Vishing: was es ist und wie man sich dagegen wehrt

Ausgehend vom Ursprungswort „Phishing“, das einen Betrugsversuch per E-Mail beschreibt, haben sich mit Smishing und Vishing Abwandlungen im Vokabular der Online- und Cybersicherheit etabliert. Über Smishing, also Phishing per SMS und Nachrichten, haben wir bereits berichtet, heute widmen wir uns dem Voice-Phishing.

Was ist Vishing?

Vishing oder Voice-Phishing ist ein Computerbetrug, der Telefonanrufe verwendet, um Benutzer dazu zu verleiten, Zahlungen zu autorisieren und ihre vertraulichen Informationen wie Anmeldeinformationen, Konto- oder Kreditkartendaten, Login-Codes und vieles mehr weiterzugeben. Betrüger bedienen sich beim Vishing einer Kombination aus technischer und emotionaler Manipulation. Insbesondere der Einsatz der technischen Komponente, etwa das vortäuschen einer beliebigen Mobilfunknummer, hat in den letzten Jahren zugenommen.

Wie laufen Voice-Phishing-Angriffe ab?

Ein Paradebeispiel: Beim Surfen im Internet klicken wir zufällig auf einen Link, plötzlich erscheint ein Fehler- oder Warnbildschirm, der uns auffordert eine Support-Nummer anzurufen, um ein vorgeblich ernstes Computerproblem zu beheben. Der „Techniker“ am anderen Ende der Leitung überredet uns, dass wir mit unserer Kreditkarte einen Betrag zahlen müssten, um das Problem beheben zu können. Daraufhin verschwindet der Betrüger - und unser Geld.

In anderen Fällen geben sich Kriminelle als Betreiber von Banken aus und rufen potenzielle Opfer an, um Unregelmäßigkeiten in Bezug auf ihre Zahlungskarten zu melden: Sind die Betrüger dann etwa über das Darknet bereits an Ihre Bankdaten gelangt, können Sie unter dem Deckmantel einer Sicherheitsprüfung einen Code an das Telefon des Opfers senden, den Sie dann bitten per Telefon zu diktieren und so die Zwei-Faktoren-Sicherheitsabfrage zu umgehen.

Solche Vishing-Angriffe können ganz unterschiedliche Szenarien bedienen. Gemeinsam haben sie aber in der Regel folgendes Muster:

1. Das vom Betrüger geschilderte Problem ist neu für Sie oder sehr akut. Es wirkt plausibel und betrifft Sie ganz persönlich.
2. Um das Problem zu beheben fordert der Betrüger persönliche Daten von Ihnen, etwa Zugangsdaten zu einem Account oder Konto, oder versucht eine Geldübergabe zu arrangieren.
3. Dafür setzt er Sie unter Druck und drängt darauf, die Daten oder das Geld sofort zu bekommen. Um das Problem lösen zu können, sei angeblich sofortiges Handeln notwendig.

Vishing: Was zu tun ist und wie man sich wehren kann

Geben Sie grundsätzlich keine persönlichen Informationen oder Codes am Telefon weiter. Insbesondere „echte“ Mitarbeiter von Banken, Unternehmen und öffentlichen Institutionen wie der Polizei werden Sie am Telefon auch nie danach fragen.

Sollten Sie auf den Betrugsversuch aufmerksam werden, beenden Sie das Gespräch und kontaktieren das Unternehmen oder die Institution über eine offizielle Kontaktnummer. Vermeiden sollten Sie es auf die Rückruftaste zu drücken, auch wenn im Telefonat die korrekte Nummer angezeigt wird, da diese manipuliert werden kann.

Beachten Sie, dass Vishing-Angriffen häufig Social Engineering vorangeht. Als Social Engineering bezeichnet man es, wenn Hintergrundinformationen und persönliche Daten über eine Person in Erfahrung gebracht werden (z.B. im Darknet). In der Kombination bedeutet das, dass ein gut informierter und trainierter Betrüger versuchen kann, Ihr Misstrauen mit einer aus Fakten gestrickten plausiblen Geschichte zu bremsen. Wichtig also: Bleiben Sie misstrauisch, hinterfragen Sie und geben Sie wirklich niemals persönliche Informationen wie Passwörter oder temporäre Zugangscodes weiter. Weder per Telefon, noch per E-Mail oder als Chatnachricht in den sozialen Netzwerken.

Vorsichtiges und umsichtiges Verhalten ist unsere erste Verteidigungslinie gegen Betrüger. Zusätzliche Sicherheit kann die Internet-Alarmanlage SICURNET von CRIF4ME bieten. Der Dienst kann die Verbreitung Ihrer persönlichen und finanziellen Daten im Internet und Darknet kontrollieren und Sie benachrichtigen, sollten diese gefunden werden.