Vishing: Wenn ein einziger Anruf zum Cyberangriff wird

Die Gefahr lauert am Telefon. Vishing ist eine Form des Phishings, bei der Angreifer Telefonanrufe oder Sprachnachrichten nutzen, um Menschen dazu zu bewegen, vertrauliche Informationen preiszugeben, Zahlungen freizugeben oder Sicherheitsprozessen zu umgehen. Der Begriff setzt sich aus „Voice“ und „Phishing“ zusammen.

Für Unternehmen ist Vishing besonders kritisch, weil der Angriff zunächst keine technische Schwachstelle ausnutzt, sondern menschliches Vertrauen. Gerade in Zeiten hybrider Arbeit, Cloud-Nutzung, MFA und zunehmender KI-gestützter Täuschung wird Vishing zu einer ernstzunehmenden Gefahr.

Was ist Vishing – und warum ist Telefonbetrug heute ein Unternehmensrisiko?

Bei Vishing Angriffen versuchen Cyberkriminelle Mitarbeitende dazu zu bringen, ihre Passwörter preiszugeben, MFA-Codes zu bestätigen, TANs weiterzugeben, Fernwartungssoftware zu installieren, sensible Unternehmensdaten herauszugeben oder Zahlungen freizugeben. Die Täter geben sich dabei häufig als Supportmitarbeitende, Geschäftspartner eines IT-Unternehmens, Mitarbeitende eines bekannten Unternehmens oder als Bankangestellte aus.

Im Unternehmensumfeld geht von Vishing eine besondere Gefahr aus, weil viele kritische Prozesse auf Vertrauen und schneller Kommunikation beruhen. Ein Anruf wirkt viel persönlicher und dringender als eine E-Mail. Während Phishing-Mails oft durch technische Filter erkannt werden können, erreicht ein Telefonanruf Menschen direkt – am Arbeitsplatz, im Homeoffice, unterwegs oder in Stresssituationen.

Der Angriff beginnt im Kopf: Wie Vishing menschliches Vertrauen ausnutzt

Vishing funktioniert, weil Menschen in Gesprächen anders reagieren als vor einem Bildschirm. Eine Stimme erzeugt Nähe. Ein angeblicher Notfall erzeugt Handlungsdruck. Eine vermeintliche Autoritätsperson erzeugt Gehorsam. Genau hier setzt Social Engineering an.

Wenn Unternehmen uns von Vishing Angriffen berichten, sind diese selten einfach zu erkennen. Die Angreifer kannten Namen, Abteilungen, aktuelle Projekte, eingesetzte Tools oder organisatorische Abläufe. Diese Informationen stammten höchstwahrscheinlich aus öffentlich zugänglichen Quellen wie Webseiten, LinkedIn, Pressemitteilungen, Stellenanzeigen oder früheren Datenlecks. Der eigentliche Angriff besteht dann nicht nur aus der Frage nach einem Passwort. Er besteht aus einer überzeugenden Geschichte: „Wir haben ungewöhnliche Aktivitäten in Ihrem Konto festgestellt.“, „Ihre Geschäftsführung wartet auf die Freigabe.“, „Ihr Zugang wird sonst gesperrt.“ oder „Wir müssen das Problem sofort lösen, sonst steht der Betrieb still.“ Solche Geschichten wirken deshalb, weil sie wie reale Praktiken wirken.

Ein aktuelles Beispiel für Vishing

Seit April 2026 läuft eine koordinierte Voice-Phishing-Kampagne gegen Microsoft-365-Nutzer in verschiedenen Branchen, darunter Lebensmittel, Technologie, Gesundheitswesen, Automobilindustrie, Bauwesen und Luftfahrt. Laut einem Bericht von IT-Boltwise zielt der Bedrohungsakteur O-UNC-066 auf die Passkey-Registrierung in Microsoft Entra ab. Die Angreifer missbrauchen eine von Microsoft eingeführte Administrationsfunktion, mit der Unternehmen Passkey-Registrierungen für Mitarbeiter verpflichtend ausrollen können.

Die Täter geben sich am Telefon als IT-Verantwortliche aus und behaupten, eine Sicherheitsaktualisierung sei erforderlich. Sie versuchen, die Mitarbeiter dazu zu bringen, einen neuen Passkey einzurichten, der von den Angreifern kontrolliert wird. Anschließend werden die Opfer auf gefälschte Microsoft-Anmeldeseiten geleitet, die täuschend echt aussehen.

Laut dem Identitätsdienstleister Okta kommt dabei kein automatisierter Phishing-Proxy zum Einsatz. Stattdessen nutzen die Angreifer ein manuell gesteuertes PHP-basiertes Phishing-Kit. Über einen sogenannten Heartbeat-Mechanismus aktualisieren die Täter die Phishing-Seite nahezu in Echtzeit und passen sie an die jeweils erforderlichen Authentifizierungsschritte an.

Dadurch können unterschiedliche Verfahren der Multi-Faktor-Authentifizierung abgefragt werden, darunter Einmal-Passwörter per Authenticator-App (TOTP), Push-Benachrichtigungen mit Nummernvergleich sowie SMS-Bestätigungscodes. Die eingegebenen Daten werden direkt an die Angreifer übermittelt, die sich damit am echten Microsoft-Konto anmelden können.

Nach der Anmeldung zeigen die gefälschten Seiten weitere Bestätigungsbildschirme im Microsoft-Design an. Die Opfer werden dabei aufgefordert, eine angebliche Wiederherstellungsphrase nach dem BIP-39-Standard zu speichern und zu bestätigen. Nach Angaben des Artikels haben diese Phrasen bei der regulären Einrichtung von Microsoft Entra Passkeys keine technische Funktion und dienen lediglich dazu, die Täuschung glaubwürdiger erscheinen zu lassen.

Hinter der Kampagne steht laut Bericht die Gruppierung O-UNC-066, die unter dem Namen „Pink“ auftritt und dem dezentralen Netzwerk „The Com“ zugerechnet wird. Nach erfolgreicher Kompromittierung greifen die Täter auf SharePoint- und OneDrive-Daten der betroffenen Unternehmen zu. Die entwendeten Informationen werden anschließend auf einer eigenen Erpressungsplattform veröffentlicht.

Unternehmen sollten die Benutzerkompetenz zu Passkeys durch gezielte Security Awareness Schulungen stärken. Mitarbeitende sollten typische Passkey-Dialoge, Risiken von Recovery-Keys und den Umgang mit unerwarteten Enrollment-Anfragen kennen, um Social-Engineering-Angriffe wie die von Okta analysierten Aktivitäten von O-UNC-066 zu erkennen.

KI, Voice Cloning und Deepfake-Stimmen: Warum Vishing professioneller wird

Durch künstliche Intelligenz wird Vishing noch gefährlicher. Europol beschreibt im IOCTA 2025, dass generative KI Social-Engineering-Techniken verbessern kann, weil sie gezieltere Kommunikation und Automatisierung krimineller Prozesse ermöglicht. Generative KI kann Gesprächsskripte verbessern, Informationen aus öffentlichen Quellen schneller zusammenführen und zielgruppengerechte Kommunikation automatisieren.

Hinzu kommt das Voice Cloning mithilfe von KI. Wenn genügend Audiomaterial etwa aus Vorträgen, Podcasts, Webinaren oder Videos öffentlich zugänglich ist, kann KI Stimmen heute schon sehr gut imitieren. Für Führungskräfte, die häufig in der Öffentlichkeit stehen, entsteht dadurch eine zusätzliche Angriffsfläche.

Auch wenn nicht jeder Vishing-Angriff automatisch KI-basiert ist, steigt durch KI die Qualität der Täuschung: die Sprache wird besser, Vorwände wirken plausibler, Angriffe können schneller personalisiert werden.

Woran erkennt man Vishing? Die wichtigsten Warnsignale im Gespräch

Vishing ist nicht leicht zu erkennen, dennoch gibt es Warnsignale, auf die Mitarbeitende achten sollten:

• Es wird eine Ausnahme vom Standardprozess verlangt.
• Es werden Passwörter, MFA-Codes, TANs oder Recovery-Codes abgefragt.
• Der Anrufer beruft sich auf eine Autorität, etwa die Geschäftsführung, Bank, IT-Leitung oder eine Behörde.
• Die angezeigte Telefonnummer soll Vertrauen erzeugen.
• Der Anrufer will verhindern, dass Rücksprache gehalten wird.
• Der Anrufer erzeugt starken Zeitdruck.
• Es soll eine Software installiert oder Fernzugriff erlaubt werden.
• Die Anfrage passt nicht zum üblichen Prozess.
• Der Anrufer reagiert gereizt, wenn eine Verifikation verlangt wird.

Eine einfache Regel für Mitarbeitende lautet: Wenn ein Anruf Druck erzeugt und gleichzeitig vertrauliche Informationen oder ungewöhnliche Handlungen verlangt, ist Vorsicht geboten.

So schützen sich Unternehmen vor Vishing: Menschen, Prozesse und Technik zusammendenken

Wirksamer Schutz vor Vishing entsteht aus unserer Sicht nicht durch eine einzelne Maßnahme, sondern aus einem Zusammenspiel von Security Awareness, klaren Prozessen, technischer Kontrolle und Incident Response.

Organisatorische Schutzmaßnahmen

Unternehmen sollten unternehmenskritische Prozesse identifizieren, Vishing als Social-Engineering-Risiko im ISMS dokumentieren und verbindliche Regelungen treffen, wie z.B.:

• Passwörter, MFA-Codes, TANs und Recovery-Codes am Telefon verbieten.
• Rückrufprozesse über bekannte, unabhängige Kanäle etablieren.
• Vier-Augen-Prinzip für Zahlungen und Stammdatenänderungen umsetzen.
• Helpdesk-Regeln für Identitätsprüfung verschärfen.
• Ausnahmeprozesse reduzieren und dokumentieren.

Technische Schutzmaßnahmen

Technisch helfen unter anderem:

• Conditional Access
• Risiko-basierte Anmeldung
• Least Privilege
• Privileged Access Management
• Monitoring von Login-Anomalien
• Session-Revocation bei Verdacht
• Kontrolle von Fernwartungssoftware
• SIEM- oder SOC-Überwachung kritischer Identitäten

Menschliche Schutzmaßnahmen

Security Awareness Maßnahmen müssen so realistisch wie möglich sein. Mitarbeitende sollten nicht nur E-Mail-Phishing erkennen, sondern auch Telefonangriffe trainieren. Dazu gehören Rollenspiele, simulierte Vishing-Anrufe, kurze interne Warnhinweise und klare Meldewege.

Vishing gehört ins Incident-Response-Playbook – nicht nur in die Schulungsfolie

Vishing gehört in das Incident-Response-Playbook. Dort sollte festgelegt sein, wie ein Vishing-Verdacht gemeldet, bewertet, eskaliert und technisch untersucht wird.

Das sollte ein Vishing-Playbook enthalten:

• Meldeweg für Mitarbeitende
• Kriterien zur Einstufung des Vorfalls
• Sofortmaßnahmen bei kompromittierten Konten
• Schritte zur Session-Beendigung
• Prüfung von MFA-Methoden
• Analyse von Login- und Cloud-Aktivitäten
• Einbindung von Datenschutz und Legal
• Einbindung von Finance bei Zahlungsbezug
• Kommunikationsvorlagen für interne Warnungen
• Lessons Learned nach dem Vorfall

Der entscheidende Vorteil eines Playbooks: Im Ernstfall muss nicht lang überlegt oder improvisiert werden, da die Beteiligten wissen, was zu tun ist.

Warum Vishing ein Management-Thema ist

Vishing betrifft Geschäftsprozesse und deshalb sollte das Management einbezogen werden. Wenn ein Telefonanruf genügt, um Zahlungen auszulösen, Zugänge zurückzusetzen oder sensible Daten zu erhalten, liegt das Risiko nicht nur bei einzelnen Mitarbeitenden. Es liegt im Prozessdesign.

Für das Management sind folgende Fragen entscheidend:

• Können kritische Zahlungen telefonisch manipuliert werden?
• Gibt es ein Vier-Augen-Prinzip für Stammdatenänderungen?
• Sind Führungskräfte und Mitarbeitende auf Voice-Cloning- und CEO-Fraud-Szenarien vorbereitet?
• Sind Helpdesk-Prozesse gegen Social Engineering abgesichert?
• Wird Vishing im Risikomanagement berücksichtigt?
• Gibt es Kennzahlen zu Awareness, Meldungen und Reaktionszeiten?
• Werden Vorfälle ausgewertet und Prozesse verbessert?

Das Allianz Risk Barometer 2026 stuft Cybervorfälle weltweit zum fünften Mal in Folge als wichtigstes Geschäftsrisiko ein; in Deutschland nennen 52 Prozent der Befragten Cyberkriminalität, IT-Ausfälle, Malware/Ransomware und Datenschutzverletzungen als größtes Risiko.

Wie können sich Unternehmen vor Voice Phishing schützen?

Wenn Mitarbeiter auf Vishing hereinfallen, haben Angreifer leichtes Spiel. Die Konsequenzen für Unternehmen sind groß: Von finanziellen Verlusten, wie der Verschiebung von Unternehmensgeldern auf die Konten von Kriminellen bis hin zur Infiltrierung des Unternehmensnetzwerks ist alles möglich.

Wenn Unternehmen verhindern möchten, dass Mitarbeiter auf Vishing-Calls hereinfallen, dann geht das nur, wenn diese auch in der Lage sind, das Vishing als solches zu erkennen.