442% Anstieg in sechs Monaten

Die Zahlen sind eindeutig: Zwischen der ersten und zweiten Jahreshälfte 2024 verzeichnete CrowdStrike einen Anstieg von 442% bei Vishing-Angriffen – telefonbasiertem Phishing. Damit ist Voice-Phishing laut dem CrowdStrike 2025 Global Threat Report der am schnellsten wachsende Angriffsvektor überhaupt.

Noch dramatischer: Bei Deepfake-gestützten Vishing-Attacken registrierte die Sicherheitsbranche einen Sprung von +1.633% zwischen Q4 2024 und Q1 2025. Was früher Science-Fiction war, ist heute Unternehmensrealität: Mit nur drei Sekunden Audiomaterial lassen sich laut McAfee-Forschung zu 85% akkurate Stimmenklone erstellen.

Warum das Telefon E-Mail schlägt

Der Paradigmenwechsel hat vier konkrete Gründe:

1. Höhere Erfolgsrate

Der Verizon Data Breach Investigations Report 2026 belegt: Phone- und SMS-Phishing erreicht eine um 40% höhere Erfolgsrate als E-Mail-Phishing. Die median Click-Rate liegt bei 2,0% gegenüber 1,4% bei E-Mails. Bei gezielten KI-gestützten Angriffen steigt die Engagement-Rate laut Hoxhunt sogar auf über 60%.

2. Umgehung klassischer Sicherheitsarchitektur

Ihre E-Mail-Security-Gateways, Spam-Filter und Sandboxes? Völlig wirkungslos gegen einen Anruf beim Help-Desk. Während Unternehmen Millionen in SEG-Lösungen investieren, greifen Angreifer über einen Kanal an, der oft völlig ungeschützt ist.

3. Menschliche Psychologie

Ein Telefonat wird instinktiv als vertrauenswürdiger wahrgenommen als eine E-Mail. Der Verizon DBIR 2025 zeigt: Mitarbeiter brauchen im Median nur 21 Sekunden, bis sie auf einen Phishing-Link klicken – unter Zeitdruck am Telefon fällt diese Reaktionszeit noch kürzer aus.

4. Die Deepfake-Revolution

Der größte dokumentierte Deepfake-Betrug ereignete sich 2024 bei Arup Hong Kong: $25,6 Millionen Schaden durch eine Videokonferenz mit mehreren KI-generierten „Kollegen“. Die Technologie ist heute so ausgereift, dass selbst Sicherheitsexperten täuschend echte Stimmenklone nicht mehr zuverlässig erkennen.

Das konkrete Bedrohungsszenario für KMU

Der typische Angriffsablauf, wie ihn die Gruppe Scattered Spider (UNC3944) perfektioniert hat:

1. Anruf beim Help-Desk: Angreifer gibt sich als Mitarbeiter aus – oft mit detaillierten Informationen aus LinkedIn oder öffentlichen Verzeichnissen
2. Passwort-Reset-Anfrage: Dringende geschäftliche Begründung, Zeitdruck
3. MFA-Bypass: SMS-basierte 2FA wird per Push-Bombing umgangen
4. Domain-Admin-Rechte: Laut Mandiant M-Trends 2026 durchschnittlich in 40 Minuten erreicht

Die Opferliste ist eindrucksvoll: MGM Resorts ($100 Mio. Schaden), Caesars ($15 Mio. Lösegeld), Snowflake (165 betroffene Unternehmen). Allein in UK verursachten Vishing-Angriffe auf M&S, Co-op und Harrods Schäden zwischen $363-592 Millionen.

SMS-Phishing: Der unterschätzte Vektor

Parallel zu Vishing wächst Smishing (SMS-Phishing) mit +40% Jahr-über-Jahr. StationX meldet, dass bereits 35% aller Phishing-Angriffe über SMS oder Messaging-Dienste erfolgen. Die Hiya Global Call Threat Report Q2 2025 identifizierte allein in diesem Quartal 13,7 Milliarden Spam-Anrufe – das sind etwa 150 Millionen unerwünschte Anrufe pro Tag weltweit.

Was IT-Verantwortliche jetzt tun müssen

Sofortmaßnahmen

• Help-Desk-Prozesse härten: Out-of-Band-Verifizierung für alle Passwort-Resets implementieren – kein Reset ohne Rückruf über eine vorab registrierte Nummer
• SMS-basierte MFA abschalten: Für privilegierte Accounts auf FIDO2/Passkeys oder Hardware-Security-Keys umsteigen
• Awareness-Training erweitern: KnowBe4-Studien zeigen 85% Reduktion der Anfälligkeit nach Training – aber nur wenn Phone- und SMS-Phishing explizit einbezogen werden

Mittelfristige Strategie

• Voice-Authentifizierung prüfen: Biometrische Stimmverifizierung für kritische Transaktionen
• Incident-Response aktualisieren: Playbooks für Help-Desk-Kompromittierungen erstellen
• Monitoring ausweiten: Anomalie-Erkennung für ungewöhnliche Anrufmuster, SIEM-Integration für Phone-System-Logs

Fazit: Die unsichtbare Flanke schließen

Das FBI IC3 registrierte 2024 193.407 Phishing/Vishing-Beschwerden mit $70 Millionen direkten Verlusten – ein Anstieg von 274% gegenüber dem Vorjahr. Pindrop schätzt das Betrugsrisiko für Kontaktzentren in 2025 auf $44,5 Milliarden.

Während Ihre E-Mail-Sicherheit sich stetig verbessert, haben Angreifer längst den Kanal gewechselt. Die gute Nachricht: Die Gegenmaßnahmen sind bekannt und erprobt. Die schlechte: Jeder Tag ohne angepasste Strategie erhöht das Risiko exponentiell.

Die Frage ist nicht, ob Ihr Unternehmen Ziel eines Vishing-Angriffs wird – sondern wann.