Web-Meetings:
Wenn der Angreifer mit am virtuellen Tisch sitzt

Der Arup-Fall: Der wohl teuerste Videocall der Welt

Anfang Februar 2024 machte die Polizei in Hongkong einen Fall öffentlich, der seitdem als Lehrbeispiel gilt. Ein Mitarbeiter der Finanzabteilung eines internationalen Konzerns erhielt eine E-Mail, angeblich vom in Großbritannien ansässigen Finanzvorstand. Darin ging es um eine vertrauliche, "geheime" Transaktion. Der Mitarbeiter reagierte zunächst genau richtig: Er hielt die Nachricht für einen Phishing-Versuch.

Doch die Täter hatten vorgesorgt. Sie holten ihn in eine Videokonferenz, in der er den Finanzvorstand und mehrere bekannte Kollegen sah und hörte. Laut Polizei war jede Person in diesem Call, die er sah, eine Fälschung: Die Täter hatten offenbar vorab öffentlich verfügbares Video- und Audiomaterial genutzt und daraus mit KI täuschend echte Deepfakes erzeugt. Die vermeintliche Diskussion unter Führungskräften räumte die letzten Zweifel aus. Der Mitarbeiter tätigte 15 Überweisungen auf fünf Bankkonten in Hongkong - insgesamt 200 Millionen Hongkong-Dollar, rund 25 Millionen US-Dollar. Aufgefallen ist der Betrug erst, als er später bei der Konzernzentrale nachfragte.

Im Mai 2024 bestätigte das britische Ingenieur- und Planungsunternehmen Arup, dass es das betroffene Unternehmen war. Arup erklärte, es seien gefälschte Stimmen und Bilder eingesetzt worden; die eigenen IT-Systeme seien nicht kompromittiert worden. Genau das ist die eigentliche Lehre: Es wurde kein System gehackt. Gehackt wurde das Vertrauen eines Menschen.

Warum Web-Meetings für Angreifer so attraktiv sind

Deepfakes wie bei Arup sind die Spitze des Eisbergs. Die meisten Angriffe über Web-Meetings sind deutlich einfacher - und passieren gerade deshalb häufiger. Dafür gibt es mehrere Gründe.

Erstens können Angreifer im Meeting in Echtzeit Druck ausüben und ihre Taktik spontan an die Reaktionen ihres Gegenübers anpassen. Wer Mimik und Ungeduld eines vermeintlichen Vorgesetzten sieht, gerät schneller unter Stress als bei einer E-Mail. Zweitens lässt sich ein Opfer per Bildschirmübertragung Schritt für Schritt anleiten: Der Angreifer sieht live, welche Warnmeldung erscheint, und erklärt sofort, warum man sie ruhig wegklicken kann.

Drittens wirkt ein Gesicht vertrauenswürdig. Wenn wir jemanden sehen und hören, schaltet unser Gehirn schnell auf Vertrauen - persönliche Interaktion macht Angreifer also nicht verdächtiger, sondern glaubwürdiger. Der Preis dafür: Ein solcher Angriff ist deutlich aufwändiger als eine Phishing-Mail, die mit einem Klick an Tausende geht. Web-Meetings werden deshalb vor allem dort eingesetzt, wo sich der Aufwand lohnt: bei gezielten Angriffen auf Finanzabteilungen, Führungskräfte, IT oder HR.

Drei alltägliche Vorwände

Social Engineers nutzen in Web-Meetings meist ganz gewöhnliche Anlässe. Ein vermeintlicher Neukunde teilt im Chat Dokumente, die er direkt besprechen möchte - und versteckt darin Schadsoftware. Eine angebliche HR-Abteilung will "Mitarbeiterdaten abgleichen" und sammelt dabei Namen, Funktionen und Kontaktdaten für den nächsten Angriff. Ein falscher Kollege aus der IT bittet darum, zur Lösung eines Problems kurz eine Software zu installieren - und erhält damit die volle Kontrolle über den Rechner.

Die Methoden unterscheiden sich, das Ziel ist dasselbe: vertrauliche Informationen, Zugänge und am Ende Geld. Um Vertrauen aufzubauen, treten Angreifer als Kunden, Lieferanten oder Bewerber auf - oder sie nutzen gehackte Accounts echter Kolleginnen und Kollegen. Das ist klassisches Social Engineering, nur mit Kamera und Bildschirmfreigabe.

Die Gefahr beginnt schon vor dem Termin

Gefährlich wird es oft schon, bevor überhaupt jemand im Meeting sitzt. Ein typisches Szenario: Ein neuer Kontakt schreibt über LinkedIn, man vereinbart einen kurzen Austausch, und kurz darauf kommt eine Einladung mit einem scheinbar normalen Teams-Link. Wer darauf klickt, landet auf einer Seite, die zur Anmeldung mit dem Microsoft-Konto auffordert. In Wahrheit ist die Seite gefälscht und sammelt Zugangsdaten.

Wie professionell solche Kampagnen inzwischen sind, zeigte Tom's Guide im August 2025 unter Berufung auf Cloudflare: Angreifer missbrauchten über kompromittierte Konten sogar die Link-Umschreibung von E-Mail-Sicherheitsdiensten, um ihre Links unauffällig zu machen. Die Köder waren unter anderem gefälschte Benachrichtigungen im Stil von Microsoft Teams; das Ziel waren Microsoft-365-Zugangsdaten.

Ein zweiter Trick setzt auf Ungeduld. Im Februar 2026 beschrieb Malwarebytes eine gefälschte Zoom-Seite, die ein laufendes Meeting mit Teilnehmern und "Netzwerkproblemen" vorspielt. Nach wenigen Sekunden erscheint ein angebliches Pflicht-Update mit Countdown - und im Hintergrund wird eine Datei heruntergeladen, die eine missbräuchlich verteilte Version der kommerziellen Überwachungssoftware Teramind installiert. Diese kann unter anderem Tastatureingaben und Bildschirminhalte aufzeichnen. Wer ohnehin von einem Termin zum nächsten hetzt, klickt so etwas schnell weg.

Wenn das Risiko vom eigenen Schreibtisch kommt

Nicht jedes Risiko ist ein Angriff. Manchmal verhalten wir uns schlicht selbst unachtsam. Ein unbekannter Gast, der still im Call sitzt, kann ein Social Engineer sein, der das gesamte Meeting mitschneidet - samt Interna, Strategien und Zahlen. Ein versehentlich geteiltes Outlook-Fenster ist ein Klassiker: Schon Betreffzeilen können Projektcodes, Absatzzahlen oder die Namen von Neukunden verraten.

Dazu kommen Geräte und Gegenstände im Raum. Smarte Lautsprecher warten auf ihr Aktivierungswort; klingt ein Wort im Gespräch ähnlich, kann das Gerät unbeabsichtigt anspringen und Gesprächsfetzen in die Cloud übertragen. Und ein Whiteboard im Hintergrund ist auch dann ein Problem, wenn es nur kurz im Bild war: Wird das Meeting aufgezeichnet, lässt sich das Video später in Ruhe anhalten und auswerten.

Sechs Regeln für sichere Web-Meetings

Und was ist mit Sicherheitssoftware?

Sicherheitssoftware ist ein wichtiger Baustein: Virenschutz, E-Mail-Filter und Endpoint-Schutz blockieren viele Schadprogramme, die über Anhänge oder gefälschte Updates kommen. Aber sie hat Grenzen. Einen überzeugenden Gesprächspartner erkennt sie nicht, eine freiwillig ausgeführte Überweisung verhindert sie nicht, und legitime Fernwartungs- oder Überwachungsprogramme lassen sich nicht immer zuverlässig von böswilligem Einsatz unterscheiden. Deshalb versuchen Angreifer im Meeting gezielt, Warnungen kleinzureden oder ihr Opfer dazu zu bringen, den Schutz selbst abzuschalten. Die Regel ist einfach: Wer Sie bittet, eine Sicherheitsfunktion zu deaktivieren, ist ein Warnsignal - kein Helfer.

Was Awareness-Teams daraus mitnehmen sollten

Für CISOs und Awareness-Verantwortliche ist die wichtigste Lehre: Web-Meetings sind kein Randthema der IT, sondern ein zentraler Arbeitsort - und damit ein zentraler Angriffsort. Technische Maßnahmen wie Lobby-Einstellungen, Einschränkungen für externe Teilnehmer oder geprüfte Software-Verteilung sind wichtig. Entscheidend ist aber, dass Mitarbeitende im Moment des Drucks wissen, dass sie Nein sagen dürfen.

Das gelingt nicht durch Verbote, sondern durch klare Prozesse und Übung: verbindliche Rückrufwege bei Zahlungsanweisungen, eine eindeutige Regel, dass die IT niemals per Meeting zur Installation auffordert, und Führungskräfte, die Verifikation ausdrücklich begrüßen statt als Misstrauen zu werten. Wer Manipulation einmal selbst erlebt hat, erkennt sie leichter wieder.

Wie sich Manipulation im Gespräch anfühlt, zeigt unser Impuls Manipulation live erleben. Dass Stimmen heute ebenso gefälscht werden können wie Gesichter, beschreibt KI-Agenten - und was passiert, wenn ein Angreifer erst einmal Zugriff auf einen Rechner hat, zeigt unser Impuls zu Ransomware.

Fazit

Web-Meetings wirken vertraut und harmlos. Genau deshalb sind sie ein ideales Einfallstor: Ein Gesicht schafft Vertrauen, Zeitdruck verdrängt Zweifel, und eine Bildschirmfreigabe öffnet Türen, die sonst geschlossen blieben. Der Arup-Fall zeigt, wie weit das gehen kann - die alltäglichen Fälle zeigen, wie oft es passiert.

Der beste Schutz ist keine neue Software, sondern eine Haltung: aufmerksam bleiben, wenn etwas vom Gewohnten abweicht - egal, wer gerade auf dem Bildschirm zu sehen ist.