Gefälschte Eventwebsites erkennen und richtig reagieren
Blog · ca. 10 Min. Lesezeit
Das Wichtigste in Kürze
›Die angebliche Biotech-Konferenz BioTold 2026 in Boston war laut dem Sicherheitsunternehmen Proofpoint eine Fassade für eine gezielte Schadsoftware-Kampagne. Das beworbene Hotel war nicht beteiligt.
›Die Website wirkte glaubwürdig: detailliertes Programm, bekannte Forschende, grosse Sponsoren, konkrete Preise. Mehrere der Genannten wussten nichts davon.
›Das Bundesamt für Cybersicherheit BACS beobachtet in der Schweiz denselben Mechanismus: Kriminelle nutzen Firmennamen, Registerdaten und ähnlich lautende Domains, um fremde Glaubwürdigkeit auszunutzen.
›Veranstalter sollten einen offiziellen Ursprung für Programm, Einladungen, Zahlungen und Partnerbestätigungen festlegen. SPF, DKIM und DMARC schützen nur einen Teil der Angriffsfläche.
›Im Verdachtsfall zählen Tempo und klare Rollen: Beweise sichern, IT einbeziehen, auf der eigenen Website warnen, Partner informieren und den Fall melden.
Inhalt
01Wie eine komplette Konferenz erfunden wurde02Welche Vertrauenssignale Angreifer kopieren03Sieben Schutzmassnahmen für Veranstalter und Venues04Der 15-Minuten-Check für unerwartete Einladungen05Wenn sich der Verdacht bestätigt: die ersten 60 Minuten06Was das Schweizer Datenschutzrecht verlangt07Fünf Kennzahlen für die Vorsorge08Häufige Fragen zu gefälschten Eventwebsites09Fazit: Vertrauen braucht einen prüfbaren UrsprungDie Einladung klingt plausibel. Ein Fachkongress sucht noch eine profilierte Referentin. Das Hotel ist bekannt, die Agenda detailliert, mehrere etablierte Unternehmen stehen als Sponsoren auf der Website. Nach der ersten Antwort folgt ein Link zu weiteren Unterlagen. Genau hier kann aus beruflicher Anerkennung ein Sicherheitsvorfall werden.
So funktionierte die Täuschung rund um BioTold 2026. Die angebliche Biotech-Konferenz sollte am 5. und 6. November in Boston stattfinden. Recherchen des Boston Business Journal und Angaben von Proofpoint zeigen: Es gab sie nie. [1] [2] Die Seite sollte Einladungen an mögliche Referierende und Sponsoren glaubwürdig machen. Wer reagierte, konnte danach einen Link erhalten, der zu Schadsoftware führte. [1] [2]
Der Fall spielt in den USA, sein Mechanismus ist aber nicht amerikanisch. Fachveranstaltungen leben überall von Namen, Beziehungen und sichtbaren Vertrauenssignalen. Schweizer Veranstalter, Unternehmen und Venues sollten deshalb nicht erst im Ernstfall überlegen, wie sie reagieren, sondern vorher festlegen, wie sich echte Kommunikation eindeutig prüfen lässt.
Wie eine komplette Konferenz erfunden wurde
BioTold wirkte nicht wie eine hastig kopierte Zahlungsseite. Die Website hatte mehrere Seiten zu Ort, Programm, Referierenden und Ablauf, ein zweitägiges Programm und Preisstufen, dazu das Versprechen echter Erfahrungsberichte aus der Praxis. Als Keynote-Speaker und Beirat erschienen renommierte Forschende wie George Church und Carolyn Bertozzi, als Sponsoren Thermo Fisher, Illumina und Agilent. Dazu kam ein reales Hotel als Veranstaltungsort. [2] [1]
Mehrere dieser Vertrauensgeber bestätigten später, dass sie mit dem Anlass nichts zu tun hatten, darunter die drei Unternehmen. [2] Das Omni Boston Hotel at the Seaport erklärte gegenüber Skift Meetings ausdrücklich, weder Veranstalter noch Gastgeber oder Partner von BioTold gewesen zu sein, und schaltete seine Rechtsabteilung ein. [1]
Zahlen zum Thema
Eine Konferenz ohne Konferenz
2 Tage
Programm mit Themenfeldern, Referierenden und Beirat, alles erfunden. [2]
149 $
kostete das beworbene Frühbucherticket. [2]
25’000 $
betrug das teuerste Sponsoringpaket. [2]
Die Preise waren Teil der Kulisse. Laut Proofpoint ging es nicht darum, Ticketgeld zu kassieren. Die Kampagne lief in Stufen: erst die Einladung, dann die Antwort des Ziels, danach der schädliche Link. Die Aktivität wird der Gruppe TA586 zugeordnet, die als Zugangslieferant für weitere kriminelle Angriffe beschrieben wird. [2] [1]
The Scientist, 20. Oktober 2026; Skift Meetings, 23. Oktober 2026. Die Angaben von Proofpoint stammen aus den Medienberichten, einen eigenen Bericht hat das Unternehmen nicht veröffentlicht. Wie viele Personen den Link anklickten, ist nicht veröffentlicht.
Ob Organisationen dadurch tatsächlich angegriffen wurden, geht aus den Berichten nicht hervor, und ein Schweizer Bezug ist nicht belegt. Diese Grenzen sind wichtig. Sie ändern aber nichts an der übertragbaren Erkenntnis: Ein vollständiges Eventnarrativ kann heute als Köder dienen.
Welche Vertrauenssignale Angreifer kopieren
Eventkommunikation besteht aus besonders vielen öffentlichen Bausteinen. Namen von Referierenden, Logos, Programmzeiten, Raumbezeichnungen, Partnerlisten und Kontaktpersonen müssen auffindbar sein, damit ein Anlass Reichweite gewinnt. Dieselbe Sichtbarkeit erleichtert das Kopieren.
| Signal | Warum es überzeugt | Grenze | Besserer Nachweis |
|---|---|---|---|
| Venue | Bekannte Adresse und professionelles Umfeld | Keine automatische Bestätigung durch die Venue | Bestätigung über den offiziellen Kontakt der Venue |
| Referierende | Fachliche Autorität und Reichweite | Name oder Foto kann ohne Wissen der Person erscheinen | Bestätigung über persönliche oder institutionelle Kanäle |
| Sponsoren | Finanzielle und reputative Unterstützung | Ein Logo lässt sich leicht kopieren | Nennung auf der offiziellen Partnerseite oder direkte Rückfrage |
| Programm | Konkretheit und redaktioneller Aufwand | Auch erfundene Agenden können detailliert sein | Übereinstimmung mit offiziellen Kalendern und bestätigten Personen |
| Domain und E-Mail | Vertrauter Absender und wiedererkennbarer Name | Ähnliche Domains und Anzeigenamen täuschen Nähe vor | Domain genau prüfen und den Kontaktweg selbst neu aufrufen |
Das BACS beschreibt denselben Grundmechanismus beim Identitätsdiebstahl von Firmen in der Schweiz. Kriminelle suchen passende Unternehmen, registrieren dazu passende Domains und übernehmen öffentliche Angaben wie Adresse oder Handelsregisterdaten. Damit betreiben sie gefälschte Webshops und Plattformen für Anlagebetrug oder verlangen Vorauszahlungen für Leistungen, die nie erbracht werden. [3]
Ein einzelnes Signal reicht deshalb nicht. Eine echte Adresse beweist keinen echten Anlass, ein Sponsorlogo keine Partnerschaft, eine bekannte Person im Programm keine Zusage. Verlässlich wird ein Event erst, wenn mehrere unabhängige offizielle Wege auf denselben Ursprung verweisen. Dasselbe Prinzip gilt bei der Locationsuche, wie unser Beitrag Venue Sourcing mit KI zeigt.
Sieben Schutzmassnahmen für Veranstalter und Venues
Definiere eine kanonische Eventseite. Lege auf Deiner offiziellen Unternehmens- oder Eventdomain eine Seite fest, auf der Datum, Ort, Veranstalter, Kontakt und Status verbindlich stehen. Änderungen und Absagen gehören ebenfalls dorthin. Social-Media-Posts, Ticketplattformen und Partnerseiten verweisen auf diese Quelle.
Veröffentliche einen prüfbaren Kontaktweg. Nutze für Referierende, Sponsoren und Medien eine klar benannte Adresse auf Deiner eigenen Domain. Erkläre kurz, von welchen Absendern Einladungen kommen und wo Empfänger eine Anfrage unabhängig bestätigen können. Zurückgerufen wird über die Nummer auf der offiziellen Website.
Bestätige Namen vor der Veröffentlichung. Dokumentiere die Freigabe von Referierenden, Sponsoren und Venue, bevor Logos oder Namen online gehen. Die Venue sollte wissen, unter welchem Eventnamen und welcher Domain sie genannt wird. Bei Änderungen braucht die öffentliche Liste einen eindeutigen Stand.
Sichere Deine Absenderdomain. SPF legt fest, welche Systeme E-Mails für Deine Domain senden dürfen. DKIM versieht Nachrichten mit einer prüfbaren Signatur. DMARC baut auf beiden auf, erlaubt empfangenden Servern, nicht authentisierte Mails abzulehnen, und schickt Dir Berichte. [7] [6] Führe das kontrolliert mit IT und allen Versanddiensten ein, damit Einladungen, CRM-Mails und Newsletter weiter ankommen.
Beobachte ähnliche Domains. Prüfe vor wichtigen Kampagnen naheliegende Schreibvarianten Deines Eventnamens. Bei .ch-Domains zeigt das Whois von SWITCH den Registrar und technische Angaben, aber keine Halterdaten. [8] Für generische Domains wie .com liefert das Lookup der ICANN die öffentlichen Registrierungsdaten. [9] Ein junges Registrierungsdatum ist ein Warnsignal, aber kein Beweis für Betrug, und nicht alle Inhaberdaten sind öffentlich.
Trenne Information und Zahlung. Nenne auf der offiziellen Eventseite die gültige Ticketplattform und die gültigen Zahlungswege. Geänderte Bankverbindungen oder Sponsoringkonten brauchen eine zweite Bestätigung ausserhalb der ursprünglichen Nachricht. Das BACS empfiehlt bei ungewöhnlichen Zahlungsaufforderungen eine telefonische oder persönliche Rücksprache. [4]
Bereite eine öffentliche Warnung vor. Halte Text, Freigabeweg und Verteiler für den Missbrauchsfall bereit. Das BACS empfiehlt Firmen, auf ihrer Website transparent über solche Betrugsversuche zu informieren. [3] Eine frühe Meldung schützt Gäste und hilft Partnern, widersprüchliche Informationen einzuordnen.
DMARC verdient eine klare Grenze. Die Technik erschwert, dass eine Nachricht unbemerkt mit genau Deiner Domain als Absender auftritt. Sie verhindert keine Website unter einer ähnlich geschriebenen Domain und keine Mail von einem neu registrierten Doppelgänger. Technische Kontrollen und sichtbare Prüfwege gehören deshalb zusammen. Wie Du Eventdaten mit Partnern sicher teilst und Systeme ausfallsicher planst, steht im Beitrag Eventsoftware ausfallsicher planen.
Der 15-Minuten-Check für unerwartete Einladungen
Referierende, Sponsoring-Teams und Mitarbeitende brauchen einen einfachen Ablauf, der im Alltag funktioniert. Der folgende Check ist ein redaktionelles Arbeitsmodell, kein offizieller Standard.
| Minute | Prüfung |
|---|---|
| 0 bis 3 | Rufe die bekannte Unternehmens- oder Eventwebsite selbst auf, nicht über den Link in der Einladung. Suche dort nach Anlass, Datum und Kontakt. |
| 3 bis 6 | Prüfe die Venue über ihre offizielle Website oder ruf die dort publizierte Nummer an. Frage nach Eventname, Datum und Veranstalter. |
| 6 bis 9 | Prüfe mindestens eine genannte Person oder einen Sponsor über deren eigene Website oder bekannte Geschäftskontakte. |
| 9 bis 12 | Vergleiche Domain, Schreibweise und Absender. Schlage bei Bedarf Registrar und Registrierungsdatum nach. Fehlende Daten sind für sich kein Betrugsbeweis. |
| 12 bis 15 | Passt etwas nicht zusammen, öffne keine Dateien und melde die Nachricht intern. Bestätige den Kontakt über einen zweiten Kanal. |
Stopp-Kriterium: Passen Venue, Veranstalter und Kontaktweg nicht über mindestens zwei voneinander unabhängige offizielle Quellen zusammen, öffnet niemand Unterlagen, gibt Daten ein, zahlt oder leitet die Einladung intern weiter.
Wenn sich der Verdacht bestätigt: die ersten 60 Minuten
Eine gefälschte Eventseite betrifft meist mehrere Teams gleichzeitig. Die Kommunikation sieht den Reputationsschaden, die IT prüft mögliche Zugriffe, Legal beurteilt Namen und Marken, Finance verfolgt Zahlungen, die Venue beantwortet Rückfragen und die Eventleitung koordiniert die Partner. Ein kurzer gemeinsamer Ablauf verhindert widersprüchliche Reaktionen.
| Minute | Schritt | Was zu tun ist |
|---|---|---|
| 0 bis 10 | Beweise sichern | URL, Absender, Kopfzeilen der E-Mail, Screenshots, Zeitpunkte und betroffene Namen sichern. Keine weiteren Links anklicken. Wurde schon eine Datei geöffnet oder ein Passwort eingegeben, den Anweisungen der IT oder des Incident-Teams folgen. |
| 10 bis 20 | Rollen klären | Je eine verantwortliche Person für Technik und für Kommunikation bestimmen. Klären, ob nur eine fremde Website existiert oder ob eigene Konten, Mailboxen, Ticketing oder Gästedaten betroffen sind. |
| 20 bis 35 | Melden | Verdächtige Website oder Nachricht beim BACS melden, über antiphishing.ch oder das Meldeformular. [5] Ticketplattform und gegebenenfalls Suchmaschinen mit den Belegen kontaktieren. |
| 35 bis 50 | Informieren | Missbrauchte Referierende, Sponsoren und die genannte Venue über die bekannten Fakten informieren. Auf der offiziellen Website kurz warnen: falsche Domain, gültige Kontaktwege, klare Hinweise zu Zahlungen und Downloads. |
| 50 bis 60 | Weiter entscheiden | Nach einer Zahlung sofort Bank oder Kreditkartenanbieter kontaktieren. Bei Schaden Anzeige bei der Kantonspolizei erstatten, das BACS selbst nimmt keine Strafanzeigen entgegen. [10] [5] Sind eigene Personendaten betroffen, prüft die verantwortliche Stelle die Pflichten nach Datenschutzgesetz. |
Was das Schweizer Datenschutzrecht verlangt
Eine fremde Website, die Deinen Eventnamen kopiert, ist nicht automatisch eine Verletzung der Datensicherheit in Deinem Unternehmen. Diese Unterscheidung verhindert vorschnelle Meldungen und falsche Kommunikation.
Anders ist es, wenn Angreifer ein eigenes Konto übernehmen, Gästedaten abrufen, verändern oder unbefugt offenlegen. Nach Artikel 24 des Datenschutzgesetzes meldet der Verantwortliche eine Verletzung der Datensicherheit dem EDÖB so rasch als möglich, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen führt. Die Betroffenen werden informiert, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt. [11]
Ob diese Schwelle erreicht ist, hängt vom Einzelfall ab. Eventteams beurteilen das deshalb gemeinsam mit Datenschutz, IT und gegebenenfalls juristischer Beratung. Der EDÖB stellt dafür ein Meldeportal und einen Leitfaden bereit. [12] Dieser Beitrag ersetzt keine rechtliche Prüfung im Einzelfall.
Fünf Kennzahlen für die Vorsorge
Sicherheit lässt sich nicht mit einer einzigen Zahl belegen. Fünf einfache Messgrössen zeigen aber, ob Prüfung und Reaktion praktisch vorbereitet sind. Auch sie sind redaktionelle Vorschläge.
Offizielle Quellen: Anteil der aktiven Events mit kanonischer Seite, bestätigtem Veranstalter, gültigem Kontakt und klar bezeichnetem Zahlungsweg.
Partnerbestätigung: Anteil der veröffentlichten Referierenden, Sponsoren und Venues mit dokumentierter Freigabe.
Domainschutz: Anteil der genutzten und defensiv registrierten Domains mit geprüften SPF-, DKIM- und DMARC-Einstellungen, soweit sie E-Mail versenden.
Zeit bis zur Warnung: Dauer vom bestätigten Missbrauch bis zur Warnung auf der offiziellen Website und zur Information der betroffenen Partner.
Zeit bis zur Einordnung: Dauer vom internen Hinweis bis zum Entscheid, ob nur Markenmissbrauch oder zusätzlich ein technischer oder datenschutzrelevanter Vorfall vorliegt.
Häufige Fragen zu gefälschten Eventwebsites
Wie erkenne ich eine gefälschte Eventwebsite?
Achte nicht nur auf Gestaltung oder Rechtschreibung. Prüfe, ob Veranstalter, Venue, Referierende und Sponsoren den Anlass auf ihren eigenen offiziellen Kanälen bestätigen. Ruf die bekannte Website selbst auf, vergleiche die Domain Zeichen für Zeichen und bestätige ungewöhnliche Einladungen über einen zweiten Kontaktweg.
Beweist eine neue Domain einen Betrug?
Nein. Ein neues Event kann eine neue Domain haben. Ein junges Registrierungsdatum erhöht nur den Prüfbedarf. Auch ältere oder gekaperte Domains können missbraucht werden. Entscheidend ist, ob mehrere offizielle Quellen übereinstimmen.
Schützt DMARC vor jeder gefälschten Einladung?
Nein. DMARC erschwert das Fälschen genau Deiner Absenderdomain. Ähnliche Domains, fremde Mailkonten, Social-Media-Nachrichten und gefälschte Websites bleiben möglich. SPF, DKIM und DMARC brauchen deshalb ergänzende Prüf- und Meldewege.
Wo kann ich Phishing in der Schweiz melden?
Beim Bundesamt für Cybersicherheit BACS: verdächtige Mails und Websites über antiphishing.ch, mit Rückmeldung über das Meldeformular für Cybervorfälle. Nach einer Zahlung zusätzlich sofort die Bank kontaktieren. Bei einem Schaden erstattest Du Anzeige bei der Kantonspolizei.
Muss jede gefälschte Eventseite dem EDÖB gemeldet werden?
Nein. Die Meldepflicht nach Artikel 24 DSG betrifft Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko. Reiner Marken- oder Namensmissbrauch ohne Verletzung eigener Personendaten fällt nicht automatisch darunter. Könnten eigene Systeme oder Gästedaten betroffen sein, braucht es eine dokumentierte Beurteilung im Einzelfall.
Fazit: Vertrauen braucht einen prüfbaren Ursprung
Der Fall BioTold zeigt, wie überzeugend eine erfundene Veranstaltung wirken kann. Gutes Design, ein realistisches Programm und bekannte Namen ersetzen keine Bestätigung. Für Eventteams folgt daraus eine einfache Priorität: Jede wesentliche Behauptung über einen Anlass muss zu einem offiziellen Ursprung zurückführen.
Wer Eventseite, Absender, Partnerfreigaben und Zahlungswege sauber verbindet, erschwert den Missbrauch und verkürzt die Reaktionszeit. Wer zusätzlich den 60-Minuten-Ablauf vorbereitet, handelt im Verdachtsfall gemeinsam, statt dass Kommunikation, IT, Venue und Sponsoren getrennt reagieren.
Auch bei uns gilt: Räume, Kapazitäten, Technik und Kontakt stehen verbindlich auf jed-events.ch. Erreichbar sind wir unter info@jed-events.ch, +41 44 730 30 30 und über das Anfrageformular. Wer eine Veranstaltung mit einer Venue prüft, sollte solche Primärquellen immer selbst aufrufen und Angaben nicht aus einer unerwarteten Einladung übernehmen. So bleibt Vertrauen das Ergebnis verlässlicher Zusammenarbeit und nicht bloss ein Eindruck auf einer Website.
JED Events
Du planst einen Anlass im JED?
Räume, Kapazitäten und Kontaktwege findest Du verbindlich auf unserer Website. Für alles Weitere sind wir direkt für Dich da.
Anlass anfragenQuellen und Prüfpfad
Quellenstand: 26. Oktober 2026. Proofpoint und die zitierten Medien führen BioTold auf eine kriminelle Kampagne zurück. Eine Zahl erfolgreicher Infektionen ist nicht veröffentlicht, ein Zusammenhang mit einem Schweizer Anlass nicht bekannt. Registrierungsdatum, Gestaltung, Logos oder eine bekannte Venue sind für sich weder Beweis für Echtheit noch für Betrug. Schutzmassnahmen, Prüfabläufe und Kennzahlen sind redaktionelle Arbeitsmodelle. Rechtliche Hinweise beschreiben allgemeine Schweizer Grundlagen und ersetzen keine Beratung im Einzelfall.
[1]Cybercriminals Invented an Entire Conference and Used a Real Hotel to Sell the Lie. Skift Meetings, 23. Oktober 2026.
[2]A Star-Studded Biotech Conference Was Actually a Ransomware Front. The Scientist, 20. Oktober 2026.
[3]Halbjahresbericht 2025/II, Abschnitt Identitätsdiebstahl bei Unternehmen. Bundesamt für Cybersicherheit BACS, 30. März 2026, Kapitel 5.
[4]Business E-Mail Compromise (Rechnungsmanipulationsbetrug). BACS, abgerufen am 26. Oktober 2026.
[5]Melden Sie an das BACS. BACS, abgerufen am 26. Oktober 2026.
[6]DMARC für mehr E-Mail-Sicherheit. SWITCH, abgerufen am 26. Oktober 2026.
[7]#StopRansomware Guide. CISA, abgerufen am 26. Oktober 2026.
[8]Whois-Abfrage für .ch- und .li-Domains. SWITCH, abgerufen am 26. Oktober 2026.
[9]Registration Data Lookup Tool. ICANN, abgerufen am 26. Oktober 2026.
[10]Domain-Inhaber sind Ziel von Phishing-Mails. Cybercrimepolice, Kantonspolizei Zürich, 3. Juli 2024.
[11]Bundesgesetz über den Datenschutz (DSG), Art. 24. Fedlex, Stand 26. Oktober 2026.
[12]Meldung von Datensicherheitsverletzungen, Portal und Leitfaden. EDÖB, Leitfaden vom 6. Februar 2025, zuletzt angepasst am 23. April 2025.
Das könnte Sie auch interessieren
