IRS Dirty Dozen 2026: Wie Phishing bei der Gehaltsabrechnung und Direkteinzahlungsbetrug kleine Unternehmen ins Visier nehmen

Ein Mitarbeiter erhält eine E-Mail, die genauso aussieht, als käme sie von Ihrem Lohnabrechnungsanbieter. Das Logo stimmt. Der Ton stimmt. Darin heißt es, das HR-Portal des Unternehmens habe den Anbieter gewechselt und jeder müsse seine Direkteinzahlungsdaten bis zum Ende des Tages erneut bestätigen. Der Mitarbeiter klickt, meldet sich mit seinen echten Zugangsdaten auf einer gefälschten Seite an, und zwei Gehaltszyklen später landet sein Gehalt auf einem Konto, das er noch nie gesehen hat.

Dieses Szenario ist mittlerweile so verbreitet, dass die IRS es auf ihre "Dirty Dozen"-Liste 2026 gesetzt hat — die jährliche Zusammenstellung der Behörde zu den Steuerbetrugsmaschen, die Privatpersonen und Unternehmen am meisten Schaden zufügen. Phishing und Identitätsvortäuschung führen auch dieses Jahr wieder die Liste an, neu ist jedoch das spezifische Ziel: Lohn- und HR-Systeme, nicht nur einzelne Steuerzahler bei der Abgabe ihrer Steuererklärung.

Wenn Sie auch nur für eine Handvoll Mitarbeiter die Gehaltsabrechnung durchführen, lohnen sich fünf Minuten Aufmerksamkeit für dieses Thema. Der Betrug ist billig durchzuführen, sobald Geld einmal fließt kaum noch rückgängig zu machen, und er zielt genau auf die Systeme, auf die kleine Unternehmen am meisten angewiesen sind.

Wie der Betrug tatsächlich abläuft​

Klassische Betrugsmaschen mit vorgetäuschter IRS-Identität versuchen, einen einzelnen Steuerzahler mit einer gefälschten Steuerrechnung einzuschüchtern. Die Variante bei der Gehaltsabrechnung ist leiser und geduldiger. Statt Ihnen zu drohen, gibt sie sich als jemand aus, dem Sie bereits vertrauen — ein Lohnbuchhalter, ein HR-Vertreter oder eine Führungskraft des Unternehmens — und bittet um etwas, das wie eine routinemäßige Formalität klingt.

Die häufigsten Varianten sehen so aus:

• Eine gefälschte W-2- oder Portal-Benachrichtigung. Eine E-Mail behauptet, im Lohnabrechnungssystem lägen neue Dokumente bereit oder es sei ein Passwort-Reset erforderlich, und verlinkt auf eine überzeugende, aber betrügerische Login-Seite, die echte Zugangsdaten abgreift.
• Eine Massenabfrage von Daten. Jemand, der sich als Führungskraft des Unternehmens ausgibt, schreibt HR oder die Lohnbuchhaltung an und fordert eine Tabelle mit Mitarbeiternamen, Sozialversicherungsnummern und W-2-Daten an — oft zeitlich passend zur Steuersaison, wenn solche Anfragen plausibel erscheinen.
• Eine Anfrage zur Änderung der Direkteinzahlung. Eine E-Mail, die scheinbar von einem Mitarbeiter stammt oder über ein kompromittiertes Konto verschickt wird, bittet die Lohnbuchhaltung, Bankleitzahl und Kontonummer "vor dem nächsten Zahlungslauf" zu aktualisieren. Wird sie außerhalb Ihrer normalen Verifizierungsschritte bearbeitet, geht das nächste Gehalt direkt an den Betrüger.

Sobald Angreifer über Zugangsdaten oder Mitarbeiterdaten verfügen, können sie Direkteinzahlungen umleiten, mit gestohlenen Sozialversicherungsnummern betrügerische Steuererklärungen einreichen oder die Daten direkt weiterverkaufen. Nichts davon erfordert einen Einbruch in Ihre Systeme — es reicht, dass ein einziger Mitarbeiter einer einzigen E-Mail vertraut.

Warum die Gehaltsabrechnung ein so attraktives Ziel ist​

Das ist keine bloße Vermutung — es zeigt sich in den Zahlen. Das Internet Crime Complaint Center (IC3) des FBI erfasst Business E-Mail Compromise (BEC), die Oberkategorie, zu der neben Rechnungsbetrug und der Vortäuschung von Führungskräften auch die Umleitung von Gehaltszahlungen zählt. Im Internet Crime Report 2025 verzeichnete das IC3 24.768 BEC-Beschwerden mit einem Gesamtschaden von rund $3.05 billion — gegenüber $2.77 billion im Jahr zuvor. Entscheidend ist: 86% der BEC-Verluste bewegten sich per Überweisung oder ACH — genau über die Wege, über die auch Direkteinzahlungen bei der Gehaltsabrechnung laufen. Genau deshalb verlaufen diese Maschen so schnell und werden nur selten zurückgeholt, sobald das Geld das Konto verlassen hat.

Die Umleitung von Gehaltszahlungen hat speziell eine Erfolgsbilanz, sich rasant auszubreiten, sobald Kriminelle eine funktionierende Vorlage gefunden haben. Eine frühere Warnmeldung des IC3 stellte fest, dass die gemeldeten Verluste durch Betrug bei der Umleitung von Gehaltszahlungen innerhalb von 18 Monaten um 815% gestiegen sind, da Betrugsringe erkannten, dass eine einzige erfolgreiche Umleitung über einen oder mehrere vollständige Gehaltszyklen laufen kann, bevor sie jemandem auffällt — weit effizienter als ein einmaliger Rechnungsbetrug.

Einige strukturelle Gründe, warum die Gehaltsabrechnung ein derart weiches Ziel ist:

• Die Informationen sind bereits halb öffentlich. Berufsbezeichnungen, Abteilungsnamen und Organigramme lassen sich leicht auf LinkedIn oder der Unternehmenswebsite finden, sodass Betrüger gezielte, glaubwürdige E-Mails statt generischer Nachrichten verfassen können.
• Die Bitte klingt routinemäßig. "Bitte aktualisieren Sie meine Direkteinzahlung" ist eine Anfrage, die in der Lohnbuchhaltung ständig bearbeitet wird, und löst deshalb nicht automatisch Misstrauen aus, wie es eine Anfrage nach einer Überweisung an einen unbekannten Anbieter tun würde.
• Jüngere und besser verdienende Mitarbeiter sind überproportional betroffen. Mitarbeiter, die es gewohnt sind, alles über Self-Service-Portale zu erledigen, vertrauen eher einer im Portal-Stil gestalteten Phishing-Seite, und Mitarbeiter mit komplexerer Vergütung (Boni, Aktienanteile, mehrere Konten) sind attraktivere, wertvollere Ziele.

Warum dieser Bereich es 2026 speziell auf die Liste geschafft hat​

Die Dirty-Dozen-Liste ist keine starre Aufzählung — die IRS ordnet sie jedes Jahr neu, basierend darauf, was bei Betrügern tatsächlich funktioniert, und die diesjährige Ausgabe ergänzt missbräuchliche Ansprüche im Zusammenhang mit nicht ausgeschütteten Kapitalgewinnen gemäß Formular 2439 neben den üblichen Einträgen zu QR-Code-Phishing und "Geister"-Steuerberatern. Dass Phishing mit Fokus auf die Gehaltsabrechnung im selben Atemzug wie diese seit Langem bekannten Maschen genannt wird, ist ein Signal, das man ernst nehmen sollte: Es bedeutet, dass die IRS und die Finanzinstitute, mit denen sie zusammenarbeitet, dieses Muster häufig genug und in ausreichendem Umfang beobachten, um eine öffentliche Warnung außerhalb der eigentlichen Steuersaison zu rechtfertigen.

Aktuell verstärken sich zwei Entwicklungen gegenseitig. Erstens hat generative KI es trivial gemacht, eine makellose, fehlerfreie Phishing-E-Mail zu erstellen, die den Namen einer echten Führungskraft und einen echten internen Prozess referenziert — genau die Art von Nachricht, die früher durch das Training "auf schlechte Grammatik achten" erkannt wurde, ist heute von einer legitimen E-Mail nicht mehr zu unterscheiden. Zweitens haben Lohn- und HR-Softwareanbieter in den letzten Jahren tatsächlich häufiger die Plattform gewechselt, sodass eine E-Mail mit dem Inhalt "Ihr Unternehmen hat den Lohnabrechnungsanbieter gewechselt, bitte bestätigen Sie Ihr Konto erneut" plausibel statt verdächtig wirkt. Betrüger erfinden keine neue Lüge — sie reiten auf einem realen Trend, wie Unternehmen tatsächlich arbeiten.

Die Warnsignale, auf die Experten hinweisen​

Sicherheitsforscher, die diese Maschen untersuchen, kommen immer wieder auf dieselbe Drei-Punkte-Checkliste zurück: Dringlichkeit, ungewöhnliche Anfragen und Prozessänderungen. Jede Mitteilung zur Gehaltsabrechnung oder von HR, die eine knappe Frist mit einer Anfrage kombiniert, die Ihren normalen Verifizierungsschritt umgeht, verdient einen zweiten Blick — unabhängig davon, wie legitim der Absendername wirkt.

Konkret bedeutet das, folgende Punkte als Warnsignale zu behandeln:

• Eine Anfrage zur Änderung der Direkteinzahlung, die ausschließlich per E-Mail eingeht, ohne telefonische oder persönliche Verifizierung
• Druck, "heute" oder "vor dem nächsten Zahlungslauf" zu handeln, insbesondere außerhalb Ihres normalen Abrechnungsstichtags
• Eine Anfrage nach einem Massenexport von Steuer- oder Bankdaten der Mitarbeiter, insbesondere von jemandem, der sich auf eine Führungsposition beruft
• Login-Seiten für Ihr Lohnabrechnungsportal, die nicht mit der URL übereinstimmen, die Sie normalerweise als Lesezeichen gespeichert haben oder direkt eingeben

So schützen Sie Ihr Unternehmen​

Die Lösung ist nicht exotisch — es ist Prozessdisziplin, konsequent angewendet, selbst wenn eine Anfrage legitim wirkt.

1. Verlangen Sie für jede Änderung der Direkteinzahlung einen zweiten Verifizierungskanal. Ein Rückruf an eine bekannte Telefonnummer oder eine persönliche Bestätigung schließt die größte Einzellücke: einen rein per E-Mail ablaufenden Prozess, den eine Phishing-Seite vollständig nachahmen kann.
2. Schulen Sie Mitarbeiter darin, die drei oben genannten Warnsignale zu erkennen, nicht nur "klicken Sie nicht auf verdächtige Links". Generisches Phishing-Training bereitet niemanden auf eine E-Mail vor, die aussieht, als käme sie von der eigenen HR-Abteilung.
3. Melden Sie vermuteten IRS-bezogenen Phishing-Versuch an [email protected] und reichen Sie eine Beschwerde beim IC3 unter ic3.gov ein, falls bereits Geld geflossen ist — je früher eine Bank informiert wird, desto größer sind die Chancen, eine ACH-Überweisung vor der endgültigen Abwicklung zurückzuholen.
4. Schränken Sie ein, wer Änderungen an der Gehaltsabrechnung genehmigen kann. Wenn Ihre Lohnabrechnungssoftware Genehmigungsworkflows oder eine Doppelfreigabe für Änderungen an Bankdaten unterstützt, aktivieren Sie diese. Ein einzelner Schwachpunkt ist genau das, was diese Betrugsmaschen ausnutzen.
5. Überprüfen Sie Ihre Zugriffsliste für die Gehaltsabrechnung. Ehemalige Mitarbeiter, alte Anbieter-Logins und geteilte Zugangsdaten sind allesamt leichtere Einfallstore als ein neuartiger Hack — und lassen sich einfacher schließen, als die meisten erwarten.

Wenn es bereits passiert ist: Die ersten 72 Stunden​

Wenn ein Gehalt umgeleitet oder Lohnabrechnungsdaten bereits an einen Angreifer gesendet wurden, ist Geschwindigkeit wichtiger als alles andere auf dieser Liste.

1. Rufen Sie sofort die empfangende und die sendende Bank an. ACH-Überweisungen können manchmal innerhalb eines engen Zeitfensters nach der Abwicklung zurückgerufen oder eingefroren werden — aber dieses Zeitfenster wird in Stunden und Tagen gemessen, nicht in Wochen. Warten Sie nicht auf einen schriftlichen Vorfallbericht, bevor Sie anrufen.
2. Sperren Sie das kompromittierte Konto oder die kompromittierten Zugangsdaten. Falls ein Mitarbeiter seine Login-Daten für das Lohnabrechnungsportal auf einer gefälschten Seite eingegeben hat, setzen Sie dieses Passwort und jedes andere Konto zurück, bei dem es wiederverwendet wurde, und prüfen Sie auf nicht autorisierte E-Mail-Weiterleitungsregeln — ein klassisches Anzeichen dafür, dass ein Postfach still kompromittiert wurde, bevor die Anfrage zur Gehaltsabrechnung verschickt wurde.
3. Reichen Sie eine Beschwerde beim IC3 ein und informieren Sie die IRS. Über [email protected] hinaus sollten Unternehmen, deren Mitarbeiterdaten offengelegt wurden, auch die IRS-Richtlinien zur Meldung von Datenschutzverletzungen prüfen, da gestohlene Sozialversicherungsnummern auch Monate später — nicht nur unmittelbar — zur Einreichung betrügerischer Steuererklärungen verwendet werden können.
4. Informieren Sie betroffene Mitarbeiter direkt, nicht nur über denselben Kanal, der möglicherweise kompromittiert wurde. Wenn ihre persönlichen Daten offengelegt wurden, müssen sie unter Umständen selbst eine Betrugswarnung oder eine Kreditsperre einrichten.
5. Dokumentieren Sie alles für Ihre Buchhaltung. Stornierte Transaktionen, Ersatzzahlungen an den betroffenen Mitarbeiter und alle zurückgewonnenen Gelder müssen korrekt erfasst werden — ein Betrugsvorfall, der nicht sauber abgestimmt wird, taucht Monate später tendenziell wieder als verwirrende Unstimmigkeit auf.

Halten Sie Ihre Finanzunterlagen für jeden Fall bereit​

Betrug bei der Gehaltsabrechnung ist nicht nur ein Cybersicherheitsproblem — er wird in dem Moment, in dem er passiert, zu einem Buchhaltungsproblem. Wenn ein Gehalt umgeleitet wird, benötigen Sie saubere, zeitgestempelte Aufzeichnungen jedes Zahlungslaufs, um genau herauszufinden, was sich wann geändert hat und wer es genehmigt hat. Beancount.io bietet Klartext-Buchhaltung, die Ihnen eine vollständig versionskontrollierte, prüfbare Nachverfolgung jeder Transaktion liefert — keine Black Boxes, keine Anbieterbindung, und Sie müssen nie raten, wie Ihre Bücher aussahen, bevor etwas schiefging. Jetzt kostenlos starten und erfahren Sie, warum Entwickler und Finanzfachleute zur Klartext-Buchhaltung wechseln.