--- id: CP-008 slug: vishing-telefonbetrug-anrufer-taeuschung lang: de title: Vishing, der Betrug per Telefon description: "Ein falscher IT-Support oder ein falscher Bankberater ruft an, im Display steht eine vertraute Nummer: So erkennen Sie Vishing und reagieren richtig." canonical_url: https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/ markdown_url: https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Vishing, der Betrug per Telefon“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-019 schema: G1 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/ fr: https://startbrain.io/cyberpedia/fr/articles/vishing-arnaque-telephonique-usurpation/ en: https://startbrain.io/cyberpedia/en/articles/vishing-voice-phishing-call-spoofing/ es: https://startbrain.io/cyberpedia/es/articles/vishing-estafa-telefonica-suplantacion/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: "Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/004/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: Scattered Spider | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 5 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 8 title: Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1219/ accessed: "2026-11-03" --- # Vishing, der Betrug per Telefon Vishing (Voice Phishing) ist Phishing per Stimme. Der Angreifer ruft an und gibt sich als vertrauenswürdige Person aus, um eine Information oder eine Handlung des Opfers zu erlangen. Die CISA beschreibt es als den Social-Engineering-Ansatz, der auf Sprachkommunikation beruht [1]. Für Beschäftigte sieht das typische Szenario so aus: Jemand ruft an und gibt sich als legitimes IT-Personal aus [3]. ## In 30 Sekunden - Wo es passiert: am Telefon, manchmal zugleich mit einer SMS, bei Beschäftigten ebenso wie im IT-Support [4]. - Was der Angreifer will: ein Passwort, einen Authentifizierungscode oder die Installation eines Werkzeugs, das ihm die Kontrolle über den Computer gibt [3][4]. - Der Reflex: Prüfen Sie die Identität des Anrufers bei der Organisation, für die er zu sprechen vorgibt [1]. - Wenn es schon passiert ist: Informieren Sie sofort die Verantwortlichen der Organisation, darunter die Netzwerkadministratoren, und ändern Sie preisgegebene Passwörter [1]. ## Direkte Fragen ### Beweist die im Display angezeigte Nummer, wer anruft? Nein. Betrüger können ihre Nummer fälschen und sich dabei als vertrauenswürdige Stelle ausgeben, etwa als Geschäftspartner oder technischer Support [2]. Die CISA stellt fest, dass Internettelefonie (VoIP) es leicht macht, die Identität des Anrufers zu fälschen, und dass dies ein unangebrachtes Vertrauen in die Sicherheit von Telefondiensten ausnutzt [1]. ### Wen ahmt der Angreifer nach? Die hier zitierten Quellen nennen einen Geschäftspartner, ein Mitglied des technischen Supports [2], legitimes IT-Personal [3] und in manchen Fällen einen Beschäftigten, der anstelle des wirklichen Kontoinhabers beim Support anruft [4]. Microsoft beschreibt außerdem Angreifer, die sich als neu eingestellte Beschäftigte ausgeben [6]. ### Was will er erreichen? Laut MITRE kann er das Opfer dazu bringen, eine bösartige Adresse zu öffnen, Schadsoftware herunterzuladen oder Fernwartungswerkzeuge zu installieren, die der Angreifer dann nutzen kann [3]. Er kann auch versuchen, Zugangsdaten der Multifaktor-Authentifizierung zu erbeuten oder Authentifizierungsanfragen bestätigen zu lassen [3]. Eine der von der CISA beschriebenen Gruppen hat Beschäftigte überzeugt, ihr das Einmalpasswort (OTP), einen Authentifizierungscode, zu nennen [4]. ### Sollte man bei Anrufen nach einer Nachricht misstrauisch sein? Ja. Eine Phishing-Nachricht kann dazu auffordern, eine Nummer zurückzurufen: MITRE spricht von „callback phishing“ und gibt an, der Angreifer versuche dann, vertrauliche Informationen zu sammeln [2]. ### Was tun bei einem verdächtigen Anruf? Die CISA rät zu Misstrauen gegenüber unerwarteten Anrufen von Personen, die nach Beschäftigten oder internen Informationen fragen, und dazu, die Identität des Anrufers direkt bei der Organisation zu prüfen, für die er zu sprechen vorgibt [1]. Sie fügt hinzu, dass man keine persönlichen oder organisationsbezogenen Informationen weitergeben soll, es sei denn, man ist sicher, dass die Person sie erhalten darf [1]. ## In der Haut des Angreifers Er beginnt mit der Recherche. In der Warnung der CISA zur Gruppe Scattered Spider sucht der Angreifer zuerst auf beruflichen Websites nach der Rolle der Zielperson im Unternehmen [4]. Danach sammelt er Benutzernamen, Passwörter und persönliche Daten [4]. Seine Anrufe, oft mehrere hintereinander, dienen zunächst dazu, das Verfahren zum Zurücksetzen von Passwörtern kennenzulernen, und dann dazu, Informationen über den ausgewählten Beschäftigten zusammenzutragen [4]. Diese Anrufe stützen sich auf persönliche Daten aus sozialen Netzwerken, offenen Quellen, kommerziellen Aufklärungswerkzeugen und Datenbanklecks [4]. Microsoft beschreibt dieselbe Methode: Der Akteur untersucht die Organisation, ahmt Tonfall und Wortschatz der nachgeahmten Person nach und kennt genug persönliche Informationen, um einen Administrator zu überzeugen, ein Passwort oder eine Authentifizierungsmethode zurückzusetzen [6]. Dieser Akteur nimmt häufig technische Administratoren ins Visier, etwa Mitarbeitende des Supports und des Help Desks [6]. Der Angreifer muss den Anruf nicht selbst führen. Laut MITRE können die Anrufe vom Angreifer geführt werden, von eigens beauftragten Callcentern oder automatisiert über aufgezeichnete Anrufe [2]. In seltenen Fällen hat Microsoft beobachtet, dass Angreifer zu Einschüchterung griffen, mit Privatadresse, Namen von Angehörigen und körperlichen Drohungen [6]. ## Was Sie auf dem Bildschirm sehen Sie sehen eine Nummer, die bekannt wirkt, oder einen Namen, den Sie zu kennen glauben. Dringlichkeit oder Alarm gehören zum Szenario: MITRE hält fest, dass der Angreifer als vertrauenswürdige Quelle auftritt und ein Gefühl von Dringlichkeit erzeugt [3]. Was dann folgt, ist unterschiedlich. Ein Gesprächspartner kann Sie nach einem Einmalcode zur Authentifizierung (OTP) fragen [4]. Er kann Sie auch bitten, eine Authentifizierungsbenachrichtigung auf Ihrem Telefon zu bestätigen: Die CISA beschreibt Benachrichtigungen, die so lange wiederholt werden, bis der Beschäftigte auf „Akzeptieren“ tippt (MFA-Fatigue) [4]. In anderen Fällen führt er Sie zu einem gefälschten Anmeldeportal oder bittet Sie, ein Fernzugriffswerkzeug zu starten [5][4]. Die SMS kann einen Link zu einem gefälschten Portal enthalten, das die Authentifizierung des Unternehmens nachahmt [6]. ## Unter der Haube Fernzugriffswerkzeuge sind legitime Software. Microsoft hält fest, dass Fernadministrationswerkzeuge, die der beschriebene Akteur missbraucht hat, normale Verwendungszwecke haben und dass ihr Einsatz in der Umgebung überwacht werden muss [6]. MITRE nennt Beispiele wie AnyDesk [8]. MITRE stellt klar, dass diese Werkzeuge nach einer Kompromittierung installiert und dann genutzt werden können, um eine interaktive Remote-Desktop-Sitzung aufzubauen [8]. Ein weiterer Mechanismus ist die Übernahme der Nummer selbst. Die CISA berichtet, dass Scattered Spider Mobilfunkanbieter überzeugt hat, die Nummer eines Nutzers auf eine SIM-Karte in seinem Besitz zu übertragen (SIM-Swap), was die Kontrolle über das Telefon und die Authentifizierungsanfragen verschafft [4]. Microsoft beschreibt außerdem das Einrichten einer Anrufweiterleitung auf die Nummer eines Beschäftigten, gefolgt von einem Zurücksetzen des Passworts im Self-Service [6]. Auf der Abwehrseite schlägt MITRE vor, die Anrufprotokolle dienstlicher Geräte zu überwachen und mit Ereignissen abzugleichen, die auf den Anruf folgen, etwa der Installation eines Fernwartungswerkzeugs [3]. Die CISA fordert, wo möglich für alle Dienste eine Phishing-resistente Multifaktor-Authentifizierung einzusetzen und die Schulung gegen Vishing fortzuführen [4]. ## Fallanalysen ### Scattered Spider, von Juni bis Dezember 2022 MITRE ordnet der Kampagne C0027, von Juni bis Dezember 2022, Anrufe und SMS zu, in denen sich der Angreifer als IT-Personal ausgab [5]. Die Opfer wurden auf eine Seite zum Abgreifen von Zugangsdaten geleitet oder dazu gedrängt, kommerzielle Fernwartungswerkzeuge zu starten [5]. Nach dem Eindringen durchsuchte die Gruppe die Dokumentationsbereiche der Opfer nach Support-Anleitungen sowie nach Anleitungen zur Einrichtung von VPN und Multifaktor-Authentifizierung [5]. ### Octo Tempest, 2022 und 2023 Microsoft beschreibt in seinem Beitrag vom 25. Oktober 2023 eine Gruppe, die Anfang 2022 beobachtet wurde und zunächst Mobilfunkanbieter und Outsourcing-Unternehmen ins Visier nahm, um Rufnummernübertragungen auszulösen [6]. Im Jahr 2022 verkaufte sie SIM-Swaps an andere Kriminelle weiter und übernahm Konten vermögender Personen, um deren Kryptowährungen zu stehlen [6]. Microsoft hält fest, dass sie auch den Support einer Organisation anrief, um ein Passwort zurücksetzen oder einen Authentifizierungsfaktor hinzufügen zu lassen [6]. ### Aktualisierung der CISA-Warnung, Juli 2025 Die Warnung AA23-320A, veröffentlicht am 16. November 2023, wurde am 29. Juli 2025 um ausgefeiltere Social-Engineering-Techniken ergänzt [4]. Eine davon besteht darin, sich als Beschäftigter auszugeben, um vom Support sensible Informationen, ein Zurücksetzen des Passworts und die Übertragung der Multifaktor-Authentifizierung auf ein vom Angreifer kontrolliertes Gerät zu erhalten [4]. ## Was Sie tun Prüfen Sie die Identität des Anrufers direkt bei der Organisation, für die er zu sprechen vorgibt [1]. Bei einer Anfrage per E-Mail empfiehlt die CISA, nicht die Kontaktdaten einer mit der Anfrage verbundenen Website zu verwenden, sondern nach den Kontaktdaten aus früherer Kommunikation zu suchen [1]. Das NCSC rät, eine wichtige Anfrage per E-Mail über einen zweiten Kommunikationsweg zu prüfen, etwa einen Anruf oder eine Bestätigung im persönlichen Gespräch [7]. Die CISA beschreibt eine Gruppe, die von Beschäftigten Einmalpasswörter erhalten hat [4]. Wenn Sie bereits nachgegeben haben, melden Sie das unverzüglich den Verantwortlichen der Organisation: Diese können dann ungewöhnliche Aktivitäten überwachen [1]. ## Quellen 1. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/004/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/004/ (abgerufen am 3. November 2026) 4. CISA, „Scattered Spider | CISA“, 16. November 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®“. https://attack.mitre.org/groups/G1015/ (abgerufen am 3. November 2026) 6. Microsoft, „Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog“, 25. Oktober 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (abgerufen am 3. November 2026) 7. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation“, 5. Februar 2018. https://www.ncsc.gov.uk/guidance/phishing (abgerufen am 3. November 2026) 8. MITRE ATT&CK, „Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1219/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.