Direkt zum Inhalt

Der Anstieg von CalPhishing-Angriffen im Gesundheitssektor

Am 11. Juni 2026 beobachtete Health-ISAC eine neu auftretende und äußerst schwer zu durchschauende Social-Engineering-Bedrohung, die als CalPhishing (Kalender-Phishing) bekannt ist.

Zusammenfassung:

Bedrohungsakteure nutzen die automatischen Verarbeitungsfunktionen von Unternehmenskalenderanwendungen (wie Microsoft Outlook und Google Kalender) aus, um schädliche Links direkt in die Tagespläne der Mitarbeiter einzuschleusen.

Durch das Einbetten von Phishing-URLs und Mechanismen zum Abgreifen von Zugangsdaten in iCalendar-Dateien (.ics) umgehen Angreifer herkömmliche E-Mail-Sicherheitsmechanismen. Diese anhaltende Bedrohung stellt ein Risiko für geschützte Gesundheitsdaten dar und erfordert sofortiges Handeln der Sicherheitsteams im Gesundheitswesen.

Analyse:

CalPhishing nutzt das implizite Vertrauen der Nutzer in ihre Arbeitskalender und die schnelllebige, von Warnmeldungen geprägte Arbeitsumgebung im Gesundheitswesen aus. Die Angriffskette verläuft typischerweise wie folgt:

  • Erster Zustellungsvorgang: Ein Angreifer versendet eine E-Mail mit einer angehängten .ics-Datei oder einer direkten Kalendereinladung. Der E-Mail-Text ist oft minimal gehalten, um gängige Spam- und Phishing-Filter zu umgehen.
  • Automatische Verarbeitung: E-Mail-Clients für Unternehmen verarbeiten .ics-Dateien oft automatisch und tragen so einen vorläufigen Termin in den Kalender des Opfers ein, ohne dass dieses die Zustellungs-E-Mail überhaupt öffnen muss.
  • Der Köder: Der Kalendereintrag enthält in der Ereignisbeschreibung dringende Nachrichten – wie etwa „Obligatorische Sicherheitsunterweisung“, „Unterschrift der Rechnung erforderlich“ oder „IT-Administrator-Alarm“ – sowie einen schädlichen Link.
  • Token-Diebstahl: Durch Klicken auf den Link wird der Nutzer auf eine gefälschte Anmeldeseite weitergeleitet. Aktuelle Angriffe nutzen eine Technik namens ConsentFix (Gerätecode-Phishing), um Sitzungstoken abzufangen. Dadurch können Angreifer die Multi-Faktor-Authentifizierung (MFA) umgehen und dauerhaften, passwortlosen Zugriff auf Cloud-Umgebungen von Unternehmen erlangen.
  • Persistenz: Das Gefährlichste an CalPhishing ist seine Langlebigkeit. Selbst wenn die ursprüngliche E-Mail gelöscht oder als Spam markiert wird, bleibt der Kalendereintrag aktiv. Erinnerungen auf Desktop und Mobilgeräten fordern den Nutzer weiterhin auf und bieten so mehr Zeit zur Interaktion. Die Bedrohung ist erst dann gebannt, wenn der Eintrag endgültig gelöscht wird.

 

Empfehlungen:

Um die Bedrohung durch CalPhishing zu mindern, sollten Mitglieder von Health-ISAC und Organisationen des Gesundheitssektors die folgenden Schutzmaßnahmen ergreifen:

  • Automatische Verarbeitung deaktivieren: Konfigurieren Sie die E-Mail-Einstellungen Ihres Unternehmens, um die automatische Verarbeitung externer Kalendereinladungen zu deaktivieren. Benutzer müssen externe .ics-Anhänge manuell prüfen und annehmen.
  • Kalenderdateien prüfen: .ics-Dateien als aktive Inhalte behandeln. E-Mail-Sicherheitsgateways aktualisieren, um Kalenderanhänge eingehend auf eingebettete URLs, verdächtige Domains und schädliche Daten zu überprüfen.
  • Zugriffskontrollen verschärfen: Implementieren Sie Richtlinien für bedingten Zugriff, um die Authentifizierungsabläufe des Gerätecodes einzuschränken, die bei diesen Kampagnen zum Diebstahl von Sitzungstoken stark missbraucht werden.
  • Aktualisierung der Abläufe zur Behebung von Sicherheitsvorfällen: Stellen Sie sicher, dass die Verfahren zur Reaktion auf Sicherheitsvorfälle explizite Maßnahmen zum endgültigen Löschen von schädlichen Kalenderartefakten aus betroffenen Postfächern beinhalten, anstatt sich ausschließlich auf das Löschen der ursprünglichen Zustellungs-E-Mails zu verlassen.
  • Gezielte Sensibilisierungsschulung: Medizinisches und administratives Personal sollte gezielt zum Thema Kalender-Phishing geschult werden. Mitarbeiter sollten darin geschult werden, unerwartete Besprechungseinladungen genau zu prüfen, externe Absender zu verifizieren und verdächtige Termine direkt aus ihren Kalendern zu löschen, anstatt die E-Mail einfach zu ignorieren.

 

Vielen Dank an Fortra für die Identifizierung dieser Bedrohung vor einem Monat und für ihren Blogartikel darüber hier:

https://www.fortra.com/blog/new-calendar-invite-Phishing-Kampagnen-ICS-Missbrauchund-Nachhaltigkeit

 

Fernando vom Rady Children's Hospital sagt, dass operatives Engagement der Schlüssel zur Cyberresilienz ist.
Bewährte Verfahren für das Management von Identitäts- und Zugriffsmanagement von Drittanbietern