Kaffee läuft. Wir auch. Noch bis 18:00 Uhr erreichbar.

Phishing per Termineinladung: Wenn der Kalender zur Falle wird

·

Blogger Bernhard

Ein Termin, den niemand angelegt hat: „Teams-Besprechung: Rückfrage zur Rechnung“, morgen um 10 Uhr, mit einem praktischen „Teilnehmen“-Link. Die zugehörige Mail hat der Spamfilter vielleicht sogar abgefangen. Im Kalender steht der Termin trotzdem – samt Erinnerung, die pünktlich aufpoppt.

Genau diese Masche hat in den vergangenen Wochen stark zugenommen. Sicherheitsforscher von Check Point haben eine Kampagne mit gefälschten Microsoft-Besprechungseinladungen dokumentiert, die sich gegen mehr als 40.000 Organisationen richtet und Mitte Oktober 2026 noch lief. Dieser Beitrag erklärt, warum Einladungen den Spamfilter umgehen können, was Sie in Microsoft 365 und Google Kalender einstellen können – und was nicht – und wie Sie mit einem verdächtigen Termin richtig umgehen.

Was gerade passiert

Laut Check Point (Veröffentlichung vom 15. Oktober 2026) verschicken Angreifer täuschend echte Einladungen zu Microsoft-Teams-Besprechungen. Manche enthalten eine gewöhnliche Kalenderdatei (.ics) mit gültigen Termindaten, andere nur einen Link. Wer auf „Teilnehmen“ klickt, landet auf einer nachgebauten Microsoft-Anmeldeseite, die Benutzername und Passwort abgreift. Check Point betont: Ausgenutzt wird keine Sicherheitslücke, sondern das ganz normale Kalenderformat.

Der Umfang ist deutlich gewachsen: Laut Check Point von einigen Tausend solcher Mails im April auf über 740.000 allein in den ersten beiden Oktoberwochen, mit einem Spitzentag am 8. Oktober. Versendet wurde von zehntausenden verschiedenen Absenderdomains. Der Sicherheitsanbieter Sublime Security berichtet laut Help Net Security ebenfalls von einem sprunghaften Anstieg einladungsbasierter Angriffe seit August.

Es geht dabei nicht nur um Passwörter. Sublime beschreibt einen Fall, in dem eine Google-Kalender-Einladung mit Zahlungsbezug, verschickt von einem Gmail-Konto, auf eine Webseite führte, die ein Fernwartungsprogramm (ScreenConnect) zum Download anbot – vorkonfiguriert, damit die Angreifer anschließend den Rechner steuern können.

Warum Einladungen am Spamfilter vorbeikommen

Eine Besprechungseinladung ist zwei Dinge gleichzeitig: eine Mail im Posteingang und ein Eintrag im Kalender. Mark Morris von Sublime Security fasst das so zusammen: doppelte Angriffsfläche. Weil E-Mail und Kalender technisch über unterschiedliche Wege laufen, kann es passieren, dass der Spamfilter die Mail in die Quarantäne schiebt, der Termin aber trotzdem im Kalender auftaucht.

Bei Microsoft 365 kommt ein Detail hinzu, das viele nicht kennen: Neue Besprechungsanfragen werden vom Server automatisch als „mit Vorbehalt“ in den Kalender eingetragen. Zuständig ist der sogenannte Kalenderassistent von Exchange. Laut Microsofts Dokumentation ist diese automatische Verarbeitung bei normalen Benutzerpostfächern Standard und lässt sich dort nicht abschalten. Der Termin steht also im Kalender, bevor Sie überhaupt entschieden haben, ob Sie ihn wollen.

Das Tückische: Ein Kalendereintrag wirkt seriöser als eine Mail. Er steht zwischen echten Terminen, erinnert zuverlässig und hat keinen Absender, der einem auf den ersten Blick komisch vorkommt. Wer kurz vor 10 Uhr eine Erinnerung sieht, klickt eher auf „Teilnehmen“ als auf einen Link in einer dubiosen Mail. Genau darauf setzen die Angreifer.

Was Sie einstellen können – und was nicht

Google Kalender: ein sinnvoller Schalter

Google bietet eine Einstellung, die genau dieses Problem adressiert. Sie finden sie am Computer in Google Kalender in den Einstellungen unter „Allgemein“ bei den Termineinstellungen (englisch: „Event settings“ → „Add invitations to my calendar“). Laut Google gibt es drei Optionen, hier sinngemäß übersetzt:

  • Von allen: Jede Einladung landet automatisch im Kalender.
  • Nur wenn der Absender bekannt ist: Automatisch eingetragen wird nur, wer in Ihren Kontakten steht, zu Ihrer Organisation gehört oder mit wem Sie bereits Kontakt hatten. Alle anderen Einladungen kommen nur per Mail.
  • Wenn ich auf die Einladung per E-Mail antworte: Termine erscheinen erst nach Ihrer Antwort.

Für die meisten Privatnutzer und kleinen Betriebe ist „Nur wenn der Absender bekannt ist“ ein vernünftiger Mittelweg. Zwei Einschränkungen nennt Google selbst: Die Änderung gilt nur für neue Einladungen, und bei Arbeits- oder Schulkonten legt der Administrator fest, welche Optionen zur Wahl stehen. Fehlt eine Option, ist sie in Ihrer Organisation gesperrt.

Microsoft 365: kein Schalter, aber Werkzeuge für den Admin

Ein vergleichbarer Schalter für Anwender fehlt bei Exchange-Postfächern. Die Option im klassischen Outlook, Besprechungsanfragen nicht automatisch zu verarbeiten, wirkt laut Fachdokumentation nur bei POP3- und IMAP-Konten; bei Exchange setzt der Server den Termin. Auch serverseitig lässt sich das automatische Eintragen bei Benutzerpostfächern nach einem Blogbeitrag des Microsoft-365-Experten Vasil Michev (2015, zuletzt aktualisiert 2023) nicht mehr abschalten; die Microsoft-Dokumentation nennt für Benutzerpostfächer zudem den nicht änderbaren Standardwert „AutoUpdate“ der Kalenderverarbeitung.

Was es gibt, liegt beim Administrator: Wer Microsoft Defender for Office 365 einsetzt, kann eine erkannte Phishing-Einladung über die Aktion „Endgültig löschen“ (Hard Delete) entfernen. Seit dem Rollout im September 2025 löscht diese Aktion laut Microsoft auch den automatisch angelegten Kalendereintrag – vorher blieb er stehen. Ausgenommen sind Termine, die ein Nutzer selbst aus einer angehängten .ics-Datei übernommen hat. Und schickt der Absender die Einladung erneut, ist der Eintrag wieder da.

Für den Betrieb heißt das: Fragen Sie Ihren Administrator oder IT-Dienstleister, ob Ihr Sicherheitspaket Kalendereinträge bei der Bereinigung mit erfasst. Help Net Security nennt genau das als zentrale Empfehlung: Wenn eine schädliche Mail entfernt wird, muss auch der zugehörige Termin verschwinden.

So gehen Sie mit einer verdächtigen Einladung um

Weil sich das Problem technisch nur teilweise lösen lässt, entscheidet am Ende der Umgang damit. Ein paar Regeln helfen mehr als jede Einstellung:

  1. Unerwartet heißt verdächtig. Ein Termin, den Sie nicht erwarten, von jemandem, den Sie nicht kennen, oder mit Themen wie Rechnung, Zahlung, Gehalt oder „dringend“ – erst prüfen, dann klicken.
  2. Beim Organisator nachfragen – auf eigenem Weg. Rufen Sie an oder schreiben Sie über eine bekannte Adresse. Nicht auf die Einladung antworten und keine Kontaktdaten aus dem Termin verwenden.
  3. Anmeldeaufforderungen sind ein Alarmsignal. Verlangt ein Link aus einem Termin Ihr Passwort, einen Download oder eine Zahlung, brechen Sie ab. Das gilt auch, wenn die Seite perfekt nach Microsoft aussieht – das ist gerade der Sinn der Sache.
  4. Nicht antworten, sondern löschen. Eine Zu- oder Absage schickt in der Regel eine Antwort an den Absender und bestätigt damit, dass Ihre Adresse aktiv ist. Löschen Sie die Einladungsmail und den Kalendereintrag – das Löschen der Mail allein entfernt den Termin nicht unbedingt.
  5. Im Betrieb Bescheid geben. Wer eine solche Einladung bekommt, ist selten allein. Ein kurzer Hinweis an den Administrator oder IT-Dienstleister ermöglicht es, dieselbe Einladung bei allen Kollegen zu entfernen.

Schon geklickt und Daten eingegeben?

Dann zählt Tempo. Ändern Sie das Passwort des Kontos sofort – über die offizielle Seite, nicht über einen Link –, und informieren Sie im Betrieb den Administrator. Er kann prüfen, ob sich jemand mit Ihren Daten angemeldet hat, und das Konto absichern. Wurde ein Programm heruntergeladen und gestartet, gehört der Rechner vom Netz und in fachkundige Hände: Ein Fernwartungsprogramm in fremder Hand ist kein Fall für „einfach deinstallieren und weiter“.

Was wirklich schützt, wenn doch jemand klickt

Die Einladung ist nur der Köder. Das eigentliche Ziel ist das Microsoft-Konto – und damit Mails, Teams-Chats und Dateien in SharePoint und OneDrive. Deshalb ist die wirksamste Verteidigung dieselbe wie bei jedem Phishing:

  • Mehr-Faktor-Anmeldung für alle Konten, besonders für Geschäftskonten. Ohne zweiten Faktor reicht ein erbeutetes Passwort.
  • Phishing-resistente Verfahren, wo möglich. Einmalcodes, die man abtippt, können über eine gefälschte Seite in Echtzeit mit abgefangen werden. Passkeys und FIDO2-Sicherheitsschlüssel sind an die echte Adresse gebunden und funktionieren auf einer nachgebauten Seite schlicht nicht. Die Unterschiede haben wir in „Welche Zwei-Faktor-Methode passt?“ und „Passkeys statt Passwort?“ erklärt.
  • Ein Blick auf ungewöhnliche Anmeldungen. Laut Börse Express empfehlen IT-Sicherheitsexperten, verdächtige Anmeldeaktivitäten zu überwachen. Im kleinen Betrieb muss das kein Sicherheitszentrum sein – aber jemand sollte wissen, wo Microsoft 365 solche Warnungen anzeigt, und sie auch lesen.

Unsere Einordnung: Eine Einstellung, die alle bösen Einladungen fernhält, gibt es nicht. Ein Konto, das sich mit einem abgefangenen Passwort nicht übernehmen lässt, macht die Masche aber weitgehend wirkungslos. Dort lohnt der Aufwand am meisten. Ähnliche Muster – echte Daten, glaubwürdiger Anlass, Klick auf den falschen Link – haben wir auch in „Datenleck beim Shop: Was Sie jetzt wirklich tun sollten“ beschrieben.

Grenzen und offene Punkte

  • Die Zahlen zur Kampagne stammen von Check Point und Sublime Security, also von Sicherheitsanbietern, die eigene Kundendaten auswerten. Sie zeigen einen Trend, aber kein vollständiges Bild. Welche Länder und Branchen betroffen sind, hat Check Point nicht veröffentlicht.
  • Eine offizielle Warnung von Microsoft zu dieser konkreten Kampagne lag laut Börse Express bis zum 20. Oktober 2026 nicht vor; auch wir haben bis zum 21. Oktober keine gefunden.
  • Ob ein Termin trotz Quarantäne im Kalender landet, hängt vom Mailsystem, vom Sicherheitsprodukt und vom Kalenderprogramm ab. Es kann passieren, muss aber nicht.
  • Welche Bereinigungsfunktionen in Microsoft Defender zur Verfügung stehen, hängt vom gebuchten Lizenzpaket ab. Das klärt der Administrator im Einzelfall.
  • Menübezeichnungen in Google Kalender und Outlook können je nach Version und Sprache abweichen.

Fazit: Der Kalender ist auch ein Posteingang

Phishing per Termineinladung ist nicht raffiniert, sondern nutzt eine Lücke in der Wahrnehmung: Der Kalender gilt als vertrauenswürdig, obwohl jeder Fremde etwas hineinschreiben kann. Wer Google Kalender nutzt, sollte die Einstellung „Nur wenn der Absender bekannt ist“ prüfen. Bei Microsoft 365 gibt es diesen Schalter nicht – hier helfen ein Administrator, der Kalendereinträge bei der Bereinigung mit erfasst, und die schlichte Regel: unerwartete Termine mit Anmeldeaufforderung nicht anklicken, sondern auf eigenem Weg nachfragen. Die eigentliche Absicherung bleibt eine starke, möglichst phishing-resistente Anmeldung.

Sie möchten wissen, wie gut die Microsoft-365-Konten in Ihrem Betrieb gegen solche Angriffe aufgestellt sind? DGH-IT schaut sich das gern mit Ihnen an – ohne Verkaufsdruck.

Quellen & weiterführende Informationen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert