Gefälschte Voicemail im Postfach: die neue Microsoft-Masche

Eine Sprachnachricht, die keine ist

Freitagnachmittag, kurz vor Feierabend. Im Postfach liegt eine Mail mit dem Betreff «Sie haben eine neue Voicemail». Der Absender sieht nach Microsoft aus, das Logo stimmt, und ein grauer Kasten zeigt eine Tonspur mit Abspielknopf und Dauer, 0:38 Minuten. Wer klickt, hört keine Nachricht. Er landet auf einer Anmeldeseite, die aussieht wie das eigene Microsoft-365-Login. Man tippt Benutzername und Passwort ein, drückt Enter, und die Zugangsdaten sind bei den Betrügern.

Diese Masche hat im Juni 2026 die Schweizer Bedrohungslage geprägt. Oliver Schmid, Sicherheitschef der Universität Zürich, nennt die gefälschten Microsoft-Voicemail-Mails im Bedrohungsradar von SwissCybersecurity.net als eine der auffälligsten Wellen des Monats. Daneben liefen WhatsApp-Buchungsbetrug und QR-Codes mit angeblichen Post-Abholungen. Der rote Faden ist überall gleich: Die Nachricht tut so, als käme sie von einem Dienst, den man jeden Tag nutzt.

Warum ausgerechnet die Voicemail zieht

Eine Sprachnachricht macht neugierig. Niemand weiss auf den ersten Blick, wer angerufen hat und worum es geht. Vielleicht ein Kunde, vielleicht der Lieferant mit einer dringenden Frage. Diese kleine Unsicherheit reicht, damit jemand klickt, bevor er nachdenkt.

Dazu kommt: Viele Firmen haben Microsoft 365 mit angebundener Telefonie, und dort landen echte Voicemails tatsächlich per Mail im Postfach. Die Fälschung imitiert also etwas, das es im Alltag wirklich gibt. Wer das System kennt, ist paradoxerweise anfälliger, weil die Mail vertraut aussieht.

Und die Aufmachung ist gut. Kein krummes Deutsch mehr, kein verpixeltes Logo. Die aktuellen Fälschungen kopieren das Microsoft-Design sauber, inklusive Fusszeile mit Datenschutzhinweis und einer Absenderadresse, die auf den ersten Blick plausibel wirkt. Auf die Details zu schauen hilft weiterhin, aber die Details sind kleiner geworden.

Der Trick sitzt tiefer als die einzelne Mail

Hier liegt der Punkt, den Schmid im Interview betont: Es bringt wenig, Mitarbeitende auf das Erkennen einer bestimmten Mail zu drillen. Nächsten Monat sieht die Masche anders aus. Dann ist es keine Voicemail mehr, sondern eine geteilte Datei, eine angebliche Paketbenachrichtigung oder ein QR-Code auf einem Aushang.

Was gleich bleibt, ist das Muster dahinter. Eine Nachricht erzeugt einen kleinen Impuls, sofort zu handeln. Sie führt auf eine Seite, die nach Login verlangt. Und diese Seite gehört nicht dem echten Anbieter. Wer dieses Muster verstanden hat, erkennt auch die nächste Variante, die er noch nie gesehen hat.

Konkret heisst das im Alltag: Jede Mail, die zu einem Login auffordert, ist erst einmal verdächtig. Nicht weil sie zwingend gefälscht ist, sondern weil genau das der Hebel jeder dieser Maschen ist. Den Reflex «Link anklicken und einloggen» muss man sich abgewöhnen.

Was ein einziger geklauter Zugang anrichtet

Man könnte denken, ein gestohlenes Microsoft-Passwort sei ein überschaubarer Schaden. Ist es nicht. Mit diesem einen Zugang lesen Fremde das ganze Postfach, sehen Rechnungen, Kundennamen, interne Absprachen. Sie richten oft still eine Weiterleitungsregel ein, die Kopien aller eingehenden Mails an eine externe Adresse schickt. So bekommen sie mit, wenn eine echte Rechnung unterwegs ist, und schalten sich dazwischen.

Das ist der Übergang zum Rechnungsbetrug: Die Täter warten auf eine reale Zahlung, ändern im letzten Moment die Bankverbindung und leiten das Geld um. Aus einem Klick auf eine falsche Voicemail wird eine Überweisung, die auf dem falschen Konto landet. In einer kleinen Firma ohne eigene IT fällt so etwas oft erst auf, wenn der echte Lieferant nach zwei Wochen nachfragt, wo sein Geld bleibt.

Zwei Massnahmen, die den Unterschied machen

Wenn Sie nur zwei Dinge umsetzen, dann diese.

Erstens: Mehrstufige Anmeldung für alle Microsoft-365-Konten, ohne Ausnahme. Wenn ein Passwort geklaut wird, aber der zweite Faktor fehlt, kommt der Angreifer trotzdem nicht rein. Das ist der wirksamste einzelne Schritt, und er kostet nichts ausser einer halben Stunde Einrichtung. Wichtig: auch die Chefetage macht mit. Gerade die Konten mit den weitesten Rechten sind das lohnendste Ziel.

Zweitens: Im Zweifel nie über den Link in der Mail einloggen. Wer eine Sprachnachricht, eine geteilte Datei oder eine Zahlungsaufforderung erwartet, öffnet ein neues Browserfenster und tippt die bekannte Adresse selbst ein, oder nutzt das Lesezeichen. Landet man dann tatsächlich bei der Nachricht, war sie echt. Passiert nichts, war es ein Versuch. Dieser eine Umweg entwertet fast alle Phishing-Mails auf einen Schlag.

Beides ergänzt sich. Die mehrstufige Anmeldung fängt den Fehler technisch ab, der Umweg übers eigene Lesezeichen verhindert ihn im Kopf. Keine der beiden Massnahmen braucht ein grosses Budget, nur die Entscheidung, sie wirklich für alle verbindlich zu machen.

Wenn es doch passiert ist

Angenommen, jemand hat Zugangsdaten eingegeben und merkt es zehn Minuten später. Dann zählt Tempo. Passwort sofort ändern, an allen Geräten neu anmelden, damit bestehende Sitzungen ungültig werden. Danach im Postfach nach neu angelegten Weiterleitungsregeln suchen, denn genau die hinterlassen die Täter gern. Wer eine mehrstufige Anmeldung hat, ist meist glimpflich davongekommen, sollte aber trotzdem prüfen. Und intern kurz Bescheid geben, ohne Schuldzuweisung. Wer Angst vor Ärger hat, meldet den Fehler zu spät, und das kostet mehr als der Fehler selbst.

Checkliste

• Mehrstufige Anmeldung für alle Microsoft-365-Konten aktivieren, auch für die Geschäftsleitung
• Grundregel im Team verankern: bei jeder Login-Aufforderung nicht den Mail-Link nutzen, sondern die Adresse selbst eintippen oder das Lesezeichen
• Mitarbeitende auf das Muster schulen, nicht auf die einzelne Mail: unerwartete Nachricht plus Login-Aufforderung gleich stutzig werden
• Postfächer regelmässig auf unbekannte Weiterleitungsregeln prüfen
• Klaren Weg festlegen, wohin ein Verdacht gemeldet wird, und dass eine schnelle Meldung nie Ärger gibt
• Im Ernstfall: Passwort ändern, überall neu anmelden, Weiterleitungsregeln kontrollieren
• Unsicher, ob Ihre Konten sauber geschützt sind? Rhyfall ICT prüft die Einstellungen mit Ihnen durch, bevor es jemand anders tut.