Vishing: So funktioniert die dreiste, neue Telefonbetrugsmasche

Vishing. Wenn die Polizei von Vishing spricht, dann meint sie damit bestimmte Formen von Betrug. Sie sind eine Kombination aus Voice und Phishing. Unter "Voice" versteht man vertrauenserweckende Anrufe, die sich Dynamiken der Opfer in Angstsituationen zunutze machen. Mit ruhiger Stimme geben die Betrüger dann Hilfsbereitschaft vor. Die Opfer sollen in Panik geraten, um sie bereit für das vermeintliche Unterstützungsangebot zu machen. 

Als "Phishing" wird Betrug bezeichnet, der auf Datenklau abzielt, etwa aufs Ausspähen der Bank-PIN anhand von Fake-Mails oder Fake-Bankseiten. Diese gefakten E-Mails und Websites sind täuschend echt, enthalten sogar oft Logo und denselben Aufbau zu den Originalen. Welche typischen Fälle gibt es in der Praxis? Und worauf zielen die Anrufe der Betrüger?

Vishing: Betrugsmaschen und Telefonbetrug laufen immer ähnlich ab

Die Betrüger wollen mit dem Anruf sensible Informationen erhalten. Gleichzeitig wollen sie die Opfer dazu bringen, Geld zu überweisen oder Zugriff auf das Bankkonto zu geben. In vielen Fällen wurden vorab schon durch Phishing sensible Daten abgegriffen. Wie funktioniert die Masche genau?

Die Kriminellen haben vorab meist schon per Phishing Passwörter zum Online-Banking, also die PIN, abgegriffen: Das ist einerseits über Malware auf dem PC der Opfer möglich, also eine Schadsoftware zum Ausspähen dieser Passwörter. Diese Schadsoftware installiert sich über Klicken eines Links, die Betrüger in gefakten E-Mails oder SMS (Smishing) setzen. Die betrügerischen Links können stattdessen auch auf Fake-Websites führen, wo Passwörter dann eingegeben werden. Die Betrüger haben dann PIN und eTAN.

Die E-Mails mit täuschend echt aussehendem Bank-Logo stammen von den Kriminellen. Sie sind für Laien nur schwer als Fälschungen erkennbar. Auch die gefälschten Websites, auf die sie per Link führen und wo Passwörter abgegriffen werden, sehen den echten Bank-Websites sehr ähnlich. Oft wurde einfach der HTML-Code geklaut, um die gefälschte Website aufzusetzen. Geben die Betroffenen ihre Zugangsdaten, PIN oder Passwort dort ein, sind sie bereits im Besitz der Cyberkriminellen.

Dann folgt der betrügerische Anruf. Die Angreifer geben sich gerne als Sicherheitsbeauftragte der Bank aus. Das wirkt vertraulich. Häufig rufen sie unter der Nummer der Bank an. Diese erscheint beim Anruf auf dem Display des Angerufenen, was sich leicht manipulieren lässt. Die Angreifer sprechen mit vertrauenserweckender Stimme. Oft wissen sie durchs Ausspähen der Mails und der Accounts sogar über vergangene Abbuchungen Bescheid, kennen Geburtsdatum, Anschrift sowie den Namen des Sicherheitsbeauftragten oder Bank-Beraters. Als diesen gegeben sie sich gegenüber den Opfern aus. Die manipulierte Nummer auf dem Display soll dies glaubwürdig machen. Das alles weckt Vertrauen. Häufig soll eine angebliche Gefahr bestehen: Es habe etwa verdächtige Kontobewegungen gegeben und das Konto gelte es jetzt zu sichern oder nach einer Kontosperre wieder freizugeben. 

Die Betrüger verleiten beim Vishing ihre Opfer dazu, per TAN das Konto zu sichern oder zu entsperren. Eigentlich geben die Betroffenen damit dann hohe Zahlungen frei. 

Das Spiel mit der Angst: Vishing-Angriffe sind manipulativ

Es gibt eine ganze Reihe verschiedener Formen von Vishing-Betrug, sie funktionieren alle ähnlich. Das Angebot von Unterstützung und Sicherheit in der angstauslösenden Situation verleitet viele Betroffene dazu, weitere Daten preiszugeben oder sogar Handlungen auszuführen, die sie ohne emotive Ausnahmesituation niemals ausgeführt hätten. In Deutschland häufen sich Fälle von Voice Phishing. Vielen entsteht ein finanzieller Schaden im vier- bis fünfstelligen Bereich. 

Vishing: Übliche Maschen von Vishing-Angriffen am Telefon

Manipulative Phishing-Angriffe spielen nicht nur mit Angst, sondern auch mit Gefühlen von schicksalhaftem Glück oder Sorge. Bei den Personen entsteht ein gewisser Handlungsdruck, jemanden in Not zu helfen, lukrative Investitionen zu tätigen oder Informationen preiszugeben. Deshalb spricht man auch von Social Engineering. 

Eine gängige Masche ist auch, dass sich am Telefon ein falscher Finanzamtmitarbeiter meldet, der sein Opfer mit Steuerschulden bedroht. Die Täter bieten ein Darlehen an, fragen nach Bankdaten oder fordern die angeblichen Schulen sofort an. Vorab sind meist Angriffe durch Smishing oder Phishing-Angriffe erfolgt. Der falsche Finanzamtsachbearbeiter hat damit Daten abgegriffen, mit denen er seine Identität zu verifizieren versucht. 

Auch treten häufig Unbekannte am Telefon als Glücksfee in Erscheinung, die einen Lottogewinn bekanntgibt. Geläufige Methoden sind außerdem verlockende Angebote von Anlageberater und Vertretern von Versicherungsgesellschaften. 

Fazit
Mit Vishing fahren Betrüger lukrative betrügerische Einnahmen ein. Daher hat sich die Masche schnell etabliert. Seien Sie grundsätzlich misstrauisch, wenn jemand Ihnen am Telefon Angst macht, Sie zu sofortigen Zahlungen auffordert, nach sensiblen Daten fragt oder Ihnen verlockende Angebote macht. Legen Sie schnell auf und blockieren Sie die Nummer. Erstatten Sie in jedem Fall Anzeige bei der Polizei.