Phishing im Kalender: So tricksen Angreifer mit .ics-Dateien

Der Angriff kommt als Termin: harmlos, aber hochgefährlich

Plötzlich steht ein neuer Termin im Kalender. Vielleicht ein „Sicherheits-Briefing“, eine „Kontoprüfung“ oder eine dringende „Hinweissitzung zu Mitarbeiterleistungen“. Der Betreff klingt seriös, die Einladung vertraut. Ein Klick auf „Zusagen“, und der Schaden ist da.

Cyberkriminelle nutzen zunehmend das .ics-Format, um Phishing-Angriffe direkt in digitale Kalender einzuschleusen, wie Rapid7 in einer Analyse berichtet. Diese Kalenderdateien wirken unauffällig, sind textbasiert und gelten als sicher. Genau das macht sie zur perfekten Tarnung. Eingebettete Links, gefälschte Meeting-Seiten oder manipulierte Inhalte landen so ohne weitere Warnung im Tagesplan, und mit ihnen der Betrug.

Das Gefährliche daran: Viele Kalenderprogramme fügen solche Termine automatisch hinzu, ohne dass Nutzer:innen aktiv etwas tun müssen. Wer nicht wachsam ist, tappt in eine Falle, die aussieht wie ein ganz normaler Geschäftstermin.

Das Einfallstor: Ein vertrautes Dateiformat wird zur Schwachstelle

.ics-Dateien gehören zu den unsichtbaren Helfern im digitalen Alltag. Sie koordinieren Termine, synchronisieren Kalender über Dienste wie Outlook, Google oder Apple, und tun das reibungslos. Genau darin liegt die Gefahr.

Die Dateien bestehen aus strukturiertem Text, enthalten Felder wie BETREFF, ORT, BESCHREIBUNG oder ANHANG und lassen sich kinderleicht manipulieren. Angreifer betten in diese Felder gezielt Schadlinks ein. Ob gefälschte Login-Seiten, Weiterleitungen auf Malware oder codierte Inhalte – was nach Organisation aussieht, ist in Wahrheit eine Täuschung.

Das Problem: Sicherheitslösungen stufen .ics-Dateien oft als ungefährlich ein. E-Mail-Filter erkennen sie nicht als Bedrohung, Virenscanner ignorieren sie. Und weil viele Menschen gewohnt sind, Einladungen auch von extern zu erhalten, erscheint das Format harmlos. Doch genau diese Routine machen sich Betrüger zunutze.

Die Masche: Vertrauen ausnutzen, Stress erzeugen, Klicks erzwingen

Die Methode ist einfach, aber hochwirksam. Die Angreifer gestalten die Einladungen professionell. Absendernamen wirken offiziell, Terminbeschreibungen täuschen Dringlichkeit vor. Die Links verstecken sich im Ort- oder Beschreibungstext, führen oft zu täuschend echten Seiten. Die Termine sind häufig so gelegt, dass sie schnelle Reaktion erfordern: „Zugang läuft in 15 Minuten ab“, heißt es dann. Und da viele Kalenderprogramme Einladungen automatisch anzeigen, erscheinen sie ohne Vorwarnung direkt im Tagesablauf.

Ein Klick genügt, und schon beginnt der Angriff. Diese Art der Social Engineering-Attacke ist besonders tückisch, weil sie ohne technische Raffinesse auskommt. Sie setzt nicht auf komplexe Exploits, sondern auf menschliches Verhalten: Vertrauen in Abläufe, Routinen, Gewohnheiten.

Wenn der Kalender zur Bedrohung wird: Warum Schutzsysteme versagen

Die eigentliche Gefahr liegt in der Systemlogik. Kalenderprogramme wie Google oder Outlook verarbeiten .ics-Dateien automatisch. Sogar, ohne dass E-Mails geöffnet werden, erscheinen Termine im Kalender. Damit wird die Einladung Teil der gewohnten Arbeitsumgebung – nicht als Bedrohung, sondern als legitime Erinnerung.

Das ist die Schwachstelle. Sicherheitslösungen sind darauf nicht ausgelegt. Sie suchen nach aktiven Inhalten, Skripten oder ausführbaren Dateien. Doch .ics ist reiner Text – scheinbar harmlos. Hinzu kommt: Kaum ein Unternehmen überwacht den Inhalt von Kalenderdateien systematisch. Das machen sich Angreifer zunutze. Sie arbeiten mit wenig Aufwand, aber maximalem Effekt. Denn wer einen Link im Kalender anklickt, tut das oft ohne Misstrauen. Die Folge: Geklaute Zugangsdaten, kompromittierte Geräte, weitreichende Sicherheitsvorfälle.

Was jetzt zählt: Verteidigung stärken, Vertrauen hinterfragen

Die Bedrohung durch manipulierte .ics-Dateien ist real und kein Einzelfall mehr. Privatanwender, aber vor allem Unternehmen müssen handeln. Zuerst: Kalenderdateien dürfen nicht mehr als sicher gelten. Sie müssen wie aktive Inhalte behandelt werden. Filter sollten nach URLs, Base64-Codes oder Anhangsfeldern suchen.

Standard-Einstellungen in Kalenderprogrammen gehören auf den Prüfstand. Externe Einladungen sollten nicht automatisch hinzugefügt, sondern klar gekennzeichnet werden. Auch technische Schutzmechanismen wie CDR-Lösungen helfen: Sie entschärfen verdächtige Inhalte vor der Anzeige.

Entscheidend ist aber: Mitarbeitende müssen sensibilisiert werden. Jede unerwartete Einladung, jeder dringende Kalendereintrag verdient skeptische Prüfung. Wer Kalendertermine blind akzeptiert, riskiert mehr als nur einen verpassten Termin. Und wer sich auf gewohnte Abläufe verlässt, wird zur Zielscheibe.

Lass dich nicht täuschen: Hinter einem harmlosen Termin kann der Angriff warten. Prüfe, bevor du klickst.

Quelle: Rapid7

Auch lesenswert: Gefälschte Todesfälle: Wie Hacker mit Trauer betrügen