Aktuell

Der Termin, den niemand angenommen hat: Phishing über Kalendereinladungen nimmt massiv zu

Phishing per Kalendereinladung nimmt massiv zu: Termine landen ungefragt im Kalender. Wie der Angriff funktioniert und wie Exchange-Admins gegensteuern.

20. Oktober 2026

Cyber Crime
E-Mail
Microsoft 365

„Teams-Besprechung: Quartalsabschluss – Ihre Teilnahme ist erforderlich.“ Eine solche Einladung erscheint am Morgen im Kalender, ohne dass jemand sie angenommen hat. Ein Klick auf den Link, eine vertraute Anmeldeseite, und die Zugangsdaten sind weg. Genau dieses Muster nutzen Angreifer derzeit massenhaft.

Die Sicherheitsfirma Check Point beobachtet seit Ende September eine große Welle gefälschter Kalendereinladungen, die vor allem auf Microsoft-Konten zielen. Andere Anbieter melden ähnliche Zuwächse. Der Grund für den Erfolg ist einfach: Einladungen gelten als harmlos, und viele Mailprogramme tragen sie automatisch ein.

Kernaussage

Stand 20.10.2026

Phishing per Kalendereinladung hat seit dem Spätsommer sprunghaft zugenommen. Die Einladungen landen oft direkt im Kalender, ohne dass der Empfänger etwas angeklickt hat, und führen meist auf gefälschte Microsoft-Anmeldeseiten oder zu Rückruf-Betrug. Mit einer Einstellung in Exchange und einem kurzen Hinweis an die Mitarbeiter lässt sich das Risiko deutlich senken.

Check Point

302.386

Spitzentag 8. Oktober

knapp 200.000

Sublime Security

+1.216 %

Wie der Angriff funktioniert

Eine Kalendereinladung ist technisch eine E-Mail mit einer ICS-Datei. Outlook, Gmail und Apple Mail tragen solche Einladungen je nach Einstellung vorläufig in den Kalender ein, bevor der Empfänger zu- oder abgesagt hat. Selbst wenn die Mail im Spam-Ordner landet oder gelöscht wird, kann der Termin im Kalender stehen bleiben – samt Link und Beschreibung.

Die Inhalte sind auf Alltag getrimmt: ein angeblich verpasstes Teams-Meeting, eine Freigabe für ein geteiltes Dokument, eine offene Rechnung oder ein auslaufendes Abo. Der Link führt auf eine täuschend echte Microsoft-Anmeldeseite. Eine zweite Variante setzt auf Rückruf-Betrug: Im Termin steht eine Telefonnummer, unter der sich ein angeblicher Support meldet. Laut Sublime entfiel im vierten Quartal des Vorjahres bereits fast jeder fünfte Rückruf-Betrugsversuch auf Kalendereinladungen.

Warum es so gut funktioniert

Drei Gründe für den Erfolg

Routine

Einladungen gehören zum Arbeitsalltag. Wer zehn Termine am Tag bekommt, prüft den elften nicht mehr genau.

Erinnerung inklusive

Der Termin erinnert von selbst – kurz vor dem angeblichen Meeting, wenn der Druck am größten ist. Das gibt dem Angriff eine zweite Chance.

Außerhalb des Radars

Awareness-Schulungen konzentrieren sich meist auf verdächtige Mails. Ein Kalendereintrag wirkt wie ein internes Werkzeug und weckt weniger Misstrauen.

Wie Angreifer an Konten gelangen, obwohl MFA aktiv ist, haben wir im Beitrag „MFA ist aktiv – und das Konto trotzdem weg“ beschrieben. Viele der aktuellen Phishing-Seiten arbeiten genau mit diesen Techniken.

Was Unternehmen und Kommunen tun können

Automatisches Eintragen abschalten: In Exchange Online und Exchange Server lässt sich festlegen, dass neue Einladungen nicht mehr automatisch vorläufig im Kalender erscheinen (Befehle unten). Der Termin wird dann erst sichtbar, wenn der Empfänger die Einladung öffnet und darauf reagiert.
Externe Einladungen kennzeichnen: Eine Transportregel kann Einladungen von externen Absendern mit einem deutlichen Warnhinweis versehen. Wer ohnehin mit externen Hinweisen arbeitet, sollte prüfen, ob Kalendernachrichten davon erfasst werden.
Mailfilter prüfen: Moderne Filter wie Hornetsecurity werten auch ICS-Anhänge und die darin enthaltenen Links aus. Es lohnt sich, die Einstellungen dafür einmal bewusst zu kontrollieren.
Mitarbeiter informieren: Eine kurze Rundmail genügt: Links und Telefonnummern aus unerwarteten Einladungen nicht nutzen, Meetings im Zweifel direkt in Teams oder Outlook aufrufen, unbekannte Termine melden statt löschen.
Awareness-Training erweitern: Kalender-Phishing gehört in die Simulationen. Wie das automatisiert funktioniert, steht im Beitrag „Der letzte Klick“.
Anmeldungen überwachen: Ungewöhnliche Anmeldeorte, neue MFA-Methoden und neue Posteingangsregeln sind typische Spuren nach einem erfolgreichen Angriff und sollten Alarm auslösen.

Automatisches Eintragen in Exchange abschalten

In einer PowerShell-Sitzung mit Exchange-Administratorrechten ausführen.

1. Aktuelle Einstellung eines Postfachs prüfen

Get-CalendarProcessing -Identity max.muster@firma.de |
    Select-Object Identity, AutomateProcessing, AddNewRequestsTentatively

2. Für ein Pilotpostfach abschalten

Set-CalendarProcessing -Identity max.muster@firma.de -AddNewRequestsTentatively $false

3. Für alle Benutzerpostfächer abschalten (nach erfolgreichem Test)

Get-Mailbox -RecipientTypeDetails UserMailbox -ResultSize Unlimited |
    Set-CalendarProcessing -AddNewRequestsTentatively $false

Gilt für Exchange Online (Exchange-Online-PowerShell) und Exchange Server (Exchange Management Shell). Nebenwirkung: Auch echte interne Einladungen erscheinen erst im Kalender, wenn der Empfänger sie geöffnet hat. Deshalb zuerst mit einzelnen Postfächern testen und die Mitarbeiter vorab informieren.

Einordnung

Kalender-Phishing ist keine neue Technik, aber eine, die gerade in großem Stil genutzt wird. Sie umgeht nicht die Technik, sondern die Aufmerksamkeit: Ein Termin wirkt verbindlicher als eine Mail, und er bleibt sichtbar, bis jemand ihn bewusst entfernt. Die gute Nachricht ist, dass sich die wichtigste Stellschraube mit einem einzigen Befehl drehen lässt. Wie bei jedem Phishing gilt aber: Die letzte Verteidigungslinie ist ein Mitarbeiter, der kurz innehält. Ähnliche Muster mit echt wirkenden Absendern haben wir im Beitrag „Echter Absender, falsche Anfrage“ beschrieben.

Exchange und Microsoft 365 gezielt absichern

Wir prüfen die Kalender- und Mailfluss-Einstellungen Ihrer Umgebung und setzen die passenden Schutzmaßnahmen um – ohne den Arbeitsalltag zu stören.

Kontakt aufnehmen

Quellen & weiterführende Links

Recherchestand: 20. Oktober 2026.