Neue Phishing-Welle trifft über 40.000 Organisationen

Cyberkriminelle nutzen zunehmend alltägliche Kommunikationsprozesse, um Sicherheitsmechanismen zu umgehen und Zugangsdaten zu stehlen. Aktuelle Untersuchungen von Check Point zeigen, wie gefälschte Kalendereinladungen zum Einfallstor für groß angelegte Phishing-Kampagnen werden. Mehr als 40.000 Organisationen sind bereits ins Visier geraten – und die Zahl der Angriffsversuche steigt massiv.

Eine Einladung zu einem Microsoft-Teams-Meeting, ein vermeintlich wichtiger Geschäftstermin oder eine automatisch generierte Kalenderbenachrichtigung: Solche Nachrichten gehören zum digitalen Arbeitsalltag und werden selten kritisch hinterfragt. Genau dieses Vertrauen machen sich Cyberkriminelle zunehmend zunutze.

Sicherheitsforscher von Check Point haben mehrere groß angelegte Phishing-Kampagnen identifiziert, bei denen manipulierte Kalendereinladungen eingesetzt werden, um Anmeldedaten für Microsoft-Konten abzugreifen. Die Angriffe zeigen, dass Cyberkriminelle nicht zwangsläufig technische Schwachstellen benötigen, um erfolgreich zu sein. Häufig genügt es, etablierte Kommunikationsabläufe und die Erwartungen der Anwender gezielt auszunutzen.

Mehr als 300.000 Phishing-Mails identifiziert

Nach Angaben von Check Point hat die Bedrohungsaktivität seit dem 25. September 2026 deutlich zugenommen. Mithilfe einer speziell entwickelten Erkennungstechnologie identifizierten die Sicherheitsforscher mehr als 302.386 unterschiedliche Phishing-E-Mails, die an über 40.000 Organisationen gerichtet waren.

Auffällig ist insbesondere die große Zahl der verwendeten Absenderidentitäten. Die untersuchten Nachrichten stammten von mehr als 33.890 unterschiedlichen Domains und über 247.270 individuellen Absenderadressen. Diese Vielfalt erschwert die Erkennung anhand statischer Blocklisten und bekannter Absendermerkmale. Statt auf wenige zentrale Versandquellen zu setzen, verteilen die Angreifer ihre Aktivitäten auf eine Vielzahl unterschiedlicher Identitäten. Die Forscher registrierten innerhalb der untersuchten Kampagnen durchschnittlich mehr als 8.319 Phishing-E-Mails pro aktivem Tag.

Oktober 2026 bringt massiven Anstieg der Angriffe

Besonders deutlich wird die Entwicklung beim Blick auf das zeitliche Angriffsgeschehen. Während Check Point im April lediglich einige Tausend entsprechende Nachrichten verzeichnete, stieg das Volumen im September bereits auf mehr als 118.000 E-Mails. In den ersten beiden Oktoberwochen registrierten die Forscher sogar über 740.000 Nachrichten. Allein am 8. Oktober erreichte die Aktivität mit nahezu 200.000 E-Mails einen vorläufigen Höhepunkt.

Die Zahlen verdeutlichen, wie schnell sich erfolgreiche Social-Engineering-Methoden skalieren lassen. Gleichzeitig zeigen sie, dass es sich nicht um vereinzelte Betrugsversuche handelt, sondern um anhaltende Angriffskampagnen mit erheblicher Reichweite. Noch am 15. Oktober 2026 konnten die Forscher entsprechende Aktivitäten beobachten.

Wenn harmlose Kalenderdateien zur Phishing-Falle werden

Technisch setzen die Angreifer auf unterschiedliche Varianten, die jedoch dasselbe Ziel verfolgen: Anwender sollen dazu gebracht werden, ihre Microsoft-Anmeldedaten auf einer betrügerischen Website einzugeben.

Eine Methode nutzt Kalenderdateien im sogenannten ICS-Format. Diese Dateien werden üblicherweise verwendet, um Termine zwischen verschiedenen Kalenderanwendungen auszutauschen.

Die manipulierten Einladungen enthalten formal gültige Kalenderinformationen und lassen sich deshalb grundsätzlich wie reguläre Terminanforderungen verarbeiten. Der eigentliche Angriff erfolgt über eingebettete Links, die auf Phishing-Seiten führen. Das Besondere daran: Die Angreifer müssen keine Software-Sicherheitslücke ausnutzen. Sie missbrauchen eine reguläre Funktion, die für die tägliche Zusammenarbeit vorgesehen ist.

Eine weitere Variante verwendet gefälschte Microsoft-Teams-Einladungen. Die enthaltenen Links erwecken den Eindruck, zu einer regulären Besprechung oder Microsoft-Anmeldeseite zu führen. Tatsächlich sollen sie die Anwender auf Seiten locken, auf denen ihre Zugangsdaten abgegriffen werden.

Das Risiko entsteht somit nicht durch die Kalenderdatei selbst, sondern durch die Kombination aus glaubwürdiger Darstellung, vertrauten Arbeitsabläufen und manipulierten Verweisen.

Warum klassische Sicherheitskontrollen an Grenzen stoßen

Die Kampagnen verdeutlichen eine grundlegende Herausforderung für die E-Mail-Sicherheit: Nicht jede gefährliche Nachricht enthält Malware, einen schädlichen Dateianhang oder einen technischen Exploit. Angreifer setzen zunehmend auf Inhalte, die zunächst legitim erscheinen und erst durch die Interaktion des Empfängers gefährlich werden.

Besonders kritisch sind dabei drei Faktoren: die hohe Glaubwürdigkeit automatisierter Benachrichtigungen, die Vielzahl wechselnder Absenderidentitäten und die Einbettung betrügerischer Links in etablierte Kollaborationsprozesse. Für Unternehmen bedeutet das, dass Sicherheitsmaßnahmen nicht ausschließlich auf die Erkennung bekannter Schadsoftware oder verdächtiger Anhänge ausgerichtet sein dürfen. Auch Kalenderereignisse, eingebettete URLs und die tatsächlichen Zieladressen von Verknüpfungen müssen in die Sicherheitsbewertung einbezogen werden.

Phishing verlagert sich in vertrauenswürdige Arbeitsabläufe

Die gefälschten Kalendereinladungen sind nach Einschätzung der Check-Point-Forscher kein Einzelfall. Ähnliche Angriffsmuster wurden bereits bei manipulierten Voicemail-Benachrichtigungen beobachtet, die ebenfalls automatisierte Unternehmenskommunikation imitieren und schädliche Anhänge verbreiten. Dahinter steht eine Entwicklung, die über einzelne Phishing-Kampagnen hinausgeht: Cyberkriminelle versuchen zunehmend, nicht nur bekannte Marken, sondern die alltäglichen Abläufe digitaler Zusammenarbeit für ihre Zwecke einzusetzen. Für Sicherheitsverantwortliche ergeben sich daraus konkrete Anforderungen. Neben einer kontinuierlichen Überprüfung eingehender Nachrichten gewinnen die Analyse von Kalenderinhalten, URL-Prüfungen und eine konsequente Absicherung von Microsoft-365-Identitäten an Bedeutung. Multi-Faktor-Authentifizierung, möglichst phishingresistente Authentifizierungsverfahren und die Sensibilisierung von Mitarbeitern können das Risiko zusätzlich reduzieren.

Fazit: Vertrauen wird zum entscheidenden Angriffspunkt

Die aktuellen Kampagnen zeigen, dass sich Phishing zunehmend von klassischen betrügerischen E-Mails hin zu scheinbar vertrauenswürdigen Geschäftsprozessen entwickelt. Kalendereinladungen, Besprechungslinks und automatisierte Systemnachrichten werden dabei zu Transportmitteln für Identitätsangriffe.

Für Unternehmen reicht es deshalb nicht mehr aus, ausschließlich verdächtige Dateien und bekannte Angriffsindikatoren zu erkennen. Entscheidend wird, auch die Vertrauenswürdigkeit alltäglicher digitaler Interaktionen kontinuierlich zu überprüfen.