Vishing: Telefonbetrug erkennen und verhindern

Im Oktober steht beim European Cybersecurity Month traditionell das Thema Awareness im Mittelpunkt. Vishing passt perfekt dazu, denn gegen einen Anruf hilft keine Firewall. Kein Spamfilter hört mit, kein Virenscanner erkennt eine überzeugende Stimme. Der Angriff trifft den Menschen, nicht das System.

Dass Angreifer den Weg über das Telefon gehen, zeigen aktuelle Zahlen aus der Praxis. Im M-Trends-Report 2026 von Mandiant spielte Voice Phishing bei 11 Prozent der untersuchten Einbrüche die Rolle des ersten Zugangswegs und lag damit auf Platz zwei hinter dem Ausnutzen von Sicherheitslücken (32 Prozent). Klassisches E-Mail-Phishing kam nur noch auf 6 Prozent. Die Zahlen stammen aus Einsätzen des Mandiant-Teams bei Sicherheitsvorfällen weltweit und sind damit kein repräsentativer Querschnitt aller Angriffe. Der Trend ist aber eindeutig: Je besser E-Mail-Filter werden, desto häufiger weichen Angreifer auf das Telefon aus.

Für kleine und mittlere Unternehmen ist das besonders heikel. In kleineren Organisationen kennen sich viele Mitarbeitende persönlich, und Abläufe wie Passwort-Resets sind nicht immer streng geregelt. Das schafft genau das Vertrauen, auf das ein Anrufer baut.

Ein guter Vishing-Anruf beginnt lange vor dem ersten Klingeln. Angreifer sammeln vorab Informationen aus öffentlichen Quellen: Firmenwebsite, Karriereportale, Social-Media-Profile. So erfahren sie, wer welche Rolle hat, welche Dienstleister im Einsatz sind und wie Vorgesetzte heißen.

Mit diesem Wissen entsteht ein glaubwürdiger Vorwand, etwa ein gesperrter Zugang vor einem wichtigen Termin, ein angebliches Sicherheitsproblem oder eine dringende Zahlung. Im Gespräch bauen die Anrufer Vertrauen auf, nennen echte Namen und Begriffe und erhöhen dann den Druck: Die Geschäftsleitung wartet, ein System wird gleich abgeschaltet, es droht Datenverlust. Am Ende steht eine kleine Bitte, die große Folgen hat. Jemand liest einen Code vor, bestätigt eine Anmeldung auf dem Smartphone oder startet eine Fernwartungssitzung.

Zwei Techniken machen das besonders wirkungsvoll:

• Gefälschte Rufnummern (Caller-ID-Spoofing): Auf dem Display kann die Nummer der eigenen Zentrale oder des internen Helpdesks erscheinen. Die angezeigte Nummer ist kein Nachweis für die Identität des Anrufers.

• KI-generierte Stimmen: Mit wenigen Sekunden Audiomaterial lassen sich Stimmen nachbilden. Die vertraute Stimme der Chefin oder des IT-Leiters ist deshalb kein Beweis mehr, dass sie es wirklich ist.

Die Geschichten variieren, das Muster bleibt gleich: eine vertraute Rolle, eine Ausnahmesituation, Zeitdruck und eine kleine Bitte.

• Der falsche IT-Support: Der Anrufer meldet sich als Helpdesk oder externer Dienstleister und braucht „kurz“ ein Passwort, einen MFA-Code oder Zugriff per Fernwartung. Eine Variante richtet sich umgekehrt an den echten Helpdesk: Dort gibt sich der Täter als Mitarbeiter aus, der angeblich ausgesperrt ist, und lässt Passwort oder MFA zurücksetzen.

• Anruf „von ganz oben“: Angeblich die Geschäftsführung bittet die Buchhaltung um eine vertrauliche, eilige Überweisung oder um die Änderung einer Bankverbindung. Diese Masche kennt man als CEO-Fraud. Mit KI-Stimmen wirkt sie überzeugender als je zuvor.

• Die Rückruf-Falle: Eine E-Mail mit gefälschter Rechnung oder Sicherheitswarnung enthält keinen Link, sondern nur eine Telefonnummer. Wer anruft, landet bei den Angreifern. Weil der Kontakt vom Opfer ausgeht, ist das Vertrauen anfangs besonders hoch.

• Anruf plus Push-Nachricht: Während der Anrufer Druck aufbaut, löst er parallel Anmeldeversuche aus. Auf dem Smartphone erscheint eine Freigabeanfrage, und der Mitarbeiter bestätigt sie, um „das Problem zu lösen“.

• Kontakt über Kollaborationstools: Das Prinzip funktioniert nicht nur am Telefon. Microsoft Incident Response hat dokumentiert, wie sich ein Angreifer über Microsoft Teams als IT-Support ausgab. Zwei Beschäftigte lehnten ab, die dritte Person startete eine Fernwartungssitzung. Angreifer sprechen also so lange mehrere Personen an, bis eine mitspielt.

Weder die Rufnummer noch die Stimme beweisen, wer anruft. Verlässlicher ist ein Blick auf das, was verlangt wird. Diese Warnsignale sollten Sie und Ihr Team kennen:

• Zeitdruck: „Das muss sofort passieren“, „sonst droht Datenverlust“, „die Geschäftsführung wartet“.

• Abfrage sensibler Daten: Passwörter, MFA-Codes, Freigaben oder die Bitte, eine Push-Anfrage zu bestätigen.

• Abweichung vom Prozess: Eine Ausnahme beim Vier-Augen-Prinzip, ein Ticket „später“ oder keine Rückfrage beim Vorgesetzten.

• Fernzugriff auf Zuruf: Die Aufforderung, ein Programm zu installieren oder eine Fernwartungssitzung zu starten.

• Unerwarteter Kontakt mit Autorität: Anrufe von angeblicher IT, Bank, Behörde oder Führungsebene, verbunden mit der Bitte um Vertraulichkeit.

Bereits ein einzelnes Signal reicht, um das Gespräch zu beenden und über einen bekannten Weg nachzufragen.

Wirksamer Schutz entsteht nicht durch einen einzelnen Filter, sondern durch das Zusammenspiel aus klaren Regeln, belastbaren Prozessen und moderner Technik. Entscheidend ist, dass ein Angriff selbst dann ins Leere läuft, wenn eine Person getäuscht wurde.

1. Klare Regeln für alle Mitarbeitenden: Passwörter und MFA-Codes werden niemals telefonisch weitergegeben, auch nicht an die „eigene IT“. Bei unerwarteten Anrufen gilt: auflegen und über eine bekannte, offizielle Nummer zurückrufen, nie über die Nummer des Anrufers. Fernwartung startet nur über definierte Prozesse, nicht auf Zuruf. Und: Auflegen ist erlaubt, auch gegenüber vermeintlichen Vorgesetzten.
2. Verlässliche Prozesse im Helpdesk und in der Buchhaltung: Vor jedem Passwort- oder MFA-Reset steht eine Identitätsprüfung, die sich telefonisch nicht aushebeln lässt, etwa eine Freigabe über einen zweiten Kanal oder durch Vorgesetzte. Zahlungen und Änderungen von Bankverbindungen werden ab einem festgelegten Betrag nach dem Vier-Augen-Prinzip bestätigt. Gelten diese Regeln auch für externe Dienstleister, die Support übernehmen, schließen Sie eine typische Lücke.
3. Phishing-resistente Anmeldung: SMS-Codes und einfache Push-Bestätigungen lassen sich per Social Engineering erschleichen. Sicherheitsschlüssel nach FIDO2 und Passkeys sind an die jeweilige Webseite gebunden und lassen sich deshalb nicht am Telefon weitergeben. Zusätzlich gilt ein Zero-Trust-Ansatz: Zugriffe werden nicht allein wegen eines korrekten Passworts vertraut, sondern anhand von Identität, Gerät und Kontext geprüft.
4. Erkennen und reagieren: Wird trotz aller Vorsicht ein Konto kompromittiert, kommt es auf die Geschwindigkeit an. Ein Security Operations Center (SOC) überwacht Anmeldungen, erkennt ungewöhnliche Muster, etwa eine Anmeldung aus neuer Umgebung kurz nach einem Passwort-Reset, und leitet Gegenmaßnahmen ein. Monitoring, Detection und Response sind dabei ein dauerhafter Prozess, kein einmaliges Projekt.
5. Training, das hängen bleibt: Regelmäßige Awareness-Schulungen, die auch Telefonbetrug abdecken, bauen Reflexe auf, die im Gespräch greifen. Wichtig ist eine Kultur, in der Rückfragen erwünscht sind und niemand Sanktionen fürchten muss, wenn er einen Verdachtsfall meldet. Auch ein Fehlalarm ist besser als ein Schweigen.

Eine Telefonanlage kann Vishing nicht verhindern, denn ein betrügerischer Anruf ist zunächst ein ganz normaler Anruf. Sie schafft aber Rahmenbedingungen, die den Schaden begrenzen und das Abhören von Gesprächen erschweren.

Bei Swyx lassen sich zum Beispiel Rufbeschränkungen einrichten. Administratoren können für Benutzer festlegen, ob nur interne, nationale oder auch internationale Gespräche erlaubt sind, und bestimmte Rufnummern oder Vorwahlen sperren, etwa kostenpflichtige. Das hilft gegen teure Rückruf-Fallen. Außerdem lassen sich Sprachdaten per SRTP verschlüsseln, serverweit oder je Benutzer, sofern die Endgeräte das unterstützen. Das schützt vor dem Mithören, nicht vor dem Betrüger am anderen Ende.

Der wichtigste Baustein bleibt daher das Verhalten im Gespräch. Eine moderne Kommunikationslösung entfaltet ihren Nutzen am besten zusammen mit klaren Regeln und geschulten Mitarbeitenden.

Wenn jemand im Team Zugangsdaten genannt oder einen Code bestätigt hat, zählt jede Minute. Wichtig ist, dass die Person dafür nicht angeprangert wird, sondern sofort Hilfe bekommt.

1. Gespräch beenden und nichts weiter bestätigen.
2. Den Vorfall unverzüglich an IT oder Security melden, auch wenn unklar ist, ob etwas passiert ist.
3. Betroffene Passwörter ändern und aktive Sitzungen sowie MFA-Registrierungen prüfen und zurücksetzen lassen.
4. Fernwartungssoftware trennen und das betroffene Gerät vom Netzwerk nehmen.
5. Auffällige Anmeldungen und Zugriffe in den Protokollen prüfen lassen.
6. Prüfen, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt. Ist sie meldepflichtig, muss der Verantwortliche die zuständige Datenschutzaufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden informieren.

Wer das nicht allein stemmen kann oder möchte, sollte frühzeitig Unterstützung durch einen IT-Dienstleister mit Incident-Response-Erfahrung holen.

Wie gut ist Ihr Unternehmen gegen Social Engineering aufgestellt? Wir prüfen gemeinsam mit Ihnen, wo Telefonbetrug und andere Angriffe auf den Faktor Mensch Ihr Unternehmen treffen könnten, und entwickeln ein Sicherheitskonzept mit klaren Prozessen, Zero-Trust-Ansatz und Überwachung durch das Team-IT SOC. Sprechen Sie uns an.