Falscher Microsoft-Support-Anruf im Betrieb

Falscher Microsoft-Support-Anruf im Betrieb

Ein falscher Microsoft-Support-Anruf im Betrieb behauptet, Ihre Lizenz sei abgelaufen, der PC sende Fehler oder die «Sicherheit» müsse sofort Fernzugriff einrichten. Echte IT-Partner und Microsoft verlangen nicht, dass der Empfang eine Bildschirmfreigabe startet, ohne dass Sie selbst ein Ticket eröffnet haben. Legen Sie auf, notieren Sie die Nummer und rufen Sie die interne IT oder die Nummer Ihres Managed-Service-Providers aus dem Vertrag an. Betrug bleibt die grösste Kategorie freiwilliger BACS-Meldungen (Halbjahresbericht); Telefonbetrug überschneidet sich mit Phishing-Mail und Rechnungsbetrug.

Der Text richtet sich an Empfang, Assistenz und Teamleitungen in einem Schweizer Betrieb mit 20 bis 250 Personen. Verbraucherhinweise aus dem Ausland passen nicht zu Ihrem Helpdesk. Merkmale von Phishing-Mail stehen bei Phishing erkennen. Die Wahl eines Awareness-Anbieters ist ein eigenes Thema, erläutert bei Security-Awareness-Anbieter wählen.

Was Anrufer typischerweise sagen

Die Formulierung wechselt. Der Ablauf bleibt ähnlich: Druck, Technikjargon und ein Tool, das Sie sofort installieren sollen. Öffentliche Websites und LinkedIn liefern Namen; ein Anrufer, der Ihre Namen kennt, ist damit kein Beweis.

• Lizenz«Abgelaufen»

  Microsoft 365 läuft über Partner oder Admin-Portal, nicht über einen Kaltanruf an den Empfang.

• Fehler«PC meldet sich»

  Ohne Ticket von Ihnen kann niemand seriös wissen, welcher Rechner «Fehler sendet».

• Dringlichkeit«In zehn Minuten gesperrt»

  Zeitdruck soll Fernwartung rechtfertigen. Ihre Regel: auflegen, dann die veröffentlichte Nummer wählen.

Checkliste für den Empfang (heute umsetzbar)

Am Empfang gilt: die veröffentlichte IT-Nummer liegt sichtbar am Tresen, nicht nur im Intranet. Kein Durchstellen auf private Handys, wenn «Microsoft» oder «Sicherheit» anruft. Notizblock bereithalten für Anrufernummer, Uhrzeit und behaupteten Grund. Kein AnyDesk, TeamViewer oder «Hilfe-Link» ohne ein Ticket, das Sie selbst eröffnet haben. Name und Nummer notieren, Rückrufe laufen über IT, Gespräch beenden.

Regeln für interne Kommunikation

1. Eine veröffentlichte IT-Nummer

   MSP- oder interne Durchwahl im Intranet und am Empfang. IT-Kontakt läuft darüber.

2. Keine spontanen Fernwartungs-Tools

   Fernsupport nur mit Termin und namentlich genanntem Techniker.

3. Eskalationswort

   Bei Druck darf jede Person auflegen, ohne sich zu rechtfertigen.

4. Meldeweg für Verdacht

   Ticket oder Postfach, das die IT täglich liest. Nummer und Uhrzeit reichen für den ersten Eintrag.

Abgrenzung zu anderen Telefonbetrügereien

Callback-Betrug beginnt oft mit einer Mail oder SMS: «Rufen Sie diese Nummer an.» Sie wählen selbst. Der falsche Microsoft-Support ruft Sie an und will sofort handeln. Beides ist Social Engineering, die Regeln für Ihren Betrieb sind dieselben: nur der veröffentlichte Kanal, kein spontanes Fernwartungstool.

CEO-Fraud zielt auf Zahlungen und dringende Freigaben, nicht auf Bildschirmfreigabe am Empfangs-PC. Wenn der Anrufer eine Überweisung oder eine neue IBAN verlangt, gehört das zur Finanz, nicht zur IT-Hotline.

Dieser Text ist nicht das allgemeine Vishing-Lexikon und keine Anleitung zum Sperren von Teams-Anrufen. Keine Rechtsauskunft zur Aufzeichnung von Gesprächen.

Wenn Fernzugriff schon lief

Beenden Sie die Fernwartungssitzung in der Software oder trennen Sie das Netz, wenn die IT das so verlangt. Melden Sie sofort: wer den Zugriff gab, welches Tool, welche Uhrzeit. Der Partner setzt den Rechner nach Policy zurück, prüft Konten und sucht nach neu installierter Software. Dokumentieren Sie in einem Ticket: Datum, Nummer, Verlangtes, ob Zugriff gewährt wurde. Die meisten KMU verzichten auf Forensik, brauchen aber eine Massnahmenliste.

Anrufe ausserhalb der Bürozeit

Täter rufen, wenn der echte MSP geschlossen hat, in der Hoffnung auf «Notfall»-Fernzugriff. Veröffentlichen Sie: Ausserhalb der Zeit läuft alles über die Pikett-Nummer im Intranet, nie über die Anrufer-ID. Mobile Anzeige kann gefälscht werden; Assistenz startet keine Bildschirmfreigabe am Handy, ohne Ticket.

Abstimmung mit dem MSP

Beim Vertragsreview festhalten: Techniker nennen eine Ticketnummer, die Sie selbst eröffnet haben. Empfang leitet unbekannte IT-Anrufe an ein Postfach, statt durchzustellen. Einmal pro Jahr fünf Minuten im Team: interne Nummer wiederholen, ohne Schreckgeschichten.

Wer überspringen kann

Betriebe mit SOC und strikter Fernzugriffs-Policy haben Playbooks; nutzen Sie dies als Onboarding für nicht-technische Rollen.

Schulung und Meldekultur

Wer nur E-Mail schult, lässt die Telefonlücke offen. Eine kurze Folie für Empfang und Grossraum schliesst sie. Vorgesetzte, die Meldungen bestrafen, bekommen beim nächsten Anruf keine Nachricht mehr.

Die Security-Awareness-Schulung behandelt Vishing, falschen IT-Support und interne Meldewege in einer live Session für Ihren Betrieb.

Ein erfundenes Beispiel

Ein erfundenes Beispiel: Die Empfangsperson einer Treuhand mit 40 Mitarbeitenden hört «Microsoft-Sicherheit, Ihre Lizenz sperrt in zehn Minuten». Sie nennt keine Namen aus der Geschäftsleitung, startet keine Fernwartung und legt auf. Danach ruft sie die Nummer des IT-Partners an, die auf der internen Liste steht, und schickt die notierte Anrufernummer an das Security-Postfach. Wer den Anruf angenommen hat, wird nicht vor dem Team blamiert. Die Geschäftsleitung hört davon im nächsten kurzen Rapport, nicht in einer Rundmail mit dem Namen der Person.