Valyros
    Zurück zum Blog
    Awareness

    Teams-Phishing: Gefahr durch Meeting-Einladungen

    2.11.20264 Min.

    Eine Teams-Einladung im Kalender wirkt harmlos, genau darauf setzen Angreifer gerade in großem Stil. Sicherheitsforscher von Check Point haben eine Phishing-Kampagne analysiert, die mit gefälschten Microsoft-Teams-Meeting-Einladungen mehr als 40.000 Organisationen ins Visier nimmt. Gezählt wurden über 302.000 einzelne Phishing-Mails von mehr als 247.000 Absenderadressen; allein am Spitzentag gingen rund 200.000 Nachrichten raus (börse-express/Check Point, 21.10.2026).

    Das Perfide: Die Kampagne nutzt keine einzige Software-Schwachstelle. Sie funktioniert, weil Kalendereinladungen anders behandelt werden als E-Mails, technisch wie menschlich. Für Unternehmen, deren Alltag in Microsoft 365 stattfindet, lohnt sich deshalb ein genauer Blick auf die Masche und die Gegenmaßnahmen.

    Wie das Microsoft Teams Phishing funktioniert

    Die Angreifer versenden täuschend echte Meeting-Einladungen mit funktionierenden .ics-Kalenderdateien und nachgebauten "An Besprechung teilnehmen"-Buttons. Wer klickt, landet auf einer gefälschten Microsoft-Anmeldeseite, die Benutzername und Passwort abgreift. Das eigentliche Ziel sind die Microsoft-365-Zugangsdaten (Check Point via börse-express).

    Der Kalender-Trick: Warum die Mails am Filter vorbeikommen

    Der technisch interessanteste Teil der Kampagne ist das Kalender-Phishing: E-Mail und Kalender nutzen getrennte Protokolle. Eine Einladung kann deshalb im Kalender des Empfängers erscheinen, selbst wenn die zugehörige Mail im Quarantäne-Ordner gelandet ist. Die meisten E-Mail-Security-Lösungen prüfen Inhalte nur im Posteingang, nicht im Kalender. Der Termin steht dann mit Erinnerungsfunktion im Kalender und wirkt durch diesen Kontext automatisch legitimer als jede Mail.

    Die Dimension der Kampagne zeigt, wie professionell hier gearbeitet wird: Das Volumen stieg von wenigen tausend Mails im April 2026 auf über 118.000 im September und mehr als 740.000 allein in den ersten beiden Oktoberwochen. Verwendet wurden über 33.000 Absender-Domains, Blocklisten einzelner Domains laufen damit ins Leere.

    Warum gestohlene Microsoft-365-Zugänge so wertvoll sind

    Ein kompromittiertes Microsoft-365-Konto ist für Angreifer ein Generalschlüssel: Zugriff auf E-Mails (und damit Passwort-Resets für andere Dienste), auf Dateien in OneDrive und SharePoint, auf Teams-Chats und auf das Adressbuch für die nächste, nun intern wirkende Phishing-Welle. Aus einem geklauten Passwort entsteht so Business Email Compromise: manipulierte Rechnungen, umgeleitete Zahlungen, CEO-Fraud. Auch Ransomware-Gruppen kaufen solche Zugänge ein, statt selbst einzubrechen.

    Dass breit angelegte Angriffe auf Microsoft-365-Konten branchenübergreifend laufen, bestätigt auch der aktuelle Report zum Rechtssektor, der massenhafte Login-Versuche auf Kanzlei-Postfächer dokumentiert (dpa, 29.10.2026). Mehr dazu in unserem Beitrag Cyberangriffe auf Kanzleien fast verdoppelt.

    Phishing erkennen: Die Merkmale gefälschter Teams-Einladungen

    Diese Prüfpunkte sollten alle Mitarbeiter kennen:

    • Unerwarteter Kontext: Kein bekannter Absender, kein laufendes Projekt, kein vorheriger Kontakt? Erst verifizieren, dann klicken.
    • Absenderadresse statt Anzeigename prüfen: Der Anzeigename sagt nichts, entscheidend ist die Domain hinter der Adresse.
    • Link-Ziel kontrollieren: Echte Teams-Links führen auf teams.microsoft.com. Vor dem Klick den Link prüfen (Maus darüber halten, mobil lange drücken).
    • Anmeldeaufforderung als Alarmsignal: Wer im Firmenkontext bereits angemeldet ist, muss für ein Teams-Meeting in der Regel kein Passwort neu eingeben. Jede unerwartete Login-Maske ist ein Stopp-Signal.
    • Druck und Dringlichkeit: "Beginnt in 10 Minuten", angebliche Einladungen der Geschäftsführung oder HR-Themen sind klassische Köder.

    Schutzmaßnahmen für Unternehmen: mehr als nur Spam-Filter

    Technisch: Angriffsfläche verkleinern

    Die Basis bildet phishing-resistente Multi-Faktor-Authentifizierung (FIDO2/Passkeys statt SMS-Codes), ergänzt um Conditional-Access-Regeln, die Logins von unbekannten Geräten oder unplausiblen Orten blockieren. Prüfen Sie zusätzlich, ob Ihre E-Mail-Security auch Kalendereinladungen und .ics-Anhänge analysiert, genau hier hat die aktuelle Kampagne ihre Lücke gefunden. Die automatische Verarbeitung externer Einladungen lässt sich in Microsoft 365 einschränken.

    Menschlich: Awareness mit aktuellen Szenarien

    Ein Security Awareness Training wirkt dann, wenn es die Maschen behandelt, die tatsächlich im Umlauf sind. Gefälschte Teams-Einladungen und Kalender-Phishing gehören jetzt dazu. Kurze, regelmäßige Formate mit realistischen Phishing-Simulationen schlagen die jährliche Pflichtschulung deutlich. Wichtig ist eine positive Meldekultur: Wer eine verdächtige Mail meldet, schützt die Firma, auch wenn es Fehlalarm war.

    Organisatorisch: Erkennung und Reaktion vorbereiten

    Selbst gut geschulte Teams klicken irgendwann, bei über 300.000 Mails ist das Statistik. Entscheidend ist dann, wie schnell der Missbrauch des Kontos auffällt: ungewöhnliche Login-Orte, neu eingerichtete Weiterleitungsregeln, massenhafte Downloads. Ein durchgehendes Monitoring der Microsoft-365-Umgebung im Rahmen von Managed Detection & Response erkennt solche Muster und sperrt kompromittierte Konten, bevor aus dem Phishing-Klick ein Geschäftsvorfall wird. MDR: Microsoft 365 durchgehend überwachen

    Besteht der Verdacht, dass bereits ein Konto übernommen wurde, zählt jede Stunde: Sitzungen beenden, Passwörter zurücksetzen, Weiterleitungsregeln prüfen, Umfang des Zugriffs forensisch klären. Soforthilfe bei kompromittierten Konten

    Fazit

    Die aktuelle Teams-Phishing-Welle zeigt, wie Angreifer bewährte Social-Engineering-Köder mit technischen Blind Spots kombinieren, hier dem ungeprüften Kalender. Unternehmen begegnen dem nicht mit einem einzelnen Tool, sondern mit der Kombination aus phishing-resistenter MFA, geschulten Mitarbeitern und einer Überwachung, die Kontoübernahmen frühzeitig erkennt. Wenn Sie wissen möchten, wie gut Ihre Microsoft-365-Umgebung heute gegen solche Kampagnen aufgestellt ist, sprechen Sie uns gern an. M365-Sicherheits-Check anfragen

    Quellen

    Häufige Fragen

    Woran erkenne ich eine gefälschte Teams-Einladung?

    An der Kombination aus unerwartetem Kontext, fremder Absender-Domain, Links, die nicht auf teams.microsoft.com führen, und vor allem an einer unerwarteten Passwort-Abfrage nach dem Klick. Im Zweifel den vermeintlichen Organisator über einen bekannten Kanal fragen, nie über die Kontaktdaten aus der Einladung selbst.

    Warum landen Phishing-Kalendereinladungen nicht im Spam-Ordner?

    Weil E-Mail und Kalender getrennte Protokolle nutzen: Eine Einladung kann in den Kalender übernommen werden, auch wenn die zugehörige Mail in der Quarantäne liegt. Viele E-Mail-Security-Lösungen prüfen Kalenderelemente nicht. Unternehmen sollten die automatische Annahme externer Einladungen einschränken und ihre Security-Lösung auf .ics-Analyse prüfen.

    Was tun, wenn ein Mitarbeiter seine Microsoft-365-Zugangsdaten eingegeben hat?

    Sofort das Passwort zurücksetzen, alle aktiven Sitzungen beenden, MFA-Registrierungen und Postfachregeln (vor allem Weiterleitungen) kontrollieren und die Anmeldeprotokolle auf fremde Zugriffe prüfen. Danach klären, ob Daten abgeflossen sind, daraus können Meldepflichten entstehen. Bei Unsicherheit sollte ein Incident-Response-Team hinzugezogen werden.

    Schützt Multi-Faktor-Authentifizierung zuverlässig vor dieser Masche?

    MFA verhindert den Großteil der Kontoübernahmen und ist Pflicht. Klassische Verfahren (SMS, App-Codes) können jedoch durch Echtzeit-Phishing-Proxys abgefangen werden. Den stärksten Schutz bieten phishing-resistente Verfahren wie FIDO2-Keys oder Passkeys, die an die echte Microsoft-Domain gebunden sind und auf Fake-Seiten schlicht nicht funktionieren.

    MDR mit 24/7-SOC aus Deutschland

    Valyros betreibt ein 24/7-SOC und schützt KMU, Arztpraxen, Kanzleien und den Mittelstand – DSGVO-konform mit Datenhaltung in Deutschland.

    Kostenlosen Sicherheits-Check anfordernMDR-Leistungen ansehen

    Weitere Artikel

    Awareness

    Phishing vom echten Absender: Lehren aus Heilbronn

    Mitte Oktober 2026 erhielten rund 6.500 Kontakte einer Partei-Geschäftsstelle eine E-Mail mit einer Veranstaltungseinladung — darunter Ministerien, Sicherheitsbehörden und der Bundeskanzler persönlich. Die Mail kam vom echten, langjährig bekannten …

    Awareness

    Phishing-Welle: Schutz für Kanzleien & Praxen

    Die aktuelle Phishing-Lage hat eine neue Qualität erreicht. Mitte Oktober warnte das Sicherheitsunternehmen Check Point vor Kampagnen, die gefälschte Kalendereinladungen nutzen: Ein unerwarteter Besprechungstermin landet im Outlook-Kalender, der …

    Awareness

    Phishing erkennen: Aktuelle Maschen im Oktober 2026

    Der Oktober ist European Cyber Security Month – der europäische Aktionsmonat, in dem ENISA und nationale Behörden wie das BSI für Cybersicherheit sensibilisieren (ECSM). Die Angreifer liefern das Anschauungsmaterial pünktlich mit: Das Phishing-Radar der …

    Ransomware

    Cyberangriffe auf Kanzleien fast verdoppelt

    Wer die Geheimnisse seiner Mandanten hütet, hütet aus Sicht von Cyberkriminellen einen Tresor. Ein Ende Oktober 2026 veröffentlichter Branchenreport zeigt, wie gezielt Angreifer inzwischen auf diesen Tresor zugreifen: Die Zahl der Angriffe auf …

    Awareness

    CEO-Fraud mit KI: Microsoft warnt vor Phishing-Welle

    Eine E-Mail vom Chef, dringend, freundlich im Ton, mit einer plausiblen Zahlungsanweisung. Vor ein paar Jahren verrieten sich solche Mails durch holpriges Deutsch und seltsame Absenderadressen. Heute schreibt sie eine KI, fehlerfrei, im Stil des echten …

    Bedrohungslage

    ELSTER-Phishing 2026: So schützen Sie Ihr Unternehmen

    Gefälschte ELSTER-Mails greifen Steuerdaten von Firmen, Praxen und Kanzleien ab. Merkmale der KI-Phishing-Welle 2026 und wirksame Schutzmaßnahmen.