Google Tasks als Einfallstor für neue Phishing-Welle

Sicherheitsforscher decken eine raffinierte Phishing-Kampagne auf, die legitime Google-Erinnerungen nutzt, um Unternehmenszugänge zu kompromittieren. Die Methode umgeht Sicherheitsfilter durch Social Engineering.

Eine neue, raffinierte Phishing-Kampagne nutzt vertrauenswürdige Google-Benachrichtigungen aus, um Unternehmenszugänge zu kapern. Sicherheitsforscher haben Ende Februar 2026 eine Methode aufgedeckt, bei der Angreifer legitime Erinnerungen aus Google Tasks missbrauchen, um Sicherheitsfilter zu umgehen und Mitarbeiter zur Preisgabe ihrer Firmen-Login-Daten zu verleiten. Dieser Trend zeigt, wie Cyberkriminelle zunehmend etablierte Cloud-Dienste für ihre Attacken instrumentalisieren.

Vertrauenswürdige Benachrichtigung als Trojanisches Pferd

Der Angriff setzt auf das natürliche Vertrauen in Nachrichten von einer „@google.com“-Adresse. So entgehen die gefälschten Mails oft sowohl automatischen Spam-Filtern als auch der Skepsis der Empfänger. Die Kampagne beginnt mit einer täuschend echten Benachrichtigung mit dem Betreff „Sie haben eine neue Aufgabe“. Der Inhalt erzeugt Dringlichkeit – oft wird behauptet, das Unternehmen habe das Tool für einen wichtigen internen Prozess eingeführt.

Anzeige

Diese fiesen Hacker-Methoden führen aktuell zu Rekord-Schäden in deutschen Unternehmen. Der kostenlose Report zeigt, wie Kriminelle vorgehen und wie Sie Ihre Organisation wirksam schützen. Anti-Phishing-Guide jetzt kostenlos anfordern

Klickt das Opfer auf den Link, landet es nicht bei einer echten Aufgabe, sondern auf einer gefälschten Seite. Diese tarnt sich typischerweise als „Mitarbeiter-Verifizierungs“-Formular und fordert zur Bestätigung die Unternehmens-Anmeldedaten an. Wer sie eingibt, übergibt sie direkt den Angreifern. Diese können sich damit unbefugt Zugang zu Firmensystemen verschaffen, sensible Daten stehlen oder weitere Angriffe im Netzwerk starten. Die Methode ist so effektiv, weil sie einen internen Prozess nachahmt und damit die natürliche Wachsamkeit der Mitarbeiter umgeht.

Flut von Imitations-Betrügereien nimmt zu

Der Missbrauch von Google Tasks ist kein Einzelfall, sondern Teil einer breiteren Strategie. Bereits in der letzten Februarwoche 2026 wurde eine weitere Phishing-Kampagne entdeckt, die gefälschte Updates für Zoom und Google Meet nutzt, um heimlich Überwachungssoftware zu installieren. Auch hier spielen die Kriminellen mit dem Vertrauen in essenzielle Geschäftsanwendungen.

Parallel dazu läuft eine ebenso trickreiche Kampagne, die den bekannten Cybersicherheits-Anbieter Avast imitiert. Eine täuschend echte Fake-Website lockt Nutzer mit angeblichen Rückerstattungen. Diese werden aufgefordert, ihre Kreditkartendaten inklusive CVV-Code einzugeben – ein Live-Chat soll dabei Seriosität vortäuschen. Das einzige Ziel ist der Diebstahl finanzieller Informationen.

Saisonale Betrugswelle trifft auch Behörden

Die Betrugsmaschen beschränken sich nicht auf Unternehmen. Mit der anstehenden Steuersaison 2026 verzeichnen Behörden wie der US-amerikanische Internal Revenue Service (IRS) einen starken Anstieg an Phishing-E-Mails, SMS und Anrufen. Einige Scams setzen bereits auf KI-generierte Deepfakes, um ihre Forderungen glaubwürdiger zu machen.

Das Problem ist massiv: Die US-Handelsaufsicht FTC verzeichnete 2025 über 330.000 Beschwerden wegen Behörden-Impersonation – ein Plus von 25 Prozent. Oft wird unter Druck gesetzt: Drohungen mit Problemen oder Versprechungen von Gewinnen sollen das Opfer zu sofortigen Zahlungen über unübliche Kanäle wie Geschenkkarten bewegen. Aus diesem Grund hat der Inspector General der US-Sozialversicherung sogar einen eigenen Aktionstag, den „Slam the Scam“-Tag am 5. März 2026, ausgerufen.

Analyse: Vertrauen wird zur größten Schwachstelle

Die jüngste Angriffswelle unterstreicht einen strategischen Schwenk der Cyberkriminellen. Sie nutzen Vertrauen als primäre Schwachstelle. Indem sie legitime Domains und vertraute Prozesse nachahmen, umgehen sie technische Abwehrmaßnahmen, die nach klassisch bösartigen Indikatoren suchen. Der Erfolg hängt an Social Engineering – der Manipulation der menschlichen Psychologie.

Die Branchenanalyse sieht darin einen anhaltenden Trend für 2026: Kriminelle missbrauchen legale Plattformen für ihre Attacken. Die Krux: Benachrichtigungen von vertrauenswürdigen Absendern werden mit höherer Wahrscheinlichkeit geöffnet, und erzeugte Dringlichkeit senkt die kritische Prüfbereitschaft. Die Last, subtile Warnsignale zu erkennen, liegt zunehmend beim Einzelnen – eine Aufgabe, die durch den Einsatz von KI seitens der Angreifer immer schwieriger wird.

Anzeige

Warum 73% der deutschen Unternehmen auf Cyberangriffe nicht vorbereitet sind, zeigt die aktuelle Bedrohungslage deutlich. Dieser Experten-Report enthüllt effektive Strategien, wie sich mittelständische Betriebe ohne Budget-Explosion gegen Cyberkriminelle wappnen. Kostenlosen Cyber-Security-Report herunterladen

Ausblick: KI-Wettlauf zwischen Angriff und Abwehr

Die Cybersicherheitslandschaft entwickelt sich zu einem KI-gestützten Wettrennen. Angreifer nutzen Künstliche Intelligenz, um Phishing-Kampagnen zu skalieren und zu verfeinern, während Verteidiger KI-gestützte Sicherheitstools entwickeln, um sie zu bekämpfen. Bedrohungsakteure setzen KI bereits für die Beschleunigung von Aufklärungsarbeit, das Verfassen überzeugender Nachrichten und das Umgehen von Sicherheitsvorkehrungen ein.

Für Organisationen bedeutet diese Eskalation, dass eine mehrschichtige Verteidigungsstrategie über reine E-Mail-Filterung hinausgehen muss. Entscheidend sind kontinuierliche Mitarbeiterschulungen zur Identifizierung und Meldung auch solcher Phishing-Versuche, die über vertraute Plattformen kommen. Eine robuste Multi-Faktor-Authentifizierung bietet eine essentielle zusätzliche Sicherheitsebene, selbst wenn Login-Daten gestohlen wurden.

Privatpersonen und Mitarbeiter sollten wachsam bleiben: Unerwartete Anfragen nach persönlichen Daten oder Zahlungen stets unabhängig überprüfen, Links vor dem Klicken durch Überfahren mit der Maus auf ihre echte Zieladresse prüfen und verdächtige Nachrichten an die IT-Abteilung oder zuständige Behörden melden.