Gefälschte Kalendereinladungen erkennen: So schützt du Google Kalender und Outlook

Montagmorgen, der Kalender ist voll, und zwischen Team-Meeting und Zahnarzttermin erscheint eine Einladung mit dem Betreff „Dringend: Konto wird heute gesperrt“. Der Termin wirkt glaubwürdig, weil er direkt neben echten Besprechungen steht. In der Beschreibung fordert ein Link dazu auf, das Microsoft- oder Google-Konto zu bestätigen. Genau das nutzen Betrüger aus: Sie verschicken keine gewöhnliche E-Mail, sondern platzieren ihre Warnung als Kalendereinladung dort, wo du sie schnell für wichtig hältst.

Gefälschte Kalendereinladungen sind eine Form von Phishing. Sie sollen dich unter Zeitdruck setzen und dazu bringen, auf einen Link zu klicken, Zugangsdaten einzugeben oder eine Datei zu öffnen. Das funktioniert bei privaten Konten ebenso wie in kleinen Unternehmen, in denen der Kalender täglich für Kundentermine, Teamsitzungen und Videokonferenzen genutzt wird.

Warum Kalendereinladungen so überzeugend wirken

Ein Kalendereintrag erscheint oft mit Benachrichtigung auf dem Handy oder als Hinweis auf dem Computer. Anders als eine verdächtige E-Mail landet er direkt in deinem Tagesablauf. Viele Menschen prüfen dann nur kurz den Betreff und tippen auf den Link, um die vermeintliche Störung schnell zu lösen.

Typische Vorwände sind:

„Ihr Konto läuft heute ab“
„Ungewöhnliche Anmeldung erkannt“
„Zahlung konnte nicht verarbeitet werden“
„Sicherheitsprüfung erforderlich“
„Neue Sprachnachricht oder Dokumentfreigabe“
„Ihre Teams- oder Zoom-Besprechung wurde geändert“

Manchmal enthält die Einladung einen Link zu einer angeblichen Anmeldeseite. Manchmal steht dort eine Telefonnummer, unter der sich ein falscher Support meldet. Andere Einladungen werben mit einem Anhang oder einer angeblichen Videokonferenz. Der Eintrag selbst ist nicht gefährlich, aber der Klick auf einen Link, ein Download oder die Eingabe von Zugangsdaten kann es sein.

Daran erkennst du eine verdächtige Einladung

Ein einzelnes Merkmal ist noch kein Beweis. Mehrere Warnzeichen zusammen sind aber ein guter Grund, den Termin nicht zu öffnen oder zumindest nichts darin anzuklicken.

Prüffrage	Verdächtig ist zum Beispiel
Erwartest du den Termin?	Du hast keinen Anlass für eine Sicherheitswarnung oder Besprechung.
Wer organisiert ihn?	Der angezeigte Name klingt bekannt, die tatsächliche E-Mail-Adresse aber nicht.
Erzeugt der Text Druck?	Formulierungen wie „sofort“, „letzte Warnung“ oder „heute gesperrt“.
Wohin führt der Link?	Die Adresse passt nicht zum genannten Anbieter oder enthält Schreibfehler.
Was wird verlangt?	Passwort, Einmalcode, Kreditkartendaten oder ein Download.
Passt die Sprache?	Ungewöhnliche Anrede, Übersetzungsfehler oder ein unpersönlicher Text.

Achte besonders auf die Adresse des Organisators. „Microsoft Support“ oder „Google Security“ kann jeder als Namen eintragen. Entscheidend ist die Absenderadresse, nicht der sichtbare Anzeigename. Eine Einladung von einer beliebigen Privatadresse ist keine offizielle Kontowarnung.

Auch ein bekannt wirkender Link ist kein Freifahrtschein. Prüfe vor dem Öffnen die vollständige Zieladresse. Auf dem Computer kannst du dazu mit der Maus über den Link fahren. Auf dem Smartphone hältst du ihn gedrückt, ohne ihn zu öffnen. Wenn eine Sicherheitsmeldung angeblich von Microsoft, Google, deiner Bank oder einem Tool-Anbieter stammt, rufe die bekannte Website selbst auf oder öffne die offizielle App.

Die allgemeinen Muster dahinter erklärt auch unser Beitrag Phishing erkennen: die häufigsten Maschen und wie du sie durchschaust.

Google Kalender so einstellen, dass nicht jede Einladung auftaucht

Google Kalender kann Einladungen automatisch anzeigen. Das ist praktisch für echte Termine, kann aber unerwünschten Einladungen Sichtbarkeit geben. Die Bezeichnungen können je nach Konto und App leicht abweichen, die wichtige Einstellung findest du jedoch in Google Kalender unter den Einstellungen bei „Veranstaltungseinstellungen“ oder „Einladungen“.

Wähle bei der automatischen Übernahme von Einladungen möglichst eine vorsichtige Option:

„Nur wenn der Absender bekannt ist“
„Wenn ich in der E-Mail auf die Einladung antworte“
eine vergleichbar zurückhaltende Einstellung

Damit erscheint nicht jede Einladung ungeprüft als Termin. Prüfe außerdem, ob abgelehnte Einladungen weiter im Kalender angezeigt werden. Wenn du diese ausblendest, wird dein Kalender übersichtlicher. Das ist keine Sicherheitsfunktion im engeren Sinn, hilft aber gegen dauerhafte Störungen durch Spam.

Wichtig: Eine Einladung kann trotzdem im Postfach landen. Behandle die zugehörige E-Mail genauso kritisch wie jeden anderen Phishingversuch. Öffne keine Links aus der Terminbeschreibung, nur weil Google Kalender den Eintrag darstellt.

Falls du mehrere Kalender verwendest, etwa privat und beruflich, prüfe auch deren Freigaben. Ein fremder Kalender mit Bearbeitungsrechten kann unerwünschte Termine erzeugen. Entferne unbekannte oder nicht mehr benötigte Freigaben.

Outlook vor Kalender-Phishing schützen

Bei Outlook hängt das Verhalten davon ab, ob du Outlook im Browser, die Desktop-App, die neue Outlook-App oder ein Microsoft-365-Konto im Unternehmen nutzt. Grundsätzlich gilt: Stelle Einladungen nicht großzügiger als nötig automatisch in deinen Kalender und prüfe die automatische Verarbeitung von Besprechungsanfragen.

Suche in den Kalender- oder Besprechungseinstellungen nach Optionen wie:

automatische Annahme oder Verarbeitung von Besprechungsanfragen
Einladungen automatisch zum Kalender hinzufügen
Einladungen von unbekannten Absendern
Benachrichtigungen für Kalenderereignisse

Wenn du eine Funktion zur automatischen Annahme aktiv hast, schalte sie ab, sofern du sie nicht zwingend brauchst. Eine automatische Aufnahme in den Kalender bedeutet nicht, dass der Termin vertrauenswürdig ist.

In Unternehmen können Microsoft-365-Administratoren zusätzliche Regeln festlegen. Wenn verdächtige Termine mehrere Personen erreichen, sollte das IT-Team prüfen, ob sie von externen Absendern stammen und ob weitere Konten betroffen sind. Besonders vorsichtig solltest du bei Einladungen sein, die angeblich eine neue Dateifreigabe betreffen. Wie solche Fallen aussehen können, zeigt der Beitrag Gefälschte Microsoft-365-Freigaben erkennen: So schützt du dein Konto vor Zugriffsfallen.

Was du bei einer verdächtigen Einladung tun solltest

Wenn du einen Eintrag als Betrugsversuch erkennst, klicke weder auf „Teilnehmen“ noch auf Links, Anhänge oder Telefonnummern im Termin. Bei eindeutig falschen Einladungen musst du auch nicht zusagen oder absagen. Lösche den Termin oder markiere die zugehörige Nachricht als Phishing oder Spam, wenn dein Mailprogramm diese Möglichkeit anbietet.

Diese kurze Checkliste hilft:

Öffne Links nicht aus dem Kalendereintrag.
Prüfe den Organisator und die vollständige Absenderadresse.
Rufe den genannten Dienst über die bekannte Website oder App auf.
Lösche den Termin und melde die Nachricht als Phishing.
Informiere im Unternehmen das IT-Team, besonders bei vielen ähnlichen Einladungen.
Warne Kolleginnen und Kollegen kurz, ohne die schädlichen Links weiterzuleiten.

Ein Screenshot kann für das IT-Team hilfreich sein. Achte darauf, dass du dabei keine vertraulichen Kalendereinträge von anderen Personen unnötig weitergibst.

Du hast schon geklickt: Was jetzt wichtig ist

Ein Klick allein bedeutet nicht automatisch, dass dein Konto übernommen wurde. Entscheidend ist, was danach passiert ist. Hast du die Seite sofort geschlossen und nichts eingegeben oder heruntergeladen, ist das Risiko meist deutlich geringer. Trotzdem solltest du den Termin löschen und dein Gerät aktualisieren.

Hast du auf der verlinkten Seite ein Passwort eingegeben, ändere dieses Passwort sofort direkt auf der echten Website des betroffenen Dienstes. Wenn du dasselbe Passwort noch anderswo verwendest, ändere es auch dort. Genau deshalb sind einzigartige Passwörter so wichtig. Eine einfache Anleitung findest du in Sichere Passwörter erstellen, ohne sie dir merken zu müssen.

Prüfe danach:

Welche Geräte und Sitzungen in deinem Konto angemeldet sind
Ob unbekannte Weiterleitungen oder Wiederherstellungsadressen hinterlegt wurden
Ob neue Regeln im E-Mail-Postfach eingerichtet wurden
Ob fremde Apps Zugriff auf dein Konto erhalten haben
Ob in deinem Kalender oder Postfach weitere verdächtige Aktivitäten auftauchen

Wenn du einen Einmalcode aus einer App, per SMS oder per Push-Freigabe bestätigt hast, ändere dein Passwort ebenfalls und kontrolliere die Kontositzungen. Eine unerwartete Bestätigungsanfrage solltest du nie freigeben. Dazu passt unser Ratgeber Unbekannte 2FA-Anfrage auf dem Handy: So reagierst du richtig.

Der beste Schutz ist ein ruhiger zweiter Blick

Kalender sind Arbeitswerkzeuge, keine Vertrauensbeweise. Ein Termin kann echt aussehen und trotzdem von einem fremden Absender stammen. Nimm Sicherheitswarnungen deshalb nicht aus dem Kalendertext heraus ernst, sondern überprüfe sie über einen unabhängigen Weg.

Aktiviere außerdem die Zwei-Faktor-Authentifizierung für Google, Microsoft und wichtige weitere Konten. Sie kann verhindern, dass ein gestohlenes Passwort allein für eine Anmeldung reicht. Mehr dazu liest du in Zwei-Faktor-Authentifizierung, der wichtigste Schutz nach dem Passwort.

Wer Kalender, Konten und Zugriffsrechte im kleinen Unternehmen systematisch absichern möchte, findet passende Seminare bei cmt.de.