30. Oktober 2026, 8:55 Uhr | Lesezeit: 2 Minuten
Cyberkriminelle nutzen die externe Chatfunktion von Microsoft Teams, um Mitarbeiter von Unternehmen anzugreifen. Sicherheitsforscher von Arctic Wolf haben mehr als 400 Fälle untersucht und dabei ein wiederkehrendes Vorgehen festgestellt. Die Täter erstellen kurzlebige Microsoft-Konten und geben sich mit Namen wie „IT Support (Internal)“ oder „IT Service Desk“ als interne Ansprechpartner aus. Obwohl Teams externe Kontakte kennzeichnet, gelingt es ihnen so, Vertrauen zu schaffen.
In etwa 30 bis 40 Prozent der untersuchten Fälle nutzten die Angreifer automatisch von Microsoft bereitgestellte onmicrosoft.com-Domains. Mittlerweile greifen sie aber auch häufiger auf kostenpflichtige Adressen zurück. Besonders verbreitet sind die Endungen .top und .com.
So werden Teams-Nutzer getäuscht
Bevor die Kriminellen Kontakt aufnehmen, bombardieren sie ihre Opfer mit E‑Mails. Bei diesem sogenannten Mail-Bombing landen beispielsweise zahlreiche Newsletter-Bestätigungen und Abonnementnachrichten im Postfach. Kurz darauf meldet sich ein angeblicher IT-Mitarbeiter über Teams und bietet Hilfe an. Die Betroffenen sollen dafür ein Fernwartungsprogramm starten, etwa Quick Assist, AnyDesk, ScreenConnect oder LogMeIn. Sobald sie den Zugriff erlauben, können die Angreifer den Computer aus der Ferne steuern.
Anschließend sichern sich die Täter häufig mit einer zweiten Fernwartungssoftware ab. Danach suchen sie im Netzwerk nach weiteren Geräten und Benutzerkonten, um ihren Zugriff auszuweiten. Im schlimmsten Fall installieren sie eine Schadsoftware, mit der sie Daten ausspähen oder Dateien verschlüsseln und Lösegeld fordern. Die Angriffsmethode wird unter anderem mit der Ransomware-Gruppe Black Basta in Verbindung gebracht.
Diese Maßnahmen sollen Hacker stoppen
Arctic Wolf rät Unternehmen, externe Chats in Teams einzuschränken und nur Kontakte aus vertrauenswürdigen Organisationen zuzulassen. Zusätzlich sollten sie Warnmeldungen für neu gestartete Einzel-Chats einrichten und Nachrichten von nicht verwalteten Konten blockieren. Auch die Verbindung zu Testversionen von Microsoft-365-Umgebungen sollte eingeschränkt werden.
Auch interessant: Microsoft schaltet Textvorhersage in Word und Outlook ab
Entscheidend ist außerdem, Beschäftigte für solche Betrugsversuche zu sensibilisieren. Eine Nachricht ist nicht automatisch vertrauenswürdig, nur weil sie über ein bekanntes Programm eintrifft. Microsoft selbst plant für November 2026 eine KI-gestützte Phishing-Erkennung in Teams. Sie soll den Kontext von Unterhaltungen analysieren und insbesondere bei ersten Kontakten mit externen Nutzern vor verdächtigen Nachrichten warnen.