Phishing, Social Engineering und Betrugs-Kommunikation

Ein Investment Scam ist Anlagebetrug, bei dem Täter hohe Renditen für scheinbar sichere oder exklusive Geldanlagen versprechen. Beworben wird er häufig über Online-Anzeigen, professionell gestaltete Landingpages und soziale Medien. Das eingezahlte Geld wird nicht angelegt, sondern von den Betrügern vereinnahmt.

So funktioniert ein Investment Scam

Anzeigen locken mit erfundenen Erfolgsgeschichten, gefälschten Presseberichten oder angeblichen Empfehlungen bekannter Persönlichkeiten. Interessenten hinterlassen Kontaktdaten und werden anschließend telefonisch „betreut“. Eine Plattform zeigt scheinbare Gewinne, die zu weiteren Einzahlungen motivieren. Auszahlungen scheitern an immer neuen „Gebühren“. Für Marken und Personen entsteht Schaden, wenn ihre Namen, Logos oder Gesichter in solchen Anzeigen missbraucht werden.

Beispiel

In sozialen Netzwerken erscheint eine Anzeige, die einen bekannten regionalen Unternehmer zitiert und eine Krypto-Plattform empfiehlt. Das Zitat ist erfunden. Geschädigte Anleger wenden sich anschließend mit Vorwürfen an sein Unternehmen.

Warnsignale und Schutz

• Garantierte hohe Renditen und Zeitdruck
• Angebliche Empfehlungen Prominenter in Anzeigen
• Prüfen Sie Anbieter bei der zuständigen Finanzaufsicht

Missbrauchte Namen und Logos sollten Sie umgehend bei der Plattform melden. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Phishing bezeichnet Täuschungsversuche, mit denen Angreifer Menschen zur Preisgabe von Zugangsdaten, Zahlungsinformationen oder anderen vertraulichen Angaben bewegen wollen. Häufig geben sie sich in E-Mails, Textnachrichten oder auf nachgeahmten Websites als Bank, Paketdienst, Arbeitgeber oder bekannte Plattform aus. Ein Phishing-Angriff kann auch darauf zielen, dass jemand eine schädliche Datei öffnet oder eine unberechtigte Zahlung auslöst.

Die Kommunikation muss nicht schlecht formuliert sein. Betrüger können echte Logos, korrekte Namen und Informationen aus öffentlichen Quellen verwenden. Eine Nachricht von einem bekannten Absender ist ebenfalls nicht automatisch echt: Die Absenderanzeige lässt sich in bestimmten Fällen fälschen, und echte Benutzerkonten können übernommen werden.

Wie funktioniert ein Phishing-Angriff?

Die Täuschung beginnt häufig mit einem Anlass, der eine schnelle Reaktion plausibel erscheinen lässt. Das kann eine angeblich gesperrte Anmeldung, eine fehlgeschlagene Zahlung oder eine wichtige Geschäftsnachricht sein. Der Empfänger wird zu einer Website oder einem anderen Kontaktweg gelenkt, auf dem die betrügerische Handlung stattfinden soll.

Eine nachgeahmte Anmeldeseite kann Eingaben direkt an einen fremden Betreiber übermitteln. Der echte Dienst ist dafür nicht zwingend kompromittiert. In anderen Fällen wird ein schädlicher Anhang oder eine Datei angeboten, die nach der Ausführung weitere Sicherheitsprobleme verursacht. Die technische Folge hängt davon ab, was der Empfänger tatsächlich getan hat.

Die FTC beschreibt unter anderem falsche Kontowarnungen, angebliche Rechnungsprobleme und unerwartete Aufforderungen zur Aktualisierung von Zahlungsinformationen als typische Muster. Ein entsprechendes Thema ist allein kein Beweis; die Herkunft und die konkreten Links müssen geprüft werden.

Welche Phishing-Varianten gibt es?

Gefälschte E-Mails

E-Mails können einen bekannten Firmennamen oder eine frühere Kommunikation nachahmen. Der sichtbare Absendername reicht nicht aus, um die technische Herkunft festzustellen. Bei einem Verdacht können die Originalnachricht und ihre Headerinformationen für eine Untersuchung benötigt werden.

SMS-Phishing und Messenger-Nachrichten

Beim Smishing wird die Täuschung über Textnachrichten verbreitet. Auch Messenger können betroffen sein. Ein verkürzter Link oder eine unbekannte Mobilnummer sind Anlass zur Prüfung, aber nicht jeder solcher Kontakt ist betrügerisch.

Sprachbasierte Täuschung

Beim Vishing wird ein Telefon- oder Sprachanruf für die Täuschung verwendet. Eine angezeigte Rufnummer beweist nicht zwingend die Identität des Anrufers. Mit gefälschten Stimmen kann sich der Angriff mit einem Deepfake Scam verbinden.

Spear-Phishing

Spear-Phishing richtet sich gezielt an einzelne Personen oder eine bestimmte Organisation. Solche Nachrichten können echte Projektnamen, Lieferanten oder vertraut wirkende Geschäftsabläufe aufgreifen.

Whaling

Whaling bezeichnet eine auf Führungskräfte oder vergleichbar wichtige Zielpersonen ausgerichtete Form des Phishings. Dort sind oft privilegierte Konten, vertrauliche Dokumente oder Zahlungsfreigaben betroffen.

Gefälschte Websites und QR-Codes

Eine nachgeahmte Loginseite kann unter einer Lookalike Domain betrieben werden. Auch ein QR-Code kann zu einer fremden Seite führen. Die Verwendung eines QR-Codes ist für sich keine Täuschung; das tatsächliche Ziel ist zu prüfen.

Wie unterscheiden sich Phishing und Malware?

Phishing ist zunächst eine Methode der Täuschung. Malware bezeichnet schädliche Software. Ein Angreifer kann durch Phishing versuchen, eine schädliche Datei ausführen zu lassen, aber auch ausschließlich Zugangsdaten auf einer falschen Website abfragen.

Eine Phishing-Mail ohne Anhang kann daher gefährlich sein. Umgekehrt ist nicht jeder unerwartete Download bereits ein Phishing-Vorfall. Die korrekte Einordnung hilft bei der Auswahl der technischen Gegenmaßnahmen.

Welche Schäden können Unternehmen entstehen?

Gestohlene Anmeldedaten können zur Übernahme von E-Mail-, Cloud- oder Werbekonten führen. Eine kompromittierte geschäftliche Mailbox kann danach selbst zum Ausgangspunkt weiterer glaubwürdig wirkender Nachrichten werden. Auch Zahlungsbetrug kann folgen, wenn falsche Rechnungen oder Bankverbindungen akzeptiert werden.

Ein nachgeahmter Markenauftritt kann Kunden schädigen und Beschwerden beim echten Unternehmen auslösen. Eine fremde Phishing-Domain beweist jedoch nicht, dass die Originalwebsite gehackt wurde. Ob ein Datenabfluss oder ein Vermögensschaden eingetreten ist, muss anhand einzelner Vorgänge festgestellt werden.

Ein fiktiver Vorfall mit einem Lieferantenkonto

Ein Mitarbeiter der Buchhaltung erhält eine Nachricht, die angeblich vom bekannten Lieferanten stammt. Die E-Mail verweist auf einen „aktualisierten Rechnungsbereich“ und verlangt eine erneute Anmeldung. Die Seite verwendet das Firmenlogo des Lieferanten, liegt jedoch auf einer anderen Domain.

Der Mitarbeiter gibt seine Zugangsdaten ein. Anschließend meldet die IT des Unternehmens ungewöhnliche Anmeldeversuche. Die Untersuchung sichert Nachricht und Zieladresse und prüft, ob der Account tatsächlich übernommen wurde. Der bloße Besuch der falschen Website würde noch keinen Datenabfluss belegen; die Eingabe und eventuelle Weiterverwendung sind getrennt zu dokumentieren.

Der Lieferant wird über den bereits bekannten Kontaktweg informiert. Seine echte Website muss nicht betroffen sein, kann aber Gegenstand einer gesonderten Prüfung werden.

Woran lässt sich eine Phishing-Nachricht erkennen?

Eine verlässliche Prüfung beginnt bei der behaupteten Handlung. Viele echte Unternehmen versenden Kontoinformationen oder Rechnungen. Auffällig ist jedoch, wenn sensible Daten über einen nicht bestätigten Weg verlangt werden oder die angebliche Identität nicht nachvollziehbar ist.

• Absenderidentität: Stimmen die technischen und geschäftlichen Kontaktwege mit den bestätigten Unternehmensdaten überein?
• Linkziel: Gehört die tatsächliche Domain zum behaupteten Anbieter?
• Handlungsdruck: Wird mit sofortiger Sperrung oder Zahlungsfolgen gedroht?
• Ungewohnte Anforderung: Soll ein Passwort oder Bestätigungscode auf einer neuen Website eingegeben werden?
• Originalnachricht: Lassen sich Absenderheader, Anhänge und Weiterleitungswege sichern?
• Gegenprüfung: Kann der Anlass über die offizielle App oder einen bekannten Kontakt bestätigt werden?

Ein gültiges HTTPS-Zertifikat bestätigt nicht die Geschäftsechtheit einer Website. Auch eine betrügerische Domain kann verschlüsselte Verbindungen anbieten.

Was sollte nach einem möglichen Phishing-Klick geschehen?

Die Maßnahmen hängen von der tatsächlichen Handlung ab. Wer lediglich eine Seite geöffnet hat, benötigt eine andere Prüfung als jemand, der Zugangsdaten, Bankinformationen oder eine ausführbare Datei übermittelt hat. Eine Meldung an die interne IT-Sicherheit sollte die konkreten Schritte möglichst genau beschreiben.

• Die verdächtige Nachricht und die tatsächliche Zieladresse dokumentieren.
• Bei preisgegebenen Zugangsdaten das betroffene Konto über einen vertrauenswürdigen Weg absichern.
• Bestehende Sitzungen und Freigaben kontrollieren, soweit der Dienst das gestattet.
• Bei Zahlungsdaten die Bank oder den zuständigen Zahlungsdienstleister einbeziehen.
• Bei ausgeführten Dateien eine technische Endpunktprüfung veranlassen.
• Weitere betroffene Konten und interne Empfänger nach den konkreten Befunden prüfen.

Die FTC empfiehlt, unerwartete Links nicht als Grundlage für eine Kontobestätigung zu verwenden, sondern den Anbieter über eine zuvor bekannte Adresse oder Telefonnummer zu kontaktieren.

Wie können Unternehmen Phishing begrenzen?

Mehrfaktor-Authentisierung erschwert bestimmte Kontoübernahmen. Sie verhindert jedoch nicht jeden Angriff, etwa wenn eine bestehende Sitzung missbraucht wird oder eine Person selbst eine Zahlung freigibt. Für privilegierte Konten können phishingresistente Authentisierungsverfahren und eine kontrollierte Sitzungsverwaltung sinnvoll sein.

E-Mail-Authentisierungsmechanismen wie SPF, DKIM und DMARC können die missbräuchliche Verwendung bestimmter Absenderdomains erschweren. Sie verhindern nicht, dass Dritte neue ähnlich aussehende Domains registrieren. Klare interne Freigaben für geänderte Bankverbindungen und eine verifizierbare Unternehmenskommunikation bleiben notwendig.

Welche rechtlichen Fragen entstehen?

Bei vorsätzlich erschlichenen Zahlungen kann unter den gesetzlichen Voraussetzungen § 263 StGB betroffen sein. Das unberechtigte Ausspähen besonders gesicherter Daten kann je nach Vorgehen § 202a StGB betreffen. Ein bloßer Phishing-Versand erfüllt nicht automatisch sämtliche denkbaren Tatbestände.

Wurden personenbezogene Daten verletzt, ist eine gesonderte Risikobewertung nach der DSGVO erforderlich. Nicht jede empfangene Phishing-Nachricht ist eine meldepflichtige Datenverletzung.

Häufige Fragen zu Phishing

Kann eine fehlerfreie E-Mail trotzdem Phishing sein?

Ja. Rechtschreibung und professionelles Design sind keine verlässlichen Echtheitsnachweise.

Schützt Zwei-Faktor-Authentifizierung gegen jede Kontoübernahme?

Nein. Sie reduziert bestimmte Angriffe. Gestohlene Sitzungen und durch Täuschung veranlasste Handlungen benötigen weitere Kontrollen.

Ist der Besuch einer Phishing-Seite bereits ein Datenleck?

Nein. Ob Daten übermittelt oder schädliche Funktionen ausgeführt wurden, muss geprüft werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei Phishing unter fremdem Firmennamen sollten Unternehmen zunächst die Nachrichten, täuschenden Domains und etwaige betroffene Konten sichern. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung von Marken- und Identitätsnachahmungen, der Vorbereitung geeigneter Provider- und Plattformmeldungen sowie der Abstimmung technischer Kontosicherungen mit spezialisierten Security-Partnern. Weitere Informationen bietet BRANDPROTECTIONNOW zum digitalen Markenschutz.

Fachquellen

• FTC – How to Recognize and Avoid Phishing Scams: Erkennung und Maßnahmen nach einem Vorfall.
• FTC – Protect Yourself from Phishing Scams: Sicherheitsmaßnahmen und Meldewege.
• MITRE ATT&CK – Phishing (T1566): Angriffspfade über Anhänge und Links.
• § 263 StGB und § 202a StGB: mögliche strafrechtliche Vorschriften.

Pig Butchering (sinngemäß „Schweineschlachten“) ist ein langfristig angelegter Vertrauensbetrug. Die Täter bauen über Wochen oder Monate eine persönliche Beziehung auf und bewegen ihre Opfer dann zu immer höheren Einzahlungen auf gefälschte Investment- oder Krypto-Plattformen. Der drastische Name beschreibt das „Mästen“ des Opfers vor dem finalen Zugriff.

So funktioniert Pig Butchering

Der Erstkontakt wirkt zufällig, etwa über eine vermeintlich falsch zugestellte Nachricht, ein Dating-Profil oder ein Business-Netzwerk. Es folgt freundschaftlicher oder romantischer Austausch, bis das Gegenüber beiläufig von Anlageerfolgen erzählt. Das Opfer startet mit kleinen Beträgen und sieht auf professionell gestalteten Plattformen scheinbare Gewinne. Erst bei größeren Summen scheitern Auszahlungen, und der Kontakt bricht ab.

Beispiel

Eine Abteilungsleiterin erhält eine Nachricht, die angeblich für jemand anderen bestimmt war. Daraus entwickelt sich ein monatelanger Austausch. Ihr neuer Kontakt zeigt ihr eine Krypto-App, auf der ihre ersten Einzahlungen scheinbar stark wachsen.

Warnsignale und Schutz

• Fremde Kontakte, die nach kurzer Zeit über Geldanlagen sprechen
• Plattformen, die nur über Links des neuen Kontakts erreichbar sind
• Auszahlungen, für die plötzlich Gebühren oder Steuern fällig werden

Betroffene sollten die Kommunikation sichern und Anzeige erstatten. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Pretexting ist eine Social-Engineering-Methode, bei der Betrüger eine glaubwürdige Geschichte erfinden, um an Informationen zu gelangen. Der Vorwand („pretext“) kann eine Rolle sein, etwa Prüfer, neuer Kollege, Journalist oder Dienstleister. Pretexting bildet oft die Grundlage für spätere Angriffe wie CEO Fraud oder Kontoübernahmen.

So funktioniert Pretexting

Die Täter bauen ein stimmiges Szenario auf und stützen es mit vorab recherchierten Details. Im Gespräch stellen sie scheinbar harmlose Fragen, deren Antworten zusammengenommen wertvoll sind: Zuständigkeiten, eingesetzte Software, Abläufe, Urlaubszeiten. Die Methode nutzt Hilfsbereitschaft und Höflichkeit aus. Oft erstreckt sie sich über mehrere Kontakte, damit Vertrauen entsteht.

Beispiel

Eine Anruferin stellt sich als Mitarbeiterin einer Wirtschaftsprüfung vor, die angeblich die Jahresprüfung vorbereitet. Freundlich erfragt sie, wer Zahlungen freigibt und welche Bank genutzt wird. Wochen später nutzt ein Betrüger genau diese Informationen für einen gefälschten Zahlungsauftrag.

Warnsignale und Schutz

• Detaillierte Fragen zu internen Abläufen ohne nachvollziehbaren Auftrag
• Verifizieren Sie Identität und Anliegen über offizielle Kontakte
• Legen Sie fest, welche Informationen grundsätzlich nicht herausgegeben werden

Regelmäßige Sensibilisierung macht solche Gesprächsmuster erkennbar. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Quid pro quo (lateinisch für „dies für das“) bezeichnet im Social Engineering eine Methode, bei der Betrüger eine Gegenleistung anbieten, um an Daten oder Zugänge zu gelangen. Das Angebot kann technische Hilfe, ein Geschenk, eine Prämie oder ein anderer Vorteil sein. Im Austausch verlangen die Täter Informationen oder bestimmte Handlungen.

So funktioniert Quid pro quo

Die Methode nutzt das Prinzip der Gegenseitigkeit: Wer etwas bekommt, fühlt sich verpflichtet, etwas zurückzugeben. Häufig melden sich angebliche Supportmitarbeitende, die ein Problem lösen wollen und dafür Zugangsdaten oder Fernzugriff benötigen. Andere versprechen Prämien für eine Umfrage, die vertrauliche Details abfragt. Anders als beim Baiting steht eine scheinbar faire Tauschbeziehung im Vordergrund.

Beispiel

Mehrere Mitarbeitende erhalten Anrufe eines vermeintlichen IT-Helpdesks, der ein „Softwareproblem“ beheben will. Wer gerade tatsächlich Probleme hat, gewährt Fernzugriff – und ermöglicht so den Einstieg ins Firmennetz.

Warnsignale und Schutz

• Unaufgeforderte Hilfsangebote, die Zugangsdaten oder Fernzugriff erfordern
• Klare Regeln, wie der echte IT-Support Kontakt aufnimmt
• Keine Herausgabe von Daten gegen Prämien oder Geschenke

Kommunizieren Sie diese Regeln intern regelmäßig. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Scareware ist eine Betrugsmasche, die Nutzer mit Angstmeldungen wie „Ihr Gerät ist infiziert“ zu einer Handlung drängt. Ziel ist der Kauf nutzloser Software, die Installation von Schadsoftware oder ein Anruf bei einer angeblichen Hotline. Der Begriff verbindet das englische „scare“ (erschrecken) mit „Software“.

So funktioniert Scareware

Die Warnungen erscheinen als Pop-up oder Vollbildanzeige, oft im Design bekannter Sicherheitsprogramme oder Betriebssysteme. Blinkende Hinweise, Alarmtöne oder ein angeblicher Scan erzeugen Panik. Verbreitet wird Scareware häufig über Malvertising und manipulierte Websites. Profiteure sind Betrüger, die an Lizenzverkäufen, erbeuteten Zahlungsdaten oder anschließendem Support-Betrug verdienen. Seriöse Sicherheitssoftware meldet Funde nicht über Werbebanner im Browser.

Beispiel

Auf dem Rechner einer Mitarbeiterin erscheint plötzlich eine Vollbildwarnung mit Sirenenton: Das Gerät sei gesperrt, sie solle sofort eine Support-Nummer anrufen. Am Telefon wird ihr ein teures „Sicherheitspaket“ verkauft.

Warnsignale und Schutz

• Alarmmeldungen im Browser, die Eile und Zahlung verlangen
• Schließen Sie den Browser, ohne in das Fenster zu klicken
• Klären Sie Sicherheitsfragen ausschließlich über die interne IT

Wird Ihre Marke in solchen Meldungen missbraucht, sollten Sie das dokumentieren. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Smishing bezeichnet Phishing über SMS und im erweiterten Sprachgebrauch über ähnliche Textnachrichten auf Mobilgeräten. Der Name verbindet die Wörter „SMS“ und „Phishing“. Täter behaupten beispielsweise, ein Paket könne nicht zugestellt werden, ein Bankkonto sei gesperrt oder eine Rechnung müsse sofort bezahlt werden. Der Empfänger soll daraufhin einen fremden Link öffnen, Daten eingeben oder eine Zahlung veranlassen.

Eine unerwartete SMS ist nicht automatisch ein Betrugsversuch. Unternehmen können legitime Zustellhinweise, Einmalcodes oder Vertragsinformationen versenden. Für einen Smishing-Verdacht sind die behauptete Absenderidentität, das tatsächliche Linkziel und die verlangte Handlung zu untersuchen.

Wie gelangen betrügerische SMS zu ihren Empfängern?

Angreifer können Textnachrichten an viele Telefonnummern verschicken oder gezielt bestimmte Personen ansprechen. Die Telefonnummer kann aus früheren Datenlecks, öffentlich angegebenen Kontaktdaten oder anderen Quellen stammen. Die bloße Zustellung einer betrügerischen SMS beweist nicht, dass ein aktueller Mobilfunkanbieter oder ein bekanntes Kundenkonto kompromittiert wurde.

Die US-Verbraucherschutzbehörde FTC beschrieb 2025 häufige Täuschungen über vermeintliche Paketprobleme, nicht bezahlte Mautgebühren und angebliche Bankwarnungen. Die gemeinsame Methode ist eine Nachricht, die den Empfänger zu einer Handlung außerhalb des bestätigten Dienstes bewegen soll.

Auf kleinen Bildschirmen können lange Webadressen schwer erkennbar sein. Gerade deshalb sollte die tatsächliche Domain überprüft werden, bevor sensible Informationen eingegeben werden. Ein verkürzter Link ist für sich kein Beweis für Betrug.

Welche Smishing-Maschen sind verbreitet?

Gefälschte Paketzustellung

Eine Nachricht behauptet, ein Paket könne wegen einer fehlerhaften Adresse nicht zugestellt werden. Der Empfänger soll die Adresse auf einer fremden Website bestätigen oder eine geringe Gebühr bezahlen. Ein echter Paketdienst kann tatsächlich Zustellprobleme melden; die Prüfung sollte über die offizielle App oder Sendungsverfolgung erfolgen.

Falsche Bank- und Sicherheitswarnung

Eine SMS nennt eine angeblich verdächtige Zahlung und fordert zur sofortigen Kontoüberprüfung auf. Der Link führt möglicherweise zu einem gefälschten Login. Die dort eingegebenen Daten könnten später für eine Kontoübernahme verwendet werden. Ein bloßer Nachrichteneingang beweist noch keinen Kontodiebstahl.

Offene Gebühren und erfundene Forderungen

Eine Nachricht behauptet, eine Maut, Parkgebühr oder andere Leistung sei unbezahlt. Ein fremdes Bezahlformular fragt anschließend Kreditkartendaten ab. Die angebliche Forderung muss unabhängig von der Nachricht geprüft werden.

Falsche Gewinn- und Gutscheinaktionen

Ein angeblicher Markenvertreter verspricht einen Gewinn oder Rabatt. Die Nachricht führt zu einer Scam Landingpage, die persönliche Daten oder eine vermeintliche Versandgebühr verlangt. Der echte Markeninhaber kann von der Aktion nichts wissen.

Manipulierte Absenderkennung

Unter bestimmten technischen Bedingungen kann die sichtbare SMS-Absenderangabe täuschend wirken. Spoofing beschreibt solche falschen Herkunftsmerkmale. Ein bekannter Name im Nachrichtenkopf ersetzt keine unabhängige Prüfung.

Textnachrichten über Messenger

Auch in Messenger-Diensten können ähnliche Täuschungen verbreitet werden. Streng genommen bezeichnet Smishing ursprünglich SMS-basierte Angriffe; bei Messenger-Nachrichten kann auch DM Spam oder gewöhnliches Phishing die präzisere Bezeichnung sein.

Smishing, Phishing-Mail und Vishing unterscheiden

Phishing-Mails werden per E-Mail versendet. Smishing betrifft vor allem Textnachrichten auf Mobilgeräten. Beim Vishing wird das Gespräch per Telefon oder Sprachnachricht als Täuschungskanal verwendet. Alle Methoden können eine falsche Bank- oder Unternehmensidentität behaupten.

Ein Angriff kann mehrere Wege kombinieren. Beispielsweise enthält eine SMS eine Telefonnummer, unter der ein angeblicher Sicherheitsmitarbeiter erreichbar sein soll. Erst im Gespräch wird der Empfänger zur Überweisung aufgefordert. Für die Untersuchung müssen dann Nachricht, Anruf und Zahlung als zusammenhängende, aber getrennt belegbare Vorgänge betrachtet werden.

Welche Folgen sind für Kunden und Unternehmen möglich?

Ein Empfänger kann Geld an einen unberechtigten Empfänger überweisen oder Kartendaten auf einer gefälschten Seite eingeben. Wird dabei ein Login nachgeahmt, können fremde Anmeldungen entstehen. Der Umfang der Betroffenheit hängt von den tatsächlich übermittelten Informationen und den vorhandenen Sicherheitskontrollen ab.

Ein Unternehmen, dessen Name in den Nachrichten verwendet wird, erhält möglicherweise Beschwerden und Supportanfragen. Die falsche SMS bedeutet jedoch nicht automatisch, dass der echte Kundenservice oder die Versanddatenbank kompromittiert wurde.

Fiktives Beispiel einer falschen Liefernachricht

Eine Kundin erhält eine SMS, die angeblich vom Paketdienst stammt. Die Nachricht verweist auf eine fehlende Adressbestätigung und fordert eine Zahlung von wenigen Euro. Die verlinkte Website sieht wie das offizielle Sendungsportal aus, besitzt aber eine abweichende Domain.

Die Kundin öffnet die offizielle Paket-App und stellt fest, dass kein solcher Vorgang vorliegt. Die Nachricht wird gesichert und als betrügerischer Versuch gemeldet. Es fand weder eine Zahlung noch die Eingabe von Kartendaten statt.

Die Situation zeigt die Grenze einer Schadensbehauptung: Eine betrügerische SMS kann dokumentiert sein, ohne dass der Empfänger tatsächlich finanziell geschädigt wurde.

Woran lässt sich eine verdächtige SMS erkennen?

• Linkziel: Die Adresse stimmt nicht mit dem bestätigten Anbieter überein.
• Handlungsdruck: Eine Zahlung oder Kontobestätigung soll sofort erfolgen.
• Ungeprüfte Forderung: Es wird eine Gebühr verlangt, die über den offiziellen Dienst nicht nachvollziehbar ist.
• Sensible Angaben: Die Zielseite fragt Passwort, Karten- oder Kontoinformationen ab.
• Absender: Ein bekannter Name wird angezeigt, ohne dass die Nachricht über einen unabhängigen Weg bestätigt ist.
• Bekannte Vorgänge: Die angebliche Lieferung oder Buchung lässt sich nicht dem eigenen Kundenkonto zuordnen.

Auch eine sprachlich einwandfreie Nachricht kann täuschend sein. Umgekehrt macht ein Tippfehler einen echten Zustellhinweis nicht automatisch betrügerisch.

Was sollten Empfänger nach einem Smishing-Versuch tun?

Die geeignete Reaktion hängt davon ab, ob der Link nur angezeigt, geöffnet oder für eine Dateneingabe verwendet wurde. Wer sensible Angaben übermittelt hat, sollte den tatsächlich betroffenen Dienst auf einem vertrauenswürdigen Weg kontaktieren.

• Die Originalnachricht samt Absenderanzeige und Linkziel sichern.
• Die behauptete Forderung über die offizielle Website oder App prüfen.
• Bei eingegebenen Zugangsdaten die Kontosicherheit und aktive Sitzungen kontrollieren.
• Bei Kartendaten die Bank oder den zuständigen Zahlungsdienstleister informieren.
• Verdächtige Nachrichten über die Meldefunktion des Geräts oder des Dienstes melden.
• Bei ausgeführten Dateien oder installierten Apps eine technische Geräteprüfung veranlassen.

Welche Meldewege gibt es in Deutschland?

Die Bundesnetzagentur bietet Beschwerdewege für bestimmte unverlangte SMS- und Messenger-Nachrichten sowie bei Rufnummernmissbrauch. Welches Verfahren passt, richtet sich nach dem Inhalt der Nachricht. Sie ist nicht pauschal für jeden Betrug oder jeden Datenschutzvorfall die allein zuständige Stelle.

Wer durch eine betrügerische Nachricht tatsächlich Geld verloren hat, kann auch Polizei und Zahlungsdienstleister einbeziehen. Für einen möglichen Anspruch sind die Nachrichten und Zahlungsvorgänge möglichst genau zu dokumentieren.

Welche rechtlichen Fragen entstehen?

Bei bewusst erschlichenen Zahlungen kann § 263 StGB einschlägig sein. Unerwünschte werbliche SMS können unter den Voraussetzungen von § 7 UWG unzulässig sein. Ein Plattform- oder Telekommunikationsverstoß und eine strafbare Täuschung sind aber nicht automatisch identisch.

Wer personenbezogene Daten durch eine falsche Nachricht erlangt oder verwendet, kann weitere Datenschutz- und Persönlichkeitsrechte verletzen. Die konkrete Einordnung hängt von den tatsächlichen Informationen und dem Vorgehen ab.

Häufige Fragen zu Smishing

Ist jede SMS mit einem Link gefährlich?

Nein. Auch echte Zustell- und Servicemeldungen enthalten Links. Die Herkunft und das tatsächliche Ziel müssen geprüft werden.

Kann eine SMS unter einem bekannten Firmennamen gefälscht sein?

Ja. Bestimmte Absenderanzeigen können manipuliert werden.

Ist ein Linkklick bereits ein bestätigter Datendiebstahl?

Nein. Ob Daten eingegeben, übertragen oder schädliche Funktionen ausgeführt wurden, ist gesondert festzustellen.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei Smishing im Namen einer Marke sollten Unternehmen die konkreten SMS-Texte, Zieladressen und etwaige Kundenberichte dokumentieren. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung gefälschter Unternehmensidentitäten, der Vorbereitung geeigneter Plattform- und Providermeldungen sowie der Beobachtung weiterer Betrugsvarianten. Bei bestätigter Konto- oder Gerätekompromittierung können spezialisierte Security-Partner einbezogen werden. Weitere Informationen bietet BRANDPROTECTIONNOW zum digitalen Markenschutz.

Fachquellen

• FTC – Is that unexpected text a scam? (April 2025): typische SMS-Maschen und Schutz.
• Bundesnetzagentur – Beschwerde zu SMS- und Messenger-Nachrichten: deutsche Meldewege.
• § 7 UWG: Anforderungen an unerwünschte Werbung.
• § 263 StGB: mögliche Betrugsstrafbarkeit.

Spear-Phishing ist ein gezielter Phishing-Angriff auf bestimmte Personen, Teams oder Organisationen. Die betrügerische Nachricht wird an die berufliche Rolle, bekannte Kontakte oder aktuelle Geschäftsabläufe der Empfänger angepasst. Das kann die Täuschung glaubwürdiger machen als eine allgemeine Nachricht, die wahllos an viele Adressen gesendet wird.

Eine persönliche Ansprache ist kein Betrugsnachweis. Auch echte Lieferanten, Kunden und Bewerber können konkrete Projekte nennen. Die Prüfung muss zeigen, welche Identität behauptet wird, welchen tatsächlichen Kontaktweg die Nachricht verwendet und was der Empfänger tun soll.

Wie unterscheidet sich Spear-Phishing von gewöhnlichem Phishing?

Phishing umfasst unterschiedliche täuschende Nachrichten und Websites. Beim Spear-Phishing wird die Nachricht auf eine bestimmte Zielperson oder einen begrenzten Empfängerkreis zugeschnitten. Dazu können ein echter Name, eine bekannte Rechnung, ein bevorstehender Termin oder die Bezeichnung eines internen Projekts gehören.

Solche Angaben können aus öffentlichen Firmenwebsites, Fachveranstaltungen oder veröffentlichten Social-Media-Profilen stammen. Sie können aber auch aus einer zuvor kompromittierten Mailbox kommen. Die bloße Erwähnung nicht öffentlicher Informationen ist daher ein Anlass für eine weitergehende Prüfung der Datenherkunft, aber kein sicherer Nachweis für einen bestimmten Eintrittsweg.

MITRE ATT&CK dokumentiert Spearphishing über Anhänge, Links und Dienste als mögliche Methoden des initialen Zugriffs. Der tatsächliche Schaden entsteht erst durch weitere Aktionen, etwa die Preisgabe von Zugangsdaten oder die Ausführung schädlicher Software.

Welche Angriffsmuster sind in Unternehmen denkbar?

Nachgeahmter Geschäftspartner

Eine E-Mail behauptet, vom gewohnten Lieferanten zu stammen, und fordert eine Änderung der Bankverbindung. Die Nachricht kann bekannte Produktnamen und Rechnungsbeträge enthalten. Eine tatsächliche Kontoveränderung beim Lieferanten ist nicht zwingend erforderlich, da auch eine fremde ähnliche Domain verwendet werden kann.

Vertrauliche Projektunterlagen

Ein vermeintlicher Kollege sendet einen Link zu einer wichtigen Unterlage oder bittet um Anmeldung an einem fremden Dokumentenportal. Das Ziel kann eine gefälschte Loginseite sein. Ein echter externer Projektlink ist dagegen nicht automatisch verdächtig; Quelle und erwarteter Prozess müssen geprüft werden.

Nachricht aus einem übernommenen Mailkonto

Bei einem tatsächlichen Account Takeover kann ein Angreifer aus einem vorhandenen Geschäftskonto schreiben. Empfänger sehen dann eine bekannte Adresse und möglicherweise einen bestehenden Kommunikationsverlauf. E-Mail-Authentisierungsverfahren können eine solche unberechtigte Nutzung des echten Kontos nicht zwangsläufig erkennen.

Gefälschte Bewerbungs- und Dienstleisterdokumente

Eine Nachricht kann wie eine Bewerbung oder eine Ausschreibungsunterlage wirken und einen Anhang enthalten. Die technische Gefährdung hängt von Dateityp, Ausführung und vorhandenen Schutzmechanismen ab. Eine unerwartete PDF- oder Office-Datei ist nicht allein aufgrund ihres Formats schädlich.

Falsche Sicherheitsmeldung

Die Nachricht behauptet, dass ein Firmenkonto unmittelbar gesperrt wird, sofern der Empfänger keine Bestätigung vornimmt. Der Link kann zu einer nachgeahmten Anmeldeseite führen. Ein solcher Vorgang verbindet Spear-Phishing mit Marken- oder Domainimitation.

Vorgesetzte als angebliche Absender

Wenn sich eine Nachricht als Anweisung der Geschäftsführung ausgibt, kann auch CEO Fraud vorliegen. Die falsche Zahlungsanweisung und eine tatsächlich erfolgte Überweisung sind getrennt zu dokumentieren.

Welche Informationen machen solche Nachrichten glaubwürdig?

Ein Firmenname oder die Unterschrift eines Mitarbeiters ist öffentlich häufig leicht zu finden. Auch Veranstaltungsprogramme, Pressemitteilungen und Stellenanzeigen geben Aufschluss über Zuständigkeiten. Die Verwendung solcher Informationen beweist nicht, dass ein Angreifer bereits Zugang zu internen Systemen hatte.

Anders ist die Lage, wenn eine Nachricht Inhalte aus einem aktuellen vertraulichen Austausch wiedergibt. Dann sollte geprüft werden, ob eine der beteiligten Mailboxen oder ein gemeinsames Dokumentensystem kompromittiert ist. Ein exakter Nachweis benötigt passende Login- und Kommunikationsdaten.

Ein fiktiver Fall aus dem Maschinenbau

Der Einkauf eines Maschinenbauunternehmens erwartet ein Angebot für eine neue Produktionslinie. Kurz vor dem vereinbarten Termin erhält die zuständige Mitarbeiterin eine E-Mail, die sich auf das Projekt und den Namen des bekannten Lieferanten bezieht. Zur Einsicht des Angebots soll sie eine neue Plattform öffnen und sich mit ihrem Geschäftskonto anmelden.

Die Domain unterscheidet sich von der bisherigen Lieferantenadresse. Die Mitarbeiterin bestätigt die Nachricht telefonisch über die gespeicherte Nummer des Lieferanten. Dieser hat keinen neuen Loginprozess eingerichtet. Die E-Mail samt technischer Informationen wird zur Untersuchung an die IT-Sicherheit weitergegeben.

Ob die Angreifer die Projektdetails aus öffentlichen Quellen, einem Gespräch oder einem kompromittierten Konto erhielten, bleibt zunächst offen. Eine Täterzuordnung allein anhand der Formulierung wäre unbegründet.

Welche Hinweise verdienen Aufmerksamkeit?

• Absender und Domain: Der sichtbare Name passt zu einem Partner, die tatsächliche technische Adresse jedoch nicht.
• Prozessänderung: Plötzlich soll eine neue Plattform oder Bankverbindung verwendet werden.
• Ungewöhnliche Anweisung: Ein Passwort, Bestätigungscode oder eine sofortige Zahlung wird verlangt.
• Persönliche Details: Die Nachricht enthält echte Projektdaten, deren Herkunft geklärt werden muss.
• Loginprotokolle: Nach einer möglichen Dateneingabe entstehen nicht autorisierte Kontozugriffe.
• Alternative Erklärung: Ein legitimer Dienstleisterwechsel oder eine echte neue Zusammenarbeit könnte die Änderung erklären.

Schreibfehler sind kein verlässlicher alleiniger Indikator. Auch korrekt formulierte, persönlich angepasste Nachrichten können betrügerisch sein.

Wie wird ein Spear-Phishing-Verdacht untersucht?

Die Originalnachricht sollte mitsamt Headern, Anhängen und Linkzielen gesichert werden. Danach wird geklärt, ob der Empfänger lediglich gelesen, einen Link geöffnet, Zugangsdaten eingegeben oder eine Datei ausgeführt hat. Diese Schritte haben unterschiedliche technische Folgen.

Bei möglicherweise offengelegten Anmeldedaten sind die betroffenen Konten, gültigen Sitzungen und Anmeldeereignisse zu prüfen. Wenn die Nachricht aus einer tatsächlich übernommenen Mailbox verschickt wurde, reicht eine Meldung gegen die fremde Phishing-Domain nicht als vollständige Bereinigung.

Eine wirtschaftliche Schadensberechnung setzt tatsächlich veranlasste Zahlungs- oder Datenvorgänge voraus. Der Eingang einer täuschenden E-Mail belegt für sich noch keinen Verlust.

Welche organisatorischen Maßnahmen erschweren Spear-Phishing?

Ein besonders wirksamer Kontrollpunkt ist die unabhängige Bestätigung ungewöhnlicher Zahlungsanweisungen oder Änderungen wichtiger Geschäftsdaten. Der Rückruf sollte über eine bereits bekannte, verifizierte Nummer erfolgen und nicht über eine neue Kontaktangabe aus der verdächtigen Nachricht.

• Änderungen von Bankverbindungen und sensiblen Zugängen über unabhängige Wege bestätigen.
• Privilegierte Konten mit geeigneter aucher Authentisierung schützen.
• Rollen- und Zugriffsrechte auf erforderliche Tätigkeiten beschränken.
• Verdächtige Mails ohne beschuldigende Reaktion intern melden können.
• E-Mail-Authentisierung und Domain-Monitoring als ergänzende Kontrollen einsetzen.
• Bei bestätigten Angriffen die möglichen weiteren Empfänger und betroffenen Zugänge prüfen.

Auch die technisch korrekte Absenderauthentisierung garantiert nicht, dass eine Nachricht inhaltlich berechtigt ist. Ein kompromittiertes echtes Konto kann weiterhin authentifizierte Nachrichten versenden.

Welche rechtlichen Fragen können entstehen?

Bei einer durch Täuschung veranlassten Zahlung kann je nach Voraussetzungen § 263 StGB einschlägig sein. Der unberechtigte Zugriff auf besonders geschützte Kontodaten kann § 202a StGB betreffen.

Falls personenbezogene Informationen tatsächlich offengelegt oder anderweitig verletzt wurden, muss die verantwortliche Stelle die Anforderungen der DSGVO gesondert prüfen. Nicht jede empfangene Spear-Phishing-Nachricht führt zu einer meldepflichtigen Datenverletzung.

Häufige Fragen zu Spear-Phishing

Kann Spear-Phishing aus einer echten E-Mail-Adresse kommen?

Ja. Ein zuvor übernommenes Konto kann für täuschende Nachrichten missbraucht werden.

Beweisen vertrauliche Projektinformationen einen Hack des eigenen Unternehmens?

Nein. Die Informationen könnten auch aus einer anderen Quelle stammen. Der tatsächliche Eintrittsweg muss geprüft werden.

Reicht eine Schulung gegen gezielte Phishing-Angriffe aus?

Nein. Technische Kontosicherung und klare Zahlungsfreigaben sind eigenständige Schutzmaßnahmen.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei gezielten Nachrichten unter fremder Unternehmensidentität sollten die Originalmails, Linkziele und mögliche Kontenfolgen gesichert werden. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung digitaler Identitätsnachahmungen, bei der Dokumentation täuschender Domains und bei der Abstimmung technischer Kontrollen mit spezialisierten Security-Partnern. Weitere Informationen: BRANDPROTECTIONNOW zum Markenschutz.

Fachquellen

• MITRE ATT&CK – Phishing (T1566): Spearphishing über Links, Anhänge und Dienste.
• FTC – Phishing erkennen und vermeiden: Identitätsprüfung und Schutz.
• Bundesnetzagentur – Warnung vor CEO-Phishing: gezielte falsche Führungskräfte-Nachrichten.
• § 263 StGB und § 202a StGB: mögliche Tatbestände.

Ein Anruf erscheint unter der Rufnummer der Hausbank. Der Gesprächspartner behauptet, eine verdächtige Überweisung müsse sofort gestoppt werden. Dafür verlangt er einen Bestätigungscode oder die Freigabe einer angeblichen Sicherheitsbuchung. Solche Täuschungsversuche gehören zum Vishing – einer Verbindung aus den englischen Wörtern Voice und Phishing. Gemeint ist der Versuch, Menschen über Telefonate oder Sprachnachrichten zur Herausgabe von Informationen oder zu unberechtigten Handlungen zu bewegen.

Die tatsächliche Stimme und die angezeigte Telefonnummer sind keine sicheren Identitätsnachweise. Rufnummern können unter bestimmten Umständen manipuliert werden, und synthetische Stimmen können vertraute Personen imitieren. Nicht jeder ungewöhnliche Anruf ist aber betrügerisch. Für die Bewertung muss geprüft werden, wer angeblich anruft, welche Handlung verlangt wird und ob diese über einen bestätigten Kontaktweg nachvollziehbar ist.

Wie funktioniert Vishing?

Die Täuschung nutzt das unmittelbare Gespräch. Der Anrufer kann auf Fragen reagieren, eine vermeintliche Gefahr schildern und versuchen, den Empfänger zu einer schnellen Entscheidung zu bewegen. Als Legende dienen angebliche Kontosperrungen, technische Sicherheitsprobleme, offene Rechnungen oder vertrauliche Anweisungen von Führungskräften.

Ein Vishing-Angriff benötigt keine Schadsoftware. Schon ein Gespräch, das zu einer falschen Überweisung führt, kann für den Täter genügen. In anderen Fällen soll der Empfänger auf einer Website ein Passwort eingeben oder einem angeblichen IT-Mitarbeiter Zugriff auf seinen Rechner gewähren.

Die Bundesnetzagentur beschreibt Phishing-Anrufe unter anderem als Versuche, unter einem Vorwand Kontodaten, PINs, TANs oder andere persönliche Informationen zu erfragen. Sie unterscheidet die strafrechtliche Aufklärung von ihren eigenen telekommunikationsrechtlichen Zuständigkeiten.

Welche Vishing-Maschen kommen vor?

Falsche Bankmitarbeiter

Der Anrufer behauptet, es gebe eine betrügerische Zahlung oder eine Sperre im Onlinebanking. Er verlangt einen Login, eine App-Freigabe oder einen Bestätigungscode. Ein tatsächlicher Bankanruf ist möglich, doch eine überraschende Zahlungsanweisung sollte immer über die offizielle, zuvor bekannte Kontaktnummer überprüft werden.

Anrufe im Namen von Polizei oder Behörden

Ein Betrüger gibt sich als Polizist, Ermittler oder Mitarbeiter einer Behörde aus. Er kann behaupten, Geld müsse in Sicherheit gebracht oder ein Kontostand überprüft werden. Die Bundesnetzagentur warnt vor solchen Anrufen und erläutert, dass die polizeiliche Notrufnummer 110 nicht rechtmäßig als ausgehende Absenderkennung verwendet wird.

Falscher IT-Support

Ein angeblicher Techniker schildert ein Sicherheitsproblem und fordert die Installation eines Fernwartungsprogramms. Eine solche Software kann legitim sein. Missbrauch entsteht durch die falsche Identität oder eine unberechtigte Zugriffserteilung. Der tatsächliche Umfang eines möglichen Datenzugriffs muss später technisch untersucht werden.

Nachgeahmte Führungskräfte

Ein Anrufer gibt sich als Geschäftsführer oder eine andere Führungskraft aus und ordnet eine dringende Überweisung an. Das kann mit CEO Fraud beziehungsweise Whaling zusammenhängen. Die konkreten Rollen von Angreifer und Empfänger müssen unterschieden werden.

Gefälschte Rückrufbitten

Eine SMS oder E-Mail behauptet, im Firmenkonto sei eine verdächtige Aktivität festgestellt worden, und nennt eine Telefonnummer für den Rückruf. Erst im Gespräch werden die Daten oder Zahlungen verlangt. Die Bundesnetzagentur warnte 2026 vor solchen Kombinationen bei nachgeahmten Finanzplattformen.

Stimmklone und synthetische Sprachnachrichten

Bei einem Deepfake Scam kann eine künstlich erzeugte Stimme eine bekannte Person imitieren. Eine solche Fälschung muss technisch nachgewiesen werden; ein ungewohnter Tonfall oder schlechte Verbindung sind noch kein Beweis. Für die Abwehr bleibt die unabhängige Identitätsbestätigung wichtig.

Was ist Caller-ID-Spoofing?

Bei Caller-ID-Spoofing erscheint auf dem Display eine Telefonnummer, die nicht zum wirklichen Anrufer gehört. Die Bundesnetzagentur erklärt, dass sowohl real existierende fremde Nummern als auch nicht vergebene Nummern als Absenderanzeige auftauchen können. Der tatsächliche Anschlussinhaber hat mit dem Anruf möglicherweise nichts zu tun.

Ein solches Vorgehen kann auch unerwünschte Rückrufe bei unbeteiligten Rufnummerninhabern auslösen. Die sichtbare Nummer lässt sich daher nicht ohne weitere Ermittlungen zur Täteridentifikation verwenden.

Rufnummernmanipulation ist von der Übernahme eines tatsächlichen Telefonkontos zu unterscheiden. Die Verwendung einer bekannten Nummer als Anzeige bedeutet nicht zwangsläufig, dass die Telefonanlage des betroffenen Unternehmens kompromittiert wurde.

Vishing, Phishing-Mail und Smishing unterscheiden

Phishing-Mails verbreiten die Täuschung per E-Mail. Smishing verwendet vor allem SMS und ähnliche Textnachrichten. Beim Vishing steht der gesprochene Kontakt im Mittelpunkt. Ein Angriff kann beide Kanäle verbinden, etwa wenn eine SMS den Empfänger zum Rückruf eines falschen Supports bewegt.

Eine rechtliche oder technische Untersuchung darf deshalb nicht beim einzelnen Telefonat stehen bleiben, wenn vorher eine Nachricht oder danach eine Zahlung erfolgte. Der gesamte nachweisbare Ablauf ist für die Schadensbewertung erforderlich.

Welche Folgen können für Unternehmen entstehen?

Eine Buchhaltung kann eine Überweisung an einen unberechtigten Empfänger freigeben. Beschäftigte können Zugangsdaten oder Bestätigungscodes an fremde Personen nennen. Wird eine Fernwartungsverbindung eingerichtet, können weitere technische Folgen entstehen. Ein solcher Zugriff auf den Rechner muss gesondert festgestellt werden.

Für Unternehmen, deren Nummer oder Name missbraucht wird, entstehen möglicherweise Kundenbeschwerden und Rückrufserien. Eine gefälschte Rufnummer ist aber noch kein Beweis für einen Einbruch in das echte Firmennetz. Der wirtschaftliche Schaden lässt sich erst aus bestätigten Zahlungen und anderen dokumentierten Folgen ableiten.

Ein fiktiver Fall aus einer Steuerberatung

Die Mitarbeiterin einer Steuerkanzlei erhält einen Anruf vom angeblichen Cloud-Support. Der Gesprächspartner kennt den verwendeten Produktnamen und beschreibt eine drohende Kontosperre. Um die Anmeldung zu schützen, soll die Mitarbeiterin den gerade eingegangenen Bestätigungscode vorlesen.

Sie beendet das Telefonat und ruft die bekannte Servicenummer ihres IT-Dienstleisters an. Dort ist keine entsprechende Anfrage dokumentiert. Die Kanzlei hält Uhrzeit, angezeigte Nummer und Inhalt fest. Aus der Kenntnis des Produktnamens folgt noch nicht, dass ein internes System kompromittiert wurde.

Wäre der Code übermittelt worden, müssten die tatsächlichen Kontositzungen und Zugriffsprotokolle geprüft werden. Der bloße Versuch hätte noch keine vollständige Kontoübernahme bewiesen.

Welche Warnsignale verdienen Aufmerksamkeit?

• Unerwartete Handlung: Eine Person verlangt Passwort, TAN oder die Freigabe einer Zahlung außerhalb des normalen Prozesses.
• Zeitdruck: Eine angebliche Sperre oder Strafmaßnahme soll nur durch sofortiges Handeln verhindert werden.
• Fremde Kontaktdaten: Der Gesprächspartner nennt eine neue Rückrufnummer oder Website.
• Vertraute Nummer: Die Rufnummer erscheint offiziell, lässt sich aber nicht als Echtheitsnachweis verwenden.
• Geheime Anweisung: Der Empfänger soll den Vorgang nicht mit der zuständigen Leitung oder Bank prüfen.
• Gegenprüfung: Ein bestätigter Ansprechpartner kann die behauptete Forderung nicht nachvollziehen.

Auch ein freundlich und ruhig geführtes Gespräch kann betrügerisch sein. Umgekehrt kann ein berechtigter Supportanruf überraschend eintreffen. Bei sensiblen Anweisungen zählt die überprüfte Identität, nicht der Tonfall.

Wie werden Vishing-Vorfälle dokumentiert?

Zuerst ist festzuhalten, was der Anrufer behauptet und welche Handlung erfolgt ist. Eine Gesprächsnotiz mit Datum, Uhrzeit, Nummernanzeige, Inhalt und gegebenenfalls späteren Zahlungs- oder Kontoereignissen kann hilfreich sein. Eine Aufnahme eines Telefonats ist nicht ohne Weiteres zulässig und kann selbst rechtliche Probleme auslösen.

Die Bundesnetzagentur bietet Beschwerdewege für Rufnummernmissbrauch an. Für die strafrechtliche Prüfung eines Betrugsversuchs ist dagegen in der Regel die Polizei zuständig. Nicht jede Meldung lässt die Identität des wirklichen Anrufers feststellen.

Wenn Kontodaten weitergegeben oder Zahlungen veranlasst wurden, sollten Bank und betroffene Dienste über ihre bestätigten Kontaktwege einbezogen werden. Eine Meldung gegen die angezeigte Telefonnummer allein verhindert nicht sämtliche Folgeangriffe.

Welche Gegenmaßnahmen sind im Unternehmen sinnvoll?

Vertrauliche Informationen und Zahlungsanweisungen sollten nach festgelegten Verfahren bestätigt werden. Der Rückruf erfolgt über eine bereits gespeicherte oder unabhängig überprüfte Nummer. Auch bei einem vermeintlichen Gespräch mit einem Vorgesetzten muss der bestehende Freigabeprozess gelten.

• Bankverbindungsänderungen und Sonderzahlungen über einen zweiten bestätigten Kanal prüfen.
• Einmalcodes und Passwörter nicht aufgrund unerwarteter Anrufe weitergeben.
• Fernzugriffe nur nach nachgewiesener Berechtigung freigeben.
• Beschäftigten klare interne Meldewege für verdächtige Telefonate bieten.
• Eigene öffentliche Kontaktnummern und Supportwege nachvollziehbar kommunizieren.
• Nach einem bestätigten Vorfall Kontositzungen und mögliche weitere Zugriffe untersuchen.

Ein vereinbartes Codewort allein stellt keinen vollständigen Identitätsnachweis dar: Es kann weitergegeben oder bei einem früheren Angriff bekannt geworden sein. Ein unabhängig eingeleiteter Rückruf und ein nachvollziehbares Freigabeverfahren bleiben sinnvoll.

Welche rechtlichen Grenzen bestehen?

Bei vorsätzlich erschlichenen Zahlungen kann unter den gesetzlichen Voraussetzungen § 263 StGB einschlägig sein. Der bloße Einsatz einer falschen Rufnummer erfüllt nicht automatisch sämtliche denkbaren Straftatbestände. Bei unerlaubter Telefonwerbung kann § 7 UWG betroffen sein; ein Phishing-Anruf ist nicht mit gewöhnlicher Telefonwerbung gleichzusetzen.

Eine heimliche Gesprächsaufzeichnung kann unter den Voraussetzungen von § 201 StGB strafbar sein. Bei der Sicherung von Beweismitteln sollten deshalb zulässige Kommunikations- und Dokumentationswege gewählt werden.

Wenn eine vertraute Rufnummer auf dem Display erscheint

Die Bundesnetzagentur beschreibt sowohl manipulierte reale Telefonnummern als auch frei erfundene angezeigte Rufnummern. Eine bekannte Bank- oder Firmennummer auf dem Display ist somit kein Ersatz für die Identitätsprüfung. Das ist gerade dann problematisch, wenn der Anruf mit einer echten Kontowarnung oder einem zuvor versandten Link verbunden wird. Ein Täter kann die sichtbare Nummer eines unbeteiligten Unternehmens verwenden, ohne dessen Telefonanschluss zu kontrollieren.

Ein unmittelbarer Rückruf über die Anrufliste kann bei einer gefälschten Kennung den unschuldigen Inhaber der Nummer erreichen. Für eine Zahlungsfreigabe sollte deshalb der Kontakt über eine bereits bekannte, unabhängig gespeicherte Adresse oder Rufnummer aufgebaut werden. Eine Telefonnummer aus der verdächtigen Nachricht oder vom Anrufer selbst ist für diese Gegenprüfung ungeeignet.

Rufnummernbeschwerde und Betrugsanzeige sind verschiedene Wege

Für eine Beschwerde wegen Rufnummernmanipulation benötigt die Bundesnetzagentur insbesondere die angezeigte und die angerufene Nummer sowie Angaben zu Anbieter und Gesprächszeit. Sie weist darauf hin, dass bestimmte Verkehrsdaten wegen begrenzter Aufbewahrung möglichst früh gesichert werden sollten. Die Behörde kann nach telekommunikationsrechtlichen Regeln Maßnahmen gegen Rufnummernmissbrauch prüfen.

Die strafrechtliche Ermittlung einer betrügerischen Überweisung fällt dagegen in die Zuständigkeit der Strafverfolgungsbehörden. Liegt eine tatsächliche Zahlung vor, sollte die Bank unverzüglich eingebunden werden. Eine Beschwerde über die falsche Anruferkennung ersetzt weder den Zahlungsrückruf noch die Sicherung eines möglicherweise kompromittierten Firmenkontos.

Für die eigene Krisenkommunikation sollte eine Marke den betroffenen Kunden den offiziellen Kontaktweg nennen und konkret beschreiben, welche ungewöhnliche Forderung nicht von ihr stammt. Es ist dagegen nicht nötig, sämtliche legitimen Anrufe des Unternehmens pauschal für betrügerisch zu erklären. Die Kommunikation kann zwischen echten Servicekontakten und den bereits dokumentierten Täuschungsfällen unterscheiden.

Häufige Fragen zu Vishing

Kann eine echte Banknummer im Display gefälscht sein?

Ja. Die sichtbare Absenderkennung ist kein sicherer Beweis für die Identität des Anrufers.

Ist jeder Anruf eines unbekannten Supports Betrug?

Nein. Der behauptete Auftrag und die Berechtigung müssen über einen unabhängig bestätigten Weg geprüft werden.

Kann eine KI-Stimme den Geschäftsführer nachahmen?

Eine synthetische Stimme kann eine vertraute Person imitieren. Bei einer sensiblen Anweisung ist deshalb eine unabhängige Freigabe nötig.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei Telefonbetrug im Namen eines Unternehmens sollten die betreffenden Anrufe, Rufnummernanzeigen und etwaige Konto- oder Zahlungsfolgen dokumentiert werden. BRANDPROTECTIONNOW begleitet Unternehmen und exponierte Personen bei der Untersuchung von Identitätsnachahmungen, der Dokumentation falscher Supportangebote und der Abstimmung technischer Gegenmaßnahmen mit spezialisierten Security-Partnern. Für angegriffene Führungskräfte ist der digitale Personenschutz passend; bei falschen Unternehmensidentitäten bietet BRANDPROTECTIONNOW Markenschutz weitere Hilfe.

Fachquellen

• Bundesnetzagentur – Rufnummernmanipulation: Caller-ID-Spoofing und Zuständigkeiten.
• Bundesnetzagentur – Aktuelle Warnungen und Beschwerdewege: falsche Anrufe und Rückrufbitten.
• Bundesnetzagentur – Phishing-Anrufe: Abfrage von PINs, TANs und Kontodaten.
• § 263 StGB und § 201 StGB: Betrug und Schutz vertraulicher Gespräche.