Die Zeitenwende des Social Engineering: Warum Vishing Ihre nächste Verteidigungsfront wird
Veröffentlichungsdatum:
- 23. Juli 2026
Stellen Sie sich Folgendes vor: Ihr Telefon klingelt. Das Display zeigt den Namen Ihres CEOs an. Wenn Sie abheben, hören Sie ihre exakte Stimme, klar und deutlich. Sie ist am Flughafen, in Eile, und bittet Sie, sofort eine Multi-Faktor-Authentifizierung (MFA) zu bestätigen, damit sie sich in eine dringende Vorstandssitzung einloggen kann.
Würden Ihre Mitarbeitenden dieser Aufforderung nachkommen? In den meisten Unternehmen lautet die ehrliche Antwort: „Kann sein“ (sprich ja). Genau hier setzt eine realistische Vishing-Simulation an: Sie stellt solche Anrufe kontrolliert nach, bevor es ein echter Angreifer tut.
Bei Cyberdise sprechen wir oft darüber, wie Führung und Kultur die Cybersicherheit prägen. Doch selbst die stärkste Sicherheitskultur steht vor einem massiven Paradigmenwechsel. Angreifer verstecken sich nicht mehr nur hinter textbasierten E-Mails; sie rufen Ihr Team direkt an, bewaffnet mit KI-gestützten Sprachklonen, die von vertrauenswürdigen Managern oder Partnern nicht mehr zu unterscheiden sind.
Dies ist Vishing (Voice Phishing). Um dieser psychologisch hochwirksamen Bedrohung zu begegnen, müssen wir die Verteidigung direkt an die Telefonleitungen bringen.
Der tote Winkel im modernen Awareness-Training
Jahrelang konzentrierte sich das Cybersicherheitstraining stark auf den Posteingang. Unternehmen simulierten Phishing-E-Mails und brachten (hoffentlich) unseren ArbeitskollegInnen bei, verdächtige URLs zu erkennen.
Doch während technische Filter hervorragend darin geworden sind, den meisten Spam abzufangen, können sie ein Live-Gespräch in Echtzeit nicht auf dieselbe Weise scannen. Angreifer wissen das. Sie nutzen menschliche Faktoren wie Autorität, Dringlichkeit und Vertrauen gezielt aus. Obendrein werden inzwischen mehrere Kanäle für den Angriff verwendet: Stellen Sie sich vor, 15 Minuten vor dem Vishing-Anruf schneit noch eine SMS vom CEO herein: „Ich rufe gleich an, brauche Hilfe“.
Wenn dann am Telefon psychologischer Druck aufgebaut wird, reicht theoretisches Wissen oft nicht aus. Mitarbeitende benötigen Verhaltensresilienz. Sie müssen wissen, wie sie Anrufer sicher verifizieren können, ohne dass Panik die Oberhand gewinnt.
Hinter den Kulissen: Realitätsnahe Vishing-Simulationen als Lernmethode
Um diese Szenarien sicher zu trainieren, ermöglichen moderne Simulationsmodule das Nachstellen exakter Hochdrucksituationen. Dabei geht es nicht nur darum, ob jemand abhebt, sondern wie sich die Interaktion entwickelt. Ein effektives System zur Risikoprävention zeichnet sich durch folgende Aspekte aus:
- Verhaltensbasierte Analyse: Eine erfolgreiche Vishing-Simulation misst, an welchem Punkt eine Manipulation greift. Ziel ist es, kritische Momente zu identifizieren, in denen sensible Informationen gefährdet sind oder unbefugte Handlungen eingeleitet werden.
- Technische Stabilität und Skalierbarkeit: Die Durchführung solcher Trainings erfordert eine präzise Koordination der Systemressourcen. Durch intelligente Zeitplanung und die Berücksichtigung technischer Kapazitäten (wie Concurrency-Limits) wird sichergestellt, dass die Simulationen reibungslos ablaufen und saubere, aussagekräftige Daten für die Sicherheitsanalyse liefern.
- Einhaltung gesetzlicher Vorschriften: Die (vermeintliche) Verwendung falscher Identitäten in der Telefonie unterliegt in den meisten Ländern strengen Vorschriften. Kein Wunder: Im Gegensatz zu CYBERDISE bieten die meisten anderen Anbieter von Security-Awareness-Plattformen im Bereich Vishing-Simulationen keine oder nur ansatzweise eine Lösung mit sehr wenig Freiheitsgraden.
Die Auswertung dieser Interaktionen gibt Sicherheitsteams tiefe Einblicke in die psychologischen Muster, die bei einem Angriff zum Erfolg führen könnten, und zeigt auf, wo gezielte Schulungen ansetzen müssen.
Warum Europa Vishing nicht ignorieren kann
Für Unternehmen in Europa ist Vishing kein optionales Thema mehr, sondern eine regulatorische Notwendigkeit.
Mit der Umsetzung der NIS-2-Richtlinie und den Anforderungen von DORA im Finanzsektor ist ein realistisches Testen von Cyber-Risiken gesetzlich gefordert. Zudem ist das alte Argument „Wir werden nicht angegriffen, weil wir kein Englisch sprechen“ hinfällig. Moderne KI-Tools erlauben es Angreifern, flüssige Vishing-Angriffe in nahezu jeder Landessprache auf Knopfdruck zu starten.
Sinnvolle Richtlinienumsetzung, Führung und Omnichannel Behavioral Defense Engineering
Gute Führung stellt sicher, dass Vorschriften und Richtlinien im richtigen Mass und vor allem sinnvoll im Betrieb umgesetzt werden. BDE Omnichannel erlaubt dann die zielgerichtete Operationalisierung von Multikanal-Vishing-Übungen – personalisiert, zielgerichtet und mit sehr wenig Aufwand beim Security-Team. Die realen und im Zeitalter der KI psychologisch optimierten konversationalen Telefon-Angriffe von Kriminellen werden durch unser Produkt in Echtzeit-Vishing-Simulationen umgewandelt. Auf diese Weise trainieren wir sichere Verhaltensgewohnheiten am Telefon direkt im stressigen Arbeitsalltag.
Vishing ist die neue Grenze des Social Engineering. Es ist an der Zeit, eine Verteidigung aufzubauen, die wirklich darauf ausgelegt ist.
Awareness doesn’t stop attacks. Behavior does. Speed contains.
So Long, Palo
PS: Unsere nächsten Webinare zum Thema „Vishing Deep Dive“: 30. Juli und 2. September, 16:00 Uhr CEST.
Schau dir doch meinen Beitrag von letzter Woche über Leadership in Cybersecurity an
Häufig gestellte Fragen
Was ist eine Vishing-Simulation?
Eine Vishing-Simulation ist ein kontrolliertes Trainingsformat, bei dem Mitarbeitende einen realistischen, aber ungefährlichen Voice-Phishing-Anruf erhalten, um zu prüfen und zu trainieren, wie sie auf Dringlichkeit, Autoritätsdruck und Identitätsvortäuschung am Telefon reagieren. Anders als beim klassischen Phishing-Test per E-Mail wird hier die Reaktion in einem echten, stressigen Live-Gespräch beobachtet und ausgewertet.
Wie unterscheidet sich Vishing von klassischem Phishing?
Phishing läuft über E-Mail oder Text und kann von technischen Filtern abgefangen werden, bevor ein Mensch überhaupt reagieren muss. Vishing findet als Live-Telefongespräch statt, bei dem in Echtzeit psychologischer Druck (Dringlichkeit, Autorität, Vertrauen) aufgebaut wird und technische Filter kaum greifen – hier zählt allein das Verhalten der angerufenen Person.
Wie erkenne ich einen Vishing-Anruf?
Typische Warnsignale sind ungewöhnliche Dringlichkeit, der Aufbau von Druck oder Panik, eine Bitte um sofortige Handlung (z. B. MFA-Bestätigung oder Datenfreigabe) sowie eine Rufnummer oder Stimme, die vertraut wirkt, aber im Kontext untypisch ist. Wer sich bedrängt oder manipuliert fühlt, sollte das Gespräch beenden und über einen unabhängigen, bekannten Kanal zurückrufen, um die Identität zu verifizieren.
Moderne KI-Tools können aus wenigen Sekunden Audiomaterial – etwa aus einem Social-Media-Video – die Stimme einer Führungskraft täuschend echt nachbilden. Damit lassen sich CEO-Fraud-artige Anrufe erzeugen, die für das menschliche Ohr kaum von der echten Person zu unterscheiden sind, wodurch klassische „Ich erkenne die Stimme“-Vertrauensheuristiken nicht mehr zuverlässig funktionieren.
Sind Vishing-Simulationen in Deutschland und der Schweiz rechtlich zulässig?
Vishing-Simulationen berühren telefonrechtliche Vorgaben, etwa zur (vermeintlichen) Nutzung fremder Identitäten oder Rufnummern, und müssen daher rechtskonform ausgestaltet werden. Seriöse Anbieter bilden solche Übungen transparent, pseudonymisiert und im Einklang mit den jeweiligen nationalen Vorschriften ab, statt einfach Anrufer-IDs zu spoofen.
Welche Rolle spielen NIS-2 und DORA bei Vishing-Simulationen?
NIS-2 verpflichtet betroffene Sektoren und DORA den Finanzsektor zu einem realistischen, regelmässigen Testen von Cyber-Risiken einschliesslich Social-Engineering-Szenarien. Da Vishing gezielt den Faktor Mensch angreift, gehört das Training gegen telefonische Angriffe für Unternehmen in diesen regulierten Bereichen zunehmend zur nachweisbaren Sorgfaltspflicht.
Wie oft sollte ein Unternehmen Vishing-Simulationen durchführen?Es gibt keine einzelne verbindliche Frequenz, aber gängige Praxis in Security-Awareness-Programmen ist eine regelmässige, wiederkehrende Durchführung – oft quartalsweise oder in Kombination mit anderen Kanälen wie SMS und E-Mail –, damit sicheres Verhalten am Telefon zur trainierten Gewohnheit statt zur einmaligen Lernerfahrung wird.
