Telefonbetrug mit Fernzugriff: Arctic Wolf dokumentiert über 400 Angriffe

Kriminelle setzen verstärkt auf eine Kombination aus Telefonanrufen und Bildschirmfreigaben, um Nutzer zur Installation schädlicher Anwendungen oder zur Preisgabe vertraulicher Informationen zu verleiten. Sicherheitsbehörden und IT-Dienstleister registrieren dabei zunehmend raffinierte Vorgehensweisen, die von gezielten Angriffen auf Unternehmensnetzwerke bis hin zu Betrugsversuchen an Privatpersonen reichen.

Gezielte Angriffe über Kollaborationstools

Das Sicherheitsunternehmen Arctic Wolf dokumentierte in einer aktuellen Untersuchung über 400 Fälle einer groß angelegten Angriffskampagne. Die Täter überfluten ihre Zielpersonen zunächst mit massenhaften Spam-Mails.

Nur wenige Minuten nach dieser Flut kontaktieren sie die Betroffenen über Microsoft Teams per Nachricht oder Anruf und geben sich als Mitarbeiter des internen IT-Service aus, teils unter englischsprachigen Namen wie Liam, Ethan oder Scott.

Unter dem Vorwand, bei der Behebung des E-Mail-Problems zu helfen, fordern die Angreifer eine Fernwartungssitzung an. Hierfür nutzen sie bevorzugt das in Windows integrierte Tool Quick Assist mittels eines sechsstelligen Codes oder veranlassen die Installation von Fernzugriffssoftware wie AnyDesk oder ScreenConnect als zweiten Kanal.

In erfolgreichen Verläufen führten die Kriminellen in weniger als 15 Minuten Schadcode aus, um Netzwerke für spätere Ransomware-Angriffe zu kartieren.

Ursächlich für diese Angriffe ist laut Arctic Wolf die standardmäßig aktivierte externe Kommunikation in Microsoft Teams und keine Schwachstelle der Software. In 30 bis 40 Prozent der untersuchten Fälle griffen die Täter auf die Standarddomain „onmicrosoft.com“ zurück.

Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenloses E-Book: Cyber Security Bedrohungen abwenden

Bei den kostenpflichtigen Domains endete rund die Hälfte auf „.top“, während in mehr als 100 Fällen Emojis in den Anzeigenamen auf den Einsatz künstlicher Intelligenz hinwiesen. Das Unternehmen empfiehlt Schulungen sowie Positivlisten für vertrauenswürdige Kontakte. Microsoft plant ab November 2026 eine schrittweise Einführung KI-gestützter Phishing-Erkennung.

Vorfall im Rhein-Erft-Kreis verdeutlicht Gefahren für Verbraucher

Wie verheerend derartige Täuschungen im privaten Umfeld wirken, zeigt ein Vorfall aus Pulheim vom 26. Oktober 2026. Wie die Polizei des Rhein-Erft-Kreises mitteilte, erhielt ein Mann am Montagmorgen gegen 7.30 Uhr eine E-Mail zur Datenaktualisierung bei einem Steuerportal. Der enthaltene Link führte zu einer täuschend echten Internetseite, auf der er persönliche Daten hinterlegte.

Wenige Stunden später folgte ein Anruf eines vermeintlichen Bankmitarbeiters. Im Telefondisplay erschien durch Rufnummernmanipulation der Name der Bank des Opfers. Nach dem Herunterladen weiterer Software autorisierte der Mann mehrere Überweisungen per TAN, da die Täter diese Schritte als angebliche Legitimation der Datenaktualisierung tarnten.

Das Kriminalkommissariat 12 ermittelt in dem Fall. Die Polizei rät, bei unklaren Anrufen sofort aufzulegen und Rücksprache über offizielle Rufnummern zu halten, da Bankmitarbeiter weder Zugangsdaten abfragen noch Software-Downloads verlangen.

Wer sich vor derartigen Betrugsmaschen und psychologischen Manipulationstaktiken am Telefon oder per E-Mail schützen möchte, findet in diesem Leitfaden die passenden Abwehrstrategien. Das kostenlose Anti-Phishing-Paket zeigt in 4 Schritten, wie Sie Angriffe stoppen, bevor sie entstehen. Anti-Phishing-Paket jetzt gratis herunterladen

Internationale Dimension der Masche

Auch internationale Daten belegen die Reichweite der Methode. Die japanische Sicherheitsbehörde IPA registrierte für den Zeitraum von Juli bis September 2026 insgesamt 3.369 Beratungen. Auf gefälschte Virenwarnungen entfielen 1.160 Fälle (34,4 Prozent), was die häufigste Betrugsmasche darstellte.

Zwar sank dieser Wert um 18,8 Prozent gegenüber den 1.428 Fällen im Zeitraum von April bis Juni, er lag jedoch rund 1,8-fach über den 647 Meldungen des Vorjahresquartals. Unbefugte Logins folgten mit 395 Beratungen (11,7 Prozent). Kriminelle leiten Opfer über gefälschte Vollbild-Warnungen zu supportanrufen, verlangen Fernzugriff und fordern Gebühren von Zehntausenden bis circa 100.000 Yen.

In Deutschland warnt die Kassenärztliche Vereinigung Hessen parallel vor missbräuchlichen Anrufen unter der vorgetäuschten Notdienstnummer 116117, bei denen Betrüger per Call-ID-Spoofing auftreten und Bankdaten einfordern. Stellen wie die Bundesnetzagentur können diesen Missbrauch zwar verfolgen, ein vollständiger technischer Schutz gegen manipulierbare Anruferkennungen besteht bislang jedoch nicht.