Phishing und Vishing: Sprachbasierte Social Engineering

In der heutigen digitalen Landschaft verlassen sich Cyberkriminelle stark auf Social Engineering – die Kunst, Menschen dazu zu bringen, vertrauliche Informationen preiszugeben oder Handlungen auszuführen, die die Sicherheit gefährden. Zu den am weitesten verbreiteten Formen gehören Phishing und sein sprachbasiertes Pendant, Vishing (kurz für Voice-Phishing). Während beide die menschliche Psychologie ausnutzen, unterscheiden sie sich in der Art der Übermittlung, der Durchführung und der zunehmenden Raffinesse – insbesondere mit dem Aufkommen von KI in den letzten Jahren.

Dieser Beitrag untersucht, was Phishing und Vishing sind, wie sie funktionieren, die wichtigsten Unterschiede, Beispiele aus der Praxis, aktuelle Trends (einschließlich des explosiven Wachstums in den Jahren 2024-2025) und praktische Schritte, um sich selbst und Ihre Organisation zu schützen.

Was ist Phishing?

Phishing ist eine Art von Cyberangriff, bei dem Angreifer vertrauenswürdige Stellen (wie Banken, Unternehmen oder Regierungsbehörden) nachahmen, um Opfer dazu zu bringen, sensible Informationen wie Anmeldedaten, Kreditkartendetails oder persönliche Daten preiszugeben. Es tritt typischerweise über E-Mail auf, kann sich jedoch auch auf andere digitale Kanäle erstrecken.

Häufige Taktiken umfassen:

Dringende Anfragen (z. B. "Ihr Konto ist gesperrt – klicken Sie hier, um zu verifizieren").
Bösartige Links, die zu gefälschten Anmeldeseiten führen.
Anhänge, die Malware enthalten.

Phishing bleibt der häufigste Vektor für Cyberbedrohungen und dient oft als Einstiegspunkt für größere Sicherheitsverletzungen.

Was ist Vishing (Voice Phishing)?

Vishing ist die sprachbasierte Variante von Phishing. Angreifer nutzen Telefonanrufe, Voicemails oder Voice over Internet Protocol (VoIP), um Opfer dazu zu bringen, sensible Informationen preiszugeben oder kompromittierende Handlungen vorzunehmen. Im Gegensatz zu textbasiertem Phishing beinhaltet Vishing eine Interaktion in Echtzeit, die es Betrügern ermöglicht, Vertrauen aufzubauen, Druck auszuüben und auf Antworten zu reagieren.

Wichtige Techniken umfassen:

Anrufer-ID-Spoofing — Den Anruf so erscheinen lassen, als käme er von einer legitimen Quelle (z. B. Ihrer Bank oder Microsoft).
Vortäuschung — Erfassen erfundener Szenarien (z. B. Konto kompromittiert oder technisches Problem).
Dringlichkeit und Angst — Androhung unmittelbarer Konsequenzen wie Kontoschließung oder rechtliche Schritte.
Soziale Manipulation — Verwendung psychologischer Manipulation, um Skepsis zu überwinden.

Mit den Fortschritten der KI ist Vishing überzeugender geworden: Angreifer nutzen Sprachklonen (Deepfakes), um Führungskräfte, Familienmitglieder oder Behörden zu imitieren, was hochgradig gezielte Angriffe ermöglicht.

Wichtige Unterschiede zwischen Phishing und Vishing

Obwohl beide Formen des Social Engineering mit demselben Ziel – dem Diebstahl von Daten oder Zugang – sind, unterscheiden sich die Kanäle und Dynamiken erheblich.

Aspekt	Phishing	Vishing
Zustellungsmethode	E-Mail (oder Websites)	Telefonanrufe/ Sprachnachrichten
Interaktion	Oft einseitig (ein Link wird angeklickt)	Interaktiv, Überzeugung in Echtzeit
Schwierigkeit der Erkennung	E-Mails können von Filtern markiert werden	Anrufe umgehen viele digitale Schutzmaßnahmen
Skalierung vs. Zielgerichtetheit	Oft Massenaussendungen an Millionen	Kann massenhaft (Robocalls) oder sehr gezielt sein

Beide können kombiniert werden: Eine Phishing-E-Mail könnte einen nachfolgenden Vishing-Anruf zur „Verifizierung“ auslösen.

Reale Beispiele für Vishing-Angriffe

Vishing-Betrügereien sind weit verbreitet und kostspielig. Häufige Varianten sind:

IRS/Regierungs-Implantation Betrüger geben sich als IRS-Agenten aus und behaupten unbezahlte Steuern oder Rückerstattungen, und verlangen sofortige Zahlungen über Geschenkkarten oder Überweisungen.

Technische Support-Betrügereien Angreifer rufen an und geben vor, von Microsoft, Apple oder ähnlichen Unternehmen zu sein, und warnen vor "Virusinfektionen" oder "Sicherheitsproblemen." Sie täuschen die Opfer, damit diese Fernzugriff gewähren, Malware installieren oder falsche Gebühren bezahlen. Microsoft warnt ausdrücklich, dass es Kunden niemals unaufgefordert für Support anruft.

Bank/ Betrugswarnungen Anrufer geben an, dass auf Ihrem Konto verdächtige Aktivitäten stattfinden, und fordern die „Überprüfung“ von Details oder Einmal-Codes an.

Executive-Imitation (CEO-Betrug)

Mit KI-Stimmklonen ahmen Angreifer Unternehmensleiter nach, um dringende Überweisungen zu autorisieren. Bemerkenswerte Fälle umfassen einen Verlust von 25 Millionen US-Dollar bei der Ingenieurfirma Arup im Jahr 2024 durch Deepfake-Video/Audio.

Hochkarätige Vorfälle heben das Risiko hervor: In den Jahren 2024-2025 nutzten Gruppen wie Scattered Spider Vishing, um große Einzelhändler zu infiltrieren, indem sie sich als IT-Support ausgaben und Mitarbeiter dazu brachten, Zugang zu gewähren.

Aktuelle Trends: Der Anstieg von Vishing (2024-2025)

Vishing hat in letzter Zeit explosionsartig zugenommen, befeuert durch zugängliche KI-Tools zur Sprachklonung und Automatisierung.

Berichte deuten darauf hin, dass Vishing-Angriffe in einigen Zeiträumen des Jahres 2024 um 442 % gestiegen sind, mit weiterem Wachstum bis 2025.
KI-Deepfake-Vishing stieg dramatisch an (einige Schätzungen gehen in den ersten Quartalen 2025 über 1.600 %).
Finanzielle Verluste durch verwandte Betrügereien erreichten weltweit Milliarden, mit mittleren Verlusten pro Opfer in den Tausenden und einzelnen Vorfällen mit Verlusten in Millionenhöhe.
Trends umfassen hybride Angriffe (Vishing + Phishing), längere Gesprächsdauern zur Manipulation und die gezielte Attacke auf Helpdesks oder Salesforce/CRM-Systeme zur Datenextraktion.

Experten beschreiben das Jahr 2025 als „das Jahr des Vishing-Betrugs“, wobei KI skalierbare, realistische Interaktionen ermöglicht, die traditionelle Abwehrmechanismen umgehen.

Wie man sich vor Phishing und Vishing schützt

Prävention beruht auf Bewusstsein, Überprüfung und Technologie.

Seien Sie skeptisch gegenüber unaufgeforderten Kontakten — Teilen Sie niemals sensible Informationen (Passwörter, Codes, finanzielle Details) über unaufgeforderte Anrufe oder E-Mails.
Unabhängig überprüfen — Wenn ein Anruf Dringlichkeit behauptet, legen Sie auf und rufen Sie die offiziellen Nummern von der Website der Organisation zurück (nicht die vom Anrufer bereitgestellten).
Vertraue nicht der Anrufer-ID — Sie kann leicht gefälscht werden.
Multi-Faktor-Authentifizierung (MFA) aktivieren — Selbst wenn Anmeldedaten ausgespäht werden, fügt MFA eine Barriere hinzu.
Für Robinsonlisten anmelden — Reduziert unerwünschte Anrufe (obwohl Betrüger sie ignorieren).
Verwenden Sie Sicherheitswerkzeuge — Anti-Phishing-E-Mail-Filter, Anrufblockierungs-Apps und Endpunktschutz helfen.
Ruhe bewahren unter Druck — Dringlichkeit ist ein Warnsignal; seriöse Organisationen verlangen selten sofortiges Handeln bei unerbetenen Anrufen.
Bildung und Schulung — Für Organisationen schaffen regelmäßige Simulationen (einschließlich Vishing-Tests) Widerstandsfähigkeit.

Wenn Sie Opfer werden, melden Sie dies sofort den Behörden (z. B. dem FBI IC3 in den USA) und ändern Sie kompromittierte Zugangsdaten.

Schlussfolgerung

Phishing und Vishing veranschaulichen, wie Cyberkriminelle die menschliche Natur statt technischer Schwächen ausnutzen. Da KI stimmlich basierte Angriffe überzeugender und skalierbarer macht, ist Wachsamkeit entscheidend. Durch das Verstehen dieser Bedrohungen, das Überprüfen von Anfragen und die Einführung gestufter Verteidigungsmaßnahmen können Einzelpersonen und Organisationen das Risiko in einer Ära, in der ein einfacher Anruf zu erheblichen Schäden führen kann, erheblich verringern.

Bleiben Sie informiert, bleiben Sie vorsichtig — und zögern Sie niemals, aufzulegen oder zu löschen.