Online-Betrüger nutzen zunehmend digitale Kalender-Einladungssysteme, um schädliche Links und Phishing-Versuche an traditionellen E-Mail-Schutzfiltern vorbeizuschleusen. IT-Sicherheitsunternehmen beobachten bei dieser Angriffsmethode, die häufig über Standard-Kalenderdateien mit der Endung .ics abgewickelt wird, ein massives Wachstum.
Automatisierte Synchronisation umgeht klassische Spamfilter
Das sogenannte CalPhishing basiert darauf, dass viele E-Mail-Clients und Kalenderprogramme Termineinladungen automatisch verarbeiten und direkt in die Kalenderansicht eintragen.
Tests des Sicherheitsunternehmens Fortra zeigten, dass das bloße Verschieben einer verdächtigen Einladungs-E-Mail in den Junk-Ordner oder das einfache Löschen den bereits angelegten Kalendereintrag nicht entfernt. Dadurch tauchen unbefugte Termine selbst dann neben legitimen geschäftlichen Verabredungen auf, wenn die dazugehörige Nachricht herausgefiltert wurde.
Sicherheitsanalysten von Sublime führten aus, dass diese Angriffsart durch die direkte Platzierung im gewohnten Arbeitsumfeld eine geliehene Glaubwürdigkeit erlange. Zudem nähmen automatisierte KI-Agenten solche Einladungen bisweilen eigenständig im Namen von Mitarbeitern an. Zu den Hauptzielgruppen zählen Berufstätige mit vielen externen Kontakten, darunter Beschäftigte im Vertrieb und im Recruiting.
Untersuchungen verschiedener Anbieter belegen die steile Zunahme: KnowBe4 registrierte in seiner Bedrohungsanalyse einen Anstieg von Kalendereinladungs-Phishing um 49 Prozent innerhalb von sechs Monaten.
Wer sich mit dem Schutz vor Phishing-Angriffen befasst, findet in diesem kostenlosen Leitfaden eine effektive Strategie zur Abwehr von Cyberkriminalität. In 4 Schritten zum sicheren Unternehmen: So stoppen Sie Phishing-Angriffe bevor sie entstehen
Sublime Security beobachtete bei kalenderbasierten Angriffen ein plus von 1.216 Prozent im August 2026 im Vergleich zum Vormonat Juli, nachdem im Juni gegenüber Mai bereits ein Zuwachs von 282 Prozent verzeichnet worden war.
Für den Zeitraum von Mai bis September 2026 projizierte Sublime eine Steigerung von rund 33.000 Prozent. Bei Microsoft stieg das entsprechende Volumen im Juni gegenüber dem Vormonat um 277 Prozent.
Gefälschte Zahlungsbelege, Schadsoftware und Token-Diebstahl
Die Täter setzen auf unterschiedliche Köder, um Panik auszulösen oder Klicks zu provozieren. Typische Betreffzeilen thematisieren verpasste Sprachnachrichten, angebliche Abo-Verlängerungen, Vertragsangebote oder Transaktionswarnungen wie gefälschte Abrechnungen über 298,99 US-Dollar oder angebliche PayPal-Käufe über 599,89 US-Dollar.
Im vierten Quartal 2025 machten Angriffe über Kalendereinladungen laut einem Bericht von Sublime bereits rund 20 Prozent der Versuche beim sogenannten Callback-Phishing aus, bei dem Betroffene zur telefonischen Kontaktaufnahme mit einer betrügerischen Hotline verleitet werden sollen.
Zusätzlich führen Links in manipulierten Terminen zu gefälschten Anmeldeseiten bekannter Dienste wie Google, Microsoft oder PayPal, um Zugangsdaten abzugreifen. Fortra wies zudem auf das Angriffsmuster ConsentFix hin: Über den Geräte-Code-Ablauf von Microsoft OAuth bringen Angreifer ihre Opfer dazu, Codes auf einer echten Microsoft-Seite einzugeben, woraufhin die Zugriffstoken direkt in die Hände der Kriminellen gelangen.
In anderen Fällen wird Schadsoftware verbreitet. Das Phishing Defense Center von Cofense fing eine Einladung zu einer Online-Veranstaltung ab, bei der Nutzer über ein zwischengeschaltetes Captcha auf einer kurz zuvor registrierten Domain zu einem Download geleitet wurden. Die Datei enthielt ein Installationsprogramm für ConnectWise ScreenConnect, das als Fernwartungswerkzeug zweckentfremdet wurde.
Da Betrüger immer häufiger Passwörter ausspähen, ist ein Umstieg auf moderne Sicherheitsstandards für den Schutz privater und geschäftlicher Konten ratsam. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sofort einrichten. Sicher, bequem und passwortlos – So funktionieren Passkeys
Empfohlene Einstellungen zur Risikominimierung
IT-Sicherheitsexperten raten dringend davon ab, unaufgeforderte Kalendereinladungen über die reguläre Schaltfläche abzulehnen. Das Auswählen dieser Option bestätigt dem Absender, dass die E-Mail-Adresse aktiv genutzt wird. Stattdessen sollten verdächtige Einträge direkt gelöscht oder als Spam gemeldet werden.
Gleichzeitig wird empfohlen, die automatische Terminerstellung in den Systemeinstellungen zu deaktivieren. In Google Kalender lässt sich festlegen, dass Einladungen nur von bekannten Absendern oder erst nach manueller Beantwortung per E-Mail hinzugefügt werden.
In Microsoft Outlook kann die separate Erstellung von Ereignissen aus E-Mails abgeschaltet werden, während Apple-Nutzer betrügerische Termine im iCloud-Kalender direkt als Werbung melden können. Für den Schutz von Benutzerkonten wird zudem der Einsatz moderner Authentifizierungsmethoden wie Passkeys empfohlen.