Was ist Vishing?

Vishing, kurz für Voice Phishing, ist ein Social-Engineering-Angriff, bei dem Cyberkriminelle Telefonate oder Sprachkommunikation nutzen, um Menschen dazu zu bringen, sensible Informationen preiszugeben, Geld zu überweisen, Zugang zu gewähren oder andere Maßnahmen zu ergreifen, die dem Angreifer zugutekommen.

Vishing ähnelt traditionellem Phishing, aber anstatt sich hauptsächlich auf betrügerische E-Mails oder Webseiten zu verlassen, nutzen Angreifer Sprachkommunikation, um Vertrauen aufzubauen und ihre Ziele zu manipulieren.

Angreifer können sich als Banken, Technologieunternehmen, Regierungsbehörden, Führungskräfte, IT-Supportteams oder andere vertrauenswürdige Personen und Organisationen ausgeben. Immer ausgefeiltere Techniken, darunter das Fälschen von Anrufer-ID und KI-generierte Stimmen, können betrügerische Anrufe überzeugender machen.

Wichtige Erkenntnisse

• Vishing (Voice-Phishing) ist ein Social-Engineering-Angriff, der Telefonate oder Sprachnachrichten nutzt, um Personen dazu zu bringen, sensible Informationen preiszugeben, Zugangsdaten zu teilen oder unbefugten Zugriff zu gewähren.
• Angreifer nutzen Imitation und Dringlichkeit, um Opfer zu täuschen. Gängige Taktiken sind es, sich als IT-Support, Finanzinstitute oder Führungskräfte auszugeben und oft Anruferkennungs-Spoofing oder KI-generierte Stimmen zu verwenden, um legitim zu wirken.
• Vishing-Angriffe können zu größeren Sicherheitsverletzungen führen. Gestohlene Zugangsdaten oder unbefugter Zugriff können es Angreifern ermöglichen, zusätzliche Systeme zu kompromittieren, Rechte zu erhöhen und sich seitlich in der Umgebung einer Organisation zu bewegen.
• Preventing vishing requires both employee awareness and technical security controls. Organizations should combine security training, identity verification, threat detection, and network visibility to reduce risk and limit the impact of successful attacks.

Wie funktioniert Vishing?

Vishing-Angriffe basieren auf Social Engineering und nicht einfach auf der Ausnutzung einer technischen Schwachstelle.

Ein Angreifer schafft typischerweise ein glaubwürdiges Szenario, das darauf ausgelegt ist, dem Opfer Dringlichkeit, Angst, Neugier oder Vertrauen zu vermitteln. Der Angreifer versucht dann, das Opfer davon zu überzeugen, Informationen zu geben oder eine Handlung zu ergreifen.

Ein typischer Vishing-Angriff kann folgende Schritte umfassen:

1. Zielauswahl: Der Angreifer identifiziert eine Person oder Organisation, die er anvisieren soll.
2. Recherche: Der Angreifer kann Informationen aus sozialen Medien, öffentlichen Websites, kompromittierten Daten oder anderen Quellen sammeln.
3. Imitation: Der Angreifer gibt vor, eine vertrauenswürdige Person oder Organisation zu sein.
4. Manipulation: Der Angreifer erzeugt Dringlichkeit oder einen weiteren Grund für das Opfer, schnell zu handeln.
5. Informationen oder Zugriff: Das Opfer kann aufgefordert werden, Zugangsdaten, Authentifizierungscodes, finanzielle Informationen oder Fernzugriff anzugeben.
6. Ausnutzung: Der Angreifer nutzt die Informationen oder den Zugang, um Betrug zu begehen, Konten zu kompromittieren oder Zugang zu weiteren Systemen zu erhalten.

Die Wirksamkeit von Vishing hängt weitgehend davon ab, das Opfer davon zu überzeugen, dass die Bitte berechtigt ist.

Was ist ein Beispiel für einen Vishing-Angriff?

Ein häufiger Vishing-Angriff besteht darin, dass ein Anrufer vorgibt, eine Bank oder Finanzinstitution zu vertreten.

Der Anrufer könnte behaupten, dass auf dem Konto des Opfers verdächtige Aktivitäten festgestellt wurden und sofortige Verifizierung erforderlich ist. Der Angreifer fragt dann nach einer Kontonummer, einem Passwort, einer PIN oder einem einmaligen Authentifizierungscode.

Bei einem Angriff am Arbeitsplatz könnte ein Cyberkrimineller die IT-Abteilung einer Organisation imitieren und einem Mitarbeiter mitteilen, dass ein Problem mit seinem Konto vorliegt. Der Angreifer kann den Mitarbeiter bitten, Anmeldedaten anzugeben, eine Multifaktor-Authentifizierungsanfrage (MFA) zu genehmigen oder Fernzugriffssoftware zu installieren.

Sobald der Angreifer Zugang erhält, kann er versuchen, weitere Systeme zu kompromittieren oder sich seitlich durch die Umgebung der Organisation zu bewegen.

Was ist der Unterschied zwischen Vishing und Phishing?

Phishing ist eine umfassende Form des Social-Engineering-Angriffs, bei dem Angreifer vertrauenswürdige Quellen imitieren, um Opfer dazu zu bringen, Informationen preiszugeben oder unsichere Handlungen zu ergreifen.

Traditionelles Phishing verwendet häufig E-Mails.

Vishing nutzt Sprachkommunikation, wie Telefonate oder Sprachnachrichten, um den Angriff durchzuführen.

Beide Angriffe basieren auf Täuschung, aber der Kommunikationskanal unterscheidet sich. Eine Phishing-E-Mail kann jemanden auf eine betrügerische Anmeldeseite weiterleiten, während ein Vishing-Angreifer versuchen kann, das Opfer dazu zu bringen, dieselben Zugangsdaten am Telefon anzugeben.

Was ist der Unterschied zwischen Vishing und Smishing?

Vishing und Smishing sind beides Formen von Phishing, die unterschiedliche Kommunikationskanäle nutzen.

• Vishing verwendet Sprachanrufe oder Sprachnachrichten.
• Smishing verwendet SMS oder Textnachrichten.

Angreifer können diese Techniken ebenfalls kombinieren. Zum Beispiel könnte ein Opfer eine gefälschte SMS erhalten, in der es angewiesen wird, eine Telefonnummer anzurufen. Der Angreifer kann dann den Social-Engineering-Angriff telefonisch fortsetzen.

Warum sind Vishing-Angriffe effektiv?

Vishing-Angriffe nutzen menschliches Verhalten aus.

Menschen vertrauen eher jemandem, der direkt mit ihnen spricht, besonders wenn der Anrufer sachkundig wirkt oder behauptet, eine vertrauenswürdige Organisation zu vertreten.

Angreifer erzeugen häufig Dringlichkeit, indem sie behaupten:

• Ein Konto wurde kompromittiert
• Eine Zahlung muss sofortig genehmigt werden
• Ein Passwort läuft bald ab
• Verdächtige Aktivitäten wurden festgestellt
• Der Zugang eines Mitarbeiters wird behindert sein
• Eine finanzielle Transaktion muss überprüft werden
• Ein leitender Angestellter benötigt sofortige Unterstützung

Druck kann die Opfer davon abhalten, sich die Zeit zu nehmen, die Anfrage unabhängig zu überprüfen.

Welche Informationen zielen Vishing-Angreifer an?

Vishing-Angreifer versuchen möglicherweise, Informationen zu erhalten, die ihnen helfen, Betrug zu begehen oder Zugang zu Systemen zu erhalten.

Dies kann Folgendes umfassen:

• Benutzernamen und Passwörter
• Multifaktor-Authentifizierungscodes
• Finanzinformationen
• Kredit- oder Debitkartennummern
• Bankkontoinformationen
• Sozialversicherungsnummern oder andere persönliche Informationen
• Mitarbeiterinformationen
• Sicherheitsfragen und -antworten
• Interne Unternehmensinformationen
• Informationen über Anwendungen oder Sicherheitssysteme

Sogar Informationen, die relativ harmlos erscheinen, können einem Angreifer helfen, zukünftige Angriffe überzeugender zu machen.

Was ist KI-Vishing?

KI-Vishing nutzt künstliche Intelligenz, um sprachbasierte Social Engineering-Angriffe überzeugender, personalisierter und skalierbarer zu machen.

Generative KI und Sprachklontechnologie können realistische Audioeffekte erzeugen, die der Stimme einer echten Person ähneln. Angreifer können diese Fähigkeiten nutzen, um sich als Führungskräfte, Kollegen, Familienmitglieder oder andere vertrauenswürdige Personen auszugeben und die Opfer davon zu überzeugen, sensible Informationen zu teilen oder Zugang zu gewähren.

Da Frontier-KI-Modelle leistungsfähiger werden, könnten Angreifer möglicherweise auch ausgefeiltere Teile einer Vishing-Kampagne automatisieren. Diese Entwicklung macht es zunehmend schwierig, sich auf eine vertraute Stimme oder ein überzeugendes Gespräch als Identitätsnachweis zu verlassen. Nutzer sollten ungewöhnliche Anfragen, die Zugangsdaten, Geld, sensible Informationen oder Systemzugriff betreffen, unabhängig über einen vertrauenswürdigen Kommunikationskanal überprüfen.

‍

Was ist Caller-ID-Spoofing?

Anrufer-ID-Fälschung tritt auf, wenn ein Angreifer die auf dem Empfängertelefon angezeigten Informationen so manipuliert, dass der Anruf von einer anderen Nummer oder Organisation erscheint.

Zum Beispiel kann ein betrügerischer Anruf von einer Bank, einer Regierungsbehörde, einer lokalen Telefonnummer oder sogar dem internen Helpdesk einer Organisation erscheinen.

Da Anrufer-ID-Informationen manipuliert werden können, sollten Nutzer nicht davon ausgehen, dass ein Anruf legitim ist, nur weil die angezeigte Telefonnummer vertraut erscheint.

Was sind die Warnzeichen eines Vishing-Angriffs?

Mögliche Warnzeichen für Vishing sind:

• Unerwartete Anfragen nach Passwörtern oder Authentifizierungscodes
• Druck, sofort zu handeln
• Gefahren mit Kontoschließung, finanziellen Verlusten oder anderen Folgen
• Anfragen zur Geldüberweisung oder zum Kauf von Geschenkkarten
• Anfragen zur Installation von Software oder zur Bereitstellung von Fernzugriff
• Anrufer fragen nach sensiblen persönlichen oder Firmeninformationen
• Unerwartete MFA-Genehmigungsanfragen
• Ein Anrufer, der Sie davon abhält, die Organisation eigenständig zu kontaktieren
• Anfragen, die die normalen Unternehmensabläufe umgehen

Eine unerwartete Anfrage, die sensible Informationen, Geld, Zugangsdaten oder Systemzugriff betrifft, sollte unabhängig überprüft werden.

Wie kannst du Vishing-Angriffe verhindern?

Organisationen können das Vishing-Risiko durch eine Kombination aus Mitarbeiterschulung, Identitätskontrollen, Verifikationsverfahren, Überwachung und technischen Sicherheitsmaßnahmen verringern.

Mitarbeiter sollten geschult werden, um:

• Vermeiden Sie es, Passwörter oder Authentifizierungscodes am Telefon zu teilen
• Überprüfe unerwartete Anfragen über vertrauenswürdige Kanäle
• Seien Sie vorsichtig bei dringenden oder bedrohlichen Ausdrücken
• Genehmigen Sie niemals unerwartete MFA-Anfragen
• Folgen Sie festgelegten Verfahren für Finanztransaktionen
• Melde verdächtige Anrufe an Sicherheitsteams
• Vermeiden Sie es, auf Wunsch eines nicht verifizierten Anrufers Software zu installieren

Organisationen sollten außerdem klare Prozesse zur Überprüfung sensibler Anfragen etablieren, damit Mitarbeiter wissen, wie legitime IT-, Finanz- und Führungsebene-Kommunikation ablaufen sollte.

Was sollten Sie tun, wenn Sie einen Vishing-Anruf erhalten?

Wenn Sie einen Vishing-Versuch vermuten, vermeiden Sie es, Informationen zu geben oder die vom Anrufer geforderten Maßnahmen zu ergreifen.

Beende das Gespräch und kontaktiere die Organisation oder Person unabhängig über eine bekannte, vertrauenswürdige Telefonnummer oder einen Kommunikationskanal.

Wenn der Anruf ein Arbeitsplatzkonto oder Gerät betrifft, melden Sie den Vorfall dem Sicherheits- oder IT-Team Ihrer Organisation.

Wenn bereits Zugangsdaten oder Authentifizierungsinformationen bereitgestellt wurden, sollten die betroffenen Passwörter geändert werden und das Sicherheitsteam sollte untersuchen, ob der Angreifer Zugriff auf das Konto oder andere Systeme erhalten hat.

Kann Vishing zu einer Sicherheitsverletzung führen?

Ja. Ein erfolgreicher Vishing-Angriff kann einem Angreifer Zugangsdaten oder Zugang verschaffen, der zum ersten Einstiegspunkt für einen größeren Cyberangriff werden kann.

Einmal in einer Umgebung, können Angreifer versuchen, Rechte zu eskalieren, auf sensible Daten zuzugreifen, zusätzliche Konten zu kompromittieren oder seitlich zwischen Systemen zu wechseln.

Deshalb ist es wichtig, den initialen Social-Engineering-Angriff zu verhindern, aber Organisationen benötigen auch Kontrollen, die einschränken, was ein Angreifer tun kann, falls ein Nutzer erfolgreich kompromittiert wird.

Vishing und Lateral Movement

Ein erfolgreicher Vishing-Angriff bedeutet nicht zwangsläufig das Ende eines Angriffs. Es kann der Anfang sein.

Wenn ein Angreifer gültige Zugangsdaten stiehlt oder einen Mitarbeiter überzeugt, Zugang zu gewähren, kann der Angreifer als legitimer Nutzer erscheinen. Anschließend können sie versuchen, weitere Systeme zu entdecken, auf Anwendungen zuzugreifen, Rechte zu eskalieren und seitlich zu sensiblen Daten oder kritischen Ressourcen zu gelangen.

Die Begrenzung unnötiger Kommunikation zwischen Systemen kann die verfügbaren Wege eines Angreifers nach der anfänglichen Kompromittierung verringern.

Wie können Organisationen Aktivitäten nach einem Vishing-Angriff erkennen?

Sicherheitsteams sollten über den anfänglichen betrügerischen Anruf hinausblicken und beobachten, was passiert, wenn Zugangsdaten, endpoints oder Konten kompromittiert werden.

Unerwartete Kommunikation zwischen Workloads, ungewöhnliche Netzwerkverbindungen, Zugriff auf Systeme, die normalerweise nicht kommunizieren, und andere Verhaltensänderungen können darauf hindeuten, dass ein Angreifer versucht, seinen Zugriff zu erweitern.

Netzwerktransparenz und kontextuelle Sicherheitsinformationen können Teams dabei helfen, verdächtige Aktivitäten zu untersuchen und zu verstehen, wohin ein Angreifer als Nächstes gehen könnte.

Erkennen Sie Gefahren, bevor sie sich ausbreiten, mit Illumio Insights

Man kann nicht immer verhindern, dass jemand auf einen überzeugenden Vishing-Ruf antwortet. Aber du kannst begrenzen, was als Nächstes passiert.

Illumio Insights gibt Sicherheitsteams Einblick in die Kommunikation in ihren Umgebungen und hilft, verdächtige Verbindungen, riskante Wege und mögliche Lateral Movement nach einer anfänglichen Kompromittierung zu erkennen.

Turn network activity into actionable intelligence and uncover threats before they become widespread breaches.

Entdecken Sie Illumio Insights →

Häufig gestellte Fragen

Was bedeutet Vishing?

Vishing bedeutet Voice-Phishing. Es handelt sich um eine Social-Engineering-Technik, die Telefonate oder andere Sprachkommunikation nutzt, um Opfer dazu zu bringen, sensible Informationen zu geben oder unsichere Maßnahmen zu ergreifen.

Ist Vishing ein Cyberangriff?

Ja. Vishing ist eine Art Social Engineering Cyberattack. Es richtet sich an Menschen, anstatt sich ausschließlich auf technische Schwachstellen zu verlassen.

Was ist ein Beispiel für Vishing?

Ein Angreifer könnte einen Mitarbeiter anrufen, der vorgibt, vom IT-Support zu sein, und behaupten, es gebe ein Problem mit seinem Konto. Der Angreifer könnte dann nach dem Passwort, dem MFA-Code oder der Genehmigung einer Authentifizierungsanfrage des Mitarbeiters fragen.

Was ist der Unterschied zwischen Phishing und Vishing?

Phishing nutzt häufig betrügerische E-Mails oder Webseiten, um Opfer zu täuschen. Vishing verwendet Sprachkommunikation wie Telefonate. Beide sind Formen der sozialen Ingenieurskunst.

Kann KI zum Vishing verwendet werden?

Ja. Angreifer können KI-generierte oder geklonte Stimmen nutzen, um vertrauenswürdige Personen zu imitieren und betrügerische Anrufe überzeugender zu machen.

Wie können Organisationen vor Vishing schützen?

Organisationen können Sicherheitsbewusstseinstrainings, starke Authentifizierung, Verifizierungsverfahren, Überwachung, Netzwerktransparenz und Segmentierung kombinieren. Diese Maßnahmen können helfen, erfolgreiche Angriffe zu verhindern und deren Auswirkungen zu begrenzen, falls Zugangsdaten oder Systeme kompromittiert werden.

Warum ist Vishing für Unternehmen gefährlich?

Ein erfolgreicher Vising-Angriff kann Zugangsdaten, Finanzinformationen, sensible Daten oder interne Systeme offenlegen. Wenn Angreifer Zugang zur Umgebung einer Organisation erhalten, können sie diesen Stützpunkt nutzen, um Privilegien zu eskalieren und lateral zu anderen Ressourcen zu wechseln.