Kalender Phishing Social Engineering: Wie Unternehmen bösartige Meeting‑Links verhindern

Angreifer nutzen zunehmend Kalender‑Einladungen und Weiterleitungen von Meeting‑Links als Einstieg in Unternehmensnetzwerke. Bei dieser Variante des Social Engineering werden Mitarbeitende gebeten, eine Einladung oder einen Meeting‑Link intern weiterzuleiten — oft mit der Begründung, sie sollten einem zuständigen Vertriebsmitarbeiter oder einer Kollegin Zugang zu einer Besprechung verschaffen. Diese Taktik kombiniert technische Schwachstellen in Kalender‑ und Konferenztools mit Manipulation sozialer Erwartungen und interner Kommunikationsgewohnheiten.

Wie die Masche typischerweise abläuft

Bei der beobachteten Variante kontaktieren Angreifer meist nicht die eigentlichen Entscheidungsträger, sondern Mitarbeitende ohne Vertriebsrolle. Die Vorgehensweise kann vereinfacht so aussehen:

• Ein Angreifer kontaktiert per E‑Mail oder Chat eine nicht zuständige Person und bittet darum, den beigefügten Meeting‑Link an die passende Sales‑Ansprechperson weiterzuleiten.

• Alternativ wird eine Kalender‑Einladung mit einem Link gesendet, die der Empfänger per Weiterleiten an interne Kontakte verteilt.

• Durch die interne Weiterleitung gewinnt die Einladung an Glaubwürdigkeit. Der Meeting‑Link selbst kann zu einer Phishing‑Seite führen, Malware auslösen oder eine Freigabe für Kalenderzugriffe provozieren.

Forscher weisen darauf hin, dass diese Strategie sowohl technische Eigenschaften von Kalendern ausnutzt als auch die Bereitschaft vieler Mitarbeitender, Anfragen intern zu unterstützen.

Warum Mitarbeitende oft reagieren: Psychologische Treiber des Helfens

Die Taktik setzt auf mehrere bekannte menschliche Verhaltensmuster:

• Hilfsbereitschaft gegenüber vermeintlichen Geschäftspartnern oder Interessenten. Viele Mitarbeitende bevorzugen schnelle Lösungen und leiten Anfragen weiter, anstatt komplexe Eskalationswege zu nutzen.

• Geringe Skepsis bei internen Weiterleitungen. Ein weitergeleitetes Element wirkt vertrauenswürdiger als eine externe Direktnachricht.

• Rollenunsicherheit: Mitarbeitende, die nicht genau wissen, wer zuständig ist, entscheiden oft eigenständig und leiten weiter, um möglichen Verzögerungen vorzubeugen.

Für Awareness‑Verantwortliche ist wichtig zu verstehen, dass Wissen über Phishing allein selten ausreicht. Entscheidend ist, wie Mitarbeitende unter Zeitdruck und sozialen Erwartungen handeln.

Technische und organisatorische Schutzmaßnahmen

Zugänge über Kalender und Meeting‑Links lassen sich auf mehreren Ebenen absichern. Eine Kombination aus Technik, Richtlinien und Meldewegen reduziert das Risiko erheblich.

Technische Maßnahmen

• Einstellungen für externe Einladungen prüfen: Viele Kalenderlösungen erlauben Einschränkungen, sodass externe Organisatoren nicht automatisch interne Ressourcen sehen oder Einladungen ohne Prüfung verteilen können.

• Automatisches Hinzufügen von Einträgen verhindern: Systeme so konfigurieren, dass externe Einladungen nicht ohne Zustimmung der Empfänger in den Kalender übernommen werden.

• Link‑Prüfung und URL‑Scanning: E‑Mail‑Gateway oder Security‑Tools können eingebettete Meeting‑URLs auf bekannte bösartige Muster prüfen.

• Separate Meeting‑Domains und Einmal‑Codes: Meeting‑Links, die an einzelne Konten gebunden oder passwortgeschützt sind, erschweren Missbrauch.

Organisatorische Maßnahmen

• Klare Eskalationsregeln: Festlegen, wie externe Anfragen intern weitergeleitet werden sollen, etwa über definierte Kontaktpunkte in Vertrieb oder Einkauf.

• Reporting‑Prozess vereinfachen: Mitarbeitende müssen leicht melden können, wenn sie unsichere Einladungen erhalten oder weitergeleitet haben.

• Rollenklärung: Zuständigkeiten für externe Anfragen sichtbar machen, so dass weniger Mitarbeitende eigenständig weiterleiten.

Awareness‑Formate, die auf diese Masche zugeschnitten sind

Praxisnahe Übungen unterstützen den Transfer in den Arbeitsalltag. Szenarien, die ambiguous oder sozial herausfordernd sind, bringen besonders viel Lerneffekt mit sich. Methoden, die sich eignen:

• Simulierte Kalender‑Phishing‑Tests, die nicht nur auf Klickraten schauen, sondern auch das Weiterleitungsverhalten messen.

• Teambasierte Übungen, in denen unterschiedliche Einschätzungen sichtbar werden und gemeinsam entschieden werden muss. Solche Formate fördern kollektive Normen für sichere Weitergabe von Informationen.

• Fallbezogene Rollenspiele, in denen die Eskalationswege geübt werden und sichere Alternativhandlungen trainiert werden.

Diese Formate sollten begleitend mit technischen Anpassungen und klaren Regeln stehen, damit Lernende konkrete Handlungsoptionen besitzen.

Konkrete Empfehlungen für Security‑Awareness‑Verantwortliche

1. Überprüfen Sie Kalender‑ und Konferenz‑Einstellungen im Tenant: Deaktivieren Sie automatische Annahme externer Einladungen, erlauben Sie keine Weitergabe von Konferenzkennungen ohne Authentifizierung.

2. Definieren und kommunizieren Sie einen einfachen Verify‑Step: Wenn eine Kollegin kontaktiert wird, um einen Link weiterzuleiten, sollte eine kurze Verifikation per bekanntem Kanal erfolgen, etwa Rückruf auf die Unternehmensnummer oder Absprache per Dienstchat.

3. Entwickeln Sie Mess‑ und Meldeindikatoren: Nicht nur Klickraten, sondern auch Weiterleitungen und Eskalationshäufigkeiten als Metriken verwenden.

4. Binden Sie Vertrieb und zentrale Ansprechpartner ein: Stellen Sie sicher, dass externe Anfragen schnell intern abgefangen werden können, damit einzelne Mitarbeitende nicht aus Unsicherheit weiterleiten müssen.

5. Setzen Sie auf reale Diskussionen: Gruppendiskussionen über unsichere Einladungen schaffen gemeinsame Normen und reduzieren das Intention‑Action Gap zwischen Wissen und sicherem Handeln. Weiterführende Überlegungen zum Unterschied zwischen Wissen und Verhalten finden sich in der Literatur zum Intention‑Action Gap.

Quellen und weiterführende Informationen

KnowBe4: Warning: Attackers Are Tricking Employees Into Sharing Malicious Calendar Invites – https://blog.knowbe4.com/warning-attackers-are-tricking-employees-into-sharing-malicious-calendar-invites

Weitere Hinweise zu teamorientierten Awareness‑Formaten und praktischen Events finden sich unter dem Angebot für Cyber Awareness Teamevent. Für die thematische Einordnung des Verhaltenswandels ist die Darstellung zum Intention–Action Gap hilfreich.