Vishing: Telefonbetrug im Unternehmen erkennen und richtig reagieren

Das Telefon klingelt, auf dem Display steht eine Nummer mit Ortsvorwahl, und am anderen Ende meldet sich freundlich „der IT-Support“: Es gebe ein Sicherheitsproblem, man müsse kurz per Fernwartung auf den Rechner zugreifen. Solche Anrufe sind Vishing, also Phishing per Telefon. Sie funktionieren erstaunlich gut, weil ein Gespräch mehr Vertrauen und mehr Druck erzeugt als jede E-Mail.

Dieser Beitrag erklärt, warum Vishing so wirksam ist, zeigt 7 typische Maschen aus dem Unternehmensalltag und nennt 7 Warnsignale. Außerdem erfahren Sie, wie Beschäftigte am Telefon richtig reagieren und wie Sie Ihr Unternehmen schützen.

Was ist Vishing?

Vishing steht für Voice Phishing. Gemeint sind betrügerische Anrufe, bei denen sich die Anrufenden als vertrauenswürdige Stelle ausgeben, um an Zugangsdaten, Zahlungen oder einen Zugriff auf Systeme zu kommen. Dazu zählen klassische Telefonate ebenso wie Anrufe über Messenger, Teams oder andere Videotools.

Vishing ist eine Form des Social Engineering, oft verbunden mit Pretexting: Die Anrufenden haben eine glaubwürdige Geschichte vorbereitet und kennen manchmal Namen, Abläufe oder interne Begriffe. Einen Überblick über die anderen Kanäle gibt der Beitrag zu den Phishing-Arten.

Warum funktioniert Vishing so gut?

Am Telefon fehlt die Zeit, die man bei einer E-Mail zum Nachdenken hat. Vier Faktoren machen Telefonbetrug besonders wirksam:

1. Echtzeit-Druck: Wer im Gespräch ist, will eine Antwort geben. Rückfragen fühlen sich unhöflich an, Auflegen noch mehr.
2. Die Stimme schafft Nähe: Eine freundliche, kompetente Stimme wirkt glaubwürdiger als jeder Text. Inzwischen lassen sich Stimmen auch mit KI nachahmen.
3. Gefälschte Rufnummern: Mit Call-ID-Spoofing erscheint eine beliebige Nummer im Display, etwa die der Hausbank oder des eigenen Unternehmens.
4. Gute Vorbereitung: Namen, Zuständigkeiten und Projekte stammen oft aus Karrierenetzwerken, Pressemitteilungen oder früheren Anrufen.

Seit 1. Dezember 2022 gilt zwar, dass bei Anrufen aus ausländischen Netzen keine deutsche Rufnummer mehr angezeigt werden darf. Die Bundesnetzagentur nennt aber Ausnahmen, etwa Mobilfunknummern im internationalen Roaming, und rät ausdrücklich, die Identität von Anrufenden zu prüfen. Die angezeigte Nummer bleibt also kein Beweis.

Vishing Beispiele: 7 typische Maschen

Diese Maschen treffen Unternehmen besonders häufig:

Die Masche „Chef am Telefon“ ist die telefonische Variante des CEO Fraud. Besonders unterschätzt wird der Anruf beim eigenen Helpdesk: Hier wird nicht der Beschäftigte getäuscht, sondern die IT, die ihm helfen will.

Wie erkennen Sie Vishing? 7 Warnsignale

Vishing erkennen Sie an diesen 7 Warnsignalen:

1. Unerwarteter Anruf: Sie haben kein Ticket eröffnet, keinen Rückruf erbeten und erwarten keinen Kontakt.
2. Dringlichkeit: „Das muss jetzt sofort passieren, sonst …“
3. Geheimhaltung: Sie sollen mit niemandem darüber sprechen, auch nicht mit der Führungskraft.
4. Bitte um Daten oder Codes: Passwörter, TANs oder Bestätigungscodes werden von seriösen Stellen nie am Telefon abgefragt.
5. Software installieren: Sie sollen ein Fernwartungsprogramm herunterladen oder einen Link öffnen.
6. Prozess umgehen: Eine Zahlung oder Änderung soll ausnahmsweise ohne die übliche Freigabe laufen.
7. Kein Rückruf erwünscht: Der Anrufer weicht aus, wenn Sie zurückrufen wollen, oder nennt eine eigene Rückrufnummer.

Wie reagieren Sie richtig bei einem verdächtigen Anruf?

Die wichtigste Regel ist einfach: Auflegen und zurückrufen. Rufen Sie die Person oder Stelle über eine Nummer zurück, die Sie selbst kennen, etwa aus dem Telefonverzeichnis, von der Bankkarte oder von der offiziellen Website. Nicht über die Nummer, die der Anrufer nennt.

Damit das im Ernstfall leichtfällt, helfen vorbereitete Sätze:

• „Ich rufe Sie gleich über unsere zentrale Nummer zurück.“
• „Das darf ich am Telefon nicht freigeben, bitte schicken Sie den Vorgang über das Ticketsystem.“
• „Dafür brauche ich die Freigabe meiner Führungskraft.“

Wurden schon Daten genannt oder Software installiert, informieren Sie sofort die IT. Bei Zahlungsdaten zusätzlich Bank oder Kartenanbieter. Auch ein Anruf ohne Schaden sollte gemeldet werden, denn oft werden mehrere Beschäftigte nacheinander angerufen.

Wie schützen Sie Ihr Unternehmen vor Vishing?

Prozesse

• Rückruf-Regel für alle: Zahlungen, Bankdatenänderungen und Zugänge werden nie allein auf einen Anruf hin freigegeben.
• Identitätsprüfung am Helpdesk: Vor jedem Passwort-Reset oder jeder neuen MFA-Registrierung wird die Identität über einen zweiten Weg bestätigt, etwa durch Rückruf auf der hinterlegten Nummer oder durch die Führungskraft.
• Vier-Augen-Prinzip: Überweisungen ab einer festgelegten Grenze brauchen eine zweite Freigabe.

Technik

• Fernwartung nur über freigegebene Wege: Die IT legt fest, welches Werkzeug genutzt wird. Alles andere wird technisch blockiert.
• Phishing-resistente Anmeldung: Passkeys oder Sicherheitsschlüssel lassen sich nicht am Telefon „durchgeben“.

Menschen

• Telefonrollen schulen: Empfang, Assistenz, Buchhaltung, Einkauf und Helpdesk telefonieren am meisten und brauchen eine eigene Einheit in der Phishing-Schulung.
• Erlaubnis zum Auflegen: Machen Sie klar, dass niemand Ärger bekommt, weil er die Geschäftsführung zurückgerufen hat. Diese Erlaubnis ist oft wirksamer als jede Technik.
• Verwandte Maschen kennen: Viele Angriffe kombinieren Kanäle, etwa eine SMS mit anschließendem Anruf. Lesen Sie dazu auch den Beitrag zum Smishing.

Wie unterstützt reteach beim Schutz vor Vishing?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 59 interaktive Kurse als SCORM-Paket für bestehende Lernplattformen sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen.

• Eigener Kurs zum Thema: In den Informationssicherheit-Schulungen erklärt der Kurs „Telefonbetrug (Vishing) erkennen“ typische Maschen und das richtige Verhalten am Telefon, mit Wissenstest.
• Phishing-Simulationen: reteach Phishing Awareness verschickt realistische Phishing-Mails im Rhythmus 14-tägig oder monatlich und zeigt im Klick-Moment eine Aufklärungsseite. Das trainiert auch Rückruf-Phishing, das per E-Mail beginnt.
• Nachweis: Abschlüsse und Auswertungen liefern einen auditfähigen Nachweisbeitrag, etwa für NIS2 oder ISO 27001.
• Flexibel einsetzbar: Phishing Awareness gibt es als eigenständige Komplettlösung und ebenso zusammen mit dem reteach LMS, datenschutzfreundlich gestaltet.

Fazit: Lieber einmal zu oft zurückrufen

Vishing nutzt aus, dass Menschen am Telefon höflich und hilfsbereit sind und ungern auflegen. Gegen gefälschte Nummern und überzeugende Stimmen hilft keine Technik allein. Wirksam ist eine klare Regel, die alle kennen und anwenden dürfen: auflegen, über eine bekannte Nummer zurückrufen, nichts am Telefon freigeben.

Die nächsten Schritte:

1. Die Rückruf-Regel schriftlich festlegen und bekannt machen.
2. Eine feste Identitätsprüfung für den Helpdesk einführen.
3. Telefonrollen wie Empfang, Assistenz und Buchhaltung gezielt schulen.
4. Verdächtige Anrufe zentral melden lassen, damit andere gewarnt werden.

Häufig gestellte Fragen