In diesem Artikel

Deine Bank ruft angeblich an. Es gebe eine verdächtige Zahlung und du müsstest jetzt sofort handeln.

Oder der Microsoft-Support meldet sich, weil dein Computer angeblich ein Sicherheitsproblem hat.

Der Anrufer klingt professionell, kennt vielleicht sogar deinen Namen und die angezeigte Telefonnummer sieht plausibel aus.

Genau solche Situationen werden beim Vishing – also Phishing per Telefon – ausgenutzt.

Was ist Vishing?

Vishing steht für Voice Phishing.

Statt einer E-Mail oder SMS nutzen Betrüger das Telefon, um Vertrauen aufzubauen und dich zu einer bestimmten Handlung zu bewegen.

Das kann beispielsweise sein:

  • einen Sicherheitscode weiterzugeben
  • eine MFA-Anfrage zu bestätigen
  • Zugangsdaten einzugeben
  • eine Zahlung freizugeben
  • eine Fernzugriffssoftware zu installieren
  • persönliche oder finanzielle Informationen preiszugeben

Der Angriff funktioniert vor allem über Social Engineering.

Typische Geschichten am Telefon

Die genaue Geschichte kann sich unterscheiden.

Häufig geht es aber um angeblich dringende Probleme.

Zum Beispiel:

„Wir sind von Ihrer Bank“

Es gebe eine verdächtige Zahlung oder einen Angriff auf dein E-Banking.

Der Anrufer möchte dir angeblich helfen und verlangt dafür einen Code oder eine Bestätigung.

„Wir sind vom technischen Support“

Dein Computer sei infiziert oder dein Konto kompromittiert.

Du sollst eine Software installieren oder dem Anrufer Zugriff auf dein Gerät geben.

„Hier ist die Polizei oder eine Behörde“

Dir wird ein Problem, ein Verfahren oder eine dringende Sicherheitslage vorgetäuscht.

Anschliessend wird Geld oder eine andere Handlung verlangt.

Warum wirken solche Anrufe so glaubwürdig?

Am Telefon kann ein Angreifer direkt auf deine Reaktionen eingehen.

Wenn du skeptisch wirst, liefert er sofort eine Erklärung.

Wenn du eine Frage stellst, reagiert er darauf.

Dadurch entsteht schnell der Eindruck eines echten Gesprächs mit einem Support- oder Bankmitarbeiter.

Zusätzlich können Betrüger bereits Informationen über dich kennen – beispielsweise deinen Namen, Arbeitgeber oder andere öffentlich verfügbare Daten.

Auch die angezeigte Telefonnummer kann manipuliert werden.

Deshalb gilt:

Caller-ID ist kein Identitätsnachweis.

Typische Warnsignale

Du musst nicht jede Variante kennen.

Achte vor allem darauf, was von dir verlangt wird.

  • Der Anruf kommt unerwartet
  • Es wird sofortiger Handlungsdruck aufgebaut
  • Du sollst einen Sicherheits- oder MFA-Code nennen
  • Du sollst eine Anmeldung bestätigen, die du nicht selbst gestartet hast
  • Du sollst Software installieren
  • Jemand möchte Fernzugriff auf deinen Computer
  • Du sollst Geld überweisen oder eine Zahlung bestätigen
  • Der Anrufer möchte, dass du das Gespräch geheim hältst
  • Du wirst davon abgehalten, selbst bei der Organisation zurückzurufen

Mehrere dieser Merkmale zusammen sind ein starkes Warnsignal.

Gib niemals Sicherheitscodes weiter

Ein besonders wichtiger Punkt sind Einmalcodes und MFA-Bestätigungen.

Betrüger können versuchen, sich gleichzeitig mit deinen bereits gestohlenen Zugangsdaten anzumelden.

Der fehlende Faktor ist dann nur noch dein Sicherheitscode.

Der Anrufer sagt beispielsweise:

„Ich sende Ihnen jetzt einen Code zur Verifikation. Bitte lesen Sie ihn mir vor.“

In Wirklichkeit kann dieser Code gerade eine Anmeldung oder Zahlung freigeben.

Installiere keine Fernzugriffssoftware auf Zuruf

Eine weitere bekannte Methode:

Der angebliche Support bittet dich, eine Software zu installieren, damit er dein Problem „direkt beheben“ könne.

Mit solchen Programmen kann eine andere Person deinen Bildschirm sehen und unter Umständen deinen Computer bedienen.

Wenn ein unbekannter Anrufer dich zur Installation von Fernzugriffssoftware auffordert:

Gespräch beenden.

Installiere keine Software und gib keinen Zugriff frei.

So prüfst du einen Anruf sicher

Wenn eine Bank, Behörde oder andere Organisation angeblich dringend etwas von dir benötigt, musst du die Echtheit nicht während des laufenden Gesprächs klären.

Beende den Anruf.

Suche anschliessend selbst die offizielle Telefonnummer heraus oder verwende eine Nummer, die du bereits kennst.

Rufe dort zurück.

Was, wenn der Anrufer meinen Namen und meine Daten kennt?

Das kann verunsichern.

Aber auch persönliche Informationen sind kein Beweis dafür, dass jemand wirklich für deine Bank oder eine andere Organisation arbeitet.

Daten können beispielsweise aus:

  • öffentlichen Profilen
  • Firmenwebseiten
  • Datenlecks
  • früheren Betrugsversuchen

stammen.

Angreifer nutzen solche Informationen gezielt, um Vertrauen aufzubauen.

Was tun, wenn du bereits Informationen weitergegeben hast?

Entscheidend ist wieder, was genau passiert ist.

Passwort weitergegeben

Ändere das Passwort sofort über die offizielle Webseite oder App.

Verwendest du dasselbe Passwort noch bei anderen Diensten, ändere es auch dort.

MFA- oder Sicherheitscode weitergegeben

Kontrolliere das betroffene Konto auf unbekannte Anmeldungen und ändere das Passwort.

Bei einem Bankkonto solltest du deine Bank über den offiziellen Kontaktweg informieren.

Zahlung bestätigt

Kontaktiere deine Bank beziehungsweise dein Finanzinstitut möglichst schnell.

Fernzugriff installiert

Beende die Verbindung und nutze das Gerät möglichst nicht weiter für sensible Logins, bis die Situation geprüft wurde.

Bei einem Geschäftsgerät solltest du sofort die interne IT oder Security informieren.

Im Unternehmen: Support-Anrufe nicht blind vertrauen

Gerade im Arbeitsalltag können angebliche IT-Support-Anrufe glaubwürdig wirken.

Ein Anrufer kennt vielleicht deinen Namen, deine Firma oder sogar eingesetzte Software.

Trotzdem solltest du bei ungewöhnlichen Support-Anfragen die internen Prozesse einhalten.

  • interne Support-Kontakte verwenden
  • keine Passwörter weitergeben
  • keine unerwarteten MFA-Anfragen bestätigen
  • Fernzugriff nur über bekannte Prozesse erlauben
  • verdächtige Anrufe intern melden

Die einfache Regel fürs Telefon

Ein seriös klingender Anrufer kann trotzdem ein Betrüger sein.

Wenn jemand unerwartet Codes, Zugangsdaten, Geld, Fernzugriff oder eine sofortige Bestätigung verlangt:

Gespräch stoppen → keine Daten weitergeben → selbst über einen bekannten Weg zurückrufen.

Du musst den Betrüger nicht während des Gesprächs entlarven.

Du musst ihm nur die Möglichkeit nehmen, dich unter Zeitdruck handeln zu lassen.