Vishing: Betrug per Telefonanruf erkennen und abwehren

Was ist Vishing?

Der Begriff setzt sich aus Voice und Phishing zusammen. Statt einer gefälschten E-Mail kommt ein Anruf. Das Ziel ist dasselbe wie beim Phishing: Zugangsdaten, Bestätigungscodes, Fernzugriff auf einen Rechner oder eine Überweisung. Vishing ist eine Form des Social Engineering. Es nutzt keine technische Lücke, sondern Hilfsbereitschaft, Respekt vor Autorität und Zeitdruck.

Wie ein Vishing-Anruf abläuft

1. Vorbereitung: Namen, Zuständigkeiten und Durchwahlen stammen oft von der Website, aus Business-Netzwerken oder aus früheren Datenlecks.
2. Vertrauen aufbauen: Der Anrufer kennt Details, nennt Kollegen beim Namen und zeigt eine passende Rufnummer an.
3. Druck erzeugen: „Ihr Konto ist gesperrt“, „Die Zahlung muss heute noch raus“, „Wir sehen gerade einen Angriff auf Ihren Rechner“.
4. Abgreifen: Der Angerufene soll ein Passwort nennen, einen MFA-Code vorlesen, eine Fernwartungssoftware installieren oder eine Überweisung freigeben.

Typische Maschen im Unternehmen

• Falscher IT-Support: angeblich von Microsoft oder vom eigenen Dienstleister, mit der Bitte um Fernzugriff oder um den Code aus der Authenticator-App.
• Falscher Chef (CEO-Fraud): eine dringende, vertrauliche Überweisung, die „heute noch“ erledigt werden muss.
• Falsche Bank: eine angeblich verdächtige Buchung, die man „nur kurz bestätigen“ soll.
• Rückruf-Phishing: Eine E-Mail kündigt eine Abbuchung oder ein Problem an und nennt eine Telefonnummer. Wer zurückruft, landet bei den Betrügern.

Neue Qualität durch KI-Stimmen

Mit wenigen Sekunden Audiomaterial, etwa aus einem Video oder einer Sprachnachricht, lassen sich Stimmen heute täuschend echt nachbilden. Ein Anruf, der wie die Geschäftsführung klingt, ist deshalb kein Beweis mehr. Auch die angezeigte Rufnummer lässt sich fälschen (Caller-ID-Spoofing).

So schützen Sie Ihr Unternehmen

• Rückruf über bekannte Nummer: Bei ungewöhnlichen Bitten auflegen und über die Nummer aus Telefonbuch, Vertrag oder Intranet zurückrufen, nie über die genannte.
• Keine Codes am Telefon: Passwörter und MFA-Codes werden niemals telefonisch abgefragt, auch nicht vom eigenen IT-Dienstleister.
• Vier-Augen-Prinzip für Zahlungen: Überweisungen ab einem festgelegten Betrag oder an neue Empfänger brauchen eine zweite Freigabe über einen anderen Kanal.
• Codewort: Für heikle Anfragen der Geschäftsführung hilft ein vereinbartes Kennwort, das nirgends schriftlich steht.
• Klarer Meldeweg: Wer einen verdächtigen Anruf bekommt, meldet ihn sofort, damit Kollegen gewarnt werden können.
• Regelmäßig üben: Awareness-Trainings sollten Telefon-Szenarien ausdrücklich einschließen, nicht nur E-Mails.

Vishing, Phishing, Smishing

Phishing läuft per E-Mail, Smishing per SMS oder Messenger, Vishing per Anruf oder Sprachnachricht. Oft werden die Kanäle kombiniert: Erst kommt eine Mail, dann der „hilfsbereite“ Anruf. Technische Schutzmaßnahmen wie Spamfilter greifen am Telefon nicht. Umso wichtiger sind klare Regeln und geschulte Mitarbeitende.

Häufige Fragen