Cyberkriminelle haben einen neuen Weg gefunden, um E-Mail-Filter und Spam-Blocker zu umgehen: Sie rufen Mitarbeiter direkt über Microsoft Teams an. Eine aktuelle Kampagne, die mit der Chaos-Ransomware in Verbindung gebracht wird, zeigt, wie Angreifer Sprachphishing („Vishing“) innerhalb von Teams einsetzen, um Mitarbeiter dazu zu bringen, Netzwerkzugänge preiszugeben – was letztlich zur Verbreitung von Ransomware in den gesamten Unternehmenssystemen führt.

Das ist nicht einfach nur eine weitere Phishing-Mail-Geschichte. Es ist ein Zeichen dafür, dass Angreifer gezielt die Kollaborationsplattformen ins Visier nehmen, denen Millionen von Mitarbeitern inzwischen standardmäßig vertrauen, und es zwingt Unternehmen dazu, ihre Schulungen zur Erkennung von Social Engineering grundlegend zu überdenken.

So funktioniert der Microsoft Teams Vishing-Angriff

Anders als herkömmliches Phishing, das auf einen bösartigen Link oder Anhang im Posteingang setzt, setzt diese Angriffsmethode auf einen direkten Sprachanruf. Die Angreifer kontaktieren Mitarbeiter über Microsoft Teams, geben sich häufig als interner IT-Support oder vertrauenswürdiger Dienstleister aus und erzeugen während des Anrufs Dringlichkeit und Glaubwürdigkeit. Da die Interaktion auf einer Plattform stattfindet, die Beschäftigte jeden Tag für legitime Arbeitsanfragen nutzen, entfällt die psychologische Hürde, die sie normalerweise bei unaufgeforderten E-Mails misstrauisch werden lässt.

Sobald Vertrauen aufgebaut ist, verfolgt der Angreifer ein einfaches Ziel: das Opfer zu einer Handlung zu bewegen, die Fernzugriff gewährt – sei es durch die Bestätigung einer Anmeldeaufforderung, die Installation eines Fernwartungstools oder die Preisgabe von Zugangsdaten unter dem Vorwand eines Support-Tickets. Von dort aus hat der Angreifer einen Fuß in der Tür des Firmennetzes, was den Weg für die Ransomware-Nutzlast ebnet.

Dieses Vorgehen spiegelt einen allgemeinen Trend wider, bei dem Angreifer Microsoft 365-Umgebungen ausnutzen, anstatt direkt Softwareschwachstellen anzugreifen. Es erinnert an Taktiken, die bei der Storm-2949-Kampagne, die auf das Zurücksetzen von Microsoft 365-Passwörtern abzielt, beobachtet wurden, bei der Bedrohungsakteure vertrauenswürdige Cloud-Workflows manipulierten, anstatt sich allein auf Malware zu verlassen.

Warum Sprachphishing die traditionelle Sicherheitsschulung umgeht

Die meisten Schulungsprogramme zur Sicherheitssensibilisierung in Unternehmen sind auf E-Mails ausgerichtet: Klicken Sie nicht auf unbekannte Links, prüfen Sie die Absenderadresse, fahren Sie mit der Maus über Links, bevor Sie vertrauen. Sprachphishing hebelt fast all diese Schulungen aus, denn es gibt keine E-Mail, die man unter die Lupe nehmen könnte, keine offensichtlich gefälschte Domain und keine statische Nachricht, die ein Mitarbeiter ruhig an das Sicherheitsteam zur Prüfung weiterleiten kann.

Ein direkter Telefon- oder Teams-Anruf übt zudem sozialen Druck aus, wie es eine E-Mail nicht kann. Eine ruhige, professionell klingende Stimme, die sich als IT-Support ausgibt und dabei reale interne Begriffe oder aktuelle Unternehmensereignisse anführt, kann einen Mitarbeiter zu schnellem Gehorsam bewegen, bevor dieser die Zeit zum kritischen Nachdenken hat. Genau diese Kombination aus vertrauenswürdiger Plattform, Echtzeit-Druck und unzureichender Vorbereitung der Mitarbeiter macht Vishing zu einem attraktiven Einstiegspunkt für Ransomware-Akteure.

Was die Chaos-Ransomware im Netzwerk anrichtet

Haben die Angreifer über den Vishing-Anruf erst einmal Zugang erlangt, folgt im nächsten Schritt die Verbreitung der Chaos-Ransomware. Wie andere Ransomware-Familien ist Chaos darauf ausgelegt, sich in einem kompromittierten Netzwerk zu bewegen, Dateien und Systeme zu verschlüsseln und die Daten als Geisel zu nehmen, bis ein Lösegeld gezahlt wird. Der Schaden beschränkt sich nicht auf einen einzelnen Rechner; Ransomware-Betreiber versuchen üblicherweise, sich vor dem Start der Verschlüsselung so weit wie möglich im Netzwerk auszubreiten, um den Druck auf das Opferunternehmen zu maximieren, zu bezahlen.

Das Besondere an dieser Kampagne ist weniger die Ransomware selbst als vielmehr die Angriffsmethode: Indem sie sich über einen vertrauenswürdigen Kommunikationskanal einen legitim wirkenden Zugang verschaffen, können Angreifer unter Umständen mehrere technische Schutzschichten überspringen, die normalerweise verdächtige Downloads oder ungewöhnliche Anmeldeversuche erkennen würden.

Schutzmaßnahmen für mobiles und hybrides Arbeiten: MFA, VPNs und Sprachverifikation

Für Unternehmen mit verteilten oder hybriden Teams ist diese Art von Angriff eine Mahnung, dass die Identitätsprüfung über E-Mail- und Anmeldebildschirme hinausgehen muss. Einige praktische Schritte können das Risiko deutlich verringern:

  • Fordern Sie Multi-Faktor-Authentifizierung (MFA) für alle Fernzugriffe und sensiblen Systeme und schulen Sie die Mitarbeiter, niemals eine MFA-Aufforderung zu bestätigen, die sie nicht selbst ausgelöst haben.
  • Legen Sie eine klare, unternehmensweite Richtlinie zur Verifizierung von IT-Supportanfragen fest – etwa, dass Mitarbeiter über eine bekannte interne Nummer zurückrufen müssen, anstatt einem eingehenden Teams-Anruf oder einer Chat-Nachricht zu vertrauen.
  • Setzen Sie ein VPN zusammen mit strengen Zugriffskontrollen ein, damit selbst bei kompromittierten Zugangsdaten die laterale Bewegung im Netzwerk erschwert wird.
  • Erweitern Sie das Phishing-Bewusstseinstraining auf Sprach- und Chat-basierte Social-Engineering-Angriffe, nicht nur auf E-Mails.

Was das für Sie bedeutet

Wenn Sie in einer hybriden oder mobilen Arbeitsumgebung tätig sind und Microsoft Teams regelmäßig nutzen, begegnen Sie unerwarteten Anrufen oder Nachrichten vom „IT-Support“ mit derselben Skepsis, die Sie einer verdächtigen E-Mail entgegenbringen würden. Seriöse IT-Abteilungen wenden sich selten unaufgefordert über Chat-Plattformen an Sie und fordern Sie auf, Software zu installieren oder Zugriffsanfragen sofort zu bestätigen. Legen Sie im Zweifel auf, verifizieren Sie die Anfrage über einen offiziellen Kanal und melden Sie den Vorfall umgehend Ihrem Sicherheitsteam.

Wichtige Erkenntnisse

Die Zunahme von Ransomware-Angriffen per Microsoft Teams Vishing zeigt, dass Cyberkriminelle sich schneller anpassen als viele Schulungsprogramme in Unternehmen. Da Kollaborationstools zur neuen Frontlinie für Social Engineering werden, müssen Organisationen ihre Abwehrmaßnahmen entsprechend aktualisieren: MFA-Richtlinien verschärfen, IT-Verifikationsverfahren formalisieren und sicherstellen, dass Mitarbeiter verstehen, dass Vertrauen in eine Plattform nicht gleichbedeutend mit Vertrauen in jede Person ist, die sie nutzt. Wachsam gegenüber unaufgeforderten Sprachanrufen und Chat-Anfragen zu bleiben – so überzeugend sie auch klingen mögen – ist nach wie vor eine der einfachsten und effektivsten Methoden, einen Ransomware-Angriff zu stoppen, bevor er beginnt.