Warum klassische E-Mail-Security nicht mehr ausreicht

Cyberkriminelle verlagern ihre Angriffe zunehmend von E-Mails auf Collaboration-Plattformen. Eine aktuelle Analyse des KnowBe4 Threat Lab zeigt einen deutlichen Anstieg von Phishing-Nachrichten in Microsoft Teams. Besonders gefährlich sind gefälschte IT-Support-Anfragen, manipulierte Rechnungen und Erpressungsversuche, die das Vertrauen der Beschäftigten in ihre gewohnte Arbeitsumgebung ausnutzen.

Bei verdächtigen E-Mails sind viele Beschäftigte inzwischen vorsichtig. Nachrichten in Microsoft Teams genießen dagegen häufig einen Vertrauensvorschuss, weil sie scheinbar von Kollegen, Geschäftspartnern oder der internen IT-Abteilung stammen. Genau diese Wahrnehmung machen sich Cyberkriminelle zunehmend zunutze, um Phishing-Angriffe direkt in den digitalen Arbeitsalltag zu verlagern.

Wie stark sich diese Entwicklung beschleunigt, zeigen aktuelle Erkenntnisse des KnowBe4 Threat Lab . Die Zahl der wöchentlich durch KnowBe4 Email & Collaboration Security erkannten Phishing-Nachrichten in Microsoft Teams stieg von lediglich fünf in der Woche des 22. Juni auf einen Höchstwert von 301 in der Woche des 28. September. Das entspricht einer Steigerung um mehr als das 60-Fache innerhalb von rund drei Monaten.

Die Angreifer setzen dabei auf vertraute Kommunikationsmuster. Sie tarnen ihre Nachrichten als Supportanfragen, dringende Rechnungen oder vermeintlich harmlose Beiträge in Meeting-Chats. Ob ein Angriff erfolgreich ist, hängt nach Einschätzung der Sicherheitsforscher vor allem davon ab, ob Schutzmechanismen die Nachricht rechtzeitig blockieren und ob die angesprochenen Beschäftigten den Betrugsversuch erkennen.

Warum Microsoft Teams für Cyberkriminelle immer attraktiver wird

Microsoft Teams gehört in vielen Unternehmen zur täglichen Kommunikation. Beschäftigte tauschen Informationen aus, stimmen Projekte ab und kommunizieren mit externen Geschäftspartnern. Die Plattform ist damit längst ein zentraler Bestandteil geschäftlicher Abläufe – und entwickelt sich zunehmend zu einem attraktiven Angriffsziel.

Ein wesentlicher Faktor ist die Offenheit der Kommunikationsplattform. Externe Zugriffe und Gastteilnahmen gehören zu den regulären Funktionen von Teams. Der externe Zugriff ist in der Standardkonfiguration grundsätzlich für alle Domänen möglich. Da Unternehmen auf die Kommunikation mit Kunden, Lieferanten und Partnern angewiesen sind, lässt sich diese Funktion in der Praxis kaum vollständig deaktivieren.

Gleichzeitig verändert künstliche Intelligenz die Kommunikationslandschaft. Nachrichten können inzwischen nicht nur von Menschen, sondern auch von KI-Agenten oder Chatbots stammen. Dadurch entstehen zusätzliche Angriffsmöglichkeiten, bei denen Cyberkriminelle sowohl menschliche Nutzer als auch automatisierte Systeme ins Visier nehmen können.

Das KnowBe4 Threat Lab identifiziert mehrere Faktoren, die Phishing über Teams begünstigen:

• Leicht manipulierbare Identitäten: Anzeigenamen lassen sich frei wählen. Gleichzeitig stehen Nutzern in Chats weniger Möglichkeiten zur Verfügung, die tatsächliche Identität eines Absenders zu überprüfen, als bei klassischen E-Mails.
• Geringeres Sicherheitsbewusstsein: Viele Awareness-Programme konzentrieren sich weiterhin auf E-Mail-Phishing. Angriffe über Collaboration-Plattformen werden dagegen häufig unterschätzt.
• Unzureichende technische Absicherung: Herkömmliche E-Mail-Security-Gateways von Drittanbietern erfassen Teams-Konversationen nicht. Unternehmen, die ihre Sicherheitsarchitektur nicht entsprechend erweitert haben, riskieren zusätzliche Schutzlücken.
• Zusätzlicher Angriffskanal: Bereits vorhandene Listen mit geschäftlichen E-Mail-Adressen ermöglichen es Angreifern, dieselben Zielpersonen mit vergleichsweise geringem Aufwand auch über Teams zu kontaktieren.

Microsoft stellt zwar verschiedene Schutzmechanismen bereit. Dazu gehören die Kennzeichnung externer Kontakte, Abfragen zum Annehmen oder Blockieren von Kommunikationsanfragen sowie – bei entsprechender Lizenzierung – Safe Links und Zero-Hour Auto Purge in Microsoft Defender for Office 365.

Allerdings verlieren diese Maßnahmen an Wirksamkeit, wenn Nutzer Warnhinweise ignorieren oder betrügerische Nachrichten für legitime Geschäftskommunikation halten.

Gefälschter IT-Support, Rechnungsbetrug und Erpressung

Die untersuchten Angriffsmethoden folgen häufig einem ähnlichen Muster: Cyberkriminelle geben sich als IT-Mitarbeiter, Geschäftspartner oder Kollegen aus und versuchen, ihre Opfer schrittweise zu einer bestimmten Handlung zu bewegen. Anders als bei klassischen Phishing-E-Mails steht dabei nicht zwangsläufig ein einzelner manipulierter Link im Mittelpunkt. Vielmehr nutzen die Angreifer den Gesprächscharakter von Teams, um Vertrauen aufzubauen und ihre Forderungen als natürlichen Bestandteil einer laufenden Kommunikation erscheinen zu lassen.

Bereits eine Antwort, ein Klick auf einen manipulierten Link oder der Start einer vermeintlichen Support-Sitzung kann ausreichen, um einen Angriff einzuleiten.

Zusätzliche Risiken entstehen dadurch, dass angezeigte Linktexte von den tatsächlichen Zieladressen abweichen können und sich Nachrichten nachträglich bearbeiten lassen. Gelingt die Übernahme eines Benutzerkontos, können Angreifer dieses anschließend nutzen, um weitere Beschäftigte innerhalb des Unternehmens zu kontaktieren. Fernwartungsbetrug: Wenn der Nutzer den Angreifer selbst hereinlässt

Besonders kritisch bewertet KnowBe4 gefälschte IT-Support-Anfragen.

Dabei behaupten die Angreifer beispielsweise, ein technisches Problem beheben oder eine dringende Sicherheitsmaßnahme durchführen zu müssen. Die angesprochenen Beschäftigten werden aufgefordert, eine Fernwartungssitzung zu starten.

Die Besonderheit: Der Nutzer initiiert die Verbindung selbst und gewährt dem vermeintlichen Support-Mitarbeiter damit unter Umständen direkten Zugriff auf sein Endgerät. Da häufig legitime Fernwartungsprogramme zum Einsatz kommen, können solche Angriffe von herkömmlichen Schutzmechanismen übersehen werden.

Einmal auf dem System, versuchen Cyberkriminelle, gespeicherte Zugangsdaten und Sitzungs-Cookies auszulesen, weitere Unternehmensressourcen zu kompromittieren oder zusätzliche Schadsoftware zu installieren. Im schlimmsten Fall kann ein zunächst harmlos wirkender Teams-Chat damit zum Ausgangspunkt eines umfassenden Ransomware-Angriffs werden.

Rechnungsbetrug und Erpressung setzen auf Zeitdruck

Eine weitere verbreitete Methode sind manipulierte Rechnungen oder vermeintlich dringende Zahlungsaufforderungen. Die Angreifer geben sich als Lieferanten oder Geschäftspartner aus und versuchen, Zahlungen umzuleiten, Zugangsdaten zu erbeuten oder Malware auf Unternehmenssysteme einzuschleusen.

Erpressernachrichten verfolgen dagegen eine andere Strategie. Sie behaupten beispielsweise, bereits vertrauliche Informationen gestohlen oder Systeme kompromittiert zu haben. Durch kurze Fristen und aggressive Forderungen sollen die Empfänger unter Druck gesetzt werden. Ob eine solche Nachricht tatsächlich auf einem erfolgreichen Angriff beruht oder lediglich ein Bluff ist, lässt sich anhand der ersten Kontaktaufnahme häufig nicht beurteilen.

Umso wichtiger ist es, verdächtige Nachrichten nicht eigenständig zu beantworten, sondern unverzüglich die zuständigen Sicherheitsteams einzuschalten.

Phishing über Microsoft Teams erkennen: Diese Maßnahmen helfen

Die zunehmende Verlagerung von Cyberangriffen auf Collaboration-Plattformen erfordert ein Umdenken bei der Sicherheitsstrategie.

Beschäftigte sollten Teams-Nachrichten grundsätzlich mit derselben Aufmerksamkeit behandeln wie E-Mails. Das gilt insbesondere für unerwartete Kontaktaufnahmen, ungewöhnliche Zahlungsaufforderungen und Nachrichten, die zum Öffnen von Links oder zum Starten externer Anwendungen auffordern.

Das KnowBe4 Threat Lab empfiehlt folgende Verhaltensregeln:

• Links kritisch prüfen: Nachrichten in Teams und Meeting-Chats sollten ebenso sorgfältig hinterfragt werden wie E-Mails. Bei verdächtigen Links ist insbesondere die tatsächliche Zieladresse zu kontrollieren.
• Externe Kontakte überprüfen: Die Kennzeichnung „Extern“ kann auf unbekannte Kommunikationspartner hinweisen. Unerwartete Kontaktanfragen sollten im Zweifelsfall abgelehnt werden.
• Fernwartungsanfragen verifizieren: Support-Sitzungen sollten niemals allein aufgrund einer Chat-Nachricht gestartet werden. Stattdessen ist eine Bestätigung über den offiziellen IT-Helpdesk erforderlich.
• Zahlungsinformationen unabhängig bestätigen: Änderungen von Bankverbindungen oder ungewöhnliche Rechnungsforderungen sollten telefonisch über bereits bekannte Kontaktdaten überprüft werden.
• Erpressungsversuche melden: Verdächtige Forderungen sollten nicht beantwortet, sondern unmittelbar an das Security-Team weitergeleitet werden.
• Zugangsdaten schützen: Passwörter und andere vertrauliche Authentifizierungsinformationen gehören grundsätzlich nicht in Chat-Nachrichten.

Insbesondere die unabhängige Überprüfung vermeintlich interner Anweisungen ist entscheidend. Denn auch Nachrichten, die scheinbar von bekannten Kollegen stammen, können über kompromittierte Konten versendet werden.

Unternehmen müssen ihre Teams-Sicherheitsstrategie überprüfen

Neben der Sensibilisierung der Beschäftigten kommt es auf die richtige Konfiguration der Collaboration-Umgebung an. Administratoren sollten insbesondere die Einstellungen für externe Zugriffe und die Kommunikation mit unbekannten Kontakten überprüfen.

KnowBe4 empfiehlt, den Zugriff auf vertrauenswürdige Partnerdomänen gezielt zu beschränken, anstatt ausschließlich bekannte problematische Domänen zu sperren. Auch das Blockieren von Testmandanten, die Einschränkung eingehender Nachrichten privater Teams-Konten und das gezielte Sperren schädlicher Absender können die Angriffsfläche reduzieren.

Werden verdächtige Aktivitäten festgestellt, müssen die Verantwortlichen schnell reagieren. Dazu gehören das Zurücksetzen kompromittierter Passwörter, das Beenden aktiver Sitzungen sowie die Überprüfung möglicherweise installierter Fernwartungsprogramme. Darüber hinaus sollten bereits ausgeführte Zahlungen kontrolliert und gegebenenfalls Maßnahmen zur Schadensbegrenzung eingeleitet werden.

Klassische E-Mail-Security reicht nicht mehr aus

Die Untersuchung verdeutlicht ein grundsätzliches Problem moderner Unternehmenskommunikation: Sicherheitsmaßnahmen, die vor allem für E-Mails entwickelt wurden, lassen sich nicht ohne Weiteres auf Chat- und Collaboration-Plattformen übertragen.

Absenderhistorie und klassische Reputationsbewertungen sind in Teams-Konversationen häufig weniger aussagekräftig. Stattdessen müssen Schutzsysteme stärker berücksichtigen, welche Handlungen eine Nachricht auslösen soll, in welchem Kontext sie erscheint und welche Beziehung zwischen Absender und Empfänger besteht. Dazu gehört beispielsweise die Bewertung, ob ein bislang unbekannter externer Kontakt plötzlich eine Fernwartungssitzung verlangt oder eine kurzfristige Änderung von Zahlungsinformationen fordert.

Die Sicherheitsstrategie muss daher sowohl die Kommunikation selbst als auch nachgelagerte Aktionen wie das Öffnen von Links oder das Starten von Anwendungen berücksichtigen.

Fazit: Collaboration-Security wird zum Bestandteil der Cyberabwehr

Der deutliche Anstieg der von KnowBe4 erkannten Phishing-Nachrichten in Microsoft Teams zeigt, dass Cyberkriminelle ihre Angriffsmethoden an veränderte Arbeitsgewohnheiten anpassen. Je stärker Unternehmen auf digitale Zusammenarbeit, externe Kommunikation und KI-gestützte Prozesse setzen, desto wichtiger wird der Schutz dieser Kommunikationskanäle.

Dabei reicht es nicht aus, ausschließlich technische Filter einzusetzen oder auf die Aufmerksamkeit einzelner Beschäftigter zu vertrauen. Wirksame Abwehr entsteht erst durch das Zusammenspiel von Collaboration-Security, konsequenter Zugriffskontrolle und kontinuierlicher Security Awareness.