Vishing
Vishing (Voice Phishing) bezeichnet eine Form des Social Engineering, bei der Angreifer über Telefonanrufe oder Voice-over-IP vertrauliche Informationen erschleichen, indem sie sich als vertrauenswürdige Personen oder Institutionen ausgeben.
Ausführliche Erklärung
Der Begriff Vishing setzt sich aus „Voice“ und „Phishing“ zusammen und beschreibt Betrugsversuche, die ausschließlich über Sprachkommunikation ablaufen. Es handelt sich um eine Variante des Social Engineering: Angreifer nutzen moderne VoIP-Technologie, um die Anruferkennung zu manipulieren, und setzen gezielt psychologischen Druck, Dringlichkeit und vorgetäuschte Autorität ein. Häufige Szenarien umfassen gefälschte Anrufe von IT-Support, Banken, Behörden oder Geschäftsführern, die Mitarbeitende zur Preisgabe von Zugangsdaten, zur Freigabe von Zahlungen oder zum Zurücksetzen von Passwörtern bewegen sollen.
Für Unternehmen ist Vishing besonders kritisch, weil der Angriff keine technische Sicherheitslücke ausnutzt, sondern menschliches Vertrauen und gewohnte Verhaltensmuster. Im Unterschied zum Phishing per E-Mail lässt sich ein Anruf durch keine technische Schutzschicht filtern – weder URL-Scanner noch Spam-Filter greifen hier. Die Bedrohung hat sich durch Voice-Cloning verschärft: Mit wenigen Minuten Audiomaterial können Angreifer heute die Stimme von Führungskräften oder Kollegen täuschend echt nachahmen.
Wirksamer Schutz erfordert drei Ebenen: organisatorisch klare Prozesse, die sensible Handlungen an das Mehraugenprinzip und an Rückrufverfahren über bekannte Kanäle binden; technisch Maßnahmen wie Conditional Access und phishing-resistente MFA-Verfahren; sowie kontinuierliche Awareness-Schulungen, damit Mitarbeitende typische Warnsignale – unerwartete Dringlichkeit, Druckaufbau, ungewöhnliche Anfragen – erkennen. Führt ein erfolgreicher Vishing-Angriff zu einer Verletzung des Schutzes personenbezogener Daten, ist diese nach Art. 33 DSGVO binnen 72 Stunden der Datenschutzbehörde (DSB) zu melden; für unzureichende Sicherheitsmaßnahmen nach Art. 32 DSGVO drohen zusätzlich Geldstrafen.
Eine offene Fehlerkultur, in der Mitarbeitende verdächtige Anrufe ohne Angst vor Konsequenzen melden können, ist ein entscheidender Baustein im Schutzkonzept. Vishing-Angriffe funktionieren in den Lücken zwischen Zuständigkeiten – nur wenn alle Beteiligten wissen, dass Nachfragen und Verifizieren kein Misstrauen, sondern professionelle Vorsicht darstellt, lässt sich das Risiko wirksam senken.
Praxisbeispiel
Ein österreichischer Onlineshop mit 45 Mitarbeitenden erhält einen Anruf bei der Buchhaltung: Die Stimme gibt sich als Geschäftsführer aus, klingt gestresst und fordert eine dringende Überweisung für einen Lieferanten. Dank einer zuvor eingeführten Regel, dass Zahlungen über 5.000 Euro stets über einen zweiten Kanal bestätigt werden müssen, ruft die Mitarbeiterin auf der bekannten Handynummer zurück – und stellt fest, dass der Geschäftsführer nie angerufen hatte. Der Vishing-Versuch scheitert.
Quellen
Diese Definition verlinken
Sie dürfen diese Definition gern zitieren oder verlinken — mit Quellenangabe.
„Vishing“ — Definition im Strukturaflow IT Glossar: https://begriffe.strukturaflow.com/begriff/vishing <a href="https://begriffe.strukturaflow.com/begriff/vishing">Vishing</a> — Definition im Strukturaflow IT Glossar