Was ist Vishing?

Kurz erklärt

Vishing ist Betrug per Telefon: Angreifer geben sich am Telefon als vertrauenswürdige Personen aus, um Zugangsdaten, Zahlungen oder Fernzugriff auf Computer zu erlangen. Der Begriff steht für „Voice Phishing“. Ein Gespräch wirkt persönlicher als eine E-Mail, und genau das nutzen die Täter aus.

Wie funktioniert Vishing?

Vishing ist eine Form des Social Engineering. Die Anrufer treten selbstsicher auf, kennen oft schon Namen und Zuständigkeiten im Unternehmen und bauen schnell Druck auf. Häufige Rollen sind:

• Technischer Support: Angebliche Mitarbeitende von Microsoft oder Ihrem IT-Dienstleister melden ein „Sicherheitsproblem“ und wollen per Fernwartungssoftware helfen.
• Bank: Eine verdächtige Abbuchung müsse gestoppt werden, dafür brauche man einen Bestätigungscode.
• Behörden oder Polizei: Es gehe um laufende Ermittlungen, Ihr Konto sei in Gefahr.
• Geschäftsführung: Der Chef ruft angeblich von unterwegs an und braucht dringend eine Überweisung, siehe CEO-Fraud.

Die angezeigte Rufnummer lässt sich technisch fälschen, sodass am Display tatsächlich die Nummer Ihrer Bank erscheinen kann. Zusätzlich ist es inzwischen möglich, Stimmen mit KI-Werkzeugen nachzuahmen, wenn genug Tonmaterial einer Person öffentlich verfügbar ist. Oft wird Vishing mit anderen Kanälen kombiniert: Erst kommt eine Phishing-E-Mail, dann der „Support-Anruf“, der dabei hilft, das angebliche Problem zu lösen.

Ein typisches Beispiel aus dem KMU-Alltag

In einer allgemeinmedizinischen Ordination läutet am Vormittag das Telefon. Ein Mann stellt sich als Techniker des betreuenden IT-Dienstleisters vor, nennt den Namen der Firma korrekt und erklärt, man habe auf dem Empfangsrechner einen Virus festgestellt. Damit nichts passiert, solle die Assistentin eine Fernwartungssoftware installieren und ihm den angezeigten Code nennen. Unter Zeitdruck und mitten im Patientenbetrieb folgt sie der Anleitung. Der Anrufer bewegt die Maus, öffnet scheinbar Systemeinstellungen und verabschiedet sich freundlich. Tatsächlich hat er in der Zwischenzeit ein Programm installiert, das ihm dauerhaften Zugriff verschafft, und Zugangsdaten aus dem Browser kopiert.

Woran Sie Vishing erkennen

• Der Anruf kommt unaufgefordert und es geht sofort um ein dringendes Problem.
• Sie sollen Software installieren, Codes vorlesen oder Passwörter nennen.
• Rückfragen werden abgewimmelt, Sie sollen nicht auflegen oder niemanden einbeziehen.
• Seriöse Firmen wie Microsoft rufen nicht unaufgefordert wegen Viren an.

So schützen Sie Ihr Unternehmen

• Rückruf-Regel: Legen Sie auf und rufen Sie über eine Ihnen bekannte Nummer zurück, nie über eine vom Anrufer genannte.
• Keine Codes weitergeben: TAN-, SMS- und 2FA-Codes sind ausschließlich für Sie bestimmt.
• Fernwartung klar regeln: Vereinbaren Sie mit Ihrem IT-Dienstleister, wie und von wem Fernzugriffe angekündigt werden.
• Codewort für heikle Anfragen: Ein internes Kennwort hilft, echte Anrufe der Geschäftsführung zu bestätigen.
• Empfang und Sekretariat schulen: Diese Stellen werden besonders häufig angerufen.

Was tun im Ernstfall?

1. Trennen Sie den betroffenen Computer sofort vom Netzwerk und vom Internet.
2. Informieren Sie Ihren IT-Dienstleister über die tatsächlich bekannte Nummer.
3. Ändern Sie von einem anderen Gerät aus alle Passwörter, die auf dem Rechner gespeichert waren.
4. Wurden Bank- oder Zahlungsdaten genannt, kontaktieren Sie umgehend Ihre Bank.
5. Erstatten Sie Anzeige bei der Polizei. Bei betroffenen Patienten- oder Kundendaten prüfen Sie die 72-Stunden-Meldepflicht an die Datenschutzbehörde.