Cyberpediavon Brain
DEENFR

Vishing, der Betrug per Telefon

Ein falscher IT-Support oder ein falscher Bankberater ruft an, im Display steht eine vertraute Nummer: So erkennen Sie Vishing und reagieren richtig.

In 30 Sekunden

Wo es passiert
Am Telefon, manchmal zugleich mit einer SMS, bei Beschäftigten ebenso wie im IT-Support4.
Was der Angreifer will
Ein Passwort, einen Authentifizierungscode oder die Installation eines Werkzeugs, das ihm die Kontrolle über den Computer gibt34.
Der Reflex
Prüfen Sie die Identität des Anrufers bei der Organisation, für die er zu sprechen vorgibt1.
Wenn es schon passiert ist
Informieren Sie sofort die Verantwortlichen der Organisation, darunter die Netzwerkadministratoren, und ändern Sie preisgegebene Passwörter1.

Worum es geht

Vishing (Voice Phishing) ist Phishing per Stimme. Der Angreifer ruft an und gibt sich als vertrauenswürdige Person aus, um eine Information oder eine Handlung des Opfers zu erlangen. Die CISA beschreibt es als den Social-Engineering-Ansatz, der auf Sprachkommunikation beruht1.

Für Beschäftigte sieht das typische Szenario so aus: Jemand ruft an und gibt sich als legitimes IT-Personal aus3.

Direkte Fragen

Beweist die im Display angezeigte Nummer, wer anruft?

Nein. Betrüger können ihre Nummer fälschen und sich dabei als vertrauenswürdige Stelle ausgeben, etwa als Geschäftspartner oder technischer Support2. Die CISA stellt fest, dass Internettelefonie (VoIP) es leicht macht, die Identität des Anrufers zu fälschen, und dass dies ein unangebrachtes Vertrauen in die Sicherheit von Telefondiensten ausnutzt1.

Wen ahmt der Angreifer nach?

Die hier zitierten Quellen nennen einen Geschäftspartner, ein Mitglied des technischen Supports2, legitimes IT-Personal3 und in manchen Fällen einen Beschäftigten, der anstelle des wirklichen Kontoinhabers beim Support anruft4. Microsoft beschreibt außerdem Angreifer, die sich als neu eingestellte Beschäftigte ausgeben6.

Was will er erreichen?

Laut MITRE kann er das Opfer dazu bringen, eine bösartige Adresse zu öffnen, Schadsoftware herunterzuladen oder Fernwartungswerkzeuge zu installieren, die der Angreifer dann nutzen kann3. Er kann auch versuchen, Zugangsdaten der Multifaktor-Authentifizierung zu erbeuten oder Authentifizierungsanfragen bestätigen zu lassen3. Eine der von der CISA beschriebenen Gruppen hat Beschäftigte überzeugt, ihr das Einmalpasswort (OTP), einen Authentifizierungscode, zu nennen4.

Sollte man bei Anrufen nach einer Nachricht misstrauisch sein?

Ja. Eine Phishing-Nachricht kann dazu auffordern, eine Nummer zurückzurufen: MITRE spricht von „callback phishing“ und gibt an, der Angreifer versuche dann, vertrauliche Informationen zu sammeln2.

Was tun bei einem verdächtigen Anruf?

Die CISA rät zu Misstrauen gegenüber unerwarteten Anrufen von Personen, die nach Beschäftigten oder internen Informationen fragen, und dazu, die Identität des Anrufers direkt bei der Organisation zu prüfen, für die er zu sprechen vorgibt1. Sie fügt hinzu, dass man keine persönlichen oder organisationsbezogenen Informationen weitergeben soll, es sei denn, man ist sicher, dass die Person sie erhalten darf1.

1In der Haut des Angreifers1 min

Er beginnt mit der Recherche. In der Warnung der CISA zur Gruppe Scattered Spider sucht der Angreifer zuerst auf beruflichen Websites nach der Rolle der Zielperson im Unternehmen4. Danach sammelt er Benutzernamen, Passwörter und persönliche Daten4. Seine Anrufe, oft mehrere hintereinander, dienen zunächst dazu, das Verfahren zum Zurücksetzen von Passwörtern kennenzulernen, und dann dazu, Informationen über den ausgewählten Beschäftigten zusammenzutragen4. Diese Anrufe stützen sich auf persönliche Daten aus sozialen Netzwerken, offenen Quellen, kommerziellen Aufklärungswerkzeugen und Datenbanklecks4.

Microsoft beschreibt dieselbe Methode: Der Akteur untersucht die Organisation, ahmt Tonfall und Wortschatz der nachgeahmten Person nach und kennt genug persönliche Informationen, um einen Administrator zu überzeugen, ein Passwort oder eine Authentifizierungsmethode zurückzusetzen6. Dieser Akteur nimmt häufig technische Administratoren ins Visier, etwa Mitarbeitende des Supports und des Help Desks6.

Der Angreifer muss den Anruf nicht selbst führen. Laut MITRE können die Anrufe vom Angreifer geführt werden, von eigens beauftragten Callcentern oder automatisiert über aufgezeichnete Anrufe2. In seltenen Fällen hat Microsoft beobachtet, dass Angreifer zu Einschüchterung griffen, mit Privatadresse, Namen von Angehörigen und körperlichen Drohungen6.

2Was Sie auf dem Bildschirm sehen1 min

Sie sehen eine Nummer, die bekannt wirkt, oder einen Namen, den Sie zu kennen glauben. Dringlichkeit oder Alarm gehören zum Szenario: MITRE hält fest, dass der Angreifer als vertrauenswürdige Quelle auftritt und ein Gefühl von Dringlichkeit erzeugt3.

Was dann folgt, ist unterschiedlich. Ein Gesprächspartner kann Sie nach einem Einmalcode zur Authentifizierung (OTP) fragen4. Er kann Sie auch bitten, eine Authentifizierungsbenachrichtigung auf Ihrem Telefon zu bestätigen: Die CISA beschreibt Benachrichtigungen, die so lange wiederholt werden, bis der Beschäftigte auf „Akzeptieren“ tippt (MFA-Fatigue)4. In anderen Fällen führt er Sie zu einem gefälschten Anmeldeportal oder bittet Sie, ein Fernzugriffswerkzeug zu starten54. Die SMS kann einen Link zu einem gefälschten Portal enthalten, das die Authentifizierung des Unternehmens nachahmt6.

3Unter der HaubeIT-Teams1 min

Fernzugriffswerkzeuge sind legitime Software. Microsoft hält fest, dass Fernadministrationswerkzeuge, die der beschriebene Akteur missbraucht hat, normale Verwendungszwecke haben und dass ihr Einsatz in der Umgebung überwacht werden muss6. MITRE nennt Beispiele wie AnyDesk8. MITRE stellt klar, dass diese Werkzeuge nach einer Kompromittierung installiert und dann genutzt werden können, um eine interaktive Remote-Desktop-Sitzung aufzubauen8.

Ein weiterer Mechanismus ist die Übernahme der Nummer selbst. Die CISA berichtet, dass Scattered Spider Mobilfunkanbieter überzeugt hat, die Nummer eines Nutzers auf eine SIM-Karte in seinem Besitz zu übertragen (SIM-Swap), was die Kontrolle über das Telefon und die Authentifizierungsanfragen verschafft4. Microsoft beschreibt außerdem das Einrichten einer Anrufweiterleitung auf die Nummer eines Beschäftigten, gefolgt von einem Zurücksetzen des Passworts im Self-Service6.

Auf der Abwehrseite schlägt MITRE vor, die Anrufprotokolle dienstlicher Geräte zu überwachen und mit Ereignissen abzugleichen, die auf den Anruf folgen, etwa der Installation eines Fernwartungswerkzeugs3. Die CISA fordert, wo möglich für alle Dienste eine Phishing-resistente Multifaktor-Authentifizierung einzusetzen und die Schulung gegen Vishing fortzuführen4.

4FallanalysenReale Fälle1 min

Scattered Spider, von Juni bis Dezember 2022

MITRE ordnet der Kampagne C0027, von Juni bis Dezember 2022, Anrufe und SMS zu, in denen sich der Angreifer als IT-Personal ausgab5. Die Opfer wurden auf eine Seite zum Abgreifen von Zugangsdaten geleitet oder dazu gedrängt, kommerzielle Fernwartungswerkzeuge zu starten5. Nach dem Eindringen durchsuchte die Gruppe die Dokumentationsbereiche der Opfer nach Support-Anleitungen sowie nach Anleitungen zur Einrichtung von VPN und Multifaktor-Authentifizierung5.

Octo Tempest, 2022 und 2023

Microsoft beschreibt in seinem Beitrag vom 25. Oktober 2023 eine Gruppe, die Anfang 2022 beobachtet wurde und zunächst Mobilfunkanbieter und Outsourcing-Unternehmen ins Visier nahm, um Rufnummernübertragungen auszulösen6. Im Jahr 2022 verkaufte sie SIM-Swaps an andere Kriminelle weiter und übernahm Konten vermögender Personen, um deren Kryptowährungen zu stehlen6. Microsoft hält fest, dass sie auch den Support einer Organisation anrief, um ein Passwort zurücksetzen oder einen Authentifizierungsfaktor hinzufügen zu lassen6.

Aktualisierung der CISA-Warnung, Juli 2025

Die Warnung AA23-320A, veröffentlicht am 16. November 2023, wurde am 29. Juli 2025 um ausgefeiltere Social-Engineering-Techniken ergänzt4. Eine davon besteht darin, sich als Beschäftigter auszugeben, um vom Support sensible Informationen, ein Zurücksetzen des Passworts und die Übertragung der Multifaktor-Authentifizierung auf ein vom Angreifer kontrolliertes Gerät zu erhalten4.

5Was Sie tun1 min

Prüfen Sie die Identität des Anrufers direkt bei der Organisation, für die er zu sprechen vorgibt1. Bei einer Anfrage per E-Mail empfiehlt die CISA, nicht die Kontaktdaten einer mit der Anfrage verbundenen Website zu verwenden, sondern nach den Kontaktdaten aus früherer Kommunikation zu suchen1. Das NCSC rät, eine wichtige Anfrage per E-Mail über einen zweiten Kommunikationsweg zu prüfen, etwa einen Anruf oder eine Bestätigung im persönlichen Gespräch7.

Die CISA beschreibt eine Gruppe, die von Beschäftigten Einmalpasswörter erhalten hat4. Wenn Sie bereits nachgegeben haben, melden Sie das unverzüglich den Verantwortlichen der Organisation: Diese können dann ungewöhnliche Aktivitäten überwachen1.

Merkblatt

Kennung
CP-008
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Phishing erkennen (detect_phishing)
Brain-Reflex
cr-019
Schema
G1 · Angriffskette (Kill Chain)
Sprachen
de, en, fr
Quellen
8 Quellen geprüft am 3. November 2026
Quellen8 Quellen
  1. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/004/ (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/004/ (abgerufen am 3. November 2026)
  4. CISA, „Scattered Spider | CISA“, 16. November 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (abgerufen am 3. November 2026)
  5. MITRE ATT&CK, „Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®“. https://attack.mitre.org/groups/G1015/ (abgerufen am 3. November 2026)
  6. Microsoft, „Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog“, 25. Oktober 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (abgerufen am 3. November 2026)
  7. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation“, 5. Februar 2018. https://www.ncsc.gov.uk/guidance/phishing (abgerufen am 3. November 2026)
  8. MITRE ATT&CK, „Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1219/ (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Vishing, der Betrug per Telefon“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/

BibTeX 
@misc{brain_cp008_de_2026,
  author = {Brain},
  title = {Vishing, der Betrug per Telefon},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/vishing-telefonbetrug-anrufer-taeuschung/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0