Calendar Phishing: Wie Kalendereinladungen Ihren E-Mail-Schutz aushebeln

Was ist ein Kalenderangriff?

Ein Kalenderangriff (auch „Calendar Phishing“ oder „CalPhishing“ genannt) ist eine Social-Engineering-Technik, bei der Angreifer schädliche Inhalte über eine Kalendereinladung ausliefern, statt oder zusätzlich zu einer klassischen Phishing-E-Mail.

Der Angreifer verschickt oder bettet eine iCalendar-Datei (.ics) ein, die viele E-Mail-Clients automatisch verarbeiten. Dabei wird oft ein „vorläufiges“ Meeting direkt in den Kalender des Opfers eingetragen, ohne dass es die ursprüngliche E-Mail je öffnet. Anschließend manipuliert der Angreifer Felder in der Einladung (z. B. Betreff, Ort, Beschreibung), um dringlich klingende Nachrichten und schädliche Links oder Inhalte einzufügen.

Warum sind Kalenderangriffe so wirksam?

Kalenderangriffe funktionieren, weil sie Vertrauen an einem Ort ausnutzen, an dem niemand einen Angriff erwartet.

Der gemeinsame Nenner dieser Techniken ist eine geladene externe Ressource: ein Bild, ein Link, eine Einladung. Genau das erfasst die übliche Posteingangs-Hygiene nicht, denn Security-Teams haben jahrelang E-Mail-Filter gehärtet, während Kalender weitgehend unbeobachtet blieben.

Einige strukturelle Faktoren machen den Kalender zu einer besonders guten Angriffsfläche:

• Automatische Verarbeitung: Viele Clients tragen Einladungen in den Kalender ein, bevor die E-Mail überhaupt geöffnet wird. Der „Klick“, den der Angreifer braucht, ist damit schon zur Hälfte erledigt.
• Zwei Chancen pro Angriff: Mit Kalendereinladungen hat der Angreifer zwei Chancen bei nur einer Phishing-E-Mail. Selbst wenn jemand im Posteingang alles richtig gemacht hat, kann er später versucht sein, den Termin im Kalender anzuklicken. Wer die Phishing-E-Mail meldet oder löscht, entfernt damit nicht den Kalendereintrag. Der muss separat behandelt werden, und die meisten Melde-Tools sind für E-Mails gebaut, nicht für Kalenderobjekte.
• Verzögerte Zündung: Eine verdächtige Einladung kann tagelang unberührt bleiben und dann als Erinnerung wieder auftauchen. Bis dahin hat das Opfer die ursprünglichen Warnsignale vielleicht vergessen und klickt einfach, um zu „sehen, worum es in diesem Meeting ging“.

Sind Kalenderangriffe eine neue Bedrohung?

Kalenderangriffe wirken wie ein brandneuer Trick, sind es aber nicht. Die Idee ist alt. Angreifer haben sie jahrelang in der Hinterhand behalten und immer dann wieder hervorgeholt und verfeinert, wenn neue Security-Investitionen den Posteingang ein Stück schwerer knackbar gemacht haben.

Was wir jetzt erleben, ist die Reifung der Technik. Derselbe Grundgedanke, der früher wie ein ungeschicktes Spam-Experiment aussah, hat sich zu einem ausgefeilten, gut ausgestatteten Bestandteil groß angelegter Betrugsoperationen entwickelt. Er steht nicht mehr für sich allein, sondern wird mit Credential-Diebstahl, gefälschten Login-Seiten und Remote-Access-Tools verkettet.

In vielen Umgebungen braucht es nicht einmal einen Klick: Kalender sind oft so eingestellt, dass neue Einladungen automatisch hinzugefügt werden. Die Falle steht also schon im Terminkalender des Opfers, bevor es irgendetwas geöffnet hat. Google hat genau dieses Muster in seinem Fraud Advisory vom Juni 2026 hervorgehoben und Calendar Phishing als eine der direktesten und raffiniertesten Techniken bezeichnet, die derzeit gegen Nutzer von Gmail und Google Calendar eingesetzt werden.

Eine Kampagne, die seit Anfang 2026 beobachtet wird und als CalPhishing bekannt ist, zeigt dieses Muster in Aktion: Sie beginnt mit einer E-Mail, die als dringende Admin-Meldung getarnt ist. Im Anhang steckt eine .ics-Datei, die unbemerkt ein „vorläufiges“ Meeting in den Outlook-Kalender des Opfers einträgt, ohne dass die ursprüngliche E-Mail überhaupt geöffnet werden muss.

Health-ISAC, die Informationsaustausch-Organisation des US-Gesundheitssektors, hat die Kampagne im Juni 2026 als Bedrohung für geschützte Gesundheitsdaten (Protected Health Information) eingestuft und Gesundheitsorganisationen empfohlen, die automatische Kalenderverarbeitung als erste Verteidigungslinie einfach abzuschalten.

{{quote}}

Wie erkennen Sie einen Calendar-Phishing-Angriff? Warnsignale

• Eine Einladung von einem Absender, den Sie nicht kennen, oder von jemandem, der sich als IT, HR, Finanzabteilung oder „Behörde“ ausgibt.
• Dringliche oder drohende Formulierungen im Titel, Ort oder in der Beschreibung („Konto wird gesperrt“, „rechtliche Schritte“, „Verlängerung heute erforderlich“).
• Ein Meeting in Ihrem Kalender, das Sie nie angenommen oder geplant haben.
• Links oder QR-Codes in der Beschreibung oder im Ortsfeld, besonders solche, die eine Anmeldung verlangen.
• Aufforderungen, „Ihre Daten zu bestätigen“, eine Gebühr zu zahlen oder eine Nummer anzurufen, um eine Strafe zu vermeiden.
• Druck, sofort zu handeln, oder ein nachfolgender Telefon- oder Videoanruf mit offiziell wirkendem Branding, der die Dringlichkeit erhöhen soll.
• Eine Einladung, die zusammen mit einer sonst unauffälligen oder unerwarteten E-Mail ankommt, besonders mit einer angehängten .ics-Datei.

Was können Organisationen gegen Kalenderangriffe tun?

Den Kalender als aktive Angriffsfläche begreifen: Der wichtigste kulturelle Wandel ist, Mitarbeitenden zu vermitteln, dass der Kalender wie der Posteingang inzwischen ein Ort ist, an dem Angriffe landen.

Awareness-Training auf den Kalender ausweiten: Mitarbeitende lernen, den Posteingang kritisch zu prüfen, den Kalender aber selten. Simulationsprogramme, die neue Angriffswege abdecken, bringen Menschen bei, eine unerwartete Einladung mit derselben Skepsis zu behandeln wie eine unerwartete E-Mail, bevor eine echte Kampagne sie auf die Probe stellt.

Den Kalender separat behandeln: Löschen Sie verdächtige Kalendertermine unabhängig davon, ob Sie die ursprüngliche E-Mail melden, denn das eine entfernt das andere nicht.

.ics-Dateien als aktive Inhalte scannen, nicht als passive Anhänge, und zwar im Rahmen des E-Mail-Security-Scannings.

Automatisches Hinzufügen einschränken: Stellen Sie Kalender-Clients so ein, dass nur Einladungen von bekannten Absendern automatisch hinzugefügt werden (die Einstellung „Bekannte Absender“ in Google Calendar ist ein Beispiel).