Fake-IT-Support in Microsoft Teams: So läuft die Masche

So läuft die Masche ab

Die Sicherheitsfirma Arctic Wolf beschreibt ein "wiederkehrendes Social-Engineering-Muster" in Hunderten Fällen. Das berichtet The Hacker News am 26. Oktober. Der Ablauf ist fast immer gleich.

1. Die Mail-Flut. In dein Postfach laufen binnen kurzer Zeit Hunderte Newsletter-Bestätigungen und Anmeldemails ein. Das soll Druck aufbauen: Du sollst Hilfe wollen, wenn sie angeboten wird.
2. Der Chat in Teams. Kurz danach schreibt dich jemand an, der sich "IT Support", "Help Desk" oder "IT Service Desk" nennt. Oft steht ein Vorname dabei, etwa "IT Service Desk (Liam)". Teams erlaubt solche Nachrichten von außerhalb deiner Firma, wenn die Einstellungen es zulassen.
3. Der Anruf. Der angebliche Support will dir "den Spam wegmachen". Dazu ruft er dich über Teams an oder bittet dich, ein Fernwartungsprogramm zu starten. Genannt werden Quick Assist, AnyDesk, TeamViewer und ähnliche Werkzeuge.
4. Der Zugriff. Sobald die Sitzung läuft, sehen und steuern die Angreifer deinen Bildschirm. Sie lassen dich einen Befehl eintippen oder laden selbst Programme nach.

Auffällig ist ein Detail aus dem Arctic-Wolf-Bericht: Die Angreifer schicken in Teams kaum Links. Ein Link in der Nachricht würde von den Schutzfunktionen von Microsoft geprüft. Stattdessen öffnen sie die Schadsoftware selbst, während sie schon auf deinem Rechner sitzen.

Woran du die Absender erkennst

Die Absender in Teams sehen auf den ersten Blick harmlos aus. Arctic Wolf nennt zwei typische Muster.

Rund 30 bis 40 Prozent der untersuchten Fälle laufen über Adressen der Form helpdeskteam365.onmicrosoft.com. Die Endung "onmicrosoft.com" legt Microsoft automatisch für jedes neue Firmenkonto an. Jeder kann sich ein solches Konto in wenigen Minuten anlegen und ihm einen Namen wie "itadmin" geben.

Zuletzt wechseln die Täter laut Arctic Wolf zu eigenen, bezahlten Domains. Etwa die Hälfte der Fälle nutzte die Endung ".top", rund 40 Prozent eine normale ".com". Dazu kommen Anzeigenamen, die den Namen deiner Firma enthalten, damit der Absender dazugehört.

Der Anzeigename ist frei wählbar. Ein Zusatz wie "Internal" im Namen sagt deshalb nichts darüber, woher der Absender wirklich kommt. Achte darauf, ob Teams die Nachricht als von außerhalb der Firma kennzeichnet, und nimm die Kennzeichnung ernster als den Namen.

Wie gefährlich das wird

Sophos hat eine solche Kampagne unter dem Namen STAC4749 untersucht. Zwischen Februar und Juni 2026 trafen die Angriffe Dutzende Organisationen. Knapp 95 Prozent davon lagen in Kanada (50 Prozent) und den USA (44 Prozent), am häufigsten waren Dienstleister, die Fertigung, Energie und das Bauwesen betroffen. Das berichtet auch it-daily auf Deutsch.

Die Anrufe dauerten 90 Sekunden bis über 20 Minuten, die meisten nur etwa zwei bis zweieinhalb Minuten. Das reicht, um ein Fernwartungsprogramm zu starten. Wenn Quick Assist gesperrt war, wichen die Täter auf ein anderes Cloud-Werkzeug namens RemSupp aus.

Mindestens drei der untersuchten Einbrüche endeten mit der Erpressersoftware Chaos. Sie verschlüsselt Dateien auf allen erreichten Geräten fast gleichzeitig. In einem Fall vergingen zwischen dem ersten Kontakt in Teams und der vollständigen Verschlüsselung weniger als 17 Stunden.

Was du tun solltest

Wenn dich ein "IT-Support" anschreibt, den du nicht gerufen hast:

1. Nicht antworten, nicht annehmen. Leg bei einem Anruf auf und bring den Chat nicht weiter.
2. Keine Fernwartung starten. Das gilt auch, wenn der Anrufer geduldig und hilfsbereit klingt und dich nur "kurz" etwas klicken lässt. Gib keinen Code und keine Sitzungsnummer weiter.
3. Selbst nachfragen. Ruf deine IT über den Weg an, den du kennst, etwa die Telefonnummer aus dem Intranet. Nutze nicht die Nummer aus dem Chat.
4. Die Mail-Flut melden. Sag deiner IT, dass dein Postfach überschwemmt wird. Das ist selbst schon ein Warnzeichen.

Wenn du schon eine Sitzung zugelassen hast: Trenne den Rechner sofort vom Netz (Netzwerkkabel ziehen, WLAN ausschalten) und beende die Fernwartung. Melde es sofort deiner IT oder deinem Dienstleister. Ändere keine Passwörter an diesem Rechner, denn die Angreifer könnten mitlesen. Das geht von einem anderen Gerät aus. Gerade bei Erpressersoftware zählen die ersten Stunden.

Was Firmen und Selbstständige einstellen können

Die Angriffe zielen laut Arctic Wolf gezielt auf Organisationen, bei denen der Kontakt von außen in Teams erlaubt ist. Wer Teams verwaltet, kann das einschränken:

• Chats und Anrufe von außen nur von Firmen zulassen, mit denen du wirklich arbeitest, oder ganz abschalten, wenn du sie nicht brauchst.
• Quick Assist und andere Fernwartungsprogramme sperren, wenn ihr sie nicht nutzt. Das empfiehlt auch Arctic Wolf in früheren Berichten zu dieser Masche. Beachte, dass die Täter bei einer Sperre auf andere Programme ausweichen, wie das Beispiel RemSupp zeigt.
• Allen im Team sagen, dass die IT niemals unaufgefordert per Teams anruft, um eine Fernwartung zu starten. Das zählt mehr als jede Einstellung.

Wie du die Einstellungen im Einzelnen vornimmst, hängt von deinem Microsoft-365-Tarif ab. Frag dazu deinen IT-Dienstleister. Für kleine Betriebe ohne eigene IT lohnt sich dieses Gespräch, bevor etwas passiert.

Mehr zu verwandten Maschen findest du in unserem Artikel zu Quishing. Alle aktuellen Warnungen stehen auf unserer Phishing-Übersichtsseite.