Microsoft Threat Intelligence meldete am 5. November 2026 für den Beobachtungszeitraum Juli bis September rund 7,3 Milliarden erkannte Phishing-Bedrohungen per E-Mail. Knapp 3 Milliarden entfielen auf September, 41 Prozent mehr als im August. Microsofts Bericht zur Bedrohungslage im dritten Quartal zeigt zugleich, dass sich einzelne Phishing-Methoden unterschiedlich entwickelten. Microsoft weist darauf hin, dass seine Erkennungen weder belegen, dass Empfänger die Nachrichten öffneten, noch dass Konten übernommen wurden.

Eine unerwartete Gehalts- oder Bestellmail, die zum QR-Scan oder Öffnen eines Archivs drängt, solltest du über einen bereits bekannten Kontaktweg prüfen.

QR-Code-Phishing sank, CAPTCHA-Angriffe nahmen wieder zu

QR-Code-Phishing kam im dritten Quartal auf rund 12,1 Millionen Angriffe. Das waren 67 Prozent weniger als im zweiten Quartal; im September lag die Zahl 86 Prozent unter dem Höchststand vom März. CAPTCHA-gestütztes Phishing bewegte sich in die andere Richtung: Microsoft zählte im September 3,1 Millionen Angriffe, fast doppelt so viele wie am Tiefpunkt im Juli. SVG-Dateien machten im August 65 Prozent und im September 49 Prozent dieser Angriffe aus.

Auch bei schädlichen Anhängen ging es laut Microsoft häufig um Zugangsdaten: 94 bis 96 Prozent der im Bericht erfassten Angriffe mit Schadinhalt führten zu Phishing-Seiten oder gefälschten Anmeldemasken. Die Prozentzahl bezieht sich auf diese Angriffe mit Schadinhalt, nicht auf sämtliche E-Mail-Bedrohungen.

Zwei Kampagnen setzten auf verschiedene Köder

Microsoft Defender Research beobachtete am 19. und 20. August eine Kampagne mit dem Vorwand einer Gehaltsüberprüfung. Sie richtete sich an mehr als 10.000 Nutzer in über 4.800 Organisationen, vor allem in den USA. Besonders häufig waren Unternehmen aus dem Bereich der professionellen Dienstleistungen betroffen, darunter Kanzleien.

Ein Word-Dokument enthielt einen QR-Code, der zu einer gefälschten OneDrive-Anmeldeseite führte. Dort erhielten Nutzer einen Gerätecode und sollten sich damit über Microsofts echte Geräte-Anmeldeseite anmelden. Bei einem solchen Gerätecode-Angriff kann ein Angreifer laut Microsoft ein gültiges Sitzungstoken erhalten, wenn der Empfänger den Vorgang abschließt. Dafür müsste er weder das Passwort erfahren noch erneut eine MFA-Abfrage auslösen. Microsoft berichtete damit über den möglichen Ablauf, nicht über eine bestätigte Kontoübernahme.

Am 21. September beobachtete Microsoft Defender Research eine zweite Kampagne mit Bestell- und Gehaltsabrechnungs-Ködern. Sie zielte auf mehr als 56.000 Nutzer in über 8.100 Organisationen. Bestellaufträge machten 63 Prozent der Nachrichten aus, Gehaltsabrechnungen 37 Prozent.

Im Bestellzweig verbarg ein RAR-Archiv, das wie eine PDF-Datei wirken sollte, einen JavaScript-Downloader. Dieser lud die Datei Lincoln.ps1 herunter, die laut Microsoft zu Agent Tesla führte. Der Gehaltsabrechnungszweig nutzte ein anderes getarntes RAR-Archiv mit einer ausführbaren Datei, deren Endung an XML erinnerte. Microsoft identifizierte Agent Tesla als die über die Kampagne verbreitete Schadsoftware. Die Beobachtung beschreibt die Angriffskette, nicht eine bestätigte Ausführung der Dateien durch Empfänger.

Auch Geschäftsidentitäten und Teams-Anrufe waren betroffen

Microsoft zählte im Quartal rund 129 Millionen schädliche Nachrichten, die Absenderdomains von in der Analyse erfassten Geschäftsdiensten nachahmten. Im September betrafen Sicherheitsübersteuerungen 63 Prozent der Nachrichten, für die ein Sicherheitsergebnis erfasst wurde. Bei solchen Übersteuerungen wurden Warnungen oder Filterentscheidungen durch Mandanten- oder Nutzereinstellungen aufgehoben.

Für Angriffe durch die Nachahmung von Geschäftskontakten meldete Microsoft rund 6,2 Millionen Fälle. Zudem erfasste das Unternehmen etwa 141.000 schädliche Anrufversuche über Microsoft Teams. In der beobachteten Stichprobe stieg der Anteil gewöhnlicher Anzeigenamen von 46 Prozent im Juli auf 88 Prozent im September; ausdrücklich als Helpdesk ausgewiesene Namen sanken von 17 auf 2 Prozent. Die Zahl umfasst auch unbeantwortete und abgelehnte Anrufe.

Microsoft empfiehlt Unternehmen unter anderem, Einstellungen in Exchange und Defender zu prüfen, Safe Links und Safe Attachments sowie ZAP zu nutzen und verdächtige Nachrichten zu untersuchen oder zu entfernen. Für Teams nennt das Unternehmen außerdem Kontrollen für externe Kommunikation; als zusätzliche Schutzmaßnahmen empfiehlt es phishingresistente Anmeldeverfahren, MFA und Phishing-Simulationen. Wer den Schutz von Microsoft-365-Daten vertiefen möchte, findet dazu einen NeoTeo-Artikel zum Schutz von Microsoft-365-Daten.