Gefälschte Zoom-Einladung: das gefährliche Update-Popup

Ein Link, der aussieht wie Zoom, und trotzdem gefährlich ist

Ein Mitarbeiter bekommt eine Anfrage über ein Portal, ganz normales Geschäft. Man will sich per Videocall austauschen, die Gegenseite schickt einen Zoom-Link. Er klickt, ein Fenster geht auf, darin steht: Um dem Meeting beizutreten, müssen Sie Zoom aktualisieren. Ein Klick auf «Update», und die Schadsoftware ist auf dem Rechner.

Genau so ist es Ende Juni 2026 einem Betroffenen ergangen. Das Nationale Zentrum für Cybersicherheit (BACS) hat den Fall in seinem Wochenrückblick (Woche 26, 30.6.2026) beschrieben. Der Einstieg lief über eine Anfrage auf einem Immobilienportal, aber das ist austauschbar. Die Masche funktioniert überall dort, wo man einen fremden Zoom-Link anklickt, ohne gross nachzudenken.

Warum der übliche Blick auf die Adresszeile diesmal versagt

Sie haben es Ihren Leuten wahrscheinlich schon beigebracht: Bevor du irgendwo Daten eingibst, schau in die Adresszeile des Browsers. Steht dort die echte Adresse? Ist es wirklich zoom.us und nicht zoom-update.xyz? Ein guter Reflex, und bei den meisten Phishing-Seiten hilft er auch.

Bei dieser Masche hilft er nicht. Der Trick heisst «Browser im Browser». Das gefälschte Update-Fenster ist gar kein echtes Programmfenster und auch keine echte Webseite. Es ist ein Bild, das mitten in der Webseite gezeichnet wird und ein zweites Browserfenster nur vortäuscht. Die Adresszeile, die Sie darin sehen, mit dem hübschen «zoom.us» und dem Schloss-Symbol, ist aufgemalt. Sie können nicht draufklicken, Sie können sie nicht ändern, weil sie nur eine Grafik ist. Wer prüft, ob die Adresse stimmt, prüft ein Foto einer richtigen Adresse.

Deshalb bringt der klassische URL-Check hier nichts. Die ganze Sicherheitsregel, auf die man Mitarbeitende jahrelang trainiert hat, läuft ins Leere. Das ist das Unangenehme an dieser Variante.

Was auf dem Rechner passiert, nachdem geklickt wurde

Der angebliche Zoom-Updater lädt in Wahrheit ein Schadprogramm nach. Was es genau tut, hängt von der Kampagne ab. In der Regel geht es um zwei Dinge. Erstens Zugangsdaten: gespeicherte Passwörter aus dem Browser, Zugänge zu Mail und Cloud, Session-Cookies, mit denen sich ein Angreifer ohne Passwort in laufende Sitzungen einklinkt. Zweitens einen dauerhaften Zugang, damit die Täter später zurückkommen können, in Ruhe, oft Wochen nach dem ersten Klick.

Für ein kleines Unternehmen heisst das im schlechtesten Fall: Ihre Microsoft-365-Zugänge sind offen, jemand liest mit, ändert Weiterleitungsregeln im Postfach und wartet auf die nächste Rechnung, um mitten in eine echte E-Mail-Kette hineinzuschreiben. Von der einen unbedachten Videocall-Einladung bis zum manipulierten Zahlungsverkehr ist es dann kein weiter Weg mehr.

Die eine Regel, die diese Masche stoppt

Software aktualisiert sich nie über ein Popup in einer Webseite. Nie. Zoom, Teams, Windows, der Browser, alles davon aktualisiert sich entweder von selbst im Hintergrund oder über das Programm selbst, das Sie schon auf dem Rechner haben. Wenn ein Meeting-Link Sie auffordert, für den Beitritt zuerst etwas zu installieren oder zu aktualisieren, ist das das Warnsignal. Dann brechen Sie ab.

Und wenn Sie einem Zoom-Link von jemandem, den Sie nicht gut kennen, nicht trauen: Fordern Sie den Meeting-Link neu über einen anderen Kanal an. Ein kurzer Anruf, eine Antwort auf die bekannte Mailadresse. «Schicken Sie mir den Zoom-Link nochmals, bitte.» Das kostet zwei Minuten und nimmt dem Angreifer den ganzen Aufbau weg.

Was Sie als Geschäftsführerin oder Geschäftsführer tun können

Diese Sache lässt sich nicht allein mit einer Software lösen. Ein guter Virenschutz und ein sauber eingerichtetes Microsoft 365 fangen einiges ab, das raten wir ohnehin jedem. Aber der Klick, um den es geht, passiert bei einem Menschen, der gerade im Arbeitsfluss ist und schnell ins Meeting will. Deshalb ist das hier vor allem eine Frage davon, dass Ihre Leute die Masche kennen.

Sprechen Sie es an, kurz, im nächsten Teammeeting. Es braucht keine Schulung mit Zertifikat, es braucht den Satz: Bei uns installiert niemand etwas, nur weil ein Meeting-Fenster danach fragt. Wer unsicher ist, fragt lieber einmal zu viel nach. Wenn im Betrieb klar ist, dass Nachfragen erwünscht ist und nicht als Zeitverschwendung gilt, entsteht der Schutz von selbst.

Ein zweiter Punkt macht den Schaden im Ernstfall kleiner: die Zwei-Faktor-Anmeldung auf allen wichtigen Zugängen, allen voran Microsoft 365. Wenn ein Passwort abhandenkommt, reicht es dem Angreifer allein noch nicht. Falls Sie das noch nicht überall aktiv haben, ist das der lohnendste Handgriff nach diesem Artikel.

Wenn schon geklickt wurde

Passiert es doch, zählt Tempo mehr als Schuldzuweisung. Trennen Sie den betroffenen Rechner vom Netz, ziehen Sie das Netzwerkkabel oder schalten Sie das WLAN aus. Ändern Sie von einem anderen, sauberen Gerät aus die Passwörter der Zugänge, die auf dem Rechner gespeichert waren, zuerst Mail und Microsoft 365. Melden Sie sich in Microsoft 365 aus allen Sitzungen ab, damit gestohlene Cookies wertlos werden. Und melden Sie den Vorfall Ihrem IT-Partner, bevor Sie selbst versuchen, das Gerät «sauber zu machen». Ein einmal befallenes System gehört neu aufgesetzt, nicht geflickt.

Checkliste für den Alltag

• Ein Meeting-Link verlangt vor dem Beitritt ein Update oder eine Installation: abbrechen, nicht klicken.
• Software aktualisiert man über das Programm selbst oder das Betriebssystem, nie über ein Popup in einer Webseite.
• Zoom-Link von einer unbekannten Person: den Link über einen zweiten Kanal (Anruf, bekannte Mailadresse) neu anfordern.
• Die aufgemalte Adresszeile in einem Popup ist kein Beweis. Beim «Browser im Browser» ist sie nur ein Bild.
• Zwei-Faktor-Anmeldung auf Mail und Microsoft 365 aktiv haben, überall.
• Das Thema einmal im Team ansprechen: Nachfragen ist erwünscht, nicht peinlich.
• Nach einem Fehlklick: Gerät vom Netz trennen, Passwörter von einem sauberen Gerät ändern, aus allen Sitzungen abmelden, IT-Partner informieren.

Wenn Sie unsicher sind, ob Ihre Microsoft-365-Umgebung sauber eingerichtet ist oder ob die Zwei-Faktor-Anmeldung wirklich überall greift, schauen wir uns das gerne mit Ihnen an. Lieber einmal geprüft, als nach dem Vorfall aufgeräumt.