Was ist Vishing?
Phishing kennst du aus dem Postfach. Vishing ist dasselbe am Telefon. Das Wort setzt sich aus „voice“ und „phishing“ zusammen. Die US-Cybersicherheitsbehörde CISA nennt es Social Engineering über Sprachkommunikation.
Der Anrufer gibt sich als jemand aus, dem du vertraust: die Bank, der IT-Support, eine Behörde, der Chef. Er will etwas Bestimmtes. Einen Bestätigungscode, ein Passwort, Fernzugriff auf deinen Rechner oder eine schnelle Überweisung.
Wie verbreitet ist Vishing?
Fall A · Firmen
Vishing-Welle 2024
+442 %
zweites gegen erstes Halbjahr
48 Min.
bis zur Ausbreitung im Netz
Angreifer setzen auf Anrufe statt Schadsoftware.
CrowdStrike Global Threat Report 2025, weltweite Beobachtung von über 250 Angreifergruppen. Halbjahresvergleich, keine absolute Zahl.
Fall B · Deutschland
Getäuscht durch KI-Fälschungen
9 %
der Internetnutzer
233 €
Schaden im Schnitt
Im Vorjahr waren es noch 3 %.
Bitkom, Oktober 2026, 1.031 Internetnutzer ab 16. Gemeint sind KI-gefälschte Fotos, Videos oder Sprachaufnahmen, Telefon nicht getrennt ausgewiesen.
In den USA waren Anrufe 2024 laut Verbraucherschutzbehörde FTC der zweithäufigste Kontaktweg für Betrug, nach E-Mail und vor SMS.
Echte Fälle: So läuft es ab
- Salesforce-Daten, 2025: Laut Google rief eine Gruppe Mitarbeitende als „IT-Support“ an. Die Opfer gaben auf einer Salesforce-Seite einen Verbindungscode ein und gaben so einer manipulierten App Zugriff. Danach folgte Erpressung. Google betont: Ausgenutzt wurde keine Lücke in Salesforce, sondern Menschen.
- Fernwartung, 2024: Microsoft beobachtete Anrufer, die sich als Helpdesk ausgaben. Die Opfer gaben ihren Bildschirm über Quick Assist frei. Am Ende stand Ransomware.
- Falscher Chef, 2024: Ein Mitarbeiter von LastPass bekam Anrufe und eine Sprachnachricht mit der geklonten Stimme des CEO, über WhatsApp. Er wurde misstrauisch, meldete es, und es passierte nichts.
Der LastPass-Fall zeigt, was schützt: Der Kanal passte nicht, und der Druck war verdächtig. Kein Erkennungsprogramm, sondern ein aufmerksamer Mensch.
Häufige Fehler
Fehler 1 · Der angezeigten Nummer trauen
Rufnummern lassen sich fälschen. Die Bundesnetzagentur hat dagegen seit Dezember 2022 Regeln, zum Beispiel darf aus ausländischen Netzen keine deutsche Nummer mehr angezeigt werden. Das hilft, schließt die Lücke aber nicht ganz.
Fehler 2 · Die Nummer des Anrufers zurückrufen
Ruf zurück, aber über eine Nummer, die du selbst kennst oder nachschlägst. Das rät auch das FBI. Die Nummer, die der Anrufer dir nennt, führt zu ihm.
Fehler 3 · Sich aufs Gehör verlassen
Geklonte Stimmen klingen echt. Das BSI schreibt, dass automatische Erkennung von Fälschungen schlecht auf neue Fälle übertragbar ist. Die wichtigste Gegenmaßnahme sei Schulung. Prozesse schützen besser als Ohren.
Fehler 4 · Codes am Telefon weitergeben
Kein echter Support fragt nach deinem Passwort oder einem Bestätigungscode. Das BSI sagt es klar: Zugangsdaten nie am Telefon herausgeben, Banken fragen so etwas nie telefonisch ab.
So schützt du dein Team
- Codewort vereinbaren: Für ungewöhnliche Bitten am Telefon gilt ein internes Codewort. Das FBI empfiehlt das sogar für Familien.
- Rückruf-Regel: Zahlungen, neue Bankdaten und Zugänge nur nach Rückruf über eine bekannte Nummer.
- Keine Fernwartung auf Zuruf: Microsoft rät, Quick Assist nur zu nutzen, wenn du den Support selbst angerufen hast.
- Kanäle festlegen: Der Chef meldet sich nicht über WhatsApp, wenn es um Geld geht.
- Passkeys statt Codes: Hardware-Schlüssel lassen sich nicht am Telefon verraten.
Häufige Fragen
Was ist der Unterschied zwischen Vishing und Phishing?
Phishing ist der Oberbegriff für Täuschung, um an Daten oder Geld zu kommen, klassisch per E-Mail. Vishing ist die Variante per Anruf oder Sprachnachricht. Smishing nennt man dasselbe per SMS.
Wie erkenne ich einen Vishing-Anruf?
An Zeitdruck, ungewöhnlichen Bitten und dem Wunsch nach Codes, Passwörtern oder Fernzugriff. Seriöse Banken und IT-Abteilungen fragen das nicht am Telefon ab. Leg im Zweifel auf und ruf über eine bekannte Nummer zurück.
Wie viel Audio brauchen Betrüger für einen Stimmklon?
Laut BSI braucht hohe Qualität mehrere Stunden Material der Zielperson. Mit großen Stimmdatenbanken reichen wenige Minuten, mit etwas schlechterer Qualität auch weniger. Öffentliche Videos und Podcasts genügen oft.
Kann ich der angezeigten Nummer trauen?
Nein. Rufnummern lassen sich fälschen. Die Bundesnetzagentur hat zwar Regeln gegen gefälschte Nummern eingeführt, ganz verhindern lässt es sich nicht.
Was tun, wenn ich schon Daten oder Zugriff gegeben habe?
Sofort handeln: Passwörter ändern, Zugänge sperren, bei Fernzugriff den Rechner vom Netz nehmen und die IT informieren. Bei Geldabfluss die Bank anrufen und Anzeige bei der Polizei erstatten.
Quellen
- CISA: Avoiding Social Engineering and Phishing Attacks
- FBI IC3: Warnung vor KI-Sprachnachrichten (PSA 2025)
- CrowdStrike: Global Threat Report 2025
- Bitkom: Cyberkriminelle täuschen häufiger mit Deepfakes
- FTC: Betrugsdaten 2024
- Google Threat Intelligence: Voice Phishing und Datenerpressung
- Microsoft Security: Missbrauch von Quick Assist
- BSI: Deepfakes
- BSI: Social Engineering
- Bundesnetzagentur: Schutz vor Rufnummernmanipulation
