Sicher online bleiben über die Feiertage

Eine Frau im grauen Pullover sitzt am Tisch und blickt auf ihr Smartphone.

Was wir für die Verteidigung wissen müssen

Cyberkriminelle nutzen jede gute Gelegenheit, um Menschen auszutricksen – und gerade über die Feiertage fällt es ihnen besonders leicht, da die Menschen abgelenkt sind. Zwischen Einkaufstrubel, Familienzeit, lästigen Erkältungen und dem Austausch mit den Liebsten über das Internet haben Bedrohungsakteure leichtes Spiel.

Leider verschafft dieser Anstieg legitimer Aktivitäten Bedrohungsakteuren ein leichtes Spiel. Die Daten von Microsoft Threat Intelligence zeigen, dass Angreifer ihre Kampagnen zeitlich abstimmen, sodass sie in Zeiträume fallen, in denen die Menschen abgelenkt und in Eile sind und E-Mails von Händlern oder Lieferdiensten eher vertrauen.

Diese saisonalen Muster zeigen sich durchgängig in den Telemetriedaten von Microsoft sowie im Microsoft-Bericht über digitale Abwehr (MDDR) 2025. Er verdeutlicht, dass KI-gestützte Social-Engineering- und Identitätsmissbrauchsangriffe in stark transaktionsgeprägten Zeiten sowohl häufiger als auch erfolgreicher werden.

Darauf sollten Sicherheitsbeauftragte und normale Nutzer im Vorfeld der Feiertage achten.

Phishing mit Gerätecodes

In der hektischen Feiertagszeit, wenn Bestellbestätigungen, Versandupdates, Identitätsprüfungen und Betrugswarnungen stark zunehmen, nutzen Angreifer diese Unruhe gezielt aus. Sie versenden Nachrichten mit der Aufforderung, einen „Verifizierungscode“ einzugeben, um ein Problem im Kaufprozess zu lösen oder eine Lieferung zu bestätigen. Der Vorwand wirkt vertraut und zeitkritisch – und senkt dadurch den Verdacht. Doch schon die Eingabe dieses Codes kann Angreifern unbemerkt OAuth-Zugriff auf das Nutzerkonto verschaffen – ganz ohne Passwort.

Microsoft Threat Intelligence verzeichnet einen stetigen Anstieg dieser Techniken zur Kontoübernahme ohne Anmeldedaten – sowohl in Heimanwender- als auch in Unternehmensumgebungen. Angreifer setzen auf Gerätecodes und zustimmungsbasiertes Phishing, weil diese Methoden einfach, skalierbar und äußerst wirksam sind, um klassische Schutzmechanismen gegen den Diebstahl von Zugangsdaten zu umgehen. In Zeiten hoher Kaufaktivität fügen sich diese Lockmittel nahtlos in legitime Kommunikation ein. Das erschwert die Erkennung und erhöht das Risiko einer Kompromittierung.

So reduzieren Sie Phishing mit Gerätecodes

Gerätecodeflow wo immer möglich einschränken
Anmeldeprozesse klarer gestalten und Nutzerverifizierung stärken
Bei verdächtigen Aktivitäten den Zugriff sofort widerrufen
Risikorichtlinien für Anmeldedaten nutzen, um Eindämmung zu automatisieren
Riskante Anmeldedaten kontinuierlich überwachen

Gefälschte CAPTCHA-Angriffe (ClickFix-Schemata)

Urlaubsangebote, Blitzangebote und die Suche nach Geschenken in letzter Minute schaffen ideale Bedingungen für Angreifer, sich zu verbergen. Umleitungsangriffe, die Buchungsbestätigungen oder Werbe-E-Mails imitieren, führen Betroffene häufig auf eine CAPTCHA-Seite – ein Muster, dem Nutzer vertrauen und das sie selten hinterfragen. Das sind aber keine echten CAPTCHAs. Bedrohungsakteure nutzen sie inzwischen zur Verbreitung von Social-Engineering-Anweisungen und bringen Betroffene dazu, schädliche Befehle direkt in das Windows-Feld „Ausführen“ oder in Terminals einzufügen.

Microsoft Threat Intelligence hat kürzlich vor dem schnellen Wachstum dieser ClickFix-Methoden gewarnt. Sie erfordern keine Exploit-Kette, sondern lediglich eine Aktion des Benutzers. Diese Einfachheit macht sie äußerst skalierbar und gerade in saisonalen Spitzenzeiten besonders gefährlich, wenn Kunden unter Zeitdruck stehen und eher dazu neigen, scheinbar routinemäßigen Aufforderungen nachzukommen.

Zum Beispiel hat Microsoft Threat Intelligence kurz vor Thanksgiving eine Phishingkampagne von Storm-0900 entdeckt und blockiert, die sich gegen Zehntausende Nutzer in den USA richtete. Der Akteur terminierte die Operation so, dass sie auf einen Feiertag fiel – also auf einen Zeitpunkt, an dem Menschen abgelenkt waren und mit dringenden Nachrichten rechneten.

In den E-Mails wurden vertraute Köder wie Strafzettel, medizinische Befunde und Bezüge zu Thanksgiving genutzt. Jede Nachricht leitete Betroffene auf eine von Angreifern kontrollierte Website mit einem gefälschten Slider-CAPTCHA weiter, gefolgt von einer ClickFix-Aufforderung.

Microsoft wehrte die Kampagne durch Filterung, Endpunktschutz und die präventive Blockierung der Angreiferinfrastruktur ab. Die Kampagne ist jedoch ein deutliches Beispiel dafür, wie Bedrohungsakteure vertrauenswürdige UX-Muster (wie CAPTCHAs) mit Techniken zur Nutzerausführung kombinieren, um herkömmliche Sicherheitsmaßnahmen zu umgehen.

So reduzieren Sie gefälschte CAPTCHA- und ClickFix-Angriffe

Anwendungssteuerung durchsetzen und Pfade zur Befehlsausführung einschränken
Nicht benötigte Befehlszeilenschnittstellen deaktivieren oder stark begrenzen
Browser- und URL-Filterrichtlinien absichern
Das Bewusstsein der Benutzer für unerwartete Aktionen schärfen
Auf ungewöhnliche Muster bei der Befehlsausführung achten
Konten nach dem Prinzip der geringsten Berechtigungen gestalten

Betrugsmaschen durch Vortäuschen des technischen Supports

Menschen reisen mit weniger sicheren privaten Geräten, nutzen Hotel-WLAN und stoßen häufiger auf technische Probleme. Angreifer nutzen das aus, indem sie sich als Kundendienstmitarbeiter ausgeben, um Probleme zu lösen, die gar nicht existieren. Diese Betrugsmaschen nehmen von November bis Januar regelmäßig zu – besonders bei älteren Familienmitgliedern oder Menschen mit wenig technischer Erfahrung.

Der MDDR 2025 stuft Kundendienstbetrug als eine der weltweit erfolgreichsten Betrugskategorien ein. Genauer gesagt machen Erpressung und Ransomware die Hälfte aller Cyberangriffe aus.

Bedrohungsakteure setzen zunehmend für ihre Glaubwürdigkeit auf KI-generierte Skripte, realistische Telefonpersonas und Markenimitation. Das Ergebnis ist ein überzeugender Vorwand, der zur Installation von Remotezugriffsschadsoftware, zum Diebstahl von Anmeldeinformationen oder zur vollständigen Kontoübernahme führen kann.

Für Sicherheitsbeauftragte und Führungskräfte sind diese Betrugsmaschen besonders kritisch, weil sie private und geschäftliche Risiken miteinander verknüpfen: Ein kompromittiertes Privatgerät im Hotel-WLAN kann schnell zum Ausgangspunkt weitergehender Angriffe werden.

Maßnahmen zur Minderung von Betrugsmaschen durch Vortäuschen des technischen Supports

Angriffsfläche mit strengen Kontrollen für den Remotezugriff reduzieren
Ein Bewusstsein der Verifizierung im gesamten Unternehmen stärken
Mitarbeiter darin schulen, Dringlichkeit und Hilfsangebote kritisch zu hinterfragen
Geräte absichern, die auf Reisen genutzt werden
Blockieren Sie täuschend ähnliche Domains und Nachahmerseiten
Missbrauch von Remotezugriffstools und ungewöhnliche Muster im Helpdesk-Betrieb überwachen
Klare, schnell nutzbare Meldewege bereitstellen

Gefälschte Versand- und Lieferbenachrichtigungen

Gerade zur Weihnachtszeit heißt es: Pakete verfolgen. Bedrohungsakteure schleusen sich genau in diesen mentalen Ablauf ein. Wenn viele Menschen ein Dutzend Sendungen gleichzeitig im Blick haben müssen, fällt eine weitere E-Mail über eine angebliche Verzögerung oder erforderliche Adressbestätigung kaum auf.

Laut dem Digital Defense Report gehört Phishing in der Versandthematik zu den am häufigsten missbrauchten Kategorien des Identitätsdiebstahls. Microsoft Threat Intelligence beobachtet zu jeder Weihnachtszeit vorhersehbare Anstiege bei diesen logistikbasierten Ködern: Angreifer geben sich dabei als bekannte Versanddienstleister wie UPS, USPS, FedEx, Amazon, DHL sowie als regionale Versanddienste aus. Das Branding wirkt überzeugend, das Timing erscheint plausibel, und die Erwartungen der Benutzer in der Hochphase des Shoppings machen diese Angriffe besonders wirksam.

Da diese Kampagnen legitime Transaktionsabläufe nachahmen und oft echte Sendungsverfolgungsnummern aus Datenlecks oder aus ausgelesenen Postfächern verwenden, wird es für Benutzer immer schwieriger, sie von echten Benachrichtigungen zu unterscheiden.

So mindern Sie Betrugsmaschen mit gefälschten Versand- und Lieferbenachrichtigungen

Setzen Sie URL- und Domain-Schutzmaßnahmen durch, die Nachahmungsversuche neutralisieren
Benutzerüberprüfung in Zeiten hoher Kaufaktivität absichern
Wenden Sie bei finanziell sensiblen Aktionen einen bedingten Zugriff an
Ergänzen Sie Verhaltensanalysen für Anomalien bei der Erstellung von E-Mail-Regeln und Weiterleitungen
Implementieren Sie Schutz vor Identitätsdiebstahl und Richtlinien zur Senderauthentifizierung

Betrugsmaschen rund um Wohltätigkeitsorganisationen und Spenden

Im vierten Jahresquartal steigt die Spendenbereitschaft deutlich an, besonders am „Giving Tuesday“ – und Angreifer nutzen genau das aus. Dank KI sind Angreifer mittlerweile in der Lage, professionell gestaltete Websites von gemeinnützigen Organisationen, emotional ansprechende Geschichten und überzeugende Spendenformulare in großem Umfang zu erstellen. Sie verfassen eindringliche, herzergreifende Geschichten über Katastrophenhilfe, gemeinnützige Aktionen oder Last-Minute-Weihnachtskampagnen, in der Hoffnung, Wohlwollen mit Ablenkung und Druck zu verbinden.

Betrugsmaschen rund um Wohltätigkeitsorganisationen und Spenden abwenden

Ein Bewusstsein der Verifizierung stärken – besonders in der Spendenzeit
Nutzung geprüfter Spendenplattformen fördern
Täuschend ähnliche oder neu registrierte Domains blockieren und überwachen
Phishing-resistente Identitätskontrollen und Anomalieerkennung anwenden
Mitarbeiter und Stakeholder für Veränderungen bei Betrugsmaschen sensibilisieren

Genießen Sie die Weihnachtszeit – aber bleiben Sie wachsam

Sicherheit sollte die Freude an der Weihnachtszeit nicht trüben – doch gerade in Phasen hoher Aktivität und Ablenkung ist Wachsamkeit besonders wichtig. Die Empfehlungen von Microsoft im gesamten Be Cybersmart Kit sind in diesem Punkt einheitlich: Eine kurze Pause, ein zusätzlicher Verifizierungsschritt oder ein zweiter Blick machen oft den Unterschied zwischen Sicherheit und einem erfolgreichen Angriff aus.