Angreifer nutzen zunehmend Kalendereinladungen, um E-Mail-Sicherheitsmaßnahmen zu umgehen. Dieser Angriffsvektor hat in den letzten sechs Monaten um 49 Prozent zugenommen. Das Threat Labs-Team von KnowBe4 liefert einen Blick hinter die Kulissen und eine detaillierte Analyse.
Modernes Phishing geht inzwischen weit über den einfachen Versand von E-Mails hinaus. Angreifer wissen, dass eine Besprechungsbenachrichtigung dringlicher wirkt als eine gewöhnliche E-Mail. Diese Taktik basiert auf der Ausnutzung des Vertrauens in die Plattform. Nutzer sind darauf konditioniert, Benachrichtigungen von Zoom, Microsoft Teams oder Google Kalender als native Systemmeldungen zu betrachten. Aufgrund dieser Konditionierung unterzieht kaum jemand eine Einladung derselben genauen Prüfung wie eine verdächtige E-Mail.
Wenn Einladungen automatisch in den Kalender wandern
Dieses fehlgeleitete Vertrauen kann durch Standard-Sicherheitslücken in Kollaborationsplattformen ausgenutzt werden. Viele Systeme sind standardmäßig so konfiguriert, dass Einladungen automatisch in den Kalender übernommen werden. Diese technische Lücke ermöglicht es einer bösartigen .ics-Datei, den Terminkalender eines Benutzers zu füllen – selbst wenn die E-Mail mit der Einladung herausgefiltert oder gar nicht erst geöffnet wird.
Die letzte Komponente ist das taktische Timing, ein Phänomen, das als „End-of-Day-Blur“ bezeichnet wird. Die ausgewerteten Daten zeigen einen deutlichen Anstieg dieser Angriffe nach dem Mittagessen. Die Angreifer timen diese Kampagnen bewusst so, dass sie dann zuschlagen, wenn die kognitive Belastung am höchsten ist.
So funktionieren die Angriffe per Kalendereinladung
Unbemerkte Zustellung: Der Angriff beginnt, wenn eine bösartige .ics-Datei per E-Mail versendet oder über ein kompromittiertes internes Konto geteilt wird. Da diese Dateien häufig automatisch von Collaboration-Suiten verarbeitet werden, umgehen sie den primären Posteingang und landen direkt im Kalender des Benutzers. Dieser erste Eintrag bleibt für herkömmliche Secure-Email-Gateways (SEGs) oft unsichtbar, da diese die tief liegenden Metadaten innerhalb der Einladung nicht überprüfen.
Vertrauenswürdige Darstellung: Sobald der Termin im Kalender feststeht, wird das Opfer über ein natives System-Pop-up auf seinem Desktop oder Mobilgerät benachrichtigt. Diese Benachrichtigung hat das Gewicht einer vertrauenswürdigen Systemwarnung. Die Vorbereitungsphase endet, wenn das Opfer unter dem Druck eines geplanten Termins auf den bösartigen Link klickt oder die betrügerischen „Support“-Nummern wählt, die in der Terminbeschreibung eingebettet sind.
Direkte Ausnutzung: Die letzte Phase hängt vom jeweiligen Angriffsvektor ab. Bei Szenarien zum Sammeln von Anmeldedaten wird das Opfer über einen Adversary-in-the-Middle-(AiTM)-Proxy auf eine gefälschte Anmeldeseite geleitet. In fortgeschritteneren Kampagnen löst das Klicken auf den „Join“-Link den stillen Download eines Remote Monitoring and Management (RMM)-Agenten aus. Alternativ wird das Opfer bei Vishing-basierten Ködern mit einem betrügerischen Agenten verbunden. Dieser versucht mit aggressivem Social Engineering, das Opfer zur Preisgabe sensibler Finanz- oder Systemzugangsdaten zu zwingen.
Empfehlungen zur Abwehr
Unternehmen müssen ihre Kalendersysteme als kritischen Angriffsvektor betrachten.Die Sicherheitsforscher von KnowBe4 empfehlen die folgenden technischen und richtlinienbasierten Maßnahmen, um die digitale Belegschaft zu schützen.
- Verbesserung der Kalendersicherheit: E-Mail-Gateways sollten so konfiguriert werden, dass sie .ics-Dateien auf bösartige URLs und ungewöhnliche Datenstrukturen überprüfen.
- Link-Sandboxing implementieren: Sie sollten Sicherheitstools verwenden, die Links in Kalenderereignisdetails und -orten nicht nur bei der Zustellung, sondern auch beim Anklicken scannen und ausführen.
- Strenge Absenderüberprüfung: Sie sollten SPF-, DKIM- und DMARC-Richtlinien durchsetzen und sicherstellen, dass die Kalender-App Einladungen von externen oder nicht verifizierten Absendern deutlich kennzeichnet.
- Automatische Annahme einschränken: Des weiteren sollten sie die automatische Verarbeitung von Besprechungseinladungen von außerhalb der eigenen Organisation deaktierten, um sicherzustellen, dass bösartige Ereignisse nicht auf synchronisierten Geräten verbleiben.
- Risikoorientierte Sensibilisierungsschulungen: Und zu guterletzt sollten sie ihre Schulungsmodule zur Mitarbeitersensibilisierung so aufsetzen, dass gezielt Beispiele für kalenderbasierte Phishing-Angriffe einbezogen werden.
Über KnowBe4 KnowBe4, der Anbieter der weltweit größten Plattform für Security Awareness Training und simuliertes Phishing, wird von mehr als 60.000 Unternehmen auf der ganzen Welt genutzt. KnowBe4 wurde von dem IT- und Datensicherheitsspezialisten Stu Sjouwerman gegründet und hilft Unternehmen dabei, das menschliche Element der Sicherheit zu berücksichtigen, indem es das Bewusstsein für Ransomware, CEO-Betrug und andere Social-Engineering-Taktiken durch einen neuen Ansatz für Sicherheitsschulungen schärft. Kevin Mitnick, ein international anerkannter Cybersicherheitsspezialist und Chief Hacking Officer von KnowBe4, half bei der Entwicklung der KnowBe4-Schulung auf der Grundlage seiner gut dokumentierten Social-Engineering-Taktiken. Zehntausende von Organisationen verlassen sich auf KnowBe4, um ihre Endbenutzer als letzte Verteidigungslinie zu mobilisieren.
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
Gefahr für Unternehmen: Phishing mit Kalendereinladungen
Fachliche Einordnung
Die Fachplattform B2BCS ordnet die aktuelle Analyse des Threat Labs-Teams von KnowBe4 zu kalenderbasiertem Phishing als hochgradig kritischen Angriffsvektor für das Jahr 2026 ein. Mit einem Anstieg von 49 Prozent in den letzten sechs Monaten nutzen Angreifer gezielt die Automatismen gängiger Kollaborationsplattformen (Microsoft Teams, Google Calendar, Zoom) aus. Da bösartige ICS-Dateien häufig Secure Email Gateways (SEGs) umgehen und Terminbenachrichtigungen als vertrauenswürdige native Systemmeldungen erscheinen, hebeln sie die übliche Skepsis von Mitarbeitenden aus – insbesondere bei nachmittäglicher kognitiver Belastung (End-of-Day-Blur).
Key-Takeaways
- 49 % Zuwachs bei Kalender-Phishing: Angreifer verlagern Phishing-Aktivitäten von der klassischen E-Mail direkt in den Kalender, um Filtersysteme zu umgehen und höhere Dringlichkeit vorzutäuschen.
- Missbrauch automatischer Kalendereinträge: Standardkonfigurationen verarbeiten
.ics-Dateien automatisch. Bösartige Termine landen im Kalender, selbst wenn die E-Mail im Spam-Ordner gefiltert oder nie geöffnet wird. - Natives Systemvertrauen: Benachrichtigungen erscheinen als vertrauenswürdige OS- oder App-Pop-ups. Opfer prüfen Links oder Support-Nummern in Terminbeschreibungen deutlich seltener auf Betrugsabsichten.
- Kombination mit AiTM & RMM-Downloads: Die Angriffe führen über Adversary-in-the-Middle-Proxies zum Diebstahl von Zugangsdaten inkl. MFA oder installieren direkt Remote-Monitoring-Tools (RMM) für illegitimen Systemzugriff.
- Psychologisches Timing: Kampagnen werden vermehrt in die Nachmittagsstunden verlegt, um die verminderte Aufmerksamkeit durch die kognitive Tagesbelastung (End-of-Day-Blur) auszunutzen.
Strategische Analyse
Der Bericht unterstreicht eine fundamentale Verschiebung im Social Engineering: Das Ausnutzen technischer und psychologischer Vertrauensvorschüsse in Kollaborationstools. Wenn Angreifer den Posteingang komplett umgehen und direkt in der Arbeitsumgebung (Kalender, Benachrichtigungszentrum) agieren, versagen klassische, auf E-Mail-Inhalte beschränkte Gateway-Filter. Unternehmen müssen Kalenderereignisse daher als ungesicherte externe Eingabe betrachten. Ohne die Deaktivierung der automatischen Terminannahme für externe Absender und ohne dynamische Link-Prüfungen im Kalender entsteht eine gefährliche Flanke im Digital Workspace.
Handlungsempfehlung:
Sicherheits- und IT-Verantwortliche sollten ihre Kalender- und Kollaborationskonfigurationen umgehend absichern.
- Automatische Eintragung externer Termine deaktivieren: Passen Sie die Richtlinien in Google Workspace und Microsoft 365 so an, dass Einladungen von externen Absendern erst nach expliziter Bestätigung durch den Nutzer im Kalender erscheinen.
- Deep Inspection & Time-of-Click-Protection für Kalender-Links: Weiten Sie E-Mail- und Endpoint-Sicherheitslösungen so aus, dass URLs in
.ics-Dateien und Kalendereinträgen beim Anklicken dynamisch gesandboxt werden. - Schulungsmodule um Kalender-Scams erweitern: Integrieren Sie spezifische Angriffsbeispiele für gefälschte Einladungen, AiTM-Seiten und Vishing-Nummern im Kalender in das laufende Security Awareness Training.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200