Sie bekommen täglich Datei-Links. Werkfotos vom Fotografen, Zustandsberichte, Zollpapiere vom Spediteur, Kaufverträge, Katalogfahnen, Rechnungen. Mal über WeTransfer, mal als geteiltes SharePoint- oder OneDrive-Dokument. Das ist völlig normal – und genau deshalb nutzen Kriminelle derzeit gezielt diesen Weg.
Dieser Artikel erklärt in einfachen Worten, was gerade passiert, woran Sie die Fälschungen erkennen und – besonders wichtig – was Sie auf keinen Fall tun sollten. Sie brauchen dafür kein technisches Wissen.
Worum es geht – in drei Sätzen
Kriminelle schicken Ihnen einen Datei-Link, der nicht nur echt aussieht, sondern oft tatsächlich echt ist – und häufig von einer Person kommt, die Sie kennen. Sie werden dann von Station zu Station weitergereicht: von WeTransfer in ein PDF, aus dem PDF zu OneDrive, von dort auf eine Seite, die exakt wie die Microsoft-Anmeldung aussieht und nach Ihrem Passwort fragt. Wer dort etwas eingibt, gibt Fremden Zugriff auf das eigene Postfach – und die verschicken von dort aus gefälschte Rechnungen an Sammler, Künstler und Partnergalerien.
Beispiel 1: Das geteilte Dokument
Diese E-Mail kommt tatsächlich von Microsoft. Der Link führt tatsächlich zu SharePoint. Trotzdem ist es ein Angriff:
A. Berger hat eine Datei mit Ihnen geteilt.
Rechnung_Transport_0847.pdf
ÖffnenDieser Link funktioniert für alle Empfänger dieser Nachricht.
- 1 Der Absender ist echt – das schützt Sie nichtDie Mail kommt wirklich von Microsoft. Der Angreifer hat vorher das Konto von „A. Berger" übernommen und die Freigabe von dort ausgelöst. Ein echter Absender ist heute kein Beweis für Echtheit.
- 2 Eine Datei, die Sie nicht erwartet habenDer Name klingt plausibel und passt zum Tagesgeschäft – das ist Absicht. Entscheidend ist nicht, ob der Dateiname Sinn ergibt, sondern ob Sie diesen Transfer erwartet haben.
Und jetzt kommt der entscheidende Teil: Wenn Sie auf „Öffnen" klicken, passiert zunächst alles ganz normal. Sie geben Ihre E-Mail-Adresse ein, bekommen von Microsoft einen Bestätigungscode per Mail, geben ihn ein – bis hierhin ist tatsächlich alles echt. Dann sehen Sie das Dokument. Und in diesem Dokument liegt kein PDF, sondern nur ein weiterer Link. Erst dieser Link führt zur gefälschten Anmeldeseite.
Beispiel 2: Die WeTransfer-PDF – der perfide Fall
Diese Variante ist die derzeit gefährlichste, weil an ihr bis zum letzten Schritt nichts gefälscht ist. Die Angreifer laden eine PDF-Datei bei WeTransfer hoch – wie jeder andere auch. Sie bekommen daraufhin eine völlig echte WeTransfer-Benachrichtigung. Die Datei ist ebenfalls echt und enthält keinen Schadcode. Erst im PDF steckt ein Link, und erst am Ende dieses Links wird es kriminell.
1 Datei wurde Ihnen gesendet.
Rechnung_Transport_0847.pdf · 1,2 MB
Get your filesLink: https://we.tl/t-8f2Kd91xQ
Und so läuft die Kette weiter – Schritt für Schritt, mit der Bewertung, die ein Filter oder ein Virenscanner an dieser Stelle vergeben würde:
Die WeTransfer-Mailecht
Kommt wirklich von WeTransfer, der Link führt wirklich zu we.tl. Jede automatische Prüfung wird bestanden – es gibt hier objektiv nichts zu beanstanden.
Das PDFecht & virenfrei
Ein normales PDF ohne Schadcode. Der Virenscanner findet nichts, weil es nichts zu finden gibt. Es sieht aus wie eine Rechnung, ein Lieferschein oder ein Vertrag.
Der Link im PDFAngriff möglich
Im Dokument steht: „Dokument ansehen" oder „Zum vollständigen Beleg". Dieser Link kann auf zwei Arten funktionieren: Er führt zu einer echten OneDrive- oder SharePoint-Adresse – oder er leitet bereits an dieser Stelle direkt auf eine gefälschte Anmeldeseite weiter, ohne Microsoft dazwischenzuschalten. Der Angriff kann hier bereits stattfinden.
Falls Schritt 3 zu OneDrive führte: die gefälschte AnmeldungAngriff
Wenn der Link in Schritt 3 tatsächlich zu OneDrive oder SharePoint führte, liegt dort kein Dokument – sondern ein weiterer Link oder direkt eine Seite, die exakt wie die Microsoft-Anmeldung aussieht und nach Ihrem Passwort fragt. Der Betrug findet spätestens hier statt.
Es gibt daneben auch gefälschte WeTransfer-Mails, bei denen schon der Absender manipuliert ist. Die sind aber leichter zu erkennen als der oben beschriebene Fall – und deshalb seltener erfolgreich.
Der Fünf-Sekunden-Test vor jedem Klick
Bevor Sie einen Datei-Link öffnen:
Bei „nein" auf Frage 1 oder „ja" auf eine der übrigen: nicht weiterklicken. Kurz beim Absender anrufen – über eine Nummer, die Sie selbst haben, nicht über eine Nummer aus der E-Mail.
Was Sie niemals tun sollten
Diese acht Dinge – nie, unter keinen Umständen
- Nie Ihr Microsoft-Passwort auf einer Seite eingeben, die Sie über einen Link in einer E-Mail erreicht haben. Wenn Sie sich anmelden wollen: Browser öffnen, office.com oder microsoft365.com selbst eintippen.
- Nie eine Anmeldebestätigung auf dem Handy bestätigen, die Sie nicht selbst ausgelöst haben. Auch nicht „um Ruhe zu haben", wenn die Meldung mehrfach kommt. Wer sie wegdrückt und trotzdem bestätigt, lässt Fremde ins Konto.
- Nie einem Link folgen, der in einem PDF steht, das Sie nicht erwartet haben. Auch dann nicht, wenn das PDF über einen echten WeTransfer-Link kam und der Link darin zu OneDrive oder SharePoint führt. Genau diese Kette wird gerade benutzt.
- Nie eine geänderte Bankverbindung per E-Mail akzeptieren. Egal wie plausibel die Begründung klingt und egal von wem die Mail kommt. Immer anrufen.
- Nie auf die verdächtige E-Mail antworten, um nachzufragen. Wenn das Konto übernommen wurde, antworten Ihnen die Angreifer – und bestätigen Ihnen, dass alles seine Richtigkeit hat. Das passiert tatsächlich, nicht nur theoretisch.
- Nie das Firmenpasswort auch privat verwenden – und umgekehrt. Ein Datenleck bei einem Onlineshop darf nicht das Galeriepostfach öffnen.
- Nie einen Vorfall verschweigen, weil er Ihnen peinlich ist. Diese Angriffe sind darauf ausgelegt, aufmerksame Menschen zu täuschen. Der Schaden entsteht nicht durch den Klick, sondern durch die verlorenen Stunden danach.
- Nie Zugangsdaten per E-Mail, Chat oder Telefon weitergeben. Weder an „die IT", noch an Microsoft, noch an einen Kollegen. Seriöse Stellen fragen nie danach.
Vier Situationen aus dem Galeriealltag
Der Spediteur schickt kurz vor der Messe eine Rechnung mit neuer Kontonummer
Der Klassiker. Genau in der stressigsten Woche, in einem laufenden Mailverlauf, mit einer plausiblen Begründung. Immer anrufen – über die Nummer aus Ihrem Adressbuch. Zwei Minuten Telefonat gegen einen fünfstelligen Betrag.
Ein Sammler bittet um Werkfotos und schickt vorab „Unterlagen" per Transfer-Link
Neue Kontakte sind im Kunsthandel normal – und deshalb ein gutes Einfallstor. Wenn Sie den Transfer nicht angekündigt bekommen haben, fragen Sie über einen anderen Kanal nach, bevor Sie öffnen.
Eine Partnergalerie teilt ein Dokument, obwohl Sie gerade gar nichts zusammen machen
Das ist das deutlichste Warnsignal überhaupt: Das Konto der Partnergalerie ist vermutlich bereits übernommen. Nicht öffnen, kurz dort anrufen – Sie tun der Kollegin damit einen größeren Gefallen, als Sie denken.
„Ihr Passwort läuft heute ab" oder „Ihr Postfach ist voll"
Solche Meldungen erzeugen Zeitdruck, damit Sie nicht nachdenken. Es gibt keine echte Microsoft-Mail, die Sie zwingt, sofort über einen Link ein Passwort einzugeben. Im Zweifel bei der IT nachfragen.
Ich habe geklickt – was jetzt?
Zuerst: Das passiert erfahrenen Leuten. Diese Angriffe sind gut gemacht. Wichtig ist nur, dass Sie schnell reagieren – die ersten Minuten entscheiden.
In dieser Reihenfolge
- Sofort Bescheid geben – der Geschäftsführung und Ihrer IT-Betreuung. Auch abends, auch am Wochenende. Nicht bis morgen warten.
- Passwort ändern, wenn Sie noch ins Konto kommen. Sagen Sie trotzdem Bescheid – ein Passwortwechsel allein reicht bei diesen Angriffen nicht aus.
- Nichts löschen. Die verdächtige E-Mail bleibt liegen, damit sie ausgewertet werden kann.
- Prüfen, ob in Ihrem Namen Mails verschickt wurden – Ordner „Gesendet" und „Gelöschte Elemente" ansehen und melden, was Sie finden.
- Wenn bereits Geld überwiesen wurde: sofort die Bank anrufen und Anzeige erstatten. Eine Rückholung ist realistisch nur in den ersten Stunden.
Das Wichtigste in fünf Sätzen
- Ein bekannter Absender ist heute kein Echtheitsbeweis – Konten werden übernommen.
- Auch ein echter Link kann in die Falle führen: WeTransfer, PDF und OneDrive können alle drei legitim sein, und trotzdem steht am Ende der Betrug.
- Wer statt eines Dokuments den nächsten Link bekommt, ist im Angriff – egal auf welcher Station.
- Ein Dateidienst fragt nie nach Ihrem Microsoft-Passwort.
- Bankverbindungen werden niemals per E-Mail geändert – immer anrufen.
Schulung für Ihr Team – in einer Stunde
Wir schulen Galerie- und Kunsthandelsteams an echten Beispielen, prüfen Ihre Microsoft-365-Einstellungen und richten den Schutz so ein, dass ein einzelner Klick keinen Schaden mehr anrichtet.
Unverbindlich anfragen