Beispiele für Vishing und Smishing: 12 Anrufe und SMS, die Mitarbeiter tatsächlich erhalten

Kurz gesagt: Vishing ist Phishing per Telefonanruf oder Sprachnachricht. Smishing ist Phishing per SMS oder Chat-App. Beides funktioniert, weil ein Telefon als etwas Persönliches empfunden wird: kein Link, über den man mit der Maus fahren muss, kein Spamfilter, wenig Zeit zum Nachdenken. Im Folgenden finden Sie sechs Anrufe und sechs SMS mit jeweiligen Beispielformulierungen, der Vorgehensweise und den Warnzeichen. Das Muster ist immer dasselbe: Jemand, den Sie nicht kontaktiert haben, will sofort einen Code, einen Login oder eine Zahlung.

Sind Ihnen diese Begriffe noch neu? Beginnen Sie damit, sich zu informieren, was „Vishing“ und was „Smishing“ ist. Jedes der folgenden Skripte ist ein von uns verfasstes Beispiel mit erfundenen Namen und Platzhaltern wie [Ihre Bank].

Warum Phishing per Telefon immer weiter zunimmt

Die APWG verzeichnete im zweiten Quartal 2026 einen Anstieg von Vishing um 20 % und von Smishing um 40 %. CrowdStrike ermittelte zwischen der ersten und der zweiten Hälfte des Jahres 2024 einen Anstieg von Vishing um 442 %. Im „Data Breach Investigations Report 2026“ von Verizon lag die mediane Klickrate bei telefonbasierten Simulationen bei 2 %, gegenüber 1,4 % bei E-Mails.

Die 12 Beispiele auf einen Blick

6 Beispiele für Vishing

1. Der IT-Helpdesk, der Ihren MFA-Code benötigt

Was Sie hören: „Hier ist Daniel vom IT-Service-Desk. Wir haben festgestellt, dass bei Ihrem Konto Anmeldefehler aufgetreten sind. Ich sende Ihnen einen Code. Können Sie ihn bitte wiederholen?“

So funktioniert es: Der Anrufer kennt Ihr Passwort und benötigt den zweiten Authentifizierungsfaktor. Retool wurde am 27. August 2023 auf diese Weise gehackt: Ein Code, der von einer durch Deepfake erzeugten „IT“-Stimme vorgelesen wurde, ermöglichte den Zugriff auf 27 Kundenkonten. Im Jahr 2025 beschrieb Google eine Gruppe, die Mitarbeiter als IT-Support anrief, um an Salesforce-Daten zu gelangen, und wurde selbst Opfer eines Angriffs.

Sofort erkennen und unterbinden: Ein Code, den Sie nicht angefordert haben. Legen Sie auf und rufen Sie den Helpdesk unter der internen Nummer an.

2. Die Betrugsabteilung der Bank

Was Sie hören: „Hier spricht die Betrugsabteilung von [Ihrer Bank]. Wir haben eine Zahlung in Höhe von 1.950 € gesperrt. Ich werde Ihnen helfen, den Betrag auf ein sicheres Konto zu überweisen.“

So funktioniert es: Die auf Ihrem Bildschirm angezeigte Nummer ist gefälscht. Gefälschte Helpdesks waren im Jahr 2025 die am häufigsten von Verbrauchern beim niederländischen Fraudehelpdesk gemeldete Betrugsart: 17.264 Meldungen gegenüber 9.492 im Jahr 2024.

Erkennen und stoppen: ein „sicheres Konto“ oder eine Fernzugriffssoftware. Legen Sie auf und rufen Sie die Nummer auf Ihrer Karte an.

3. Die Sprachnachricht vom „CEO“

Was Sie hören: „Hier ist Mark. Ich steige gleich ins Flugzeug. Wir schließen heute eine Übernahme ab, und ich möchte, dass du eine vertrauliche Zahlung abwickelst. Das bleibt unter uns.“

So funktioniert es: Die KI klont eine Stimme aus einem Webinar oder Podcast. Im Juli 2024 erhielt ein Ferrari-Manager einen Anruf mit der Stimme von CEO Benedetto Vigna, in dem es um ein geheimes Geschäft ging, wie Bloomberg berichtete. Der Anrufer fragte, welches Buch Vigna gerade empfohlen habe. Dann legte er auf. Sehen Sie sich unsere Beispiele für CEO-Betrug und unsere Schulungen zur Deepfake-Aufklärung an.

Erkennen und stoppen: eine unbekannte Nummer und Geheimhaltung. Stellen Sie eine Frage, die nur die echte Person beantworten kann.

4. Der Lieferant mit einem neuen Bankkonto

Was Sie hören: „Hier ist Sophie von [Lieferant]. Wir haben die Bank gewechselt. Ich schicke Ihnen die neue Kontonummer per E-Mail. Könnten Sie diese bitte noch vor dem Zahlungslauf dieses Monats aktualisieren?“

So funktioniert es: Durch den Anruf wirkt die anschließende E-Mail glaubwürdig. Ihre nächste Rechnung wird an den Angreifer bezahlt, und niemand bemerkt etwas davon, bis die Mahnung des Lieferanten eintrifft.

Sofort erkennen und unterbinden: Bankdaten wurden telefonisch geändert. Rufen Sie die in Ihren Unterlagen vermerkte Kontaktperson an und lassen Sie die Änderung von einer zweiten Person genehmigen.

5. Der Anruf beim technischen Support

Was Sie hören: „Ich rufe vom Sicherheitsteam von [Softwareanbieter] an. Ihr Computer ist infiziert. Bitte setzen Sie sich an Ihre Tastatur.“

So funktioniert es: Sie öffnen ein harmloses Systemprotokoll als „Beweis“ und installieren anschließend eine Fernzugriffssoftware. Von dort aus hat der Anrufer Einblick in Ihre Passwörter und das Firmennetzwerk.

Erkennen und stoppen: Anbieter rufen Nutzer nicht wegen Infektionen an. Legen Sie auf und informieren Sie die IT-Abteilung.

6. Die Rückrufnummer in einer Rechnungs-E-Mail

Was Sie lesen und hören: „Ihr Abonnement wurde für 389,99 € verlängert. Das war nicht Ihre Absicht? Rufen Sie [Nummer] an.“ Am Telefon: „Ich muss mich nur mit Ihrem Bildschirm verbinden, um die Rückerstattung vorzunehmen.“

So funktioniert es: Kein Link, kein Anhang – daher lassen die Filter die E-Mail durch. Sie treffen die Entscheidung selbst, was Ihre Wachsamkeit verringert. Das Thema E-Mail-Phishing finden Sie in unserer Übersicht über die verschiedenen Arten von Phishing-Angriffen.

Achtung und Vorsicht: Eine Telefonnummer als einzige Option. Rufen Sie nicht an. Überprüfen Sie das Konto auf der Website des Anbieters.

6 Beispiele für Smishing

7. Das Paket, das nicht zugestellt werden konnte

Was Sie gelesen haben: „[Spediteur]: Ihr Paket konnte nicht zugestellt werden, da Versandkosten in Höhe von 1,45 € noch nicht bezahlt wurden. Bitte zahlen Sie innerhalb von 24 Stunden: [Link]“

So funktioniert es: Jeder erwartet ein Paket. Die geringe Gebühr ist der Köder; die Seite will an Ihre Kreditkartendaten gelangen.

Erkennen und stoppen: eine Gebühr nach dem Versand, ein Link außerhalb der Domain des Versanddienstleisters. Verfolgen Sie das Paket in der App des Versanddienstleisters.

8. Die Bank oder die Zahlungs-App

Was Sie gelesen haben: „[Ihre Bank]: Die Registrierung für Ihre Banking-App läuft heute ab. Jetzt verlängern: [Link]“

So funktioniert es: Der Link öffnet eine Kopie der Anmeldeseite. Mit Ihren Zugangsdaten und einem Code registriert der Angreifer sein eigenes Smartphone als Ihre Banking-App. Oft folgt darauf Beispiel 2.

„Spot and Stop“: Ein Link in einer SMS einer Bank. Öffnen Sie die App selbst.

9. Die Steuerbehörde oder das Behördenportal

Was Sie gelesen haben: „[Finanzamt]: Ihre Forderung in Höhe von 1.277 € wurde noch nicht beglichen. Um eine Pfändung zu vermeiden, zahlen Sie noch heute über [Link]“

So funktioniert es: Die Angst vor einem Bußgeld sorgt dafür, dass die Leute darauf hereinfallen. Bei einigen Varianten wird die Anmeldeseite der Behörden nachgeahmt oder eine Rückerstattung versprochen.

Sofort erkennen und stoppen: Eine Drohung und ein Zahlungslink in einer einzigen Nachricht. Melden Sie sich selbst auf dem offiziellen Portal an.

10. „Hallo Mama, hallo Papa“

Was du gelesen hast: „Hallo Mama, mein Handy ist kaputt gegangen, das ist meine neue Nummer. Ich muss heute eine Rechnung bezahlen, aber meine Banking-App funktioniert noch nicht.“

So funktioniert es: Es richtet sich an Mitarbeiter in ihrer Rolle als Eltern, meist über eine Chat-App. Es handelt sich um denselben Trick wie in Beispiel 12: Wer ihn von zu Hause kennt, erkennt ihn auch bei der Arbeit wieder.

„Spot and Stop“: eine neue Nummer und ein Grund, warum ein Anruf nicht möglich ist. Rufen Sie die alte Nummer an.

11. Die MFA oder die Kontobenachrichtigung

Was Sie gelesen haben: „[Unternehmen] IT: Ihr Passwort läuft heute ab. Melden Sie sich an, um Ihren Zugriff zu behalten: [Unternehmen]-sso.example“

So funktioniert es: Im Jahr 2022 erhielten Twilio-Mitarbeiter SMS wie diese. Einige meldeten sich an, woraufhin auf die Daten von 209 Kunden zugegriffen wurde. Bei Cloudflare erhielten 76 Mitarbeiter die SMS, und drei von ihnen gaben ihr Passwort ein. Der Angriff schlug fehl, da Cloudflare Hardware-Sicherheitsschlüssel verwendet.

Erkennen und blockieren: Eine Domain, die aus dem Firmennamen plus „sso“ oder „login“ besteht. Verwenden Sie Ihr Lesezeichen und melden Sie den Text.

12. Der Chef, der Geschenkgutscheine braucht

Was du gelesen hast: „Hier ist Laura, neue Nummer. Ich bin gerade in einer Besprechung. Kannst du bitte fünf Geschenkkarten à 100 € für einen Kunden kaufen und mir die Codes schicken?“

So funktioniert es: Geschenkkartencodes sind so gut wie Bargeld und können nicht rückgängig gemacht werden.

Sofort erkennen und unterbinden: eine neue Nummer, Geheimhaltung, Geschenkkarten. Rufen Sie Ihren Vorgesetzten an oder gehen Sie persönlich hin.

Smishing vs. Vishing vs. Phishing

Die Variante mit dem QR-Code wird als „Quishing“ bezeichnet.

So überprüfen Sie die Identität eines Anrufers

1. Entlasten Sie sich. Sagen Sie, dass Sie zurückrufen werden.
2. Rufen Sie eine Nummer zurück, die Sie bereits haben. Die Anruferanzeige beweist nichts: Nummern können gefälscht werden.
3. Geben Sie niemals einen Code, ein Passwort oder Fernzugriff an jemanden weiter, der Sie kontaktiert hat.
4. Beziehen Sie eine zweite Person in die Finanzangelegenheiten mit ein. Jede Änderung eines Bankkontos muss von einem Kollegen genehmigt werden.

Auch Ihr eigener Service Desk benötigt dieselben Regeln, da auch Angreifer dort anrufen. Die Angreifer von MGM Resorts gaben 2023 an, sie hätten den Helpdesk als Mitarbeiter angerufen, den sie auf LinkedIn gefunden hatten; MGM bezifferte den Schaden auf etwa 100 Millionen Dollar. Bei Marks & Spencer gelang im April 2025 der Zugriff durch eine „raffinierte Identitätsfälschung“ eines Drittanwenders, wie Vorstandsvorsitzender Archie Norman den Abgeordneten mitteilte; die geschätzten Kosten beliefen sich auf etwa 300 Millionen Pfund. Im Februar 2026 warnte die New Yorker Finanzaufsichtsbehörde vor Anrufern, die sich als Mitarbeiter des IT-Helpdesks ausgaben, und im April 2026 bestätigte ADT einen Sicherheitsvorfall, der nach Angaben der Angreifer mit einem Vishing-Anruf begann. Eine Regel, die niemand geübt hat, hält einem selbstbewussten Anrufer nicht stand. Dafür sind Schulungen da.

Wie Unternehmen Vishing und Smishing simulieren

Die meisten Unternehmen testen nur E-Mails und sonst nichts. Diejenigen, die noch einen Schritt weiter gehen, versenden Test-SMS an Diensthandys und führen vorab festgelegte Telefonate mit dem Service Desk, der Finanzabteilung und der Personalabteilung durch. Drei Regeln sorgen für Fairness: Das Programm muss angekündigt werden, es darf niemand bestraft werden, und sowohl Meldungen als auch Fehler werden gezählt. Guardey umfasst Phishing-Simulationen und eine wöchentliche Herausforderung mit Teamwettbewerb, damit die Mitarbeiter auch zwischen den Tests weiter üben.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Smishing und Vishing?

Der Kanal. Smishing ist eine SMS oder eine Chat-Nachricht. Vishing ist ein Telefonanruf oder eine Sprachnachricht. Das Ziel ist dasselbe: Ihr Code, Ihre Zugangsdaten oder Ihr Geld.

Was ist ein Beispiel für Vishing?

Ein Anrufer aus der „IT-Abteilung“, der Sie bittet, den Code vorzulesen, der gerade auf Ihrem Handy eingegangen ist. Die Beispiele 1 bis 6 sind Vishing, 7 bis 12 Smishing.

Kann ich der Anrufer-ID oder dem Absendernamen einer SMS vertrauen?

Nein. Beides kann gefälscht werden. Überprüfen Sie dies über einen Kanal Ihrer Wahl.

Was soll ich tun, wenn ich einen Code angegeben oder bezahlt habe?

Melden Sie dies unverzüglich und ändern Sie Ihr Passwort. Falls Sie eine Zahlung getätigt haben, rufen Sie Ihre Bank unter der offiziellen Nummer an. Melden Sie auch Nachrichten, die Sie lediglich erhalten haben.