Vishing (Voice-Phishing)
Beim Vishing kommt der Angriff nicht per E-Mail, sondern über das Telefon. So funktioniert Voice-Phishing – und so erkennen Sie betrügerische Anrufe rechtzeitig.
- Kategorie
- Social-Engineering-Angriff per Telefon
- Angriffskanal
- Sprachanruf, Mailbox, Rückruf-Masche
- Angriffsziel
- Zugangsdaten, TANs, Überweisungen, Fernzugriff
- Bester Schutz
- Auflegen und über offizielle Nummer zurückrufen
Wie funktioniert Vishing?
Vishing folgt demselben Muster wie andere Social-Engineering-Angriffe, nutzt aber den Sprachkanal. Die Täter recherchieren zunächst ihr Ziel – etwa Name, Rolle oder Bankverbindung aus öffentlich zugänglichen Quellen. Anschließend bauen sie am Telefon eine glaubwürdige Situation auf und erzeugen Druck: Dringlichkeit („Ihr Konto wird gesperrt“), Autorität („hier spricht die Geschäftsführung“) oder Angst vor einem vermeintlichen Schaden. Unter diesem Druck handeln Menschen reflexartig und geben Dinge preis, die sie sonst niemals herausgeben würden.
Erschwerend kommt hinzu, dass sich die angezeigte Rufnummer fälschen lässt (Call-ID-Spoofing). Ein Anruf, der scheinbar von der eigenen Bank oder einer internen Durchwahl stammt, ist deshalb kein Echtheitsbeweis.
Typische Beispiele für Vishing
Die folgenden Muster sind generisch beschrieben und sollen helfen, betrügerische Anrufe wiederzuerkennen:
- Angeblicher IT-Support: Ein Anrufer gibt sich als interne oder externe Technik aus und bittet unter einem Vorwand um Zugangsdaten oder um die Installation einer Fernwartungssoftware.
- Gefälschter Bankanruf: Jemand behauptet, es gebe eine verdächtige Buchung, und drängt darauf, zur „Verifizierung“ Kartendaten oder eine TAN durchzugeben.
- Vorgesetzter am Telefon: Ein Anrufer gibt sich als Führungskraft aus und fordert eine eilige, vertrauliche Überweisung oder Datenfreigabe – oft außerhalb der üblichen Prozesse.
- KI- und Deepfake-Stimmen: Zunehmend werden Stimmen mit künstlicher Intelligenz nachgeahmt, sodass ein Anruf täuschend echt nach einer bekannten Person klingen kann.
Warum Vishing so wirksam ist
Eine Stimme wirkt unmittelbarer und vertrauenswürdiger als eine E-Mail. Am Telefon gibt es keine Bedenkzeit zum Nachlesen, keinen sichtbaren Absender zum Prüfen und kein auffälliges Layout, das stutzig macht. Der direkte Dialog erzeugt sozialen Druck: Wer angerufen wird, möchte höflich und hilfsbereit reagieren und fühlt sich gedrängt, sofort zu antworten. Genau diese menschlichen Reflexe nutzen Angreifer gezielt aus – und durch KI-gestützte Stimmnachahmung klingen die Anrufe zunehmend überzeugend.
Wie reagiere ich richtig auf einen verdächtigen Anruf?
Die wichtigste Regel lautet: Lassen Sie sich nicht unter Druck setzen. So gehen Sie bei einem verdächtigen Anruf vor:
- Innehalten: Nehmen Sie den künstlichen Zeitdruck bewusst wahr. Kein seriöses Anliegen zerbricht daran, dass Sie es in Ruhe prüfen.
- Keine Daten preisgeben: Nennen Sie am Telefon niemals Passwörter, PINs, TANs oder Bestätigungscodes und gewähren Sie keinen Fernzugriff.
- Auflegen: Beenden Sie das Gespräch, wenn der Anrufer drängt, droht oder vertrauliche Informationen verlangt.
- Zurückrufen: Kontaktieren Sie die angebliche Stelle über eine offizielle, selbst herausgesuchte Nummer – nicht über eine, die Ihnen genannt wurde.
- Melden: Informieren Sie Ihre IT-Abteilung oder Sicherheitsstelle, damit andere gewarnt werden können.
Wie schützt man sich vor Vishing?
Technik allein hält Vishing nicht auf, weil der Angriff direkt auf den Menschen zielt. Entscheidend ist ein geschultes, aufmerksames Team mit klaren Verhaltensregeln:
- Bei unerwarteten Anrufen auflegen und über die offizielle, selbst herausgesuchte Nummer zurückrufen
- Niemals Passwörter, PINs, TANs oder Bestätigungscodes am Telefon nennen – seriöse Stellen fragen danach nicht
- Keine Fernwartungssoftware installieren oder Bildschirmzugriff gewähren, nur weil ein Anrufer dazu auffordert
- Angezeigte Rufnummern nicht als Beweis werten – Absendernummern lassen sich fälschen (Call-ID-Spoofing)
- Ungewöhnliche Zahlungs- oder Datenanfragen immer über einen zweiten, bekannten Kanal gegenprüfen (Vier-Augen-Prinzip)
- Zeitdruck und Drohungen als Warnsignal verstehen und Verdachtsfälle niederschwellig melden
So hilft SECMIND
Angriffe kommen längst nicht mehr nur per E-Mail, sondern über alle Kanäle – vom Anruf über die SMS bis zum QR-Code. SECMIND stärkt die Awareness Ihrer Mitarbeitenden für genau diese Vielfalt an Angriffswegen. Mit realistischen Simulationen und kurzen, praxisnahen Trainings lernen Ihre Teams, verdächtige Anfragen zu erkennen und richtig zu reagieren – anonymisiert, DSGVO-konform und über mehrere Kampagnen messbar sicherer.
Häufige Fragen zu Vishing
Was ist Vishing?
Vishing (Voice-Phishing) ist eine Betrugsmasche per Telefon. Der Begriff setzt sich aus „Voice“ (Stimme) und „Phishing“ zusammen. Angreifer rufen an und geben sich als vertrauenswürdige Stelle aus – etwa IT-Support, Bank oder Vorgesetzter – um an Zugangsdaten, TANs oder Überweisungen zu gelangen. Statt einer technischen Lücke nutzen sie den Faktor Mensch aus.
Worin unterscheidet sich Vishing von Phishing?
Phishing ist der Oberbegriff für Angriffe, bei denen Betrüger eine vertrauenswürdige Identität vortäuschen. Klassisches Phishing läuft meist über E-Mail, Vishing dagegen über den Sprachanruf. Die Stimme wirkt direkter und persönlicher als eine Mail, wodurch Druck und Dringlichkeit besonders wirksam sind. Verwandte Formen sind Smishing (per SMS) und Quishing (per QR-Code).
Wie erkennt man einen Vishing-Anruf?
Typische Warnsignale sind unerwartete Anrufe, die sofort Druck aufbauen, die Aufforderung, vertrauliche Daten wie Passwörter oder TANs durchzugeben, die Bitte um Installation von Fernwartungssoftware sowie Drohungen oder verlockende Versprechen. Auch eine scheinbar bekannte Rufnummer ist kein Beweis, da sich Nummern fälschen lassen.
Wie schützt man sich vor Vishing?
Legen Sie bei verdächtigen Anrufen auf und rufen Sie über die offizielle, selbst herausgesuchte Nummer zurück. Geben Sie niemals Zugangsdaten, PINs oder TANs am Telefon weiter und gewähren Sie keinen Fernzugriff. Prüfen Sie ungewöhnliche Zahlungs- oder Datenanfragen über einen zweiten Kanal. Regelmäßige Awareness-Trainings schärfen die nötigen Reflexe im gesamten Team.
Passend dazu
Schützen Sie Ihr Team vor Angriffen über jeden Kanal
Starten Sie Ihre kostenlose 7-Tage-Demo – ohne Kreditkarte, in wenigen Minuten eingerichtet.
Jetzt kostenlos testen