Ende Juni hat das BACS vor gefälschten Voicemail-Benachrichtigungen gewarnt, die per E-Mail verschickt werden. Die Nachricht sieht aus wie eine automatische Mitteilung von Microsoft 365 oder einem anderen Telefonsystem: «Sie haben eine neue Sprachnachricht erhalten. Klicken Sie hier, um sie anzuhören.» Wer klickt, landet auf einer gefälschten Login-Seite. Ziel: Microsoft-365-Zugangsdaten.
Klingt nach einem simplen Trick. Ist es auch. Aber mal ehrlich – wer würde da nicht draufklicken? Genau darin liegt das Problem: Der Angriff passt perfekt in den Arbeitsalltag und weckt kaum Verdacht.
Warum Voicemail-Phishing so effektiv ist
In vielen Unternehmen kommen Voicemail-Benachrichtigungen tatsächlich per E-Mail. Microsoft Teams, Cisco, Swisscom Business – die Systeme schicken automatisch eine E-Mail mit einem Link oder einem Audioplayer, wenn jemand eine Sprachnachricht hinterlässt. Ganz normaler Büroalltag. Und genau das macht die Fälschung so gefährlich.
Die E-Mail passt ins erwartete Muster. Kurz, sachlich, ein Link drin – wie jede echte Voicemail-Benachrichtigung. Kein dringender Aufruf, kein auffälliger Betreff, kein Tippfehler. Einfach eine Routinemeldung. Es gibt schlicht keinen Grund, misstrauisch zu werden. Das ist wie ein Einbrecher, der im Blaumann durch die Eingangstür spaziert – sieht aus, als gehörte er dazu.
Der Link führt auf eine Login-Seite, die Microsoft 365 täuschend echt nachahmt. Oft ist die E-Mail-Adresse des Empfängers sogar schon vorausgefüllt – ein cleveres Detail, weil die echte Microsoft-Seite das genauso macht. Passwort eingeben, «Anmelden» klicken, fertig. Die Zugangsdaten sind beim Angreifer.
Microsoft als beliebtestes Ziel
Dass ausgerechnet Microsoft als Köder dient, ist kein Zufall. Microsoft 365 ist die dominierende Bürosoftware in Europa und der Schweiz. Laut verschiedenen Phishing-Reports war Microsoft 2025 die mit Abstand am häufigsten imitierte Marke – vor Google, Apple und DHL. Und wer Microsoft-365-Zugangsdaten stiehlt, bekommt potenziell Zugang zu E-Mail, Teams, SharePoint, OneDrive und allem, was an Unternehmensdaten damit verbunden ist. Ein Schlüssel, der praktisch jede Tür öffnet.
Aber der Wert dieser Zugangsdaten geht weit über den einzelnen Account hinaus. Mit einem kompromittierten Microsoft-365-Konto kann ein Angreifer interne E-Mails lesen, Geschäftskontakte identifizieren, sich in laufende Konversationen einschalten und von einem vertrauenswürdigen Absender aus weitere Phishing-Mails verschicken. Man nennt das Business Email Compromise – und es gehört zu den schadensträchtigsten Angriffsformen weltweit. Das FBI bezifferte die BEC-Schäden 2024 auf über 2,9 Milliarden Dollar. Allein in den USA.
Von der Voicemail zum Unternehmenszugang
Was nach einem lästigen, aber harmlosen Phishing-Angriff aussieht, kann verdammt schnell eskalieren. In unseren Assessments sehen wir immer wieder die gleiche Angriffskette – und sie ist erschreckend effizient.
Es beginnt harmlos: Die Voicemail-Mail lockt auf die gefälschte Login-Seite, der Mitarbeiter gibt seine Microsoft-365-Zugangsdaten ein. Dann loggt sich der Angreifer ein und richtet als Erstes eine Weiterleitungsregel ein, die alle eingehenden E-Mails an eine externe Adresse kopiert. Das fällt oft wochenlang nicht auf – weil sich im Posteingang selbst nichts ändert. Anschliessend analysiert der Angreifer die E-Mail-Konversationen, identifiziert offene Rechnungen und Zahlungsverkehr. Er fängt eine legitime Rechnung ab, ändert die Bankverbindung und schickt sie – vom kompromittierten Konto des Mitarbeiters – an den Kunden oder an die interne Buchhaltung. Die Zahlung geht auf das Konto der Angreifer. Bis jemand den Fehler bemerkt, ist das Geld weg.
Das ist kein theoretisches Szenario. Wir haben das in mehreren Schweizer KMU gesehen, bei denen der Erstzugang über genau so eine Voicemail-Phishing-Mail erfolgte.
Schutzmassnahmen
MFA, MFA, MFA. Ja, wir wiederholen uns. Multi-Faktor-Authentifizierung auf allen Microsoft-365-Konten ist die wirksamste Einzelmassnahme – Punkt. Sie macht gestohlene Passwörter in den meisten Fällen nutzlos. Microsoft bietet MFA kostenlos für alle Business-Pläne an. Es gibt keinen akzeptablen Grund, es nicht zu aktivieren. Keinen.
Dann: Conditional Access Policies einrichten. Logins nur von bestimmten Standorten oder Geräten erlauben, verdächtige Login-Muster automatisch blockieren. Das ist in Microsoft 365 Business Premium und Enterprise verfügbar und lohnt sich sofort.
Und – das übersehen viele – E-Mail-Weiterleitungsregeln überwachen. Viele Angreifer richten nach dem Erstzugang sofort eine Weiterleitung ein. Ein regelmässiger Check oder eine automatisierte Benachrichtigung bei neuen Weiterleitungsregeln fängt genau diesen Schritt ab. Ehrlich gesagt: In vielen Unternehmen schaut da nie jemand rein.
Bei der nächsten Sensibilisierung lohnt es sich, den Mitarbeitenden zu zeigen, wie eine echte Voicemail-Benachrichtigung aussieht – und wie die gefälschte. Der Unterschied liegt im Detail: in der Absenderadresse, in der URL hinter dem Link, in kleinen Unstimmigkeiten im Layout. Wer einmal den direkten Vergleich gesehen hat, schaut beim nächsten Mal genauer hin.
Ein Trend, der bleibt
Voicemail-Phishing ist nicht neu. Aber es profitiert vom Trend zur Cloud-Telefonie – und der ist nicht aufzuhalten. Je mehr Unternehmen ihre Telefonsysteme in die Cloud verlagern und Sprachnachrichten per E-Mail erhalten, desto grösser wird die Angriffsfläche. Die E-Mail wird zum Einfallstor für einen Angriff, der mit Telefonie beginnt. Zumindest scheinbar.
Die BACS-Warnung ist ein guter Anlass, zwei Dinge zu prüfen: Ist MFA auf allen Microsoft-365-Konten aktiv? Und wann haben Sie zuletzt kontrolliert, ob es unbekannte Weiterleitungsregeln in den Postfächern gibt? Wenn die Antwort «weiss ich nicht» ist – na ja, dann wissen Sie, wo Sie anfangen sollten.
Fragen zu Ihrer Microsoft-365-Sicherheit? Wir prüfen Ihre Umgebung auf Schwachstellen, testen die Phishing-Resilienz Ihrer Mitarbeitenden und helfen bei der Härtung. Schreiben Sie uns – wir schauen uns das gerne an.
Quellen und weiterführende Informationen: BACS Wochenrückblick KW 25, FBI IC3 Report 2024, Microsoft MFA Dokumentation