Vishing (ein Kofferwort aus „Voice“ und „Phishing“) bezeichnet eine spezielle, telefonbasierte Form der Cyberkriminalität. Bei dieser Methode des Social Engineerings rufen Angreifer ihre potenziellen Opfer gezielt an, um sie durch psychologische Manipulation zur Herausgabe sensibler Informationen wie Passwörtern, Zugangsdaten oder MFA-Token zu bewegen oder unautorisierte Finanztransaktionen auszulösen.

Die Psychologie des Angriffs und Caller-ID-Spoofing

Im Gegensatz zu massenhaft versendeten Phishing-E-Mails setzen Vishing-Angriffe auf direkte menschliche Interaktion. Die Täter bauen am Telefon gezielt Druck auf – etwa durch das Vorspielen extremer Dringlichkeit („Ihr Firmenkonto wurde gehackt“) oder das Vortäuschen von Autorität.

Technisch bedienen sich die Angreifer dabei häufig des sogenannten Caller-ID-Spoofings. Dabei wird die übermittelte Rufnummer manipuliert, sodass auf dem Display des Angerufenen die vermeintlich echte Nummer der internen IT-Abteilung, der Hausbank oder der Geschäftsführung erscheint, was das Vertrauen des Opfers massiv erhöht.

Eskalation durch Künstliche Intelligenz (Voice Cloning)

Eine hochaktuelle und gefährliche Entwicklung im Bereich des Vishings ist der Einsatz von Künstlicher Intelligenz. Mittels Audio-Deepfakes (Voice Cloning) genügen Angreifern heute oft wenige Sekunden an öffentlich verfügbarem Sprachmaterial (beispielsweise aus einem Unternehmensvideo oder Podcast), um die Stimme eines Vorgesetzten oder Geschäftspartners täuschend echt zu imitieren. Diese Technologie hebt den klassischen „CEO-Fraud“ (Chef-Masche) auf ein neues Gefahrenniveau, da selbst skeptische Mitarbeitende die vertraute Stimme am Telefon kaum noch als Fälschung entlarven können.

Gefahrenpotenzial für den IT-Betrieb

Für Unternehmen stellt Vishing ein enormes Risiko dar, weil es etablierte technische Sicherheitsmaßnahmen schlichtweg umgeht. Eine klassische Firewall oder ein Spam-Filter greifen nicht, wenn der Angriff über das Sprachnetz erfolgt. Ein häufiges Szenario im B2B-Umfeld ist der Angriff auf den internen IT-Helpdesk: Der Täter gibt sich als Mitarbeiter aus, der sein Passwort vergessen hat, und bittet um einen sofortigen Reset oder die Freigabe eines neuen Authentifizierungsgeräts. Gelingt dies, erlangt der Angreifer direkten Zugriff auf das Firmennetzwerk.

Ganzheitliche Abwehrstrategien

Da Vishing den Faktor Mensch als primäre Schwachstelle ausnutzt, reichen rein technische Abwehrmechanismen nicht aus. Die Verteidigung muss auf zwei Ebenen greifen:

• Die menschliche Firewall: Die Sensibilisierung der Belegschaft ist entscheidend. Mitarbeitende müssen darin geschult werden, bei ungewöhnlichen telefonischen Anfragen misstrauisch zu sein und Prozesse zur verifizierten Rückfrage (z. B. ein Rückruf über eine bekannte, interne Nummer) strikt einzuhalten.
• Resiliente Authentifizierung: Der Übergang von einfachen Passwörtern oder per SMS verschickten Codes hin zu physischen, kryptografischen Sicherheitsmerkmalen (wie FIDO2-Sicherheitsschlüsseln) ist essenziell. Selbst wenn ein Nutzer bei einem Vishing-Anruf getäuscht wird, kann er das Hardware-Token nicht einfach am Telefon auslesen und weitergeben, was den Angriff ins Leere laufen lässt.

Um Belegschaften nachhaltig gegen solche perfiden, manipulativen Angriffsmethoden zu wappnen, unterstützen erfahrene Dienstleister wie MR Datentechnik Unternehmen durch die Etablierung sicherer Verifikationsprozesse gepaart mit regelmäßigen, praxisnahen Security-Awareness-Schulungen.