Was ist Vishing?

Vishing einfach erklärt

Das Wort setzt sich aus „Voice“ (englisch für Stimme) und „Phishing“ zusammen. Beim klassischen Phishing kommt der Köder per E-Mail, beim Vishing per Anruf oder Sprachnachricht. Vishing ist eine Form des Social Engineering: Der Angriff zielt nicht auf die Technik, sondern auf den Menschen.

Stellen Sie sich einen Trickbetrüger vor, der an der Haustür klingelt und sich als Mitarbeiter der Stadtwerke ausgibt. Er wirkt freundlich, kennt Ihren Namen und hat es eilig. Beim Vishing passiert dasselbe am Telefon – nur dass der Anrufer nie vor Ihnen steht und sogar die angezeigte Rufnummer fälschen kann.

Genau das macht Vishing so wirksam: Ein Telefonat lässt wenig Zeit zum Nachdenken, und Spamfilter oder Virenscanner greifen hier nicht. Wie anfällig ein Unternehmen ist, lässt sich mit einem abgestimmten Social-Engineering-Test realistisch prüfen.

So funktioniert Vishing

Die meisten Vishing-Angriffe folgen einem ähnlichen Muster:

1. Recherche: Der Angreifer sammelt Namen, Zuständigkeiten und interne Begriffe – aus der Website, aus Stellenanzeigen oder sozialen Netzwerken. Diese Auswertung frei verfügbarer Quellen heißt OSINT.
2. Rolle: Er gibt sich als jemand aus, dem man vertraut: der IT-Support, die Hausbank, eine Behörde, ein Lieferant oder die Geschäftsführung. Mit gefälschter Rufnummernanzeige (Call-ID-Spoofing) erscheint dabei sogar eine bekannte Nummer auf dem Display.
3. Druck: Ein angeblicher Notfall, eine knappe Frist oder eine Anweisung „von ganz oben“ soll verhindern, dass das Opfer nachfragt.
4. Die eigentliche Bitte: Das Opfer soll ein Passwort nennen, einen Bestätigungscode aus der Multi-Faktor-Authentifizierung (MFA) vorlesen, eine Anmeldung auf dem Smartphone bestätigen, eine Fernwartungssoftware installieren oder eine Überweisung freigeben.

Häufig kombinieren Angreifer den Anruf mit einer vorab versandten E-Mail oder SMS (Smishing). Zunehmend kommt auch künstliche Intelligenz zum Einsatz: Damit lassen sich Stimmen täuschend echt nachahmen – etwa die einer bekannten Führungskraft. Oft genügen dafür schon öffentlich verfügbare Aufnahmen, zum Beispiel aus Videos oder Interviews.

Ein Beispiel aus der Praxis

Bei einem mittelständischen Maschinenbauer klingelt in der Buchhaltung das Telefon. Auf dem Display steht die interne Nummer des IT-Supports. Der Anrufer nennt einen Namen und erklärt: „Wir sehen verdächtige Anmeldungen bei Ihrem Konto. Ich schicke Ihnen gleich eine Bestätigung aufs Handy – lesen Sie mir bitte den Code vor, dann sperren wir den Angreifer aus.“

Die Mitarbeiterin wird stutzig: Der Support hat noch nie nach einem Code gefragt. Sie beendet das Gespräch höflich und ruft über die Nummer aus dem Intranet zurück. Dort weiß niemand von dem Anruf. Sie meldet den Vorfall, und die IT warnt noch am selben Tag alle Beschäftigten.

Hätte sie den Code genannt, wäre der Angreifer mit einem zuvor erbeuteten Passwort in ihr E-Mail-Postfach gelangt – ein idealer Ausgangspunkt für gefälschte Zahlungsanweisungen.

Warum ist das für Unternehmen wichtig?

Vishing umgeht viele technische Schutzmaßnahmen. Selbst die Multi-Faktor-Authentifizierung hilft wenig, wenn jemand den Code am Telefon weitergibt oder eine Anmeldeanfrage bestätigt. Besonders im Visier stehen Bereiche mit Zugriff auf Geld oder Zugänge: Buchhaltung, Assistenz der Geschäftsführung, Personalabteilung und der IT-Helpdesk, der Passwörter zurücksetzen kann.

Die Folgen reichen von übernommenen Konten über abfließende Daten bis zu Zahlungen an Betrüger. Ein einzelner erfolgreicher Anruf kann außerdem der Auftakt für einen größeren Angriff auf das gesamte Netzwerk sein.

So schützen Sie sich

• Rückrufregel: Bei ungewöhnlichen Bitten auflegen und über eine bekannte, offizielle Nummer zurückrufen – nie über die Nummer, die der Anrufer nennt.
• Klare Grundsätze: Legen Sie fest und kommunizieren Sie, dass Ihre IT niemals nach Passwörtern oder MFA-Codes fragt.
• Vier-Augen-Prinzip: Zahlungen und geänderte Bankverbindungen nur nach einer zweiten Freigabe über einen anderen Kanal.
• Helpdesk absichern: Passwörter und MFA nur nach einer verlässlichen Identitätsprüfung zurücksetzen.
• Phishing-resistente MFA: Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys kommen ohne Code zum Abtippen aus – es gibt also nichts, was man am Telefon weitergeben könnte.
• Sensibilisierung: Schulen Sie Ihr Team regelmäßig mit realistischen Beispielen und schaffen Sie eine Kultur, in der Nachfragen und Melden ausdrücklich erwünscht sind.

Wie Rootsektor unterstützt

Wie gut Ihr Team auf manipulative Anrufe vorbereitet ist, zeigt ein kontrollierter Test. Im Rahmen von Social Engineering & physische Tests führen wir abgestimmte Vishing-Szenarien durch – realistisch, aber ohne einzelne Mitarbeitende bloßzustellen. Die Ergebnisse fließen auf Wunsch in gezielte Schulungen ein, etwa mit Security Awareness & Phishing-Simulation. Sprechen Sie uns gern über den Kontakt an.