Vishing erklärt: So funktioniert Voice Phishing, so erkennen Sie betrügerische Anrufe – und das hilft nach einem Telefonbetrug. Mit Beispielen & FAQ.
Vishing – kurz für Voice Phishing – ist eine Form des Telefonbetrugs, bei der Kriminelle ihre Opfer anrufen, um an sensible Daten wie Passwörter, TANs oder Kontoinformationen zu gelangen oder sie zu Zahlungen zu bewegen. Die Betrüger geben sich dabei als vertrauenswürdige Personen oder Institutionen aus – etwa als Bankmitarbeiter, Polizisten oder IT-Support.
Während Phishing-Mails inzwischen viele Menschen misstrauisch machen, wirkt ein Anruf persönlich und glaubwürdig: Eine echte Stimme, eine scheinbar offizielle Rufnummer im Display und eine dringende Geschichte reichen oft aus, um selbst vorsichtige Menschen zu überrumpeln. Mit KI-generierten Stimmen erreicht diese Betrugsmasche gerade eine neue Dimension. In diesem Ratgeber erfahren Sie, wie Vishing funktioniert, an welchen Warnsignalen Sie betrügerische Anrufe erkennen – und was zu tun ist, wenn Sie bereits Opfer geworden sind.
Die Vishing-Definition in Kürze: Vishing bezeichnet Betrugsversuche per Telefonanruf, bei denen Angreifer eine falsche Identität vortäuschen, um Informationen oder Geld zu erbeuten.
Anders als beim klassischen Phishing per E-Mail nutzen die Täter die direkte Gesprächssituation: Sie reagieren auf Nachfragen, bauen Druck auf und lassen ihrer Zielperson kaum Zeit zum Nachdenken. Genau das macht Vishing zu einer der wirksamsten Formen des Social Engineering – also der psychologischen Manipulation von Menschen, um Sicherheitsmaßnahmen zu umgehen.
Das Wort Vishing ist ein Kofferwort aus „Voice“ (Stimme) und „Phishing“. Gemeint ist das „Abfischen“ von Daten über die Stimme, also per Anruf. Die Vishing-Bedeutung lässt sich damit in drei Worten zusammenfassen: Phishing per Anruf. Die Täter werden in der Fachsprache gelegentlich als „Visher“ bezeichnet. Technisch gesehen ist Vishing keine Malware und kein Hackerangriff im engeren Sinne: Die Angreifer überwinden keine Firewall, sondern das Vertrauen ihres Gegenübers. Das schwächste Glied ist der Mensch – und genau darauf zielt die Attacke.
Wie groß das Problem ist, zeigen offizielle Zahlen: Bei der Bundesnetzagentur gingen allein im Jahr 2025 mehr als 85.000 Beschwerden zu Rufnummernmissbrauch ein; rund 6.200 Rufnummern ließ die Behörde abschalten. Der Sicherheitsanbieter CrowdStrike registrierte zudem vom ersten zum zweiten Halbjahr 2024 einen Anstieg der Vishing-Angriffe um 442 Prozent – befeuert vor allem durch generative KI. Wer die Mechanik dieser Anrufe einmal verstanden hat, erkennt die Masche jedoch in den meisten Fällen rechtzeitig.
Ein typischer Vishing-Angriff folgt einem wiederkehrenden Muster. Zuerst sammeln die Cyberkriminellen Informationen über ihre Zielperson – aus sozialen Netzwerken, Datenlecks oder früheren Phishing-Versuchen. Dann folgt der Anruf mit einer vorgetäuschten Identität und einem dringenden Anliegen. Am Ende steht immer dasselbe Ziel: Die Herausgabe sensibler Daten, eine Überweisung oder die Installation von Fernzugriffssoftware.
Beim Call-ID-Spoofing manipulieren die Angreifer die Rufnummer, die auf dem Display des Angerufenen erscheint. So kann ein Betrugsanruf scheinbar von der echten Nummer Ihrer Bank, der Polizei (etwa der 110) oder einer Behörde kommen – obwohl der tatsächliche Rufnummerninhaber mit dem Anruf nichts zu tun hat. Wichtig zu wissen: Die angezeigte Absenderrufnummer ist kein Echtheitsbeweis. Seriöse Institutionen rufen zudem nie unter der Notrufnummer an.
Vishing-Anrufe arbeiten mit bewährten psychologischen Hebeln:
Der Anrufer gibt sich als Polizist, Bankmitarbeiter oder Vorgesetzter aus.
Angeblich muss sofort gehandelt werden, sonst droht ein Schaden – das Konto werde „gerade leergeräumt“, ein Angehöriger sei in Not.
Das Opfer soll mit niemandem über den Anruf sprechen.
Diese Kombination setzt selbst besonnene Menschen unter Stress und schaltet das kritische Denken aus – die zentrale Schwachstelle, die Trickbetrüger ausnutzen.
Nicht jeder Betrugsanruf beginnt mit einem Menschen. Bei Robocalls spielen automatische Systeme massenhaft Bandansagen ab – etwa die angebliche Ankündigung einer Kontosperrung mit der Aufforderung, eine Taste zu drücken oder zurückzurufen. Ping-Anrufe wiederum klingeln nur einmal: Wer die unbekannte Nummer zurückruft, landet auf einer teuren Auslandsnummer. Beide Methoden dienen dazu, mit minimalem Aufwand möglichst viele potenzielle Opfer zu erreichen und die vielversprechendsten herauszufiltern.
Alle vier Betrugsformen gehören zur selben Familie: Kriminelle täuschen eine vertrauenswürdige Identität vor, um an Daten oder Geld zu kommen. Der Unterschied liegt im Kanal, über den die Angreifer ihre Opfer erreichen. Ausführliche Ratgeber zu Smishing und Quishing finden Sie in eigenen Artikeln.
| Betrugsform | Kanal | Vorgehen | Typisches Beispiel |
|---|---|---|---|
| Phishing | Gefälschte Mails mit Links zu nachgebauten Websites | „Ihr Konto wurde gesperrt – jetzt verifizieren“ | |
| Vishing | Telefonanruf | Direkte Manipulation im Gespräch, oft mit gefälschter Rufnummer | Anruf des „Bankmitarbeiters“ wegen verdächtiger Abbuchungen |
| Smishing | SMS / Textnachrichten | Kurznachrichten mit Schadlinks oder Rückrufnummern | „Ihr Paket wartet – Sendung hier verfolgen“ |
| Quishing | QR-Code | Manipulierte QR-Codes führen auf Phishing-Seiten | Falscher QR-Code auf Parkautomat oder in E-Mail |
Vishing vs. Phishing – was ist gefährlicher? Vielen Sicherheitsexperten gilt Vishing als die riskantere Variante, weil das Live-Gespräch kaum Bedenkzeit lässt: Eine E-Mail kann man in Ruhe prüfen, eine Textnachricht ignorieren – einem geschickten Anrufer zu widersprechen, fällt deutlich schwerer.
Die konkreten Betrügereien ändern sich ständig, die Grundmuster bleiben gleich. Diese vier Vishing-Beispiele gehören zu den verbreitetsten Maschen im deutschsprachigen Raum.
Beim Schockanruf meldet sich ein angeblicher Polizist, Arzt oder Anwalt: Ein naher Angehöriger habe einen schweren Unfall verursacht und nur eine sofortige Kaution könne die Haft abwenden. Der klassische Enkeltrick funktioniert ähnlich – „Rate mal, wer dran ist!“ – und zielt wie der Schockanruf vor allem auf ältere Menschen. Beide Maschen setzen auf emotionale Ausnahmesituationen, in denen die Opfer nicht mehr rational entscheiden. Wie hoch die Schäden sind, zeigen Polizeizahlen: Allein in München richteten Schockanrufe im Jahr 2024 rund 11,5 Millionen Euro Schaden an.
Der klassische Phishing-Anruf beim Online-Banking: Ein vermeintlicher Mitarbeiter der Bank warnt vor verdächtigen Abbuchungen und bietet an, das Konto „zu sichern“. Dafür brauche er nur eine TAN oder die Zugangsdaten zum Online-Banking – in Wahrheit autorisiert das Opfer damit die Überweisung der Betrüger. Auch falsche Anrufe im Namen von Europol, der BaFin oder des Zolls gehören zu dieser Kategorie: Angeblich laufe ein Verfahren, das sich nur durch eine „Sicherheitszahlung“ abwenden lasse. Merken Sie sich: Keine Bank und keine Behörde fragt am Telefon nach TANs, PINs oder Passwörtern.
Beim Tech-Support-Betrug melden sich angebliche Microsoft- oder IT-Mitarbeiter: Der Computer sei mit Viren infiziert, man müsse sofort helfen. Das Opfer soll eine Fernwartungssoftware installieren – und öffnet den Cyberangreifern damit den direkten Zugang zu Rechner, Passwörtern und Online-Banking. Echte Softwarehersteller rufen niemals unaufgefordert an.
Vishing trifft nicht nur Privatpersonen. Beim CEO-Fraud gibt sich der Anrufer als Geschäftsführer oder Vorstand aus und weist einen Mitarbeiter – häufig in der Buchhaltung – an, dringend und vertraulich eine hohe Summe zu überweisen. Oft ist der Anruf mit vorab gesammelten Insider-Informationen und Spearphishing kombiniert. Für Unternehmen gehören solche Angriffe zu den teuersten Bedrohungen überhaupt, weil eine einzige erfolgreiche Attacke sechs- oder siebenstellige Schäden verursachen kann.
Künstliche Intelligenz hebt Vishing auf eine neue Stufe: Sogenannte Audio-Deepfakes imitieren die Stimme realer Personen täuschend echt – so wie KI auch Phishing-Kampagnen im großen Stil ermöglicht.
Moderne Voice-Cloning-Tools benötigen nur wenige Sekunden Audiomaterial, um eine Stimme nachzubilden – Material, das sich aus Sprachnachrichten, Social-Media-Videos oder Mailbox-Ansagen leicht beschaffen lässt. Damit klingt der „Enkel in Not“ plötzlich wirklich wie der Enkel, und der „Geschäftsführer“ am Telefon ist von der echten Stimme kaum zu unterscheiden. Auch Robocalls werden durch KI-Stimmen natürlicher und schwerer zu entlarven.
Wie realistisch solche Angriffe sind, zeigt ein dokumentierter Fall vom Juli 2024: Betrüger riefen einen Ferrari-Manager mit der per KI geklonten Stimme von Konzernchef Benedetto Vigna an – samt dessen süditalienischem Akzent. Aufgeflogen ist die Attacke erst durch eine Kontrollfrage, die nur der echte CEO beantworten konnte. Achten Sie auf unnatürliche Sprechpausen, seltsame Betonungen oder ausweichende Antworten auf persönliche Rückfragen. Der wirksamste Schutz ist verblüffend einfach: Stellen Sie eine Frage, die nur die echte Person beantworten kann, oder vereinbaren Sie in Familie und Unternehmen ein Codewort für Notfälle. Im Zweifel gilt immer: auflegen und die Person unter der bekannten Nummer selbst anrufen. Auch der Gesetzgeber reagiert inzwischen: Die EU verschärft die Regeln für KI-Deepfakes.
Diese Warnsignale sollten Sie bei jedem unerwarteten Anruf aufhorchen lassen:
Der Anrufer will Passwörter, TANs, PINs oder Kontodaten „bestätigen“.
Sie sollen sofort handeln, sonst drohe ein Schaden – seriöse Institutionen setzen niemanden so unter Druck.
Gefordert werden Überweisungen, Gutscheinkarten oder Kryptowährungen.
Angst, Mitleid oder Autorität ersetzen sachliche Argumente.
Sie sollen mit niemandem über den Anruf sprechen.
Fernwartungsprogramme wie AnyDesk oder TeamViewer sollen installiert werden.
Der Anrufer weicht aus, wenn Sie unter der offiziellen Nummer zurückrufen wollen.
Schon ein einziges dieser Signale ist Grund genug, das Gespräch zu beenden.
Wirksamer Vishing-Schutz besteht aus gesunden Grundregeln – und im Unternehmen zusätzlich aus klaren Prozessen.
Geben Sie niemals Passwörter, TANs oder Kartendaten am Telefon heraus – kein seriöses Institut fragt danach. Misstrauen Sie der angezeigten Rufnummer, denn sie kann gefälscht sein. Beenden Sie verdächtige Anrufe konsequent und rufen Sie die Institution selbst über die offizielle Nummer zurück. Rufen Sie unbekannte Nummern nicht zurück, insbesondere keine ausländischen. Und: Sprechen Sie mit älteren Angehörigen über Schockanrufe und Enkeltrick – Aufklärung ist der beste Schutz vor diesen Betrugsmaschen.
Für Unternehmen ist Vishing ein Sicherheitsrisiko, das sich nicht allein technisch lösen lässt. Zur wirksamen Abwehr gehören regelmäßige Security-Awareness-Schulungen mit simulierten Vishing-Tests, klare Freigabeprozesse für Zahlungen (Vier-Augen-Prinzip, Rückruf über bekannte Nummern statt übermittelter Rückrufnummern) und eine Kultur, in der Mitarbeiter verdächtige Anrufe ohne Angst vor Blamage melden. Besonders exponierte Bereiche wie Buchhaltung, Empfang und IT-Helpdesk sollten gezielt für CEO-Fraud und Fake-Support-Anrufe sensibilisiert werden.
Wenn Sie einem Vishing-Anruf aufgesessen sind, zählt schnelles Handeln:
Legen Sie auf und lassen Sie sich nicht auf weitere Anrufe ein.
Kontaktieren Sie sofort Ihre Bank und nutzen Sie den zentralen Sperr-Notruf 116 116, wenn Sie Zugangsdaten oder Kartendaten herausgegeben haben.
Ändern Sie betroffene Zugangsdaten umgehend, beginnend mit Online-Banking und E-Mail-Konto.
Wurde Software installiert, trennen Sie den Rechner vom Internet und lassen Sie ihn prüfen.
Notieren Sie Rufnummer, Uhrzeit und Gesprächsinhalt.
Erstatten Sie Anzeige bei der Polizei – online über die Onlinewache oder auf der Wache.
Melden Sie die Nummer der Bundesnetzagentur, damit sie gegen die Anrufer vorgehen kann.
Die Verbraucherzentrale hilft bei rechtlichen Fragen, etwa zur Rückbuchung von Zahlungen.
Im Unternehmen gilt zusätzlich: Informieren Sie sofort die IT-Sicherheit bzw. den Vorgesetzten – auch wenn der Fehler unangenehm ist. Je früher der Vorfall bekannt wird, desto größer die Chance, den Schaden zu begrenzen.
Vishing steht für „Voice Phishing“ und bezeichnet Telefonbetrug, bei dem Anrufer unter falscher Identität sensible Daten erfragen oder Zahlungen veranlassen. Der Begriff kombiniert „Voice“ (Stimme) und „Phishing“ (Abfischen von Daten).
Der Kanal: Phishing nutzt E-Mails, Vishing Telefonanrufe, Smishing SMS und Textnachrichten, Quishing manipulierte QR-Codes. Ziel und Psychologie sind bei allen Betrugsformen gleich – die Herausgabe von Daten oder Geld.
Sofort die Bank informieren und Karten über den Sperr-Notruf 116 116 sperren, Passwörter ändern, Beweise sichern, Anzeige bei der Polizei erstatten und die Rufnummer an die Bundesnetzagentur melden. Die Verbraucherzentrale berät zu weiteren Schritten.
Ja. Per Call-ID-Spoofing lassen Betrüger beliebige Rufnummern im Display erscheinen – auch die echte Nummer Ihrer Bank oder der Polizei. Die angezeigte Nummer ist deshalb kein Beweis für die Echtheit eines Anrufs.
Ja. Schon wenige Sekunden Audiomaterial – etwa aus Sprachnachrichten oder Social-Media-Videos – genügen modernen Voice-Cloning-Tools, um eine Stimme täuschend echt nachzubilden. Vereinbaren Sie deshalb für Notfälle ein Codewort mit Familie oder Team.
Das ist schwierig, weil die Täter gefälschte Rufnummern und Anrufe aus dem Ausland nutzen. Eine Anzeige ist trotzdem wichtig: Sie ermöglicht Ermittlungen, hilft bei der Schadensregulierung und macht das Ausmaß der Betrugsanrufe sichtbar.
Das Annehmen eines Anrufs kostet in der Regel nichts. Teuer wird es beim Rückruf auf betrügerische Nummern (Ping-Anrufe) – oder wenn Sie im Gespräch Daten preisgeben, die die Täter für Abbuchungen nutzen.
Ja. Vishing erfüllt regelmäßig den Straftatbestand des Betrugs (§ 263 StGB), hinzu kommen je nach Fall Delikte wie Datenausspähung. In der Praxis scheitert die Strafverfolgung allerdings oft daran, dass die Täter aus dem Ausland agieren.
CEO Fraud (Fake President): Wie die Betrugsmasche funktioniert, woran Sie sie erkennen und wie Sie Ihr Unternehmen wirksam davor schützen.
Data Masking (deutsch: Datenmaskierung) sorgt dafür, dass aus echten personenbezogenen Daten realistische, aber nutzlose Platzhalter werden – ohne dass Tests, Reports oder Schulungen ihren Wert verlieren.
NIS2 ist jetzt relevant, weil die Richtlinie Cybersicherheit erstmals verbindlich und überprüfbar macht – mit Haftung, Meldepflichten und klaren technischen Vorgaben.
Alles über Spear-Phishing. Definition, Unterschied zu Phishing und wie sich Unternehmen schützen können.
Safety vs. Security Definitionen, Fail-Safe vs. Fail-Secure, Praxiskonflikte in OT & IT & warum beides zusammengehört
Definition, Bedrohung durch Store now, decrypt later, PQC-Standards (NIST 2024).
IoT-Trends 2026 zeigen AIoT, Edge, CRA-Security und neue Modelle, die aus Daten echten Nutzen machen.
Windows 10 ist out jetzt Upgrade-Optionen, ESU-Kosten, Hardware-Check und Rollout-Plan für Windows 11.
MQTT erklärt Publish Subscribe, Broker und QoS und warum das Protokoll IoT-Daten robust über schwache Netze bringt.
RPA automatisiert regelbasierte Aufgaben per Software-Bots, senkt Fehler und Kosten und entlastet Teams im Alltag.
Informiert bleiben
Erhalten Sie wöchentlich die wichtigsten Tech-Trends, exklusive Analysen und Experteninterviews – speziell für IT-Entscheider.
Kommentare (0)
Noch keine Kommentare vorhanden.