Phishing-Welle: Schutz für Kanzleien & Praxen

Die aktuelle Phishing-Lage hat eine neue Qualität erreicht. Mitte Oktober warnte das Sicherheitsunternehmen Check Point vor Kampagnen, die gefälschte Kalendereinladungen nutzen: Ein unerwarteter Besprechungstermin landet im Outlook-Kalender, der „Meeting-Link" führt auf eine täuschend echte Microsoft-Anmeldeseite — und greift dort die Zugangsdaten ab (Mimikama, 18.10.2026). Parallel registrierte die Verbraucherzentrale in der ersten Oktoberhälfte Phishing-Wellen im Namen von PayPal, DKB und Sparkassen (Borncity, 11.10.2026) — und die Lage ist so ernst, dass Bundesbank und Bundesfinanzministerium am 10. Oktober eine bundesweite Anti-Phishing-Kampagne gestartet haben (Deutsche Bundesbank).

Für Kanzleien, Steuerberater und Arztpraxen ist das mehr als ein Verbraucherthema: Sie verwalten die sensibelsten Daten überhaupt — Mandatsgeheimnisse und Patientenakten — und ein einziges abgephishtes Microsoft-365-Konto genügt, um beides offenzulegen. Dieser Beitrag erklärt die aktuellen Maschen und zeigt, wie kleine Organisationen mit großen Geheimnissen sich wirksam schützen.

Die aktuellen Maschen im Detail

Kalender-Phishing: Der Angriff kommt als Termin

Die von Check Point beschriebene Masche nutzt keine Software-Schwachstelle, sondern das Vertrauen in gewohnte Abläufe: Kalendereinladungen (teils als gültige .ics-Dateien) erscheinen automatisch im Kalender und wirken dadurch legitimer als eine klassische E-Mail. Der enthaltene Link führt auf eine nachgebaute Microsoft-Login-Seite. Wer dort seine Zugangsdaten eingibt, übergibt Angreifern den Schlüssel zu E-Mail, OneDrive, SharePoint und Teams — in einer Kanzlei also potenziell zum gesamten Mandatsbestand.

Gerade im Kanzlei- und Praxisalltag ist die Masche gefährlich: Unerwartete Termine von Mandanten, Gerichten, Laboren oder Abrechnungsstellen sind normal. Genau diese Erwartungshaltung nutzen die Täter aus.

Banken-Phishing mit Druck und Frist

Die Oktober-Wellen gegen PayPal-, DKB- und Sparkassen-Kunden arbeiten mit den klassischen Mustern: angebliche „Sicherheitsüberprüfungen", drohende Kontosperrung binnen 24 bis 72 Stunden oder — als Köder — eine angebliche Gebührenerstattung von 106,99 Euro (Borncity/Verbraucherzentrale). Im Unternehmenskontext zielen solche Mails auf die Buchhaltung — das Vorzimmer zum Zahlungsverkehr.

Warum gerade Kanzleien im Fadenkreuz stehen

Berufsgeheimnisträger sind für Erpresser ein Idealziel: Die Daten sind maximal sensibel, die Reputationsfallhöhe enorm, die IT-Teams klein. International hat sich darauf sogar eine eigene Täterszene spezialisiert — die Gruppe „Silent Ransom Group" nimmt nach FBI-Erkenntnissen seit 2023 gezielt Anwaltskanzleien ins Visier; zuletzt traf es die Großkanzlei Jones Day, bei der nach einem Phishing-Angriff Mandantendaten veröffentlicht wurden (Newswall/Reuters). Was bei einer Großkanzlei für Schlagzeilen sorgt, kann eine mittelständische Kanzlei oder ein MVZ existenziell treffen — inklusive berufsrechtlicher Konsequenzen (§ 203 StGB) und DSGVO-Meldepflichten.

Phishing-Schutz für Unternehmen: vier Verteidigungslinien

1. Technik: MFA, Phishing-resistente Anmeldung, E-Mail-Filter

Die wichtigste Einzelmaßnahme bleibt Multi-Faktor-Authentifizierung auf allen Konten — sie macht gestohlene Passwörter weitgehend wertlos. Noch besser sind Phishing-resistente Verfahren (FIDO2/Passkeys), die auch auf nachgebauten Login-Seiten nicht funktionieren. Dazu gehören moderne E-Mail-Filter, die Kalendereinladungen und .ics-Anhänge mitprüfen, sowie restriktive Regeln für automatische Terminannahme.

2. Mensch: Awareness, die zum Arbeitsalltag passt

Einmal jährlich eine Pflichtschulung reicht nicht gegen Maschen, die sich monatlich ändern. Wirksames Security Awareness Training ist kontinuierlich, nutzt realistische Phishing-Simulationen (inklusive Kalender-Einladungen!) und schafft vor allem eine Kultur, in der Nachfragen erwünscht ist: Wer einen verdächtigen Termin erhält, ruft den angeblichen Absender über die bekannte Nummer zurück — genau das empfehlen auch die aktuellen Warnungen (Mimikama).

3. Erkennung: Wenn doch jemand klickt

Irgendwann klickt jemand — das ist keine Charakterfrage, sondern Statistik. Entscheidend ist, was dann passiert: Ein 24/7-Monitoring (MDR) erkennt die typischen Folgeaktivitäten eines kompromittierten Kontos — Anmeldungen aus ungewöhnlichen Ländern, neue Weiterleitungsregeln, massenhafte Dokumentenzugriffe — und stoppt den Angriff, bevor Mandanten- oder Patientendaten abfließen.

Mehr dazu: Managed Detection & Response (MDR)

4. Reaktion: Der geübte Ernstfall

Wenn Zugangsdaten eingegeben wurden, zählen Minuten: Passwort ändern, Sitzungen beenden, Weiterleitungsregeln prüfen, IT informieren — und bei Verdacht auf Datenabfluss die 72-Stunden-Meldung an die Datenschutzaufsicht vorbereiten. Ein Incident-Response-Partner mit Bereitschaft nimmt einer kleinen Organisation genau diese Last ab.

Mehr dazu: Incident Response & IT-Forensik · Für die organisatorische Verankerung: Externer Informationssicherheitsbeauftragter (ISB)

Checkliste: Phishing erkennen — die aktuellen Warnsignale

Für den Aushang im Team: Unerwartete Kalendereinladungen von unbekannten Absendern nicht öffnen, sondern über einen bekannten Kontaktweg verifizieren. Login-Seiten niemals über Links aus Mails oder Terminen aufrufen, sondern über Lesezeichen oder App. Zeitdruck („24 Stunden", „sofort bestätigen") als Alarmsignal werten. Absenderadresse genau prüfen — Anzeigename ist kein Beweis. Uneinheitliche Anrede („Sie"/„du" gemischt) und fehlende Personalisierung sind typische Fälschungsmerkmale. Bei Geldthemen gilt: Banken fordern nie per E-Mail zur Dateneingabe auf; echte Nachrichten liegen im Postfach des Online-Bankings.

Fazit

Die Oktober-Wellen zeigen: Phishing professionalisiert sich schneller, als Jahresunterweisungen Schritt halten können — vom gefälschten Termin bis zur perfekt kopierten Bankseite. Kanzleien und Praxen tragen dabei das höchste Verhältnis von Datenwert zu IT-Ressourcen. Die Antwort ist kein einzelnes Produkt, sondern ein Zusammenspiel aus MFA, alltagstauglicher Awareness, kontinuierlicher Erkennung und vorbereiteter Reaktion.

Wenn Sie wissen möchten, wie gut Ihre Organisation einen realen Phishing-Angriff überstehen würde: Wir simulieren das — kontrolliert, diskret und mit konkreten Verbesserungsvorschlägen statt erhobenem Zeigefinger. Sprechen Sie uns für ein unverbindliches Erstgespräch an.

Verwandtes Thema: Was mit abgegriffenen Zugangsdaten geschieht — und wie Darknet Monitoring ihr Auftauchen früh meldet.

Häufige Fragen

Was tun, wenn ein Mitarbeiter auf eine Phishing-Mail hereingefallen ist?

Sofort das Passwort des betroffenen Kontos ändern (direkt beim Dienst, nicht über Links), alle aktiven Sitzungen beenden, MFA zurücksetzen, Postfachregeln und Weiterleitungen prüfen und die IT bzw. den Sicherheitsdienstleister informieren. Danach klären: Welche Daten waren über das Konto erreichbar? Bei möglichem Zugriff auf personenbezogene Daten läuft die 72-Stunden-Frist für die Meldung an die Datenschutzaufsicht.

Müssen Kanzleien und Praxen Phishing-Vorfälle melden?

Bei einer Verletzung des Schutzes personenbezogener Daten ja: Meldung an die zuständige Datenschutzaufsicht binnen 72 Stunden (Art. 33 DSGVO), bei hohem Risiko auch Benachrichtigung der Betroffenen. Für Berufsgeheimnisträger kommen berufsrechtliche Pflichten hinzu; bei Gesundheitsdaten ist die Schwelle besonders niedrig.

Reicht ein Spamfilter als Phishing-Schutz?

Nein. Moderne Kampagnen — etwa über Kalendereinladungen oder kompromittierte echte Konten — passieren klassische Filter regelmäßig. Wirksamer Schutz kombiniert Technik (MFA, Passkeys, Filter), geschulte Mitarbeiter, kontinuierliche Erkennung und einen geübten Reaktionsplan.

Wie oft sollte Security Awareness Training stattfinden?

Kurz und regelmäßig schlägt lang und selten: etablierte Praxis sind quartalsweise Kurzmodule plus laufende Phishing-Simulationen, ergänzt um anlassbezogene Warnungen bei aktuellen Wellen — wie jetzt beim Kalender-Phishing. So bleibt das Thema präsent, ohne den Arbeitsalltag zu belasten.

Quellen

• Mimikama: Kalendereinladungen führen zu Microsoft-Phishing (18.10.2026, Check-Point-Warnung vom 15.10.2026): https://www.mimikama.org/kalendereinladungen-microsoft-phishing-oktober-2026/
• Borncity: Phishing-Alarm – PayPal, DKB und Sparkassen (11.10.2026, basierend auf Verbraucherzentrale Phishing-Radar): https://borncity.com/blog/2026/10/11/phishing-alarm-paypal-dkb-und-sparkassen/
• Deutsche Bundesbank: Kampagne gegen Betrug im Zahlungsverkehr „Machen wir Phishen Impossible!" (Start 10.10.2026): https://www.bundesbank.de/de/presse/pressemitteilungen/kampagne-gegen-betrug-im-zahlungsverkehr--1011144
• Verbraucherzentrale: Phishing-Radar – aktuelle Warnungen: https://www.verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingradar-aktuelle-warnungen-6059
• Newswall/Reuters: Anwaltskanzlei Jones Day meldet Hackerangriff auf Mandantendaten (April 2026, Hintergrund Silent Ransom Group): https://de.newswall.org/summary/die-anwaltskanzlei-jones-day-meldet-einen-hackerangriff-auf-mandantendaten