Vishing 101: So schützen Sie sich vor KI-Stimmphishing

Können Sie dem, was Sie hören, noch trauen?

Vor dreißig Jahren hätten Sie vielleicht an die Existenz des Yeti geglaubt, wenn Ihnen jemand ein scharfes Foto gezeigt hätte. Heute weiß jeder, dass Bilder gefälscht sein können. Bei Stimmen und Telefonaten gehen die meisten Menschen jedoch nach wie vor davon aus: „Wenn ich es höre, muss es echt sein.“

Genau diese verbliebene Gutgläubigkeit nutzen Cyberkriminelle aus – und zwar mit immer überzeugenderen, KI-generierten Deepfake-Stimmen.

Was ist Vishing?

Vishing (kurz für Voice Phishing) bezeichnet betrügerische Telefonanrufe oder Sprachnachrichten, die Opfer dazu bringen sollen, sensible Informationen wie Passwörter, PINs oder Zahlungsdaten preiszugeben.

Anders als Phishing-E-Mails setzen diese Angriffe auf menschliche Interaktion und emotionale Manipulation, um technische Schutzmaßnahmen zu umgehen.

Moderne Vishing-Kampagnen nutzen KI-gestütztes Voice Cloning, das die Stimme einer Person schon aus wenigen Sekunden Tonaufnahme nachbilden kann. 2025 ist die Grenze zwischen echter und synthetischer Stimme dünner denn je.

Warum ist Vishing so relevant?

• Vishing-Angriffe haben im vergangenen Jahr um über 440 Prozent zugenommen (CrowdStrike Global Threat Report 2025).
  
• Sie umgehen E-Mail-Filter und Firewalls, indem sie den direkten menschlichen Kontakt ausnutzen.
  
• Jede Mitarbeiterin und jeder Mitarbeiter kann über Angst, Vertrauen oder Dringlichkeit manipuliert werden – unabhängig von der Position.

Die eigentliche Gefahr liegt darin, wie Vishing Vertrauen untergräbt. Wenn wir uns auf das Gehörte nicht mehr verlassen können, brechen klassische Verfahren zur Identitätsprüfung in sich zusammen.‍

Wie können sich Einzelpersonen schützen?

1. Ein Familien-Codewort vereinbaren und eine Kontrollfrage stellen

Vereinbaren Sie ein Familien-Codewort oder eine einfache Phrase, die nur Ihr engster Kreis kennt. Nutzen Sie es in dringenden Situationen zur Identitätsprüfung und stellen Sie Kontrollfragen.

So verhindern Sie, dass Angreifende sich auf öffentlich verfügbare Informationen stützen können. Kann die anrufende Person das Codewort nicht nennen, beenden Sie das Gespräch sofort.

2. Auflegen und zurückrufen

Wenn sich etwas nicht richtig anfühlt, beenden Sie den Anruf und nehmen Sie über einen vertrauenswürdigen Kanal erneut Kontakt auf – zum Beispiel, indem Sie die Person unter einer offiziellen oder verifizierten Nummer zurückrufen.

3. Warnsignale erkennen

Deepfake-Anrufende erzeugen häufig Zeitdruck, manipulieren emotional oder fordern vertrauliche Daten wie Passwörter, TANs oder PINs an.

Im Jahr 2025 fragt keine seriöse Organisation jemals telefonisch nach sensiblen Zugangsdaten.

4. Ruhe bewahren

Die ersten 20 bis 30 Sekunden eines Anrufs sind entscheidend. Emotionaler Stress überlagert rationales Denken. Einmal tief durchatmen und nachdenken, bevor Sie handeln, hilft, impulsive Entscheidungen zu vermeiden.

Wie schützen sich Unternehmen?

Während sich Einzelpersonen auf ihre Intuition verlassen können, brauchen Unternehmen strukturierte Schutzmaßnahmen aus Technologie, Training und Prozessgestaltung.

1. KI-Werkzeuge zur Deepfake-Erkennung

KI-gestützte Systeme zur Deepfake-Erkennung können verdächtige Audio- oder Videoinhalte in Echtzeit markieren. Sie sind jedoch nicht unfehlbar: Sie erkennen nur Muster bekannter KI-Modelle, weshalb neue Modelle die Erkennung umgehen können. Die Ergebnisse sind Wahrscheinlichkeitsaussagen, keine absoluten Befunde, und der Betrieb solcher Systeme kann Security-Teams durch Fehlalarme und Nachanalysen schnell überlasten.

2. Authentifizierungsprozesse neu denken

Kein kritischer Geschäftsprozess sollte allein auf Stimm- oder Videoidentifikation beruhen. Führen Sie eine mehrstufige Verifizierung ein, etwa mit Rückrufen, internen Codes oder zweiten Kommunikationskanälen.

3. Awareness der Mitarbeitenden stärken

Regelmäßige, realistische Simulationen wirken besser als statisches E-Learning. Mitarbeitende sollten simulierte Vishing- und Deepfake-Szenarien selbst erleben, um instinktive Reaktionen aufzubauen. Wer eine vergleichbare Situation in einer sicheren Umgebung durchlebt hat, reagiert im echten Angriff richtig.

4. Interne Verifizierung ermöglichen

Unternehmen sollten die gegenseitige Verifizierung zwischen Mitarbeitenden einfach und sicher machen, etwa über ein internes Verzeichnis oder eine sichere Verifizierungs-App. Ohne solche Systeme können Sicherheitsrichtlinien Produktivität und Zusammenarbeit ausbremsen.

Die Zukunft des Vertrauens‍

Wir stehen an einem Wendepunkt. So wie die Gesellschaft gelernt hat, Fotos nicht blind zu vertrauen, müssen wir nun neu definieren, was „authentisch“ im Zeitalter KI-generierter Stimmen bedeutet.

Die Fähigkeit, zu hinterfragen, zu verifizieren und ruhig zu bleiben, wird zu einer der wertvollsten digitalen Kompetenzen – für Einzelne wie für Unternehmen.

Über revel8

Bei revel8 sind wir überzeugt: Awareness wirkt nur, wenn sie geübt wird. Unsere KI-gestützten Angriffssimulationen bereiten Teams auf reale Bedrohungen wie Phishing, Smishing und Deepfake-Stimmbetrug vor. Durch die Kombination aus OSINT-basierten Risikoprofilen, spielerischem Lernen und KI-Coaching hilft revel8 Unternehmen, dauerhafte Resilienz gegen moderne Social-Engineering-Angriffe aufzubauen.