Callback-Phishing: Wenn der Rückruf die Falle ist

Inhalt in Kürze

• Die gefährlichste Mail ist die harmloseste. Kein Link, kein Anhang — nur eine Rechnung und eine Rufnummer. Genau deshalb kommt sie durch den Filter.
• Der Angriff beginnt mit Ihrem Anruf. Wer selbst wählt, hat das Gefühl, die Kontrolle zu haben. Das ist der Trick.
• Eine Regel genügt: Rufnummern niemals aus der Nachricht nehmen, immer über die offizielle Website prüfen.
• Der Ernstfall braucht einen angstfreien Meldeweg. Wer Ärger befürchtet, meldet später — und später ist beim Fernzugriff zu spät.

Die Mail sieht unspektakulär aus. Ein Abonnement, das Sie nie bewusst abgeschlossen haben, verlängert sich morgen automatisch, 489 Euro werden abgebucht. Wenn Sie das nicht möchten, rufen Sie bitte unter der angegebenen Nummer an.

Kein Link zum Klicken. Kein Anhang zum Öffnen. Nichts, wovor Sie je gewarnt wurden. Und trotzdem ist das ein Angriff — er wartet nur darauf, dass Sie ihn selbst starten.

Warum die Masche funktioniert

Phishing-Abwehr hat sich in den letzten Jahren auf zwei Dinge konzentriert: verdächtige Links und gefährliche Anhänge. Beides prüfen Mailfilter inzwischen ordentlich.

Callback-Phishing lässt beides weg. Übrig bleibt ein sachlicher Text und eine Telefonnummer — technisch unauffällig, inhaltlich alarmierend. Der Verizon Data Breach Investigations Report zeigt in Phishing-Simulationen: Bei telefonbasierten Kanälen (SMS, Anruf, Rückruf-Mails) liegt die mittlere Klickrate bei rund 2 %, bei klassischen E-Mail-Simulationen bei 1,4 %. Der Kanalwechsel ist kein Zufall, sondern eine Reaktion auf besser gewordene Filter.

Dazu kommt ein psychologischer Vorteil für den Täter: Sie rufen an. Wer selbst wählt, hat das Gefühl, die Situation zu steuern. Misstrauen richtet sich normalerweise gegen Menschen, die uns kontaktieren — nicht gegen die, die wir anrufen.

So läuft der Angriff ab

1. Die Mail. Abo-Verlängerung, Rechnung, Virenschutz, Kryptobörse. Kein Link, kein Anhang, dafür eine Nummer und ein Betrag, der hoch genug ist, um zu stören.
2. Der Rückruf. Am Apparat ist ein freundlicher Mitarbeiter eines angeblichen Abo-Service. Er findet Ihre Buchung sofort und will „nur eben stornieren“.
3. Der Fernzugriff. Für die Stornierung sei ein Formular nötig, das man Ihnen zeigen müsse. Sie sollen ein Programm installieren — häufig eines, das es wirklich gibt und das für sich genommen legal ist.
4. Der inszenierte Fehler. Bei der Erstattung sei „aus Versehen“ ein zu hoher Betrag gebucht worden. Nun sollen Sie die Differenz zurücküberweisen. Was Sie auf dem Bildschirm sehen, hat der Anrufer vorbereitet.
5. Der Nachgang. Bleibt der Fernzugriff bestehen, folgen Zugangsdaten, Postfach und im Unternehmensnetz oft mehr als ein Gerät.

Der Ablauf ist immer derselbe. Das ist die gute Nachricht: Wer ihn einmal kennt, erkennt ihn an Schritt zwei.

Vier Warnsignale, bevor Sie wählen

• Ein Abonnement, das Sie nicht kennen. Seriöse Anbieter schreiben nicht zum ersten Mal, wenn sie abbuchen.
• Keine Kunden- oder Vertragsnummer. Wer Sie wirklich als Kunden führt, nennt Ihre Nummer, nicht nur Ihren Namen.
• Ein Betrag, der stört, aber nicht unglaubwürdig ist. Zwischen 300 und 600 Euro — hoch genug für den Anruf, niedrig genug für die Rechtsabteilung.
• Die Rufnummer steht nirgends sonst. Suchen Sie sie auf der offiziellen Website des angeblichen Anbieters. Findet sie sich dort nicht, ist die Sache erledigt.

Was zu tun ist, wenn es passiert ist

Zeit zählt hier mehr als bei jeder anderen Masche, weil Fernzugriff sofort wirkt.

1. Netzwerkverbindung trennen — WLAN aus, Kabel raus. Nicht herunterfahren, sondern die IT dazuholen.
2. Gerät nicht weiter benutzen. Auch nicht, „um kurz nachzusehen“.
3. Passwörter von einem anderen Gerät ändern, beginnend mit dem E-Mail-Konto. Das Postfach ist der Generalschlüssel.
4. Bank informieren, wenn Konto- oder Kartendaten im Spiel waren, und Buchungen prüfen lassen.
5. Anzeige erstatten. Es handelt sich um Betrug nach § 263 StGB; Hinweise zum Vorgehen bündelt die polizeiliche Kriminalprävention.

Der entscheidende Punkt steht in keiner technischen Anleitung: Die betroffene Person muss das melden können, ohne mit Ärger zu rechnen. Wer eine Standpauke befürchtet, wartet — und in dieser Wartezeit passiert der eigentliche Schaden.

Aus der Praxis

Keine Frage ist doof. Oftmals kann schon damit geholfen werden, wenn Mitarbeiter schnell mal eine Frage loswerden und diese zeitnah vom Datenschutzbeauftragten beantwortet wird.

Nils OehmichenDatenschutzberater bei frag.hugo

Bei Callback-Phishing zeigt sich das besonders deutlich. Die Frage „Kennen wir dieses Abo?“ hätte in fast jedem Fall gereicht — sie wurde nur nicht gestellt, weil sie sich nach einer Belästigung anfühlte.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der Leitfaden für den deutschen Mittelstand“ (200 Seiten, Ausgabe 2026) ausführlich behandelt. Jetzt herunterladen →

Warum das Thema in die Übung gehört

Callback-Phishing sitzt genau zwischen zwei Trainings: Für die E-Mail-Simulation ist die Mail zu harmlos — sie enthält nichts zum Klicken. Und für ein Telefontraining fehlt der Anruf, denn den führt das Opfer selbst.

Deshalb bilden Anruf-Drills genau diesen Ablauf nach: Die Nachricht kommt, die Nummer wird gewählt, das Gespräch beginnt — und die Person entscheidet in der Szene, ob sie das Fernwartungsprogramm installiert oder auflegt. Rund vier Minuten, im Browser, ohne dass irgendwo ein Telefon klingelt. Wie das Thema insgesamt zusammenhängt, steht im Überblick Vishing und Deepfake-Anrufe trainieren; die verwandten Muster behandeln die Beiträge zu CEO-Fraud am Telefon und zur Deepfake-Checkliste. Wer den Rechtsrahmen für solche Übungen klären muss, findet ihn unter Anruf-Drill statt Testanruf.

Zur Einordnung im größeren Bild lohnen außerdem die Hinweise des BSI zu Social Engineering und unser Beitrag zum Security-Awareness-Training.

Häufige Fragen (FAQ)

Was ist Callback-Phishing?

Eine Betrugsmasche, bei der eine E-Mail keine Links und keine Anhänge enthält, sondern nur eine Rechnung oder Abo-Bestätigung und eine Telefonnummer für den Widerspruch. Der Angriff beginnt erst mit dem Rückruf: Am Telefon wird dann Fernzugriff auf den Rechner oder eine angebliche Rückerstattung eingefädelt.

Warum erkennt der Spamfilter Callback-Phishing oft nicht?

Weil die Mail technisch unauffällig ist. Ohne Link und ohne Anhang fehlen genau die Merkmale, auf die Filter am stärksten reagieren. Übrig bleiben ein Text und eine Rufnummer — beides ist für sich genommen harmlos.

Was tun, wenn schon Fernzugriff gewährt wurde?

Sofort die Netzwerkverbindung trennen, das Gerät nicht weiter benutzen und die IT einschalten. Danach Passwörter von einem anderen Gerät aus ändern, bei Bankdaten das Konto sperren lassen und Anzeige erstatten. Entscheidend ist, dass die betroffene Person das ohne Angst vor Ärger melden kann.

Woran erkenne ich eine gefälschte Rechnungsmail mit Rufnummer?

An vier Punkten: Sie kennen das angebliche Abonnement nicht, es fehlen Kunden- und Vertragsnummer, der Betrag liegt hoch genug, um Sie zum Anruf zu bewegen, und die genannte Rufnummer taucht auf der offiziellen Website des Anbieters nirgends auf.

Wie übt man Rückruf-Betrug im Betrieb?

Mit einer Übungsszene im Browser, die diesen Ablauf nachstellt: Die Mail kommt, die Nummer wird gewählt, und am anderen Ende beginnt das Gespräch. Die Person entscheidet zwischen mehreren Reaktionen und sieht danach die Auflösung. Ein echter Anruf ist dafür nicht nötig.