Vishing und Deepfake-Anrufe: Mitarbeiter richtig trainieren

Inhalt in Kürze

• Der Angriff hat den Kanal gewechselt. Wer nur E-Mails simuliert, trainiert die Hälfte — Betrugsanrufe treffen dieselben Menschen auf einem Weg, den nie jemand geübt hat.
• Wissen schützt am Telefon schlechter als am Bildschirm. Eine Stimme, die drängt, lässt keine Zeit zum Nachschlagen. Was hilft, ist eine Regel, auf die man sich berufen kann — und eine Situation, die man schon einmal erlebt hat.
• Für die Übung muss niemand anrufen. Eine verzweigte Szene im Browser braucht keine Rufnummer, keinen Telefonieanbieter und kein Mikrofon.
• Drei Rechtsfragen sind vorab zu klären: Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO — und die Kennzeichnung der KI-Stimme nach Art. 50 Abs. 5 der KI-Verordnung.

Die meisten Unternehmen, die wir sehen, haben ihre Phishing-Simulation im Griff. Klickrate gemessen, Melderate gestiegen, Bericht im Ordner. Und dann ruft jemand an.

Am Telefon fängt die Belegschaft bei null an. Es gibt keinen Absender zum Prüfen, keinen Link zum Überfahren, keine zweite Meinung im Postfach nebenan — nur eine Stimme, eine Frist und das ungute Gefühl, gerade jemanden aufzuhalten.

Was Vishing ist und warum es zunimmt

Vishing ist Phishing per Telefon. Der Anrufer gibt sich als Geschäftsführung, IT-Support, Hausbank, Lieferant oder Behörde aus und drängt zu einer Handlung: eine Überweisung, ein Passwort, ein Fernwartungsprogramm, eine Freigabe.

Der Trend ist messbar, wird aber häufig größer zitiert, als er ist. Deshalb hier mit dem richtigen Rahmen: CrowdStrike zählte im zweiten Halbjahr 2024 rund 442 % mehr Vishing-Aktivität als im ersten Halbjahr desselben Jahres — ein Halbjahresvergleich, kein Jahreswert (CrowdStrike). Der Verizon Data Breach Investigations Report misst für mobile Kanäle insgesamt, also SMS und Anruf zusammen, einen Anstieg der mittleren Klickrate von 1,4 auf 2 %.

Zwei Größenordnungen, keine Prognose für Ihr Haus. Aber die Richtung ist eindeutig, und sie hat einen banalen Grund: Mailfilter sind gut geworden. Das Telefon hat keinen Filter.

Vier Muster, die fast jeder Betrugsanruf benutzt

Wer die Muster kennt, erkennt den Anruf auch dann, wenn das Drehbuch neu ist.

• Autorität. Der Anrufer steht angeblich über Ihnen — Geschäftsführung, Bereichsleitung, Behörde. Widerspruch fühlt sich nach Ungehorsam an.
• Zeitdruck. Eine Uhrzeit als Frist, nicht ein Datum. Sie ist so gewählt, dass für eine Rückfrage angeblich keine Zeit bleibt.
• Geheimhaltung. „Bitte nicht über die Buchhaltung“, „darüber sprechen wir intern noch nicht“. Damit fällt genau die Person weg, die den Betrug bemerken würde.
• Abweichung vom Prozess. Der vereinbarte Weg soll einmalig verlassen werden. Das ist das verlässlichste Signal von allen — echte Anordnungen halten den Prozess aus.

Diese vier Muster tauchen in jeder Spielart auf: bei der eiligen Überweisung des angeblichen Chefs, beim IT-Support, der nach dem Passwort fragt, und beim Rückruf auf eine Nummer aus einer verdächtigen E-Mail.

Warum Wissen am Telefon nicht reicht

Eine Untersuchung aus dem Gesundheitswesen mit rund 20.000 Beschäftigten zeigte, was viele ahnen: Die klassische Jahresschulung hat kaum einen messbaren Effekt darauf, ob jemand hereinfällt. Der Grund ist unspektakulär — die Inhalte werden schlicht kaum angesehen.

Am Telefon kommt ein zweiter Effekt dazu. Wer eine Mail liest, kann innehalten, den Absender prüfen, eine Kollegin fragen. Wer telefoniert, steht unter sozialem Druck in Echtzeit. Das Wissen ist da; abrufbar ist es nicht.

Was dagegen hilft, ist erstens eine Regel, auf die man sich berufen kann — „Zahlungsanweisungen bestätige ich grundsätzlich per Rückruf über die bekannte Durchwahl, das ist bei uns so festgelegt“ ist ein Satz, den man sagen kann, ohne unhöflich zu wirken. Und zweitens die Erfahrung, die Situation schon einmal erlebt zu haben.

Wie man einen Betrugsanruf übt, ohne anzurufen

Es gibt Anbieter, die für die Übung tatsächlich anrufen und automatisiert Rufnummern wählen. Das ist möglich, aber teuer erkauft: Ein Testanruf braucht die oft private Rufnummer der Beschäftigten, einen Telefonieanbieter als zusätzlichen Auftragsverarbeiter und eine eigene Diskussion mit dem Betriebsrat, die mit dem Lernziel nichts zu tun hat.

Der Umweg ist unnötig. Eine Übung im Browser erreicht dasselbe:

1. Der Anruf kommt herein. Auf dem Bildschirm klingelt es, angezeigt wird „Geschäftsführung“, die Nummer ist unterdrückt. Vor dem Start steht, dass es eine Übung ist und die Stimme aus einem Sprachmodell kommt.
2. Die Szene setzt unter Druck. Eine Frist, eine Bitte um Verschwiegenheit, ein Weg an der Buchhaltung vorbei. Untertitel laufen mit, damit die Übung auch ohne Ton funktioniert.
3. Die Person entscheidet. Zwei bis vier Antworten stehen zur Wahl. Es gibt keinen Countdown — der Druck kommt aus der Szene, nicht aus einer Uhr. Je nach Antwort geht das Gespräch weiter oder endet.
4. Die Auflösung. Ergebnis, Warnsignale im Klartext, der sichere Weg durch dieselbe Szene, eine Kurzlektion — und der Hinweis, wie ein echter Anruf dieser Art gemeldet wird.

Bei Hugo Learn heißen diese Übungen Anruf-Drills. Sie dauern rund vier Minuten, gehören zur Stufe Programm und kosten nichts zusätzlich. Ausgelöst werden sie entweder als eigene Welle mit neutraler Einladung oder direkt nach einem Klick in einer simulierten Mail — das ist die Kette, die Angreifer tatsächlich benutzen: erst die Mail, dann der Anruf zum selben Vorwand.

Wichtig ist, was dabei nicht passiert: kein echter Anruf, keine Rufnummer, kein Mikrofonzugriff, keine Aufzeichnung — und keine geklonte Stimme einer echten Führungskraft. Deren Einwilligung würde ohnehin nicht die Täuschung derjenigen decken, die den Anruf hören.

Was Beschäftigte im Ernstfall trotzdem prüfen können, wenn die Stimme perfekt klingt, steht in der Checkliste zum Deepfake-Anruf — neun Punkte, von denen genau einer wirklich trägt.

Die drei Rechtsfragen, die vorher geklärt gehören

Mitbestimmung. In Betrieben mit Betriebsrat greift § 87 Abs. 1 Nr. 6 BetrVG (Wortlaut). Die Vorschrift erfasst die Einführung und die Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind — auf die Absicht kommt es nicht an. Ein neuer Kanal mit einer neuen Datenart ist deshalb ein eigener mitbestimmungspflichtiger Vorgang. Eine Vereinbarung, die nur simulierte E-Mails nennt, deckt Anruf-Übungen nicht ab. Wie man das sauber löst, steht im Beitrag Anruf-Drill statt Testanruf.

Rechtsgrundlage. Regelmäßig Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, das berechtigte Interesse an der Informationssicherheit, konkretisiert durch Art. 32 Abs. 1 DSGVO. Auf § 26 Abs. 1 Satz 1 BDSG sollten Sie sich nicht mehr stützen: Der EuGH hat entschieden, dass eine nationale Norm nur dann eine eigene Rechtsgrundlage bildet, wenn sie Art. 88 Abs. 2 DSGVO erfüllt (30.03.2023, C-34/21); das Bundesarbeitsgericht hat die Vorschrift daraufhin am 08.05.2025 (8 AZR 209/21) für unanwendbar erklärt. In vielen älteren Mustern steht sie noch drin.

KI-Kennzeichnung. Wer mit einer synthetischen Stimme arbeitet, muss darauf hinweisen. Art. 50 Abs. 5 der Verordnung (EU) 2024/1689 verlangt den Hinweis spätestens zum Zeitpunkt der ersten Interaktion, klar erkennbar und barrierefrei. Die Pflicht gilt seit dem 02.08.2026; eine Ausnahme für interne Schulungen gibt es nicht.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand“ (47 Seiten, 2026-Edition) ausführlich behandelt. Jetzt herunterladen →

Aus der Praxis

Unsere interessanteste Datenpanne war ein Dienstleister mit nur 15 Mitarbeitern, bei dem der Geschäftsführer eine E-Mail von einem Geschäftspartner bekam. Die E-Mail kam wirklich von diesem Geschäftspartner – trotzdem war es ein Angriff.

Nils OehmichenDatenschutzberater bei frag.hugo

Genau dieses Muster setzt sich am Telefon fort. Der Anruf kommt scheinbar von innen, die Rolle stimmt, der Ton stimmt — falsch ist nur der Weg, den die Anweisung nimmt.

Ihr nächster Schritt

Fangen Sie nicht mit der Technik an, sondern mit einem Satz: Wie bestätigt Ihr Haus eine telefonische Zahlungsanweisung? Wenn darauf drei Personen drei Antworten geben, ist das die erste Baustelle. Erst danach lohnt die Übung — und dann in kurzen Abständen statt einmal im Jahr.

Ergänzend: der Phishing-Resilienz-Selbsttest, die Seite zur Phishing-Simulation und — wenn bei Ihnen ein Betriebsrat mitbestimmt — das kostenlose Betriebsrats-Paket mit Muster-Betriebsvereinbarung.

Häufige Fragen (FAQ)

Was ist Vishing?

Vishing ist Phishing per Telefon. Der Anrufer gibt sich als Geschäftsführung, IT-Support, Bank oder Behörde aus und drängt zu einer Handlung — einer Überweisung, der Herausgabe eines Passworts oder der Installation eines Fernwartungsprogramms. Der Begriff setzt sich aus „Voice“ und „Phishing“ zusammen.

Wie trainiert man Mitarbeiter gegen Betrugsanrufe?

Mit einer erlebbaren Übung statt mit einer Lektion zum Lesen. Bewährt hat sich eine verzweigte Szene im Browser: Das Telefon klingelt auf dem Bildschirm, eine synthetische Stimme setzt unter Druck, die Person entscheidet zwischen mehreren Reaktionen, danach folgt die Auflösung mit den Warnsignalen. Wichtig ist die Wiederholung in kurzen Abständen — nicht die Jahresschulung.

Darf ein Arbeitgeber Testanrufe bei Mitarbeitern machen?

Ein Testanruf ist rechtlich nicht ausgeschlossen, aber aufwendig: Er braucht die oft private Rufnummer, einen Telefonieanbieter als weiteren Auftragsverarbeiter und in Betrieben mit Betriebsrat eine eigene Vereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG. Eine Übung im Browser erreicht dasselbe Lernziel ohne diese drei Punkte.

Welche Rechtsgrundlage gilt für Awareness-Übungen mit Beschäftigten?

Regelmäßig Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO — das berechtigte Interesse an der Informationssicherheit —, konkretisiert durch Art. 32 Abs. 1 DSGVO, dazu eine Betriebsvereinbarung als Kollektivvereinbarung nach Art. 88 DSGVO. Auf § 26 Abs. 1 Satz 1 BDSG sollte man sich nicht mehr stützen: Das Bundesarbeitsgericht hat die Norm am 08.05.2025 (8 AZR 209/21) nach der EuGH-Entscheidung C-34/21 für unanwendbar erklärt.

Muss eine KI-Stimme in einer Übung gekennzeichnet werden?

Ja. Art. 50 Abs. 5 der Verordnung (EU) 2024/1689 verlangt, dass Menschen spätestens zum Zeitpunkt der ersten Interaktion klar, erkennbar und barrierefrei darüber informiert werden, dass sie mit künstlich erzeugten Inhalten zu tun haben. Die Pflicht gilt seit dem 02.08.2026; eine Ausnahme für interne Schulungen gibt es nicht.