Vishing: Wie ein Betrugsanruf funktioniert und wie du ihn beendest

Woher der Name Vishing kommt

Der Name setzt das englische voice, also Stimme, mit Phishing zusammen, dem Begriff für gefälschte Nachrichten, die Daten aus den Empfängern herausfischen sollen. Das Bundesamt für Sicherheit in der Informationstechnik führt Vishing auf seiner Seite zum Passwortdiebstahl durch Phishing als eine der Unterarten und rät für diesen Fall besonders knapp: keine persönlichen Daten am Telefon herausgeben, sondern direkt auflegen.

Was sich beim Anruf ändert, ist, dass die Person am anderen Ende deine Fragen in Echtzeit beantwortet und die Geschichte an alles anpasst, was du sagst. Genau deshalb kann ein sicher wirkendes, gut geführtes Gespräch trotzdem gefälscht sein: Die Sicherheit ist das Produkt.

Oft beginnt der Anruf schriftlich. Eine SMS warnt vor einer großen Abbuchung und nennt eine Nummer zum Stornieren, womit eine Betrugs-SMS und der Anruf danach zusammenhängen. Sobald du in der Leitung bist, arbeitet das Gespräch mit dem Standardwerkzeug von Social Engineering. Das BSI beschreibt das so: Ausgenutzt werden menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität.

Die deutschen Varianten haben eigene Namen bekommen. Die Polizeiliche Kriminalprävention führt den Schockanruf als eine der häufigsten Betrugsmaschen überhaupt und beschreibt den Ablauf so: Die Täter erzählen den oft älteren Opfern Geschichten, die alle etwas gemeinsam haben. Sie machen Angst und setzen die Betroffenen unter emotionalen und zeitlichen Druck.

Das Drehbuch einer falschen Sicherheitsabteilung

Die Versionen wiederholen sich mit kleinen Abweichungen: eine große verdächtige Zahlung auf deiner Karte, ein neues Gerät, das gerade mit deinem Konto verbunden worden sei, eine Prüfung, für die dein Geld solange auf ein sicheres Konto müsse. Der Anrufer stellt dich vielleicht zwischen Abteilungen durch, legt Wartemusik auf und liest dir Angaben vor, die stimmen. All das ist da, damit sich das Gespräch anfühlt wie eine echte Institution.

Bei älteren Menschen läuft dieselbe Mechanik über die Familie statt über die Bank. Die Polizei beschreibt beim Enkeltrick, wie Anrufer mit Sätzen wie rate mal, wer hier spricht, beginnen, sich als Verwandte ausgeben und dringend Bargeld brauchen. Bei Schockanrufen kommt dazu, dass die Anrufenden das Opfer bis zur Geldübergabe in der Leitung halten, damit es keine Möglichkeit hat, mit jemandem außerhalb zu sprechen.

Eine dritte Version gibt sich als technischer Support aus. Die Verbraucherzentrale Hamburg beschreibt den Anruf mit dem angeblichen Softwarehersteller, bei dem die Opfer eine Reparatursoftware zur Fehlerbehebung installieren sollen, die den Tätern vollen Zugriff auf den Rechner gibt. Danach wird Geld verlangt, damit der Computer nicht gesperrt wird.

Dieses Beispiel haben wir erfunden. Es zeigt die Art von Gesprächsführung, die benutzt wird, ohne den Namen, das Auftreten oder die Rufnummer eines echten Unternehmens nachzubauen.

Wonach eine echte Bank nie fragt

Diesen Teil lohnt es sich zu merken, weil er das Gespräch beendet, ohne dass du beurteilen musst, wie überzeugend der Anrufer war. Wenn jemand am Telefon nach einer dieser Sachen fragt, ist es Betrug:

• dein vollständiges Passwort, deine PIN oder die TAN, die deine App oder eine SMS gerade erzeugt hat;
• eine Überweisung oder eine Zahlung, um ein Problem auf deinem eigenen Konto zu lösen, auch auf ein sicheres Konto, ein geschütztes Konto oder ein Konto auf deinen eigenen Namen;
• die Installation oder das Aktualisieren einer App, während du am Telefon bist;
• deine Karte, die ein Bote abholt, oder Bargeld, das jemand an der Tür entgegennimmt;
• eine Testzahlung, eine Testrückbuchung oder eine kleine Überweisung, damit angeblich etwas geprüft werden kann.

Die Polizeiliche Kriminalprävention formuliert die Regel auf ihrer Seite zu Phishing ohne Ausnahme: Banken fordern Daten wie PIN und TAN niemals per E-Mail, per Telefon oder per Post an. Und das BSI schreibt dasselbe für den ganzen Bereich: Banken und seriöse Firmen fordern ihre Kunden nie per E-Mail oder per Telefon zur Eingabe von vertraulichen Informationen auf. Dazu kommt, dass eine echte Bank keinen Countdown braucht.

Für Anrufer, die sich als Behörde ausgeben, gilt der entsprechende deutsche Satz, und er ist genauso kurz. Die Polizei schreibt zu Schockanrufen, dass echte Polizeibeamte niemals Geld oder Wertgegenstände am Telefon fordern, und rät, niemals Geld oder Wertsachen an Unbekannte zu übergeben. Wenn dir ein Anruf verdächtig vorkommt, kannst du die 110 wählen.

Auflegen und selbst zurückrufen

Solange der Anruf läuft, bestimmt die Person, die angerufen hat, das Tempo, und sie hat auf jeden Einwand eine Antwort parat. Dieses Gespräch gewinnst du nicht, und du musst es auch nicht. Leg auf und such die Nummer selbst: die auf deiner Karte, die in der App, die du ohnehin installiert hast, oder die auf der Internetseite des Unternehmens, die du von Hand eintippst.

Die Polizei sagt dazu einen Satz, der vielen die Sache leichter macht: Legen Sie sofort auf. Das ist nicht unhöflich, sondern ermöglicht Ihnen, durchzuatmen und sich neu zu orientieren. Beim Enkeltrick rät sie zusätzlich, nicht zu raten, wer anruft, sondern den Anrufer grundsätzlich seinen Namen selbst nennen zu lassen.

Ruf möglichst von einem anderen Telefon zurück, wenn du eins zur Hand hast, oder wart eine Minute, bevor du wählst. Das kostet nichts und nimmt jeden Zweifel daran, ob das vorige Gespräch wirklich beendet war.

Eine echte Sicherheitsabteilung hat kein Problem damit, über einen offiziellen Weg zurückgerufen zu werden. Wenn jemand darauf besteht, dass das Gespräch nicht enden darf, dass du niemandem etwas sagen sollst oder dass Auflegen dich das Geld kostet, ist das das deutlichste Zeichen im ganzen Gespräch. Auflegen verschafft dir außerdem genau das, was das Drehbuch verhindern soll: eine Minute, um die App zu öffnen und nachzusehen, ob die Zahlung überhaupt existiert, und eine Minute, um die ganze Geschichte jemand anderem laut zu erzählen. Die Polizei empfiehlt bei Geldforderungen am Telefon ausdrücklich, das mit Familienangehörigen oder anderen nahestehenden Personen zu besprechen.

Die Nummer auf dem Display beweist nichts

Ein Anrufer kann fast jede Nummer auf deinem Display erscheinen lassen, auch die, die auf der Rückseite deiner eigenen Karte steht. Die Bundesnetzagentur behandelt genau das auf ihrem Verbraucherportal zu Ärger mit Rufnummern und Anrufen: Anrufe mit gefälschten Rufnummern sind dort ein eigener Beschwerdefall, ebenso die Sorge, dass die eigene Rufnummer als Absendernummer missbraucht wird. Ruf deshalb nie aus der Anrufliste zurück, denn damit wählst du wieder die Gegenseite.

Manche Handys und manche Anbieter kennzeichnen inzwischen Anrufe als wahrscheinlicher Spam. Das ist ein nützliches Signal und mehr nicht. Ein fehlender Hinweis heißt nicht, dass ein Anruf echt ist, und ein Hinweis, der nichts beanstandet, ist kein Grund, eine TAN vorzulesen, eine Freigabe in der App zu bestätigen oder Geld zu bewegen, während du noch in der Leitung bist. Kein Kennzeichen ändert die Regel, wonach eine Bank nie fragt.

Auch die Stimme ist kein Beweis. Ein kurzer Mitschnitt reicht aus, um nachzuahmen, wie jemand klingt, und das wiegt bei der Familienvariante dieses Anrufs am schwersten. Die Antwort bleibt dieselbe, die sie immer war: Gespräch beenden und die Person unter einer Nummer erreichen, die du schon hast.

Wenn du eine gefälschte Absendernummer oder einen unerlaubten Werbeanruf melden willst, ist die Bundesnetzagentur die richtige Stelle. Die Beschwerde reichst du über ein Formular auf ihrem Verbraucherportal ein, und je genauer du Datum, Uhrzeit, angezeigte Nummer und Inhalt angibst, desto brauchbarer ist sie.

Wenn du schon Geld überwiesen hast

1. Ruf jetzt deine Bank an, unter der Nummer von deiner Karte oder aus der App, wenn möglich von einem anderen Telefon. Sag, dass die Zahlung Betrug war, und lass Konto, Zugang und Karte sperren. Die BaFin schreibt auf ihrer Seite zum Datendiebstahl, dass du bei Verdacht auf Betrug sofort sperren lassen sollst, über deine Bank oder über den Sperr-Notruf 116 116.
2. Sag, wie gezahlt wurde, und frag, was bei dieser Zahlungsart noch geht. Der Unterschied ist echt. Eine Lastschrift kannst du zurückgeben lassen: Die BaFin nennt auf ihrer Seite zu Überweisungen und Lastschriften acht Wochen ab der Belastung bei einer erlaubten Lastschrift und 13 Monate, wenn es nie ein Mandat gab. Eine Überweisung, die du selbst beauftragt hast, ist etwas anderes: Sobald der Auftrag bei der Bank eingegangen ist, kann er nicht mehr widerrufen werden, und bei einer Echtzeitüberweisung ist das Geld in Sekunden beim Empfänger. Deine Bank kann trotzdem versuchen, die Empfängerbank zu erreichen. Stell die Frage, statt die Antwort zu vermuten, und rechne nicht fest mit einer Rückbuchung.
3. Erstatte Anzeige. Die BaFin empfiehlt die Anzeige ausdrücklich, unter anderem für die KUNO-Sperrung, die den Kartenmissbrauch im Lastschriftverfahren verhindert. Die Polizeiliche Kriminalprävention erklärt unter wie erstatte ich eine Anzeige, dass die Strafanzeige kostenlos ist und in allen Bundesländern auch online möglich. Die Onlinewachen der Polizeien sind für nicht dringende Fälle wie Betrug gedacht; läuft gerade eine Geldübergabe oder steht jemand vor der Tür, wählst du die 110.
4. Schreib auf, was du vom Anruf noch weißt, solange es frisch ist: Uhrzeit, die Nummer auf dem Display, der Name, den die Person benutzt hat, die Abteilung, die sie genannt hat, und genau das, wonach sie gefragt hat. Heb Belege, Kontoauszüge und jedes Aktenzeichen auf.
5. Hol dir Rückendeckung. Die Verbraucherzentrale in deinem Bundesland berät zu Zahlungen, Rückbuchungen und Forderungen, die nach so einem Anruf auftauchen. Das ist besonders dann sinnvoll, wenn deine Bank eine Erstattung ablehnt und du wissen willst, wie du widersprechen kannst.

Wer sich danach bei dir meldet und gegen eine Gebühr verspricht, das Geld zurückzuholen, führt den zweiten Betrug an derselben Liste durch. Eine Stelle, die dir vorab Geld abnimmt, um dir Geld wiederzubeschaffen, gibt es nicht.

Für das nächste Mal hilft eine Sache, die seit Kurzem gilt: Seit dem 9. Oktober 2025 müssen alle Kreditinstitute bei Überweisungen in Euro eine Empfängerüberprüfung anbieten. Die BaFin beschreibt auf ihrer Seite zur Empfängerüberprüfung, dass der Name vor der Freigabe mit der IBAN abgeglichen wird und dass du bei abweichenden Angaben auf das Risiko hingewiesen wirst. Wenn dich jemand am Telefon drängt, eine Warnung wegzuklicken, ist das Gespräch damit beantwortet.

Wenn du eine App installiert hast, die verlangt wurde

Die meisten Apps, die in solchen Gesprächen verlangt werden, sind Fernwartungssoftware, also Programme, mit denen eine andere Person deinen Bildschirm sieht und bedient. Sobald so etwas läuft, braucht der Anrufer dein Passwort nicht mehr: Er kann zusehen, wie du es eintippst.

Die Verbraucherzentrale Hamburg rät für diesen Fall in drei Schritten: das Telefongespräch sofort beenden, den Computer so schnell wie möglich vom Internet trennen und wichtige Zugangsdaten und Passwörter sofort ändern. Danach den Rechner von jemandem prüfen lassen, der sich damit auskennt, und Strafanzeige erstatten.

Melde dich von diesem Gerät aus in keinem wichtigen Konto mehr an. Nimm ein anderes Gerät für die Bank und für die Passwörter und fang beim E-Mail-Konto an, denn wer deine E-Mails kontrolliert, kann fast alles andere zurücksetzen.

Geh danach in der Bank-App, im E-Mail-Konto und in jedem Messenger in die Einstellungen und such die Liste der angemeldeten Geräte oder der aktiven Sitzungen. Melde alles ab, was du nicht kennst. Die großen Anbieter haben diese Liste, sie heißt nur überall ein bisschen anders. Lösch anschließend die App, und wenn du dir nicht sicher bist, ob das Gerät sauber ist, bring es in eine Werkstatt, der du vertraust.

Und sag deinen Leuten Bescheid, über einen anderen Weg als das betroffene Gerät. Damit niemand auf eine Geldbitte antwortet, die in deinem Namen gestellt wird.

Häufige Fragen zu Betrugsanrufen