Mitte April warnte das BACS vor einer Betrugsmasche, die seit Monaten in der Schweiz kursiert: Anrufe von angeblichen Bankmitarbeitern, die ihre Opfer dazu bringen, Fernzugriffssoftware wie AnyDesk oder TeamViewer zu installieren. Mal sind es «verdächtige Kontobewegungen», mal ein «Sicherheitsupdate», mal eine «dringende Überprüfung». Am Ende läuft es immer gleich: Die Angreifer sitzen mit am Bildschirm – E-Banking, E-Mail, Unternehmensdaten, alles offen.
Wir sehen das in unseren Kundenprojekten ständig. Was uns auffällt: Die Anrufe sind in den letzten zwölf Monaten deutlich besser geworden. Deutlich.
Warum Vishing so gut funktioniert
Kurz gesagt: weil es persönlich ist. Eine Phishing-Mail kann man ignorieren, löschen, melden. Aber wenn jemand anruft – ruhig, freundlich, «von Ihrer Bank» – und sagt, das Konto sei kompromittiert? Da reagiert man. Sofort. Ohne gross nachzudenken.
Die Zahlen bestätigen das. Mandiant stufte Voice Phishing 2025 als zweithäufigsten initialen Angriffsvektor ein, gleich nach klassischem E-Mail-Phishing. CrowdStrike dokumentierte einen Anstieg von 442 Prozent bei Vishing-Angriffen im Vergleich zum Vorjahr. Die Gesamtschäden werden für 2026 auf über 40 Milliarden Dollar geschätzt. Vierzig Milliarden.
Und dann ist da noch die KI-Komponente. Stimmen lassen sich inzwischen mit drei Sekunden Audiomaterial klonen. Drei Sekunden – ein LinkedIn-Video, ein Podcast-Ausschnitt, eine Telefonkonferenz-Aufnahme reicht. Die Technologie ist frei verfügbar, kein Informatikstudium nötig. Pindrop meldete für 2025 einen Anstieg von 1’210 Prozent bei KI-basierten Voice-Fraud-Versuchen.
Der typische Ablauf
Der Anruf kommt oft morgens. Logisch – da ist man noch nicht ganz wach, der Kaffee ist halb getrunken, die Aufmerksamkeit nicht bei hundert Prozent. Die Nummer im Display sieht echt aus, Spoofing kostet praktisch nichts. Der Anrufer spricht ruhig, kompetent, kennt den Namen des Opfers und manchmal sogar die Hausbank.
Dann der Dreh: «Wir haben ungewöhnliche Aktivitäten auf Ihrem Konto festgestellt. Um das zu überprüfen, müssten wir kurz auf Ihren Bildschirm schauen. Ich leite Sie durch die Installation eines Sicherheitstools.»
Das «Sicherheitstool» ist AnyDesk oder TeamViewer. Sobald die Verbindung steht, navigiert der Angreifer zum E-Banking, lässt sich Zugangsdaten bestätigen oder startet direkt Überweisungen. Manchmal wird nebenbei noch Malware installiert – die bleibt dann auch nach dem Anruf aktiv. Netter Bonus für die Angreifer.
Was das für KMU bedeutet
Privatpersonen sind die häufigsten Opfer, klar. Aber KMU haben ein ganz anderes Risikoprofil – und ehrlich gesagt das gefährlichere.
Stellen Sie sich vor: Ein Angestellter in der Buchhaltung reagiert auf so einen Anruf. Der gibt nicht nur seinen privaten E-Banking-Zugang preis. Er öffnet möglicherweise das Firmenkonto, die Lohnbuchhaltung, Kundendaten. In kleinen Teams fehlt dann auch noch die Rückversicherung – der Buchhalter sitzt allein im Büro, der Chef ist unterwegs, und der «Bankberater» am Telefon drängt. «Das muss jetzt sofort passieren.»
In unseren Penetration Tests erleben wir das regelmässig. Selbst geschulte Mitarbeitende fallen auf gut gemachte Vishing-Anrufe herein. Die Erfolgsquote? Regelmässig über 30 Prozent. Höher als bei E-Mail-Phishing. Das überrascht die meisten unserer Kunden – uns ehrlich gesagt nicht mehr.
Gegenmassnahmen, die tatsächlich funktionieren
Keine Bank – keine echte Bank – wird jemals am Telefon darum bitten, Fernzugriffssoftware zu installieren. Punkt. Wer diesen einen Satz verinnerlicht hat, ist gegen diesen spezifischen Angriff immun.
Aber der Grundsatz geht weiter. Jeder unerwartete Anruf, der zu einer sofortigen Handlung auffordert – Software installieren, Zugangsdaten bestätigen, eine Zahlung freigeben – verdient ein «Ich rufe Sie zurück». Über die offizielle Nummer der Bank. Nicht über die Nummer, die der Anrufer hinterlässt.
Für Unternehmen gibt es eine Massnahme, die in einer Stunde umgesetzt ist und einen ganzen Angriffsvektor eliminiert: Die IT-Richtlinie sollte explizit festhalten, dass Remote-Desktop-Tools nur durch die interne IT installiert werden dürfen. Wo AnyDesk oder TeamViewer nicht gebraucht werden – und das ist in den meisten Abteilungen der Fall – sollten sie per Gruppenrichtlinie blockiert sein.
Und noch etwas, das erstaunlich wenige Firmen machen: Awareness-Trainings, die Vishing-Szenarien einschliessen. Nicht nur Phishing-Mails. Eine Telefonsimulation kostet wenig, dauert einen Nachmittag und zeigt schonungslos, wo die echten Schwachstellen liegen.
Der grössere Kontext
Die BACS-Meldung über falsche Bankangestellte ist kein Einzelfall. Voice Phishing wird durch KI-Stimmklone und billiges Telefonnummern-Spoofing jeden Monat einfacher und überzeugender. Die Verteidigung muss sich anpassen – weg von «ich erkenne den Betrug schon» hin zu Prozessen, die einen Betrug abfangen, auch wenn niemand ihn erkennt. Weil: Irgendwann erkennt ihn eben niemand mehr.
Wir testen in unseren Social-Engineering-Assessments auch telefonische Angriffsszenarien – simulierte Vishing-Anrufe, KI-basierte Stimmmanipulation, das volle Programm. Wollen Sie wissen, wie Ihre Leute reagieren würden? Melden Sie sich bei uns.
Quellen und weiterführende Informationen: BACS Wochenrückblick KW 15, CrowdStrike Global Threat Report 2026, Pindrop Voice Intelligence Report 2025