ICS-Phishing: Betrügerische Einladungen im Kalender erkennen
Eine Kalendereinladung wirkt oft weniger verdächtig als eine gewöhnliche E-Mail: Sie erscheint im vertrauten Kalender, enthält Datum und Uhrzeit und erinnert später noch einmal an den Termin. Genau das können Angreifer ausnutzen. Über eine angehängte ICS-Datei oder eine direkt versendete Einladung bringen sie einen Link zu einer gefälschten Anmeldeseite in den Kalender.
Was ist eine ICS-Datei?
ICS ist ein Dateiformat für Kalendereinträge. Eine Einladung kann neben dem Termin auch einen Titel, eine Beschreibung, einen Ort und Links enthalten. Je nach Kalenderprogramm und persönlichen Einstellungen werden solche Einladungen automatisch angezeigt oder zum Kalender hinzugefügt. Ob ein Eintrag erscheint, bedeutet nicht, dass der Absender vertrauenswürdig ist.
So läuft ein Angriff ab
Angreifer verschicken beispielsweise eine vermeintliche Besprechung, eine Rechnungserinnerung oder eine dringende Kontomeldung. In der Beschreibung steht ein Link zu einer gefälschten Website. Mitarbeitende können den Termin später im Kalender sehen, selbst wenn sie die ursprüngliche E-Mail nicht mehr vor Augen haben. Dadurch wirkt die Aufforderung im Termin möglicherweise glaubwürdiger, als sie ist.
Auch ein Name wie «IT Support» oder die Erwähnung eines bekannten Unternehmens belegt nicht, dass die Einladung tatsächlich von dort stammt. Entscheidend sind Absender, Kontext und Ziel des Links.
Warnsignale für Mitarbeitende
- Sie haben den Termin nicht erwartet und kennen den Absender nicht.
- Die Einladung drängt Sie, sich sofort anzumelden oder ein Dokument zu öffnen.
- Der Link führt nicht zur Ihnen bekannten Website des angeblichen Absenders.
- Der Termin enthält ungewöhnliche Anhänge, QR-Codes oder Anweisungen, Sicherheitsprüfungen zu umgehen.
Öffnen Sie einen fraglichen Link nicht direkt aus dem Kalendereintrag. Prüfen Sie den Termin über einen unabhängigen Kanal, etwa indem Sie die betreffende Person unter einer bereits bekannten Nummer kontaktieren.
Was Organisationen tun können
Prüfen Sie die Einstellungen für automatisch hinzugefügte Kalendereinladungen in Ihrer Microsoft-365- oder Google-Workspace-Umgebung. Schränken Sie die automatische Übernahme unbekannter Einladungen dort ein, wo es für Ihre Arbeitsabläufe sinnvoll ist. Schulen Sie Mitarbeitende darin, verdächtige Einladungen genauso wie verdächtige E-Mails zu melden.
Wenn eine verdächtige Nachricht gemeldet wurde, prüfen Sie auch den Kalender der betroffenen Person. Das Entfernen einer E-Mail allein sollte nicht als Bestätigung gelten, dass ein möglicherweise angelegter Termin ebenfalls verschwunden ist.
Fazit
Phishing endet nicht am Posteingang. Ein Kalendereintrag kann eine schädliche Aufforderung länger sichtbar und scheinbar glaubwürdig machen. Mit vorsichtigen Kalendereinstellungen, einer klaren Melderoutine und der Prüfung betroffener Termine lässt sich dieses Risiko reduzieren.