Vishing - Telefonbetrug erkennen und richtig reagieren

Vishing - zusammengesetzt aus „Voice“ und „Phishing“ - bezeichnet Betrugsversuche per Telefon. Anrufe wirken direkter, dringlicher und verbindlicher als Nachrichten - viele Menschen reagieren am Telefon schneller und spontaner als bei einer E-Mail oder SMS. Das Ziel ist meist, sensible Daten zu erhalten, Zahlungen oder Freigaben auszulösen, Fernzugriff zu erlangen oder Vertrauen für spätere Angriffe aufzubauen.

Was ist Vishing?

Vishing ist eine Form von Phishing, bei der das Telefon als Angriffskanal dient. Während klassisches Phishing über E-Mails funktioniert und Smishing über SMS, nutzt Vishing die direkte Gesprächssituation. Die psychologischen Mechanismen sind dieselben: Vertrauen, Zeitdruck und Autorität werden gezielt eingesetzt, um eine schnelle Reaktion auszulösen.

Der entscheidende Unterschied: Am Telefon fehlt die Zeit, einen Link zu prüfen, eine Absenderadresse zu analysieren oder jemanden um Rat zu fragen. Der Anrufer kontrolliert das Tempo des Gesprächs und kann in Echtzeit auf Einwände reagieren. Das macht Vishing für viele Menschen schwerer zu erkennen als schriftliches Phishing. Mehr zu den psychologischen Hintergründen unter Psychologische Prinzipien.

Warum Vishing so gut funktioniert

• Direkte Gesprächssituation: Ein persönliches Gespräch erzeugt mehr Verbindlichkeit als eine Nachricht. Es fällt schwerer, eine Bitte abzulehnen, wenn eine Stimme am anderen Ende wartet.
• Zeitdruck: Der Anrufer drängt auf sofortiges Handeln und lässt wenig Raum für Nachdenken oder Rücksprache.
• Autorität: Wer sich als Bankmitarbeitender, Polizist oder Sicherheitsexperte ausgibt, wird von vielen Menschen zunächst ernst genommen.
• Hilfsbereitschaft: Die meisten Menschen wollen kooperieren - besonders wenn der Anrufer ein Problem schildert, bei dem Hilfe nötig scheint.
• Unsicherheit im Gespräch: Im laufenden Telefonat ist es schwieriger, einen Betrug zu erkennen, als wenn man eine Nachricht in Ruhe lesen kann.
• Vertraut wirkende Rufnummer: Durch Caller-ID-Spoofing können Anrufer beliebige Nummern anzeigen lassen - auch die Ihrer Bank oder einer Behörde. Angezeigte Nummern können echt wirken, sind aber kein verlässlicher Echtheitsnachweis.

Typische Formen von Vishing

Anruf von angeblicher Bank oder Sicherheitsabteilung

Ein Anrufer gibt sich als Bankmitarbeitender aus und berichtet von verdächtigen Kontobewegungen oder einer Sicherheitslücke. Er bittet um Zugangsdaten, TANs oder eine „Sicherheitsüberweisung“ auf ein anderes Konto. Banken fragen am Telefon nicht nach TAN, PIN oder Zugangsdaten. Verwandt mit Bank- und Zahlungsbetrug.

Anruf von angeblicher Polizei oder Behörde

Anrufer geben sich als Polizeibeamte aus und warnen vor Einbrechern, Betrugsverfahren oder angeblich unsicheren Konten. Forderungen nach Geld, Wertgegenständen oder Kontodaten sollten Sie am Telefon niemals ungeprüft für echt halten - auch nicht, wenn der Anrufer sich als Polizei ausgibt.

Fake-Tech-Support

Ein Anrufer behauptet, von Microsoft, Apple oder einem anderen IT-Unternehmen zu sein. Ihr Gerät sei mit Schadsoftware infiziert oder sende verdächtige Daten. Sie werden aufgefordert, eine Fernzugriffssoftware zu installieren, über die der Angreifer dann vollen Zugriff auf Ihren Computer erhält. Mehr dazu unter Fake Tech Support.

Konto- oder Login-Sicherheitsanruf

Ein Anrufer meldet sich im Namen eines Online-Dienstes und berichtet von einem verdächtigen Login-Versuch. Sie werden aufgefordert, zur Verifizierung einen Code durchzugeben oder eine Freigabe in Ihrer App zu bestätigen. In Wirklichkeit nutzt der Angreifer den Code, um sich in Ihr Konto einzuloggen.

Rückerstattungs- oder Erstattungsanruf

Ein Anrufer teilt mit, dass Ihnen ein Betrag erstattet wird - Sie müssten nur Ihre Bankdaten bestätigen oder eine Überweisung freigeben. In Wirklichkeit werden Ihre Daten gestohlen oder eine Zahlung in die andere Richtung ausgelöst.

Anruf mit Zahlungsdruck

Sie werden aufgefordert, eine angeblich offene Rechnung, Mahngebühr oder Strafe sofort telefonisch zu bezahlen. Zeitdruck und die Androhung von Konsequenzen sollen Sie zu einer schnellen Zahlung bewegen, bevor Sie den Sachverhalt prüfen können.

Familiennotfall oder bekannte Person in Notlage

Ein Anrufer gibt sich als Verwandter oder enge Bezugsperson in einer Notsituation aus und bittet dringend um Geld. Moderne Varianten nutzen KI-generierte Stimmen, die echte Familienmitglieder täuschend echt imitieren können. Die Kombination aus vertrauter Stimme und emotionalem Druck ist besonders wirkungsvoll.

Woran Sie Vishing erkennen

• Anruf kommt unerwartet: Sie haben keinen Anruf erwartet und werden von einer angeblichen Organisation kontaktiert.
• Druck zu sofortigem Handeln: Der Anrufer drängt auf eine schnelle Entscheidung und lässt Ihnen keine Zeit für Rückfragen.
• Bitte um TAN, PIN, Passwort, Code oder Freigabe: Kein seriöser Anrufer fragt am Telefon nach solchen Daten.
• Bitte um Fernzugriff: Seriöse Unternehmen rufen nicht unaufgefordert an, um Fernzugriff auf Ihr Gerät zu erhalten.
• Aufforderung zu Überweisung oder „sicherem Konto“: Banken und Behörden fordern nie telefonisch Überweisungen auf andere Konten.
• Gespräch soll geheim bleiben: „Sprechen Sie mit niemandem darüber“ ist ein deutliches Warnsignal.
• Rückruf nur über genannte Nummer: Seriöse Stellen haben kein Problem damit, wenn Sie über die offizielle Nummer zurückrufen.
• Rufnummer wirkt vertraut: Angezeigte Rufnummern können durch Caller-ID-Spoofing gefälscht sein und sind allein kein Echtheitsnachweis.

Weitere Warnzeichen finden Sie unter 25 Warnsignale für Social Engineering.

Typische Alltagsszenarien

Was Sie tun sollten

• Gespräch beenden, wenn Druck entsteht - Auflegen ist kein Zeichen von Unhöflichkeit, sondern Selbstschutz.
• Keine sensiblen Daten am Telefon nennen - keine TAN, PIN, Passwörter oder Codes.
• Keine Zahlungen, Freigaben oder Überweisungen am Telefon bestätigen.
• Im Zweifel auflegen und über eine selbst recherchierte offizielle Nummer zurückrufen.
• Zeitpunkt, angezeigte Nummer und Gesprächsinhalt notieren.
• Bei Bedarf den Vorfall melden - bei Ihrer Bank, der Bundesnetzagentur oder einer anderen Anlaufstelle.

Was Sie nicht tun sollten

• Einem Anruf nicht vertrauen, nur weil die Nummer vertraut wirkt - Rufnummern können gefälscht sein.
• Nicht im Gespräch bleiben, wenn Sie sich unter Druck gesetzt fühlen.
• Keine Software installieren und keinen Fernzugriff gewähren.
• Kein Geld auf „sichere Konten“ überweisen.
• Keine TAN, PIN, Passwörter oder MFA-Codes am Telefon nennen.
• Nicht die Nummer zurückrufen, die der verdächtige Anrufer genannt hat.

Wenn Sie bereits etwas genannt oder bestätigt haben

Die nächsten Schritte hängen davon ab, wie weit die Interaktion ging. In jedem Fall gilt: Schnelles Handeln kann den Schaden begrenzen.

Weitere Sofortmaßnahmen finden Sie unter Was tun nach einem Social-Engineering-Vorfall?

So schützen Sie sich dauerhaft

• Sensible Themen nie unter Zeitdruck am Telefon klären - im Zweifel auflegen und zurückrufen.
• Rückrufe immer über selbst recherchierte offizielle Nummern tätigen.
• Mit Angehörigen über typische Maschen sprechen - besonders mit älteren Familienmitgliedern.
• Passwortmanager und Zwei-Faktor-Authentifizierung nutzen.
• Ein Familien-Codewort für Notlagen vereinbaren, das bei echten Notfällen genannt werden kann.

Weitere Schutzmaßnahmen finden Sie unter Schutz für Privatpersonen.

Häufig gestellte Fragen