Fake IT-Support über Microsoft Teams: So schützen Sie sich

Ein Hilfe-Angebot, das in Wirklichkeit die Tür öffnet

Stellen Sie sich vor, mitten im Arbeitstag meldet sich jemand in Microsoft Teams und stellt sich als IT-Support vor. Freundlich, sachlich, mit einem dringenden Anliegen: Ein wichtiges Sicherheitsupdate müsse sofort eingespielt werden. Sie sollen nur kurz Ihren Bildschirm freigeben, damit „der Kollege“ das schnell erledigt. Klingt harmlos – und genau das ist das Problem.

Microsoft hat am 2. September 2026 offiziell vor genau dieser Masche gewarnt. Kriminelle nutzen Microsoft Teams, um sich als IT-Support oder Helpdesk auszugeben und Mitarbeitende zur Freigabe einer Fernwartung zu überreden. Ist die einmal erlaubt, übernehmen die Angreifer nach und nach die Kontrolle – bis hin zu den zentralen Servern des Unternehmens. In diesem Beitrag erklären wir ohne Fachchinesisch, wie der Betrug funktioniert, warum er so gut klappt und wie Sie sich mit wenigen klaren Regeln schützen.

Was genau ist passiert?

Microsoft beschreibt eine laufende, „von Menschen gesteuerte“ Angriffskampagne. Das bedeutet: Hier läuft kein blinder Automatismus, sondern echte Angreifer sitzen an der Tastatur und reagieren auf das, was sie vorfinden. Sie kontaktieren gezielt Mitarbeitende über externe Teams-Chats oder -Anrufe – also über Nachrichten und Anrufe von außerhalb des eigenen Unternehmens.

Der entscheidende Punkt: Es wird keine Sicherheitslücke ausgenutzt und keine Schutzsoftware „geknackt“. Stattdessen wird der Mensch überredet, die Schutzvorkehrungen selbst beiseitezuschieben. Fachleute nennen das Social Engineering – also Manipulation durch Täuschung statt durch Technik. Man kann es mit einem Einbrecher vergleichen, der nicht das Schloss aufbricht, sondern höflich klingelt und Sie bittet, ihn hereinzulassen.

So läuft der Angriff ab – Schritt für Schritt

Der Ablauf folgt fast immer demselben Muster. Wichtig zu verstehen: Die ersten drei Schritte sind reine Täuschung und haben mit Technik noch gar nichts zu tun. Erst danach beginnt der eigentliche technische Angriff.

Abbildung 1: So läuft der Angriff ab. Die ersten drei Schritte sind reine Täuschung – erst danach folgt der technische Angriff.

Schritt 1 bis 3: Die Täuschung

Zuerst nimmt ein angeblicher IT-Support über Teams Kontakt auf – oft aus einem fremden „Tenant“. Ein Tenant ist die eigene, abgegrenzte Microsoft-Umgebung eines Unternehmens; eine Nachricht aus einem fremden Tenant kommt also von außerhalb Ihrer Firma. Als Vorwand dienen Aufhänger wie „Sicherheitsupdate“, „Spam-Filter-Update“ oder „Konto-Überprüfung“. Erzeugt wird damit vor allem eines: Zeitdruck. Wer sich gehetzt fühlt, prüft weniger und klickt schneller.

Im dritten Schritt kommt der eigentliche Dreh- und Angelpunkt: Sie werden gebeten, eine Fernwartung freizugeben – also Ihren Bildschirm und die Steuerung Ihres Rechners an das Gegenüber zu übergeben, zum Beispiel über das in Windows eingebaute Werkzeug „Quick Assist“. Microsoft betont, dass die Angreifer die Nutzer sogar dazu bringen, deutlich sichtbare Sicherheitswarnungen einfach wegzuklicken. Ist dieser eine Klick erfolgt, steht die Tür offen.

Schritt 4 und 5: Der technische Angriff

Jetzt geht alles sehr schnell. Über die Fernsteuerung wird im Hintergrund ein getarntes Schadprogramm nachgeladen und heimlich installiert – mit harmlos klingenden Namen wie „Hotfix“ oder „devfix“, damit es zur Support-Geschichte passt. Danach richten sich die Angreifer dauerhaft ein und durchsuchen das Netzwerk: Welche Rechner gibt es, welche Schutzsoftware läuft, wo stehen die besonders wertvollen Systeme? Zwischendurch machen sie sogar heimlich Bildschirmfotos.

Ihr Ziel sind die zentralen Steuerungsserver eines Unternehmens – die sogenannten Domänencontroller. Das ist die „Schaltzentrale“, die verwaltet, wer sich im Firmennetz anmelden darf. Um dorthin zu gelangen, springen die Angreifer über einen technischen Wartungskanal namens WinRM von Rechner zu Rechner. Ganz am Ende steht meist eines von zwei Zielen: die Verschlüsselung aller Daten mit anschließender Lösegeldforderung (Ransomware) oder der Diebstahl vertraulicher Daten.

Besonders heikel: Angreifer geben sich als Ihr IT-Partner aus

Für Kundinnen und Kunden von CodeKlar hat dieses Thema hohe Priorität – aus einem einfachen Grund: Die Angreifer imitieren genau die Rolle, die ein IT-Partner wie CodeKlar im Alltag hat. Umso wichtiger ist eine glasklare Regel, die jede und jeder im Unternehmen kennen sollte:

• Echter CodeKlar-Support meldet sich nie unangekündigt per Teams und fordert Sie nie spontan zu einer Fernwartung auf.
• Im Zweifel gilt immer: Gespräch beenden und den Support über eine Ihnen bekannte, offizielle Nummer selbst zurückrufen.

Diese eine Regel – aktiv an alle Mitarbeitenden kommuniziert, zum Beispiel per Rundschreiben oder im Team-Meeting – verhindert bereits den Großteil solcher Angriffe. Denn sie setzt genau an Schritt 3 an: der Freigabe des Fernzugriffs.

So schützen Sie Ihr Unternehmen

Am besten wirkt eine Kombination aus klaren Regeln für Menschen und ein paar technischen Einstellungen im Hintergrund. Die gute Nachricht: Die dafür nötigen Werkzeuge sind in Microsoft 365 Business Premium bereits enthalten – sie müssen nur richtig eingerichtet und laufend überwacht werden.

Abbildung 2: Sechs Maßnahmen, die Ihr Unternehmen schützen – erst beim Menschen ansetzen, dann technisch absichern.

Beim Menschen ansetzen

Kommunizieren Sie die oben genannte Regel aktiv und wiederholt. Beschränken Sie außerdem in den Teams-Einstellungen den externen Zugriff auf vertrauenswürdige Firmen: Standardmäßig darf nämlich „jeder Tenant“ – also jedes beliebige fremde Unternehmen – Ihre Mitarbeitenden anschreiben. Diese Voreinstellung sollte abgeschaltet und auf eine Liste vertrauenswürdiger Partner begrenzt werden.

Technisch absichern

Ergänzend sorgen einige Einstellungen dafür, dass ein einzelner Fehlklick nicht gleich zur Katastrophe wird. Microsoft empfiehlt unter anderem, die sogenannten ASR-Regeln (Regeln zur Verringerung der Angriffsfläche) und den Netzwerkschutz in Microsoft Defender zu aktivieren, die Mehr-Faktor-Anmeldung (MFA) verpflichtend zu machen und den Wartungskanal WinRM (technisch: Netzwerk-Port 5985) nur noch auf den Rechnern der Administratoren zuzulassen.

Genau diese Einrichtung und die laufende Überwachung übernimmt CodeKlar für Sie im Rahmen der CodeKlar Managed Services. Wie wir Ihre Microsoft-Umgebung darüber hinaus absichern und mit festen Regeln steuern, lesen Sie unter Security & Governance (Azure). Einen Überblick über alle Angebote finden Sie in unseren Leistungen.

Häufige Fragen (FAQ)

Woran erkenne ich einen gefälschten IT-Support in Teams?

Typische Warnzeichen sind: Die Nachricht kommt von außerhalb Ihres Unternehmens (Teams zeigt dann meist einen „Extern“-Hinweis), es wird Zeitdruck aufgebaut und Sie sollen eine Fernwartung freigeben oder ein Programm installieren. Echter Support kündigt sich an. Im Zweifel gilt: nicht freigeben, Gespräch beenden und über eine bekannte Nummer selbst zurückrufen.

Ich habe versehentlich einen Fernzugriff freigegeben – was tun?

Trennen Sie den Rechner sofort vom Netzwerk (WLAN aus, Netzwerkkabel ziehen), lassen Sie ihn aber eingeschaltet und informieren Sie umgehend Ihre IT bzw. CodeKlar. Anschließend sollten die Passwörter geändert werden, die von diesem Rechner aus erreichbar waren. Je schneller reagiert wird, desto besser lässt sich der Schaden begrenzen.

Reicht unser Virenscanner nicht aus?

Nur bedingt. Weil hier keine Sicherheitslücke ausgenutzt, sondern der Mensch überredet wird, greift reiner Virenschutz zu kurz. Erst das Zusammenspiel aus geschulten Mitarbeitenden, richtig eingestelltem Microsoft Teams und aktivierten Schutzfunktionen in Microsoft Defender bietet verlässlichen Schutz.

Fazit

Der aktuelle Betrug mit gefälschtem IT-Support in Microsoft Teams zeigt: Die gefährlichste Sicherheitslücke sitzt oft nicht in der Technik, sondern entsteht in einem Moment der Unachtsamkeit. Die gute Nachricht ist, dass gerade deshalb schon einfache Maßnahmen sehr wirksam sind – eine klare Regel im Team, die richtigen Teams-Einstellungen und ein paar aktivierte Schutzfunktionen, die Sie ohnehin bereits bezahlt haben.

Sie möchten sicher sein, dass Ihr Unternehmen richtig geschützt ist? Sprechen Sie mit CodeKlar – wir richten Ihre Microsoft-Umgebung sicher ein, überwachen sie laufend und übersetzen Technik in klare Entscheidungen.