Vishing oder Voice-Phishing ist eine Art von Phishing-Angriff, der über das Telefon oder per Sprachnachricht durchgeführt wird – es kann eine Sprachnachricht, ein Videoanruf oder ein Telefonanruf sein. Es wird gegen Unternehmen und Einzelpersonen eingesetzt, um Daten und Geld zu stehlen oder weitere Betrügereien zu starten.

Die Stimme einer Person ist nicht mehr vertrauenswürdig. Und mit KI-Sprachklonen können Angreifer mühelos ein Familienmitglied oder einen engen Freund nachahmen und vertraut genug klingen, um keinen Verdacht zu erwecken.

KI-Sprachklonen macht es für Unternehmen wichtiger denn je, ihre Abwehrkräfte gegen Vishing-Betrug zu stärken. Eine überzeugende gefälschte Stimme kann verwendet werden, um sich als Führungskräfte, Mitarbeiter, Lieferanten oder Kunden auszugeben, was das Risiko von betrügerischen Zahlungen, Diebstahl von Anmeldedaten, Kontoübernahmen, Datenlecks und Störungen des internen Betriebs erhöht.

Da diese Angriffe normale Geschäftsprozesse und vertrauenswürdige Beziehungen ausnutzen können, benötigen Organisationen Verifizierungsverfahren, die sich nicht darauf verlassen, ob ein Anrufer vertraut oder überzeugend klingt.

Was ist Vishing?

Vishing ist eine Art von Phishing, das über das Telefon oder per Sprachnachricht durchgeführt wird. Betrüger geben sich als vertrauenswürdige Personen oder Organisationen wie Banken, Arbeitgeber, Behörden oder Familienmitglieder aus, um Opfer dazu zu verleiten, vertrauliche Informationen zu teilen, Geld zu senden oder andere Aktionen durchzuführen.

Der Name setzt sich aus „Voice“ + „Phishing“ zusammen. Es ist eng mit Smishing verwandt, bei dem SMS oder Textnachrichten anstelle von Anrufen verwendet werden, um ähnliche Betrügereien durchzuführen.

Heute kann Vishing auch KI-Sprachklonen beinhalten, womit Betrüger die Stimme einer echten Person nachahmen und den Anruf überzeugender klingen lassen können.

Wie funktioniert Vishing?

Vishing funktioniert in der Regel durch eine Kombination aus Identitätstäuschung, Social Engineering und Dringlichkeit. Es setzt auf den Druck einer Live-Unterhaltung, um jemanden zum Handeln zu drängen, bevor er Zeit hat, eine Anfrage zu verifizieren. Ein Anrufer könnte vorgeben, von der IT zu sein und darum bitten, eine Anmeldung zu bestätigen, sich als Bankangestellter ausgeben, der eine verdächtige Transaktion überprüft, oder sich als Führungskraft ausgeben, die dringend eine Zahlungsfreigabe benötigt.

Anders als bei Phishing-E-Mails gibt es möglicherweise keinen verdächtigen Link, Anhang oder unbekannte Absenderadresse zu überprüfen. Der Anrufer klingt vielleicht ruhig, überzeugend oder sogar vertraut, insbesondere wenn KI-Sprachklonen im Spiel ist.

Das Ziel ist in der Regel, das Opfer dazu zu bringen, Anmeldedaten oder Einmalcodes preiszugeben, eine Überweisung zu genehmigen, den Kontozugriff zurückzusetzen oder einen normalen Sicherheitsprozess zu umgehen. Im geschäftlichen Umfeld könnte das bedeuten, Finanzmitarbeiter zur Freigabe einer Zahlung zu verleiten, sich als IT-Support auszugeben, um Anmeldedetails zu sammeln, oder einen Mitarbeiter davon zu überzeugen, einem Angreifer Zugriff auf ein Unternehmenskonto zu gewähren.

KI macht Vishing schwerer erkennbar

Traditionelle Vishing-Betrügereien verrieten sich oft durch schlechte Skripte, offensichtliche Drohungen, laute Callcenter oder Anrufer, die einfach nicht überzeugend klangen. Manche tun das immer noch. Aber Unternehmen können Sprachqualität, Selbstbewusstsein oder Vertrautheit nicht mehr als zuverlässige Zeichen dafür betrachten, dass ein Anruf echt ist.

KI-Sprachklonen ermöglicht es, echte Menschen so täuschend echt nachzuahmen, dass glaubwürdige Anfragen entstehen. Angreifer können eine geklonte Stimme mit Caller-ID-Spoofing und persönlichen Details kombinieren, die auf LinkedIn, Unternehmens-Websites, öffentlichen Interviews, Social Media oder aus früheren Datenlecks gesammelt wurden.

Das macht vertraute Stimmen als Vertrauenssignal besonders riskant. Menschen beurteilen Anrufer natürlicherweise nach Tonfall, Selbstbewusstsein, Zögern oder danach, ob die Stimme wie jemand klingt, den sie kennen. KI kann viele dieser Merkmale reproduzieren, sodass eine nachgeahmte Führungskraft, ein Kollege, ein Lieferant oder ein IT-Mitarbeiter ruhig, hetzend, autoritär oder besorgt klingen kann.

Im Jahr 2025 warnte das FBI(neues Fenster), dass bösartige Akteure Smishing und KI-generierte Sprachnachrichten nutzten, um sich als hochrangige US-Beamte auszugeben, Vertrauen aufzubauen und zu versuchen, Zugriff auf persönliche Konten zu erlangen.

Für Unternehmen benötigen Angreifer keine perfekte Nachahmung. Sie brauchen nur einen Anruf, der überzeugend genug ist, um eine Aktion auszulösen, wie z. B. die Freigabe einer Zahlung, das Teilen eines Bestätigungscodes, das Zurücksetzen eines Passworts oder das Ändern des Kontozugriffs.

Deshalb sollten sensible Anfragen über einen anderen vertrauenswürdigen Kanal verifiziert werden, selbst wenn der Anrufer genau wie jemand klingt, den der Mitarbeiter kennt.

Häufige Vishing-Beispiele, die sich gegen Unternehmen richten

Vishing funktioniert am besten, wenn sich die Anfrage plausibel anfühlt. Angreifer wählen oft Szenarien, die zu normalen Geschäftsroutinen passen, und fügen dann Dringlichkeit hinzu. Hier sind häufige Vishing-Beispiele:

Täuschung als IT-Support

Ein häufiges Szenario ist die Täuschung als IT-Support. Ein Mitarbeiter erhält einen Anruf von jemandem, der behauptet, vom Helpdesk des Unternehmens, dem Softwareanbieter oder dem Sicherheitsteam zu sein. Der Anrufer sagt möglicherweise, dass ein Anmeldeproblem, ein dringendes Update, verdächtige Aktivitäten oder eine Migration vorliegt, die erfordern, dass der Mitarbeiter Anmeldedaten bestätigt oder einen Einmalcode vorliest.

Täuschung in der Finanzabteilung

Die Täuschung in der Finanzabteilung ist ein weiteres risikoreiches Muster. Ein Anrufer gibt vor, der CEO, CFO, eine Führungskraft oder ein vertrauenswürdiger Lieferant zu sein, der darum bittet, eine Zahlung schnell abzuwickeln. Der Druck wird möglicherweise als vertraulich, zeitkritisch oder im Zusammenhang mit einem Deal, einer Rechnung, einem Steuerproblem oder einem Lieferantenproblem dargestellt.

Bankbetrugsanrufe

Auch Bankbetrugsanrufe sind häufig. Der Anrufer gibt an, von der Bank des Unternehmens zu sein, und warnt vor verdächtigen Transaktionen. Der Mitarbeiter wird aufgefordert, Details zu bestätigen, einen Sicherheitsschritt zu genehmigen, Geld zu überweisen oder Informationen bereitzustellen, die es dem Angreifer ermöglichen, später auf das Konto zuzugreifen.

Täuschung als Behörde

Täuschungen als Behörde können auch Unternehmen betreffen. Anrufe, die His Majesty’s Revenue and Customs (HMRC), die britische Steuerbehörde, betreffen, sind so häufig, dass HMRC einen eigenen Weg bietet, verdächtige Telefonanrufe zu melden(neues Fenster). Ein Anrufer könnte Fristen für Steuern, MwSt., Lohnabrechnungen, Strafen, Rückerstattungen oder Ermittlungen erwähnen, um Dringlichkeit zu erzeugen.

Täuschung als Lieferant oder Kunde

Es gibt auch Anrufe mit Täuschung als Lieferant oder Kunde. Ein Krimineller könnte sich als Lieferant ausgeben, der Zahlungsdetails ändert, als Kunde, der Zugriff auf ein Portal anfordert, oder als Partner, der nach einem Dokumentenlink fragt. Der Anruf fordert möglicherweise nicht sofort Geld. Er zielt vielleicht nur darauf ab, Informationen für einen späteren Angriff zu sammeln.

Die Verbindung zu Anmeldedaten

Vishing endet oft bei Anmeldedaten, selbst wenn es als Unterhaltung beginnt. Ein Angreifer fragt vielleicht direkt nach einem Passwort, aber viele Vishing-Versuche sind subtiler. Der Anrufer bittet einen Mitarbeiter möglicherweise, einen Benutzernamen zu bestätigen, einen Bestätigungscode vorzulesen, eine Aufforderung zur Zwei-Faktor-Authentifizierung (2FA) zu bestätigen oder sich bei einem gefälschten Portal anzumelden, während der Anrufer in der Leitung bleibt.

Sobald Anmeldedaten offengelegt sind, hängt der Schaden davon ab, was diese Anmeldedaten freischalten können. Ein wiederverwendetes Passwort kann dem Angreifer beispielsweise Zugriff auf mehr als einen Dienst verschaffen. Eine geteilte Anmeldung kann es erschweren zu wissen, wer das Konto verwendet hat, und eine fehlende 2FA-Anforderung kann ein Passwort als einzige Barriere hinterlassen. Ein Konto mit zu vielen Berechtigungen kann aus einem einzigen erfolgreichen Anruf einen umfassenderen Zugriff machen.

Die Hygiene von Anmeldedaten ist ein wesentlicher Bestandteil der Prävention von Vishing-Angriffen. Einzigartige Passwörter für jeden Dienst schränken ein, wie weit ein gestohlenes Passwort reichen kann. Ein Business-Passwort-Manager reduziert die Notwendigkeit für Mitarbeiter, sich Passwörter zu merken oder sie wiederzuverwenden, und ein integrierter Passwort-Generator macht es viel einfacher, starke, einzigartige Passwörter für jedes Konto zu erstellen. Sicheres Teilen hält Anmeldedaten aus Anrufen, Chats und Dokumenten fern. 2FA fügt eine weitere Barriere hinzu, wenn ein Passwort gefährdet ist.

Warum offengelegte Daten Vishing überzeugender machen

Ein Vishing-Anruf ist überzeugender, wenn der Angreifer bereits etwas über das Unternehmen weiß. Diese Informationen können aus öffentlichen Quellen stammen: Berufsbezeichnungen, Lieferanten, Führungskräfte, Unternehmensstruktur, Pressemitteilungen, Social-Media-Posts, Konferenzvideos, Podcasts oder Mitarbeiterprofile.

Sie können auch aus geleakten oder gestohlenen Daten stammen, einschließlich E-Mail-Adressen, Telefonnummern, Kontodetails, offengelegten Anmeldedaten oder internen Dokumenten.

Unser Data Breach Observatory zeigt, wie offengelegte Daten ein Risiko über das ursprüngliche Datenleck hinaus erzeugen können. Ein Krimineller benötigt nur eine Telefonnummer, eine Berufsbezeichnung, einen Lieferantennamen und ein altes Passwort, um glaubwürdig zu wirken.

Mitarbeiter haben Details möglicherweise an anderer Stelle wiederverwendet, Lieferanten wurden vielleicht gefährdet, oder Angreifer kombinieren mehrere öffentliche und geleakte Quellen, um eine glaubwürdige Geschichte aufzubauen. In der Praxis sollten Unternehmen offengelegte Daten als Treibstoff für zukünftige Betrügereien betrachten. Je mehr ein Angreifer weiß, desto weniger klingt der Anruf zufällig.

So verifizierst du einen verdächtigen Anruf

Wenn du verdächtig bist, beende den Anruf und überprüfe selbst, ob die Anfrage echt war. Vishing basiert darauf, dich in der Leitung zu halten und dich dazu zu ermutigen, jetzt zu antworten und jetzt zu handeln. Eine Verifizierung funktioniert nur, wenn der Mitarbeiter pausieren, diesen Druck hinter sich lassen und über einen Kanal zurückkehren kann, dem das Unternehmen bereits vertraut.

Beende bei jeder Anfrage, die Anmeldedaten, Zahlungen, 2FA-Codes, Fernzugriff, Bankdetails, Kontowiederherstellung oder Berechtigungsänderungen betrifft, den Anruf und überprüfe die Anfrage separat. Das kann bedeuten, die Person über das Firmenverzeichnis zurückzurufen, die Bank über die Nummer auf ihrer offiziellen Website zu kontaktieren, ein internes IT-Ticket zu öffnen oder bereits in den Unterlagen des Unternehmens gespeicherte Lieferantendetails zu überprüfen.

Die Rückrufnummer sollte niemals vom Anrufer stammen. Auch die Anrufer-ID reicht nicht aus, da Nummern gefälscht werden können. Der Punkt ist, zu einer vertrauenswürdigen Quelle zurückzukehren, anstatt eine Unterhaltung fortzusetzen, die der Angreifer möglicherweise kontrolliert.

Legitime Führungskräfte, Lieferanten, Banken und IT-Teams sollten bei sensiblen Anfragen eine Verifizierung erwarten. Ein Anrufer, der aggressiv wird, Geheimhaltung verlangt oder einen Rückruf verweigert, gibt dem Mitarbeiter einen Grund aufzuhören, nicht einen Grund, schneller zu handeln.

Vishing-Bewusstsein rund um Taktiken aufbauen, nicht um Skripte

Bewusstseinstraining für Vishing sollte Menschen nicht nur beibringen, eine Liste von Betrugsformulierungen zu erkennen. Skripte ändern sich schnell. Die Manipulationsmuster sind stabiler.

Mitarbeiter sollten lernen, die Taktiken hinter dem Anruf zu erkennen, nicht nur das Skript. Sie brauchen auch eigene Taktiken, auf die sie zurückgreifen können, wenn sie sich unsicher sind:

  • Wenn ein Anrufer ihnen das Gefühl gibt, gehetzt, ängstlich oder dafür verantwortlich zu sein, etwas sofort zu beheben, ist das eine Taktik, kein Beweis für Dringlichkeit. Ein Anrufer könnte behaupten, eine Führungskraft, ein Ermittler für Bankbetrug, eine Steuerbehörde, ein Lieferant oder ein Mitglied des Sicherheitsteams zu sein. Die Geschichte kann sich ändern, aber der Druck sieht oft ähnlich aus: Jetzt handeln, dies vertraulich behandeln, meiner Autorität vertrauen und die üblichen Prüfungen umgehen.
  • Das Training muss auch KI-Sprachklonen umfassen. Die Nachricht sollte klar sein, ohne Panik zu erzeugen: Eine vertraute Stimme reicht nicht aus, um eine riskante Aktion zu autorisieren. Mitarbeitern sollte beigebracht werden, dass sie das Recht haben, zu pausieren. Wenn ein Anrufer nach einer Zahlung, Anmeldedaten, einem Code, einer Zugriffsänderung oder einer dringenden Übergangslösung fragt, besteht die sichere Reaktion darin, die Unterhaltung zu beenden, um ein paar Minuten zu bitten und die Anfrage über eine bekannte Nummer oder einen anderen vertrauenswürdigen Kanal zu verifizieren.
  • Ein Sicherheitswort, eine Rückrufregel oder ein schriftlicher Genehmigungsworkflow ist zuverlässiger als der Versuch zu beurteilen, ob jemand „seltsam“ klingt. Keine legitime dringende Anfrage sollte wegen einer kurzen Verzögerung fehlschlagen, die zur Verifizierung genutzt wird.

Was nach einem vermuteten Vishing-Anruf zu tun ist

Ein vermuteter Telefon-Phishing-Betrug sollte schnell gemeldet werden, selbst wenn kein Geld gesendet und kein Passwort geteilt wurde. Beinahe-Fehlschläge sind nützlich, weil sie anzeigen, auf welche Mitarbeiter, Lieferanten oder Prozesse es Angreifer abgesehen haben könnten.

Der erste Schritt besteht darin, die Details zu erfassen:

  • Uhrzeit des Anrufs
  • Angezeigte Nummer
  • Behauptung des Anrufers
  • Angeforderte Aktion
  • Genannte Namen
  • Beteiligte Systeme
  • Ob Informationen geteilt wurden.

Stelle sicher, dass die vom Anrufer angegebene Nummer nicht erneut kontaktiert wird.

Wenn Anmeldedaten, Einmalcodes, Zahlungsdetails oder Fernzugriff geteilt wurden, behandle es als dringend:

  • Betroffene Passwörter zurücksetzen
  • Sitzungen nach Möglichkeit widerrufen
  • Kontoaktivität überprüfen
  • 2FA erzwingen
  • Prüfen, ob dasselbe Passwort woanders verwendet wurde.

Wie Proton Pass for Business hilft, das Risiko für Anmeldedaten zu reduzieren

Vishing ist ein menschlicher Angriff, aber der Schaden hängt oft von Kontrollen der Anmeldedaten ab, wie z. B. Passwörtern, geteiltem Zugriff und Kontoschutz. Ein Business-Passwort-Manager wie Proton Pass for Business hilft Teams, das Risiko zu verringern, dass aus einem erfolgreichen Anruf ein umfassenderer Zugriff wird.

Mitarbeiter können über den integrierten Passwort-Generator von Proton Pass starke, einzigartige Passwörter für jeden Dienst generieren, sie in verschlüsselten Tresoren speichern, Automatisches Ausfüllen nutzen, Anmeldedaten sicher teilen, Passkeys verwalten und die integrierte Zwei-Faktor-Authentifizierung nutzen.

Das ist wertvoll für den Schutz vor Vishing, denn selbst wenn ein Angreifer bei einem Anruf dein Passwort erhält, kann er ohne den zweiten Faktor immer noch nicht auf das Konto zugreifen. Proton Pass enthält auch Pass Monitor mit Dark Web-Überwachung, was dich benachrichtigt, wenn deine E-Mail in einem bekannten Datenleck auftaucht, sodass du weißt, wann Anmeldedaten möglicherweise bereits gefährdet sind.

Proton Pass bietet Unternehmen auch einen sichereren Standard für den täglichen Zugriff. Wenn Mitarbeiter eine genehmigte Möglichkeit haben, Anmeldedaten zu speichern und zu teilen, sollte sich ein Anrufer, der sie auffordert, ein Passwort vorzulesen oder den Zugriff per Chat zu senden, sofort ungewöhnlich anfühlen.

Sprachanfragen standardmäßig verifizierbar machen

Vishing funktioniert, weil sich die Stimme unmittelbar und persönlich anfühlt. Ein Anrufer kann selbstbewusst, vertraut, hilfreich oder autoritär klingen. KI-Sprachklonen macht dieses Vertrauen noch unzuverlässiger. Unternehmen benötigen eine Verifizierungsgewohnheit, die nicht davon abhängt, wie überzeugend der Anrufer klingt.

Die wichtigsten Regeln sind einfach: Teile keine Anmeldedaten bei einem Anruf, genehmige ungewöhnliche Zahlungen nicht allein aufgrund einer telefonischen Anfrage und vertraue nicht der Anrufer-ID als Identitätsnachweis. Lege auf, verifiziere über einen bekannten Kanal und dokumentiere alles Verdächtige.

Für KMUs kann der Prozess einfach bleiben. Sensible Anfragen sollten eine Rückrufregel haben, Zahlungs- und Zugriffsänderungen sollten eine Bestätigung über einen anderen Kanal erfordern, und Mitarbeiter sollten die Autoritäts- und Dringlichkeitstaktiken kennen, die Vishing überzeugend machen. Anmeldedaten müssen auch in einem Business-Passwort-Manager bleiben, in dem Passwörter einzigartig sind, sicher geteilt werden und einfacher zu rotieren sind, falls ein Anruf zur Offenlegung führt.

Voice-Phishing wird sich weiterentwickeln, insbesondere da KI Täuschungen günstiger und überzeugender macht. Die Verteidigung besteht darin, jede sensible Anfrage verifizierbar zu machen, bevor jemand handelt.

Schütze deine Unternehmens-Anmeldedaten vor Voice-Phishing mit einem Business-Passwort-Manager.