Vishing (Voice-Phishing) ist ein Social-Engineering-Angriff per Telefon, bei dem sich Kriminelle als Bank, Support, Polizei oder Kollege ausgeben, um Geld, Passwörter oder Zugang zu erlangen.
Wie Vishing funktioniert
Vishing verbindet klassischen Telefonbetrug mit den Methoden des Phishings. Anrufer nutzen Caller-ID-Spoofing, damit die echte Nummer der Bank angezeigt wird, folgen einem glaubwürdigen Skript und erzeugen Zeitdruck: „verdächtige Buchungen auf Ihrem Konto“, „Ihr Computer ist infiziert“, „wir müssen sofort Ihre Identität bestätigen“. Typische Szenarien:
- angeblicher Sicherheitsdienst der Bank, der Kartendaten oder Einmalcodes erfragt;
- Tech-Support-Betrug, der Opfer zur Installation von Fernwartungssoftware überredet;
- Anrufe beim IT-Helpdesk eines Unternehmens im Namen eines Mitarbeiters, um Passwort oder MFA-Gerät zurücksetzen zu lassen;
- automatisierte „OTP-Bots“, die Opfer anrufen und Zwei-Faktor-Codes abgreifen.
Warum Vishing wichtig ist
Ein Anruf wirkt persönlich und lässt wenig Zeit zum Nachdenken – Social Engineering am Telefon ist daher sehr wirksam. Vishing gegen Helpdesks ist zu einem wichtigen Angriffsweg auf Unternehmen geworden: 2023 drang die Gruppe Scattered Spider bei MGM Resorts ein, nachdem sie sich am Telefon als Mitarbeiter ausgegeben hatte. Per Deepfake-Stimmklon können Angreifer heute sogar die Stimme einer echten Führungskraft imitieren.
So schützen Sie sich
- Auflegen und unter der offiziellen Nummer von der Website oder Karte der Bank zurückrufen.
- Einmalcodes, Passwörter und PINs nie am Telefon nennen – Banken fragen nicht danach.
- Unternehmen sollten vor Passwort- und MFA-Resets am Helpdesk eine strenge Identitätsprüfung verlangen.
- Für dringende Zahlungsanfragen Codewörter im Unternehmen und in der Familie vereinbaren.
