publiques zum Verwechseln ähnlich sieht. Die Nachricht kündigt eine Steuererstattung über einen präzisen Betrag an (oft zwischen 187 € und 262 €, manchmal mehr), mit einem Countdown von 48 Stunden, um die Überweisung zu „bestätigen". Der eingebettete Link führt zu einer gefälschten Seite, die impots.gouv.fr imitiert, und der Nutzer wird aufgefordert, seine Bankdaten oder Steuerzugangsdaten einzugeben.

Drei Anzeichen müssen Sie sofort alarmieren:

• Die Absendernummer: Eine SMS der DGFiP wird nie von einer klassischen französischen Mobilfunknummer verschickt. Die offiziellen Kanäle sind das persönliche Konto auf impots.gouv.fr, die sichere Nachrichtenfunktion der Website oder eine E-Mail, die auf @dgfip.finances.gouv.fr endet.
• Die URL des Links: Sie imitiert die offizielle Adresse, nutzt aber eine exotische Domain (impots-gouv-remboursement.com, dgfip-fr.net usw.). Ein kleines h, das durch ein großes H ersetzt wurde, ein zusätzlicher Bindestrich, ein .top- oder .click-Suffix sind typische Hinweise.
• Die Forderung nach Bankdaten: Die DGFiP fragt nie per SMS nach Ihrer IBAN, Kartennummer oder Zugangsdaten. Eine echte Erstattung wird automatisch auf das dem Fiskus bereits bekannte Konto überwiesen.

Foto: Unsplash – eine einzige SMS auf einem Bildschirm reicht aus, um einen Bankbetrug von mehreren Hundert Euro auszulösen.

Warum diese Welle besonders gefährlich ist

Drei Gründe erklären die Heftigkeit der Kampagne 2026. Erstens passt der Steuerkalender perfekt: Die Steuerzahler erwarten tatsächlich eine Überweisung, was die Wachsamkeit senkt. Wenn eine Nachricht im richtigen Moment mit dem richtigen Betrag eintrifft, keimt Zweifel auf. Zweitens kreuzen die Betrüger mittlerweile mehrere Datenbanken aus früheren Lecks: Name, Adresse, Anbieter, manchmal sogar die IBAN – genau das war beim Datenleck bei Free im Jahr 2024 der Fall, das von der CNIL bestraft wurde. Drittens steigt die Qualität der SMS: keine groben Rechtschreibfehler, ein kopiertes Logo, ein tadelloser Verwaltungston, sogar ein rechtlicher Hinweis am Ende der Nachricht. Kurz gesagt: Die Falle ist technisch gut gemacht.

Die Arcep und die Betreiber haben mehrere Barrieren eingerichtet, aber sie fangen nicht alles ab: Filterung von Mehrwertdienstrufnummern, Meldung an 33700, Markierung langer SMS als „potentieller Spam" auf iPhone und Android. Diese Schutzmaßnahmen ersetzen nicht die menschliche Wachsamkeit.

Die richtige Haltung in drei Gesten

Bei einer SMS, die eine Erstattung ankündigt, befolgen Sie die „Drei-Null-Klick-Regel":

1. Null Klicks auf den Link. Geben Sie selbst impots.gouv.fr in die Adressleiste Ihres Browsers ein. Wenn eine Erstattung tatsächlich läuft, erscheint sie in Ihrem persönlichen Bereich unter „Kontosituationen".
2. Null Rückruf der Nummer. Betrüßer hinterlassen manchmal eine Rückrufnummer: Es handelt sich um eine ausländische VoIP-Leitung, die teuer abgerechnet wird, um Sie möglichst lange in der Leitung zu halten. Legen Sie sofort auf.
3. Null Datenübermittlung. Weder IBAN noch Passwort noch per SMS empfangener Code. Kein öffentlicher Dienst wird Sie per SMS danach fragen – das ist ein untrügliches Zeichen für Betrug.

Wenn Sie eine solche SMS erhalten haben, leiten Sie sie an 33700 weiter (kostenlose SMS-Spam-Meldeplattform, die von den Betreibern unter Aufsicht der Arcep betrieben wird). Sie können die betrügerische Seite auch bei Signal-Spam und bei Phishing Initiative melden.

Sie haben geklickt? Hier ist die Reihenfolge der Schritte

Auch die Vorsichtigsten können an einem müden Tag hereinfallen. Wenn Sie auf den Link geklickt und Daten eingegeben haben, handeln Sie in dieser Reihenfolge:

• In der ersten Stunde: Lassen Sie sofort Ihre Bankkarte sperren. Jede Minute zählt: Die meisten Betrügereien lösen wenige Minuten nach der Dateneingabe eine Online-Zahlung aus.
• Innerhalb von 24 Stunden: Erstatten Sie Anzeige auf der Plattform Perceval (perceval.interieur.gouv.fr) des französischen Innenministeriums. Perceval macht aus Ihrer Meldung eine Akte, die direkt an Polizei oder Gendarmerie übermittelt wird.
• Innerhalb von 48 Stunden: Ändern Sie die Passwörter Ihrer sensiblen Konten (Online-Banking, Haupt-E-Mail, impots.gouv.fr). Falls Sie dasselbe Passwort für einen anderen Dienst verwendet haben, ändern Sie es ebenfalls – das ist das Prinzip des Credential Stuffing, das wir in unserem Artikel zum Schutz der Privatsphäre Ihrer SMS beschrieben haben.
• Innerhalb einer Woche: Erstatten Sie Anzeige bei Polizei oder Gendarmerie, oder über das Online-Voranzeigeformular. Artikel 226-4-1 des französischen Strafgesetzbuchs bestraft digitalen Identitätsdiebstahl mit einem Jahr Gefängnis und 15.000 € Geldstrafe.

Foto: Unsplash – seine Online-Konten selbst im Browser zu prüfen, bleibt die wirksamste Schutzmaßnahme.

Das institutionelle Netzwerk hinter der Warnung

Der Kampf gegen diese Betrügereien mobilisiert mittlerweile ein komplettes Ökosystem – eine gute Nachricht. Cybermalveillance.gouv.fr veröffentlicht Warnungen und hält einen Leitfaden „Sensibilisierung und bewährte Praktiken" aktuell; die DGFiP weist in ihren offiziellen sozialen Netzwerken darauf hin, dass sie nie per SMS oder E-Mail nach Bankdaten fragt; die Betreiber filtern Mehrwertdienstrufnummern und blockieren bestimmte Domains auf Netzwerkebene; und 33700, das 2026 seinen 18. Geburtstag feiert, hat bereits zur Schließung mehrerer Tausend betrügerischer Nummern geführt. Schließlich hat die Arcep in ihrem letzten Bericht zur Zufriedenheit mit den Betreibern in Frankreich daran erinnert, dass der Kampf gegen Spoofing (Nummernnachahmung) 2026-2027 Priorität bleibt, mit einem Authentifizierungssystem für Kurzwahlnummern, das derzeit ausgerollt wird.

Was Sie sich merken sollten

• 12,6 Millionen Haushalte sind von den Steuererstattungen am 24. und 31. Juli 2026 betroffen: Das ist die Zielscheibe.
• Die DGFiP fragt nie per SMS nach Ihrer IBAN, Bankkarte oder Zugangsdaten.
• Drei Reflexe: Nicht klicken, nicht zurückrufen, nichts übermitteln.
• Im Falle eines Klicks: Kartensperrung → Perceval → Passwörter ändern → Anzeige erstatten.
• Melden Sie verdächtige SMS an 33700 und betrügerische Seiten an Phishing Initiative.

Um eine kostenlose SMS zu versenden, ohne Ihre Nummer an Dritte weiterzugeben und ohne Spuren zu hinterlassen, bleibt unser Versandformular allen zugänglich, ohne Anmeldung. Für Fragen zur Vertraulichkeit Ihrer Kommunikation können Sie unsere FAQ, unsere rechtlichen Hinweise konsultieren oder uns kontaktieren.