Vishing (Voice Phishing) ist Social Engineering per Telefon: Angreifer geben sich als Helpdesk, Bank oder Vorgesetzte aus, um Zugangsdaten, MFA-Codes oder Handlungen zu erlangen.
Vishing setzt sich aus „Voice“ und „Phishing“ zusammen und bezeichnet Täuschungsangriffe über das Telefon. Der Angreifer ruft an – oder lässt sich anrufen – und gibt sich als IT-Helpdesk, Bankmitarbeiter, Behördenvertreter oder Kollege aus. Ziel ist, dass die angerufene Person etwas tut, was sie bei nüchterner Betrachtung nicht tun würde: ein Passwort zurücksetzen lassen, einen MFA-Code vorlesen, eine Fernwartungssoftware installieren oder eine Überweisung freigeben.
Das Telefon hat gegenüber der E-Mail einen entscheidenden Vorteil für den Angreifer: Es gibt keinen Spam-Filter, keine Sandbox und keine Bedenkzeit. Laut Mandiant M-Trends 2026 war Vishing mit 11 Prozent der zweithäufigste Erstzugriffsweg – deutlich vor E-Mail-Phishing mit 6 Prozent. MITRE ATT&CK führt die Technik als „Spearphishing Voice“ (T1566.004) in der Taktik Initial Access.
So funktioniert es
Drei Varianten begegnen uns in der Praxis besonders häufig:
- Helpdesk-Vishing: Der Angreifer ruft den IT-Support an, gibt sich als Mitarbeitender aus („Ich habe ein neues Handy und komme nicht mehr in die Authenticator-App“) und lässt sich MFA zurücksetzen. Gelingt das, besitzt er ein voll funktionsfähiges Konto, ohne eine einzige technische Schwachstelle ausgenutzt zu haben.
- Umgekehrtes Helpdesk-Vishing: Der Angreifer gibt sich gegenüber Mitarbeitenden als IT aus und bittet darum, einen gerade eingehenden MFA-Push zu bestätigen oder einen Code vorzulesen. Oft geht eine Flut von Push-Benachrichtigungen voraus (MFA-Fatigue).
- Callback-Phishing: Eine E-Mail mit angeblicher Rechnung oder Abo-Verlängerung enthält nur eine Telefonnummer. Wer anruft, wird zur Installation einer Fernwartungssoftware angeleitet.
Verstärkt wird die Wirkung durch Rufnummern-Spoofing, also das Fälschen der angezeigten Nummer, durch vorherige Recherche (Pretexting) und zunehmend durch KI-generierte Stimmen (Deepfakes), die Vorgesetzte täuschend echt imitieren.
Bedeutung für Unternehmen
Vishing zielt auf die Prozesse, die Sicherheitsmaßnahmen im Alltag wieder aufheben: Passwort-Reset, MFA-Neuregistrierung, Freischaltung von Konten. Diese Prozesse sind oft auf Freundlichkeit und Geschwindigkeit optimiert, nicht auf Identitätsprüfung. Ein Helpdesk, der nach Geburtsdatum und Personalnummer fragt, prüft Informationen, die ein Angreifer aus Datenlecks und sozialen Netzwerken längst besitzt.
In unseren Einsätzen gehört Vishing zu den zuverlässigsten Wegen zum Erstzugriff – nicht, weil Mitarbeitende leichtgläubig wären, sondern weil Hilfsbereitschaft und Zeitdruck Teil ihres Jobs sind. Ein Test zeigt, ob Ihre Identitätsprüfung am Telefon standhält und ob ein ungewöhnlicher MFA-Reset im SOC überhaupt auffällt.
Schutz und Prüfung
- Verbindliche Identitätsprüfung im Helpdesk: Rückruf über die im Verzeichnis hinterlegte Nummer, Video-Ident oder Bestätigung durch die Führungskraft – vor jedem MFA-Reset.
- Phishing-resistente MFA: FIDO2 oder Passkeys statt Codes, die sich vorlesen lassen; Number Matching statt einfacher Push-Bestätigung.
- Fernwartungssoftware kontrollieren: Nur freigegebene Tools per Application Allowlisting; Installation durch Nutzende unterbinden.
- Kultur des Nachfragens: Mitarbeitende dürfen auflegen und zurückrufen – auch bei vermeintlichen Vorgesetzten. Das muss die Führung aktiv vorleben.
- Realistisch testen: Vishing-Simulationen gegen Helpdesk und Fachbereiche mit vorab abgestimmten Szenarien. Was dabei zu beachten ist, beschreibt unser Ratgeber zu Vishing und Deepfakes.