Sicherheitsberichte dokumentieren derzeit einen massiven Anstieg von Phishing-Kampagnen, bei denen Kalendereinladungen gezielt eingesetzt werden, um Unternehmens-Zugangsdaten zu kompromittieren. Wie mehrere Analysen zeigen, nutzen Angreifer diese Methode verstärkt, weil herkömmliche E-Mail-Sicherheitsfilter die Terminanfragen häufig nicht erfassen und ungehindert passieren lassen.
Automatische Kalendereinträge umgehen klassische Filter
Nach Warnungen des Sicherheitsunternehmens Sublime Security machen sich Angreifer zunutze, dass Plattformen wie Google Calendar und Microsoft 365 Kalendereinladungen grundlegend anders verarbeiten als gewöhnliche E-Mails. Typische Spamfilter greifen bei diesen Dateiformaten oft nicht.
Die Vorfälle mit solchen ICS-Phishing-Dateien nahmen laut Sublime Security zwischen Mai und September 2026 um rund 33.000 Prozent zu. Nachdem sich die Angriffe von Mai bis Juni monatlich verdoppelten bis verdreifachten, stiegen die Raten danach um mehr als 1.000 Prozent pro Monat. Allein zwischen Juli und August 2026 verzeichnete Sublime Security einen Zuwachs der Angriffe mit Kalendereinladungen um 1.216 Prozent gegenüber dem Vormonat.
Das Tückische an diesem Angriffsvektor: Die Einladungen erscheinen häufig automatisch im Kalender der Nutzer, ohne dass diese die Anfrage zuvor aktiv annehmen müssen. Schädliche Verweise und Anweisungen bleiben teilweise selbst dann im Kalender sichtbar, wenn die dazugehörige E-Mail gelöscht wurde.
Die Einladungen enthalten oft Rechnungen oder QR-Codes und leiten Nutzer auf gefälschte Anmeldeseiten von Diensten wie Microsoft, Google oder PayPal weiter oder verbreiten Schadsoftware. Da Angreifer für den Versand kostenlose und weit verbreitete Dienste einsetzen, sind die Hürden und Kosten für die Kampagnen minimal.
In einem dokumentierten Fall enthielt eine über Gmail versendete Kalendereinladung eine manipulierte Zahlungsbenachrichtigung, deren Link direkt zu einer Download-Seite für Fernverwaltungssoftware führte.
Hohe Angriffszahlen im Herbst 2026
Das Sicherheitsunternehmen Check Point berichtet, dass mehr als 40.000 Organisationen gefälschte Kalendereinladungen erhalten haben, die auf den Diebstahl von Microsoft-Zugangsdaten abzielten.
Angesichts der massiven Zunahme von Angriffen auf Unternehmens-Accounts wird die Absicherung der digitalen Identität immer wichtiger. Dieser kostenlose Leitfaden zeigt Firmen aus Verwaltung, Handel und Produktion in vier Schritten, wie sie Phishing-Angriffe und psychologische Manipulationen effektiv stoppen. In 4 Schritten zum sicheren Unternehmen: So stoppen Sie Phishing-Angriffe bevor sie entstehen
Ein neues Erkennungssystem des Unternehmens registrierte nach einem sprunghaften Anstieg am 25. September 2026 insgesamt 302.386 einzigartige Phishing-Mails. Diese stammten von 247.270 Absenderadressen aus 33.890 verschiedenen Domains. Im Schnitt zählte das Unternehmen 8.319 solcher E-Mails pro aktivem Tag, wobei entsprechende Aktivitäten noch am 15. Oktober 2026 festgestellt wurden.
In einer separaten Messung erfasste Check Point zudem die Entwicklung des Monatsvolumens: Während im April 2026 nur wenige Tausend Nachrichten gezählt wurden, stieg der Wert im September auf mehr als 118.000. In den ersten zwei Oktoberwochen wurden über 740.000 Nachrichten registriert, davon fast 200.000 allein am 8. Oktober 2026. Check Point hebt hervor, dass die Kampagnen keine Software-Schwachstellen ausnutzen.
Stattdessen dienen reguläre .ics-Dateien mit gültigen Termindaten und Microsoft-Teams-Links als Köder, während der eigentliche Angriff über eingebettete Links erfolgt.
Gezielte Kampagnen und automatisierter Versand
Da herkömmliche Passwörter bei solch professionellen Phishing-Kampagnen kaum noch Schutz bieten, setzen Experten verstärkt auf moderne Alternativen. Ein aktueller Gratis-Report erklärt, wie Sie Ihre Konten bei Microsoft, Amazon und WhatsApp durch passwortlose Verfahren gegen Datenklau absichern. Passkeys als sichere Alternative: Jetzt kostenlos informieren
Weitere Sicherheitsvorfälle verdeutlichen das Ausmaß. Anfang Oktober 2026 identifizierte und blockierte Material Security mehr als 500 betrügerische Domains im Rahmen einer Kampagne namens Operation Cloudfire, bei der Angriffe über Google Calendar liefen und Authentifizierungsdaten über einen Proxy in Echtzeit weitergeleitet wurden.
Das Sicherheitsunternehmen Fortra meldete zudem Vorfälle, bei denen Microsoft-Konten über ConsentFix- und Gerätekode-Phishing attackiert wurden. Wie gravierend die Folgen für kompromittierte Nutzerkonten sein können, zeigte ein auf Reddit geteilter Fall: Nach einem Passwortdiebstahl wurden von einem einzelnen übernommenen Google-Konto mehr als 600 betrügerische Kalendereinladungen verschickt.
Empfohlene Schutzmaßnahmen
Sicherheitsexperten raten dazu, verdächtige Einladungen grundsätzlich zu löschen und direkt als Spam zu melden, anstatt sie über den Kalender abzulehnen, da eine Absage den Angreifern die Aktivität des Kontos signalisieren kann.
Handelt es sich um bekannte Absender, sollte die Terminanfrage über einen alternativen Kommunikationskanal verifiziert werden. Für Unternehmen wird der Einsatz phishingresistenter Multi-Faktor-Authentifizierung sowie die Implementierung spezifischer Prüfmechanismen für .ics-Dateien und enthaltene Webadressen empfohlen.
In Google Calendar lässt sich die automatische Terminanzeige so konfigurieren, dass nur Einladungen bekannter Kontakte zugelassen werden. Bei Microsoft Outlook empfiehlt sich eine Überprüfung der Regeln zur automatischen Verarbeitung eingehender Termine.