Phishing ist längst mehr als verdächtige Links: Kalendereinladungen, QR-Codes und angehängte E-Mails

Eine Nachricht braucht keinen offensichtlichen Tippfehler und keinen seltsamen Link, um einen zweiten Blick zu verdienen. Sie kann als Kalendereinladung kommen, ihr Ziel hinter einem QR-Code verstecken oder dich bitten, eine weitere E-Mail zu öffnen, die an die erste angehängt ist.

Microsofts Bericht zu E-Mail-Bedrohungen im 2. Quartal 2026, veröffentlicht am 23. Juli, beschreibt Kampagnen, die verschachtelte EML-Anhänge, Kalendereinladungen und eine Weiterleitung über die Microsoft-Authentifizierung kombinieren. Die praktische Lehre: Beurteile die Anfrage über den gesamten Ablauf hinweg, auch wenn einzelne Schritte vertraut aussehen.

Auch eine Kalendereinladung ist eine Nachricht von jemandem

Ein Kalendereintrag kann offizieller wirken als eine E-Mail, weil er neben Terminen erscheint, die du tatsächlich vereinbart hast. Behandle eine unerwartete Einladung als ungeprüften Inhalt. Ein Titel, der nach Rechnung, Sicherheitshinweis oder Abo-Verlängerung aussieht, sagt nichts darüber, wer sie geschickt hat.

Eine Einladung, die behauptet, ein Abo verlängere sich heute, enthält zum Beispiel vielleicht eine Telefonnummer zum „Kündigen“. Ruf nicht die Nummer aus der Einladung an, sondern öffne den Dienst über die gewohnte App oder dein gespeichertes Lesezeichen und prüfe das Konto dort.

Nutze bei Bedarf die Melde- oder Spam-Funktion der Einladung. Antworte nicht nur, um zu fragen, ob eine offensichtlich unaufgeforderte Forderung echt ist. Bezieht sie sich auf einen Termin, den du erwartet hast, frag beim Organisator über einen bestehenden Kontaktweg nach.

Ein QR-Code ändert den Weg, nicht die Vertrauensfrage

Wer einen Code scannt, verlagert den Vorgang oft vom Computer aufs Handy. Bei diesem Wechsel verliert man Absender und ursprüngliche Anfrage leichter aus dem Blick. Ein Code mit der Aufschrift „sicheres Dokument“ ist trotzdem nur ein Weg zu einem Ziel.

Wenn dich eine berufliche Nachricht bittet, zum Anmelden einen QR-Code zu scannen, öffne stattdessen den Dienst deiner Arbeit direkt. Bei einem erwarteten Code sieh dir das Ziel an, das dein Scanner anzeigt, bevor du es aufrufst. Gib keine Zugangsdaten ein, nur weil die Seite ein vertrautes Branding trägt.

Eine angehängte E-Mail kann eine weitere Ebene der Überredung tragen

Eine .eml-Datei ist eine normale E-Mail-Datei, nützlich, um eine Nachricht unverändert weiterzuleiten oder ein Archiv zu führen. Die Dateiendung macht ihren Inhalt nicht vertrauenswürdig. Eine angehängte Nachricht kann Links, Dateien und Behauptungen enthalten, genau wie die Nachricht, mit der sie kam.

Ein erfundenes Gespräch in einem Anhang kann den Eindruck erwecken, Kollegen hätten eine Zahlung oder ein Dokument bereits freigegeben. Prüfe diese Behauptung beim echten Kollegen über eine bekannte Adresse oder Telefonnummer. Klick dich nicht durch eine Kette von Anhängen, nur weil jeder verspricht, dass der nächste das Dokument enthält.

Prüfe, was die Nachricht von dir verlangt

Bevor du dich anmeldest, einen Code weitergibst, eine Datei öffnest oder Geld überweist, halte bei vier Fragen inne:

• Habe ich das erwartet? Ordne die Anfrage einer echten Aufgabe oder einem echten Gespräch zu.
• Kann ich das unabhängig prüfen? Nutze einen bestehenden Kontakt oder öffne den Dienst direkt.
• Passt das Ziel zur Aufgabe? Ein vertrautes Seitendesign beweist nicht, wem die Seite gehört.
• Warum die Eile? Eine Frist, die vom Prüfen abhält, verdient einen genauen Blick.

Bei geänderten Zahlungsdaten prüfe über einen Kanal, den ihr schon vorher genutzt habt. Wer eine Nummer aus derselben verdächtigen Nachricht anruft, bekommt keine unabhängige Bestätigung.

Wenn du schon reagiert hast

Wenn du berufliche Zugangsdaten eingegeben, eine unerwartete Anmeldung bestätigt oder eine verdächtige Datei geöffnet hast, wende dich umgehend an das Sicherheitsteam deiner Organisation. Erkläre, was passiert ist, und bewahre die Originalnachricht für die Untersuchung auf. Bei einem privaten Konto nutze die offiziellen Wiederherstellungs- und Sicherheitsseiten des Anbieters, die du direkt aufrufst, um die Zugriffe zu prüfen.

Wenn Geld überwiesen wurde, kontaktiere sofort die Bank oder den Zahlungsdienst über den offiziellen Kanal. Bewahre die Nachricht und die Transaktionsdetails auf. Je schneller du es meldest, desto mehr können die Zuständigen noch unternehmen.

Was ein Archiv kann und was nicht

Ein gespeichertes Original hilft dir, Absender, Zeitpunkt und Anweisungen später nachzuvollziehen. MailVault speichert archivierte E-Mails als normale .eml-Dateien, sodass die Nachricht zur Prüfung verfügbar bleibt. Das ist ein Vorteil für die Dokumentation, keine Garantie, dass eine Nachricht sicher ist. Diese Angaben zur Dateistruktur gelten für das Standardformat Maildir. Unter Einstellungen → Speicher gibt es auch JMAP-Speicher, der die ursprünglichen Nachrichtenbytes mit JSON-Datensätzen aufbewahrt und identische Nachrichten dedupliziert.

Wende bei archivierten E-Mails dieselben Prüfungen an wie im laufenden Posteingang. Eine lokale Kopie bewahrt einen schädlichen Link genauso getreu wie eine echte Quittung. Behalte den Beleg, prüfe die Anfrage und nutze das Meldeverfahren deines Anbieters oder deiner Organisation, wenn dir etwas seltsam vorkommt.

Geschrieben am 1. Oktober 2026. Funktionen und Verfügbarkeit der Anbieter können sich ändern; lies die verlinkten offiziellen Hinweise, bevor du deine Einrichtung änderst.