Vishing ist eine besondere Form des Phishings. Auch hier ist es Ziel, Menschen dazu zu bringen, sensible oder vertrauliche Informationen preiszugeben. Im Gegensatz zum „herkömmlichen“ Phishing-Angriff, bei dem die Opfer per E-Mail kontaktiert werden, erfolgt die Kontaktaufnahme per Telefon. Daher auch der Name „Vishing“. Hier werden die englische Bezeichnung für Stimme (Voice) und Phishing kombiniert.
Wie andere Phishing-Methoden ist auch Vishing eine Form des Social Engineerings. So wird auch hier an die Emotionen der Zielperson appelliert – sowohl im positiven als auch im negativen Sinne. Emotionen wie Angst, Zweifel, Neugier und Scham werden gezielt angesprochen, um Menschen dazu zu bringen, im Sinne der Angreifer zu handeln.
Der direkte Kontakt, der sich aus dem Telefongespräch ergibt, kann die eben erwähnten Gefühle der Betroffenen noch verstärken. In der direkten Konfrontation trauen sich die Menschen noch weniger, der anderen Person zu widersprechen oder Aufforderungen nicht nachzukommen. Sie können sich auch weniger auf ihr eigenes Bauchgefühl verlassen, sodass Handlungen unüberlegt ausgeführt werden.
Ein weiterer Grund, warum Vishing für Cyberkriminelle sehr lukrativ sein kann, ist, dass einer menschlichen Stimme eher geglaubt wird als einer digitalen E-Mail eines unbekannten Absenders. Das Bewusstsein, dass Mitarbeitende auch über das Telefon ausgetrickst werden können, ist teilweise noch nicht weit verbreitet.
Vishing-Angriffe können jedes Unternehmen treffen. Auch wenn sie – anders als herkömmliche Phishing-Angriffe – nicht im Gießkannenprinzip verbreitet und daher nicht in großem Stil durchgeführt werden, greifen Bedrohungsakteure zunehmend zum Telefon, um ihre potenziellen Opfer direkt zu kontaktieren. Dabei stehen folgende Motivationen im Vordergrund.
Sie oder eine oder einer Ihrer Angestellten wird von Cyberkriminellen angerufen – oft unter einem sehr trivialen Vorwand. Der Angreifende kann sich beispielsweise als Mitarbeitende einer bekannten Organisation (z. B. einer Bank) ausgeben, im Namen eines Lieferanten anrufen oder Ihrem Unternehmen etwas verkaufen wollen. Die Fragen werden im Gespräch so geschickt platziert, dass der Gesprächspartner oder die Gesprächspartnerin ohne zu zögern und Verdacht zu schöpfen Auskunft gibt. Die Antworten können anschließend vom Angreifer genutzt werden, um Spear-Phishing-Angriffe oder CEO-Fraud-Angriffe durchzuführen.
Von Vishing spricht man auch, wenn Mitarbeitende eine gefälschte Telefonnummer anrufen und so nichtsahnend Cyberkriminelle kontaktieren. Stellen Sie sich vor, Sie haben ein Computerproblem und sind auf der Suche nach einem Dienstleister, der Ihnen bei dem Problem helfen kann. Sie landen Sie auf einer Homepage und wählen die dort angegebene Nummer. Leider meldet sich am anderen Ende des Dienstes nicht der erhoffte Support, sondern ein Täter. Hier werden Ihnen Lösungen gegen Bezahlung angeboten. Möglicherweise müssen Sie diese direkt begleichen. Den erhofften Service bekommen Sie danach aber nicht.
Das nächste Beispiel ist sehr direkt. Der Angreifer kontaktiert Sie oder einen Ihrer Mitarbeitenden per Telefon und fordert den- oder diejenige zu konkreten Handlungen auf. Beispielsweise kann gefordert werden, bestimmte Informationen weiterzugeben, z. B. die Login-Daten zu einem Online-Dienst. Oder es kann eine bestimmte Tätigkeit gefordert werden, wie z.B. die Überweisung einer Geldsumme und das Begleichen einer angeblich offenen Rechnung. Wenn die Person zögert, wird Druck auf sie ausgeübt oder sie wird mit positiven Angeboten (Sonderpreise, bessere Konditionen) gelockt.
Heutzutage ist es schwer, Phishing-Angriffe zu erkennen. Auch Cyberkriminelle entwickeln sich weiter und werden bei ihren Angriffen immer professioneller. Das gilt auch für Vishing-Angriffe. Um Vishing-Angriffe zu erkennen, müssen die Mitarbeitenden wachsam sein. Bei neuen Kontakten, mit denen man bisher keinen Kontakt hatte, ist es ratsam, eine kurze Internetrecherche durchzuführen, um Details zu bestätigen. Existiert das genannte Unternehmen? Existiert die angegebene Adresse? Finden Sie die Person, die Sie kontaktiert hat? Wenn sich Ihr Gesprächspartner auf Kollegen von Ihnen bezieht, fragen Sie gegebenenfalls kurz bei der betreffenden Person nach, ob die Situation oder der Austausch tatsächlich stattgefunden hat. Eine gewisse Grundskepsis sollte auch während des Gesprächs vorherrschen. Beantworten Sie keine Fragen, die Ihnen zu vertraulich oder detailliert erscheinen. Kein seriöses Unternehmen wird Sie nach Passwörtern, Tan-Nummern, Personalnummern usw. fragen.
Um Vishing-Angriffe zu bekämpfen und langfristig zu vermeiden, ist es ratsam, die Mitarbeitenden zu sensibilisieren. Durch intensive Schulungen können Sie Ihre Mitarbeitenden auf die Gefahren aufmerksam machen und sie für die Angriffsmethoden sensibilisieren. Dies kann entweder durch Schulungsvideos geschehen oder durch einen Workshop, in dem Vishing-Anrufe veranschaulicht werden und die Mitarbeitenden den Umgang mit dieser Angriffsart trainieren können.
Vishing is a specific form of phishing. As with other phishing methods, the goal is to trick people into revealing sensitive or confidential information. Unlike traditional phishing attacks, where victims are contacted via email, vishing attacks take place by telephone. The term „vishing“ combines the English words „voice“ and „phishing.“
Like other phishing techniques, vishing is a type of social engineering. The attacker appeals to the victim’s emotions — both positive and negative — such as fear, doubt, curiosity, or shame, to manipulate them into acting in the attacker’s interest.
The direct contact involved in a phone call can intensify the victim’s emotional response. In a live conversation, people often feel more pressure to comply and are less likely to question the other person’s request. They also tend to trust a human voice more than a digital email from an unknown sender, and may not rely on their gut feeling as strongly in a real-time interaction.
This emotional dynamic makes vishing an effective and attractive method for cybercriminals. In many organizations, awareness that employees can be tricked over the phone is still not widespread.
Vishing attacks can target any company, regardless of size or industry. Unlike mass email-based phishing, vishing attacks are not distributed via a “watering-can” approach but are more targeted. However, attackers are increasingly using the telephone to reach victims directly.
Here are the most common motives behind vishing:
You or one of your employees may receive a phone call from a cybercriminal under a seemingly harmless pretext. The caller might pose as a representative of a well-known organization (e.g., a bank), act as a supplier, or try to sell something. The attacker cleverly asks questions in a way that causes the employee to provide information without hesitation or suspicion. This information may later be used for spear-phishing or CEO fraud attacks.
Vishing also occurs when employees unknowingly call a fake phone number and end up speaking to a criminal. Imagine you’re experiencing a technical problem and are searching online for support. You land on a website and call the number listed — but instead of help, you reach an attacker posing as a service provider. They may offer a solution in exchange for immediate payment, but the promised support never arrives.
In more aggressive cases, the attacker calls you or an employee and demands specific actions. This might include handing over login credentials for an online service or transferring money to settle a supposedly unpaid invoice. If the victim hesitates, the attacker may increase the pressure or lure them with special offers, discounts, or better conditions.
It’s becoming increasingly difficult to detect phishing attacks — and vishing is no exception. Cybercriminals are becoming more professional in their tactics. To recognize vishing, employees must stay alert.
When contacted by someone unknown, it’s a good idea to do a quick online search to verify names, companies, and contact details. Does the company exist? Is the address legitimate? Can you find the person who contacted you? If the caller refers to colleagues, check with them directly to confirm the context.
Always maintain a healthy level of skepticism during the call. Don’t answer questions that seem too personal or detailed. A legitimate company will never ask for passwords, TAN numbers, employee IDs, or other sensitive data over the phone.
To effectively defend against vishing attacks, organizations should raise awareness among employees. Targeted training can help staff understand the risks and learn how to handle suspicious calls. This can be achieved through training videos, or more interactively in workshops where simulated vishing calls are used to practice response strategies.
Kontaktieren Sie uns.
Unser Team ist für Sie da!
Telefon: +49 30 95 999 8080
E-Mail: info@perseus.de
© 2025 Perseus Technologies GmbH. All rights reserved
