Ein Termin, den Sie nie angenommen haben, steht plötzlich in Ihrem Kalender. Betreff: „Neue Unternehmensrichtlinie: Dokument bestätigen“. Die Erinnerung poppt pünktlich auf, der Link ist nur einen Klick entfernt – und genau darauf setzen die Angreifer.
Phishing kennen wir alle, dazu Quishing mit QR-Codes und Smishing per SMS. CalPhishing – kurz für Calendar Phishing – bringt Phishing direkt in den Kalender. Statt auf eine verdächtige E-Mail zu setzen, nutzen die Täter Termineinladungen. Viele Kalender tragen solche Einladungen automatisch ein, ohne dass jemand zugesagt hat. Und anders als eine E-Mail verschwindet der Termin nicht, nur weil die Nachricht gelöscht oder aussortiert wurde.
Der Oktober-Cyber-Snack zeigt, wie dieser Trick funktioniert, warum er gerade so stark zunimmt und was Sie tun sollten, wenn ein fremder Termin auftaucht.
So landet ein fremder Termin in Ihrem Kalender
Die Einladung landet zweimal: im Postfach und im Kalender. Wird nur die E-Mail entfernt, bleibt der Termin.
Eine Termineinladung ist technisch eine E-Mail mit einer Kalenderdatei im Anhang, meist im Format .ics. Outlook, Microsoft 365 und Google Kalender verarbeiten solche Dateien in vielen Konfigurationen automatisch: Der Termin wird eingetragen, bevor jemand die Nachricht überhaupt geöffnet hat. In Outlook erscheint er dann mit dem Status „Vorläufig“ – unauffällig, aber sichtbar.
Genau das macht die Masche so wirksam. Sicherheitsforscher von Sublime Security beschreiben es so: Einladungen gehen an Kalender und Postfach gleichzeitig – das bedeutet doppelte Angriffsfläche. Selbst wenn der Spamfilter die E-Mail in die Quarantäne verschiebt, kann der Termin bereits im Kalender stehen.
Erste Hilfe bei einem fremden Termin
Nicht auf den Link im Termin klicken. Den Termin an Security oder IT melden. Dann den Termin ablehnen, ohne eine Antwort zu senden – nicht nur die E-Mail löschen. Ist die Mail schon gelöscht, den Termin im Kalender suchen und sofort entfernen.
Der Fall: „Domain abgelaufen“ und „Signatur fehlt“
Den Begriff CalPhishing hat im Mai 2026 das Forschungsteam von Fortra geprägt. Es beschrieb eine Kampagne, die seit Anfang 2026 aktiv war und gezielt auf Microsoft-365-Konten zielte. Die Termine trugen Betreffzeilen wie „[Urgent]: Domain Renewal Failed“ oder „Reminder for Signature – Vendor Information Verification“, also genau die Art von Verwaltungsaufgabe, die man schnell erledigen möchte.
Vom Kalender-Link über eine falsche Sicherheitsprüfung bis zum gestohlenen Zugang: Bis zum Schluss wirkt alles legitim.
Wer auf den Link im Termin klickte, landete zuerst auf einer gefälschten Sicherheitsprüfung im Stil von Cloudflare, danach auf einer nachgebauten DocuSign- oder Domain-Registrar-Seite. Am Ende stand eine echte Microsoft-Anmeldeseite, auf der ein Gerätecode eingegeben werden sollte. Genau das ist der Trick: Wer den Code eingibt, meldet nicht sich selbst an, sondern das Gerät der Angreifer. Die Täter erhalten so ein gültiges Zugangstoken – und die Zwei-Faktor-Authentifizierung hat das nicht verhindert, weil das Opfer sie selbst bestätigt hat.
Andere Varianten sind schlichter, aber nicht weniger gefährlich. Mimecast dokumentierte im Juni 2026 eine Kampagne mit absichtlich fehlerhaften Kalenderdateien, die einen QR-Code enthielten – verschickt über Google-Infrastruktur und damit mit gültigen Absenderprüfungen. Im Visier standen laut Mimecast vor allem Großbritannien, Deutschland und die USA.
Der Spamfilter hat die Mail erwischt. Den Termin nicht.
Eine Welle im Herbst 2026
Seit dem Spätsommer hat CalPhishing deutlich Fahrt aufgenommen. Sublime Security verzeichnete im August 2026 ein Plus von 1.216 Prozent gegenüber dem Vormonat und rechnete für den Zeitraum von Mai bis September mit einem Anstieg von rund 33.000 Prozent. Check Point zählte allein ab dem 25. September 2026 mehr als 302.000 einzelne Phishing-Mails mit gefälschten Kalendereinladungen an über 40.000 Organisationen. Am 8. Oktober waren es an einem einzigen Tag fast 200.000.
Die Köder sind dabei so vielfältig wie im klassischen Phishing: fehlgeschlagene Zahlungen, gesperrte Konten, Rechnungen, Teams-Besprechungen, neue Richtlinien. Neu ist nur der Ort, an dem sie warten.
Wie gefälschte Einladungen zu Online-Meetings funktionieren, zeigt auch unser Impuls zu Web-Meetings. Und warum ein einziger Klick der Anfang eines viel größeren Angriffs sein kann, erklärt der Impuls zu Ransomware.
Warum Löschen allein nicht reicht
Die Mail ist längst gelöscht, der Termin meldet sich trotzdem – manchmal erst Monate später.
Der natürliche Reflex bei einer verdächtigen Einladung ist: E-Mail löschen, fertig. Beim Kalender funktioniert das nicht. Microsoft beschreibt das Verhalten in Outlook ausdrücklich: Wird die Einladung gelöscht, bleibt der vorläufige Termin im Kalender stehen. Auch das Verschieben in den Junk-Ordner entfernt ihn laut Fortra nicht.
Besonders tückisch: Ein Termin kann weit in der Zukunft liegen. Dann taucht die Erinnerung erst Wochen oder Monate später auf, wenn sich niemand mehr an die seltsame Mail erinnert. Was dann auf dem Bildschirm erscheint, ist kein Spam mehr, sondern eine Benachrichtigung aus dem eigenen Kalender.
Warum der Trick so gut funktioniert
Vier Eigenschaften machen CalPhishing besonders tückisch. Erstens erscheint der Eintrag ohne Zusage: Er ist als „Vorläufig“ markiert und wird blass dargestellt, die Erinnerung poppt aber trotzdem auf und blendet Text und Link ein. Zweitens der Zeitdruck: Meldet Outlook „In 15 Minuten fällig“, klingt das dringend – und wer unter Druck steht, handelt schneller und unüberlegter. Drittens das Vertrauen ins System: Eine Kalendermeldung legt nahe, dass wir den Eintrag selbst angelegt haben oder jemand, den wir kennen. Viertens bleibt der Termin bestehen, auch wenn die verdächtige E-Mail längst gelöscht ist.
Am Ende steht trotzdem der klassische Phishing-Link. Der Kalender ist nur die Verpackung, die ihn glaubwürdiger macht. Die gute Nachricht: Gegen CalPhishing kann man sich sehr wirksam schützen – im Cyber Snack geben Eric und Tomislav dem Schutz eine 9 von 10, wenn man ein paar Grundregeln beachtet.
Vier Annahmen im Faktencheck
Annahme: Was im Spam-Ordner landet, kann nicht mehr schaden. Falsch. Die E-Mail mag aussortiert sein, der Termin kann trotzdem im Kalender stehen und sich später melden.
Annahme: Wenn ich die Mail lösche, ist auch der Termin weg. Falsch. In Outlook bleibt ein automatisch eingetragener, vorläufiger Termin nach dem Löschen der Einladung bestehen. Er muss im Kalender selbst entfernt werden.
Annahme: Links im Kalender werden automatisch geprüft und sind deshalb sicher. Falsch. Ein Link in einem Termin ist genauso wenig geprüft wie ein Link in einer E-Mail. Er wirkt nur vertrauenswürdiger, weil er aus dem eigenen Kalender kommt.
Wahrheit: Auch eine echte Microsoft-Seite kann Teil des Angriffs sein. Richtig. Beim Gerätecode-Phishing landen Opfer auf der echten Anmeldeseite – und geben dort einen Code ein, der den Angreifern Zugang verschafft.
Drei Regeln für verdächtige Einladungen
1. Melden statt still löschen
Melden Sie verdächtige Einladungen sofort an Security oder IT. So lässt sich prüfen, ob dieselbe Einladung auch in anderen Kalendern steckt.
2. Termin ablehnen, nicht nur die Mail löschen
Entfernen Sie den Termin im Kalender selbst. In Outlook am besten über „Ablehnen“ mit der Option, keine Antwort zu senden – so bestätigen Sie den Tätern nicht, dass Ihre Adresse aktiv ist. Outlook entfernt den Termin dann aus dem Kalender, meist verschwindet auch die E-Mail automatisch. Ist die Mail schon weg, suchen Sie den Termin im Kalender und löschen ihn dort.
3. Links in Ruhe prüfen
Öffnen Sie Links aus Terminen nie unter Zeitdruck. Geben Sie keine Zugangsdaten, persönlichen Daten oder Gerätecodes ein, wenn Sie nicht sicher sind, wer den Termin angelegt hat. Im Zweifel: nicht klicken.
Was Security- und Awareness-Teams daraus mitnehmen sollten
Für CISOs und Awareness-Verantwortliche zeigt CalPhishing, dass ein Spamfilter allein nicht mehr die letzte Verteidigungslinie ist. Wenn eine Mail in der Quarantäne landet, der Termin aber im Kalender bleibt, braucht es zwei Dinge: Prozesse, die bei einer Bereinigung auch die zugehörigen Kalendereinträge entfernen, und Mitarbeitende, die einen fremden Termin als Warnsignal erkennen.
Ebenso wichtig ist eine klare Meldekultur. Wer einen verdächtigen Termin an Security oder IT meldet, statt ihn still zu löschen, hilft dabei, die ganze Kampagne im Unternehmen zu finden – denn dieselbe Einladung steckt meist in vielen Kalendern gleichzeitig.
Drei Stellschrauben für die IT
Prüfen, ob externe Einladungen automatisch in Kalender eingetragen werden, und das bei Bedarf einschränken. Bei der Bereinigung gemeldeter Phishing-Mails auch die zugehörigen Kalendereinträge entfernen. Und die Anmeldung per Gerätecode über Richtlinien für bedingten Zugriff auf die Fälle begrenzen, in denen sie wirklich gebraucht wird.
Fazit
CalPhishing ist kein neuer Angriff, sondern klassisches Phishing an einem neuen Ort. Der Kalender verleiht dem Köder Glaubwürdigkeit, Zeitdruck und Ausdauer: Er bleibt, auch wenn die E-Mail längst weg ist.
Deshalb gelten drei Merksätze: fremde Termine melden, Einladungen ablehnen statt nur die Mail zu löschen, und Links nie unter Zeitdruck öffnen. Wer unsicher ist, klickt nicht und gibt keine Daten ein.
Quellen
Fortra Intelligence and Research Experts (FIRE), 14. Mai 2026: „New Calendar Invite Phishing Campaign: ICS Abuse and Post-Delivery Persistence“; Mimecast Threat Research, 17. Juni 2026: „The Rise of Calendar Invite Abuse“.
Sublime Security, 17. September 2026: „Sublime observes massive uptick in ICS phishing and calendar-based malware attacks“; Check Point, 15. Oktober 2026: „Fake Calendar Invites Target Thousands of Organizations in Microsoft Credential-Phishing Campaign“; Help Net Security, 20. Oktober 2026: „Quarantined, but still on your calendar“.
Microsoft Learn: „Remove a tentative meeting that's automatically added to your calendar“ (Outlook für Microsoft 365, 2021, 2019 und 2016).
