Vishing
KnowBe4 erweitert Sicherheitstraining um Vishing-Simulationen gegen Voice-Phishing und KI-Stimmklone
KnowBe4 integriert Vishing-Simulationen in seine Security-Awareness-Plattform
Telefonanrufe entwickeln sich zu einem der wirkungsvollsten Einfallstore für Social Engineering. KI-generierte Stimmen, gefälschte Rufnummern und glaubwürdig inszenierte Notfälle setzen Beschäftigte gezielt unter Druck. KnowBe4 erweitert deshalb seine Plattform um anpassbare Vishing-Simulationen, mit denen Unternehmen sprachbasierte Angriffsszenarien unter kontrollierten Bedingungen trainieren können.
KnowBe4 hat eine neue Simulationsfunktion für Voice-Phishing vorgestellt. Die sogenannte Vishing-Simulation soll Unternehmen dabei unterstützen, ihre Mitarbeiter nicht nur auf verdächtige E-Mails, sondern auch auf manipulierte Telefonanrufe vorzubereiten.
Die Funktion ist ab sofort im Bereich „Angriffe und Simulationen“ der KnowBe4-Plattform verfügbar. Unternehmen können damit realitätsnahe Telefonszenarien erstellen, unterschiedliche Angreiferrollen abbilden und mehrstufige Gesprächsverläufe simulieren.
Vishing wird zum relevanten Erstzugangsvektor
Voice-Phishing hat sich in den vergangenen Jahren von einer vergleichsweise seltenen Betrugsmasche zu einem etablierten Angriffsvektor entwickelt. Angreifer geben sich beispielsweise als Mitarbeiter der IT-Abteilung, als Vorgesetzte, externe Dienstleister oder Behördenvertreter aus.
Ziel solcher Gespräche ist es häufig, Zugangsdaten, Einmalpasswörter oder vertrauliche Informationen zu erhalten. In anderen Fällen sollen Beschäftigte dazu gebracht werden, Sicherheitsmaßnahmen zu umgehen, Software zu installieren oder Überweisungen freizugeben.
KnowBe4 verweist auf den „Global Threat Report 2025 “ von CrowdStrike, dem zufolge die beobachteten Vishing-Aktivitäten zwischen der ersten und zweiten Jahreshälfte 2024 um 442 Prozent gestiegen seien. Auch Mandiant ordnet Voice-Phishing im „M-Trends 2026 “-Report nach Angaben des Anbieters als einen wichtigen initialen Angriffsvektor ein.
Laut KnowBe4 zeigt zudem der „Verizon Data Breach Investigations Report 2026“, dass Mitarbeiter bei telefonbasierten Simulationen mit einer um 40 Prozent höheren Wahrscheinlichkeit auf den Täuschungsversuch hereinfallen als bei klassischen E-Mail-Phishing-Tests.
KI-Stimmklone erhöhen die Glaubwürdigkeit
Die zunehmende Verfügbarkeit generativer KI verschärft die Bedrohung. Mit vergleichsweise wenig Audiomaterial lassen sich Stimmen imitieren und in glaubwürdige Gesprächssituationen einbauen. Angreifer können dadurch vorgeben, eine bekannte Führungskraft, einen Kollegen oder einen Geschäftspartner zu repräsentieren.
„Ein dringender Anruf von jemandem, der vorgibt, aus der IT-Abteilung oder der Geschäftsführung zu stammen, erzeugt augenblicklich Druck“, erklärt Greg Kras, Chief Product Officer bei KnowBe4 . Cyberkriminelle nutzten inzwischen KI-basierte Stimmklone, um derartige Anrufe besonders überzeugend wirken zu lassen.
Sicherheitsteams könnten sich deshalb nicht länger ausschließlich auf den E-Mail-Posteingang konzentrieren. Ziel müsse es sein, Beschäftigte auf sämtliche relevanten Social-Engineering-Kanäle vorzubereiten.
Anpassbare und mehrstufige Angriffsszenarien
Mit der neuen Funktion können Unternehmen unterschiedliche Vishing-Szenarien simulieren. Dazu zählen angebliche Anrufe des IT-Supports, dringende Rückfragen aus der Geschäftsleitung oder vermeintliche Kontaktaufnahmen externer Dienstleister.
Lokale Anruferkennungen, realistische Rollenprofile und anpassbare Gesprächsabläufe sollen dabei typische Angriffsmethoden möglichst praxisnah nachbilden. Auch mehrstufige Szenarien sind möglich, bei denen Angreifer zunächst Vertrauen aufbauen und erst später sensible Informationen oder konkrete Handlungen einfordern.
Mitarbeiter sollen so lernen, Warnsignale auch unter Zeitdruck zu erkennen. Dazu gehören ungewöhnliche Anfragen, die Aufforderung zur Weitergabe von Zugangsdaten, die Umgehung etablierter Freigabeprozesse oder die Erzeugung künstlicher Dringlichkeit.
Vishing-Risiken fließen in den Risk Score ein
Die Ergebnisse der Sprachsimulationen werden in die bestehenden Berichte der KnowBe4-Plattform integriert. Unternehmen erhalten dadurch einen kanalübergreifenden Überblick über die Anfälligkeit ihrer Belegschaft für unterschiedliche Formen des Social Engineering.
Die Resultate fließen außerdem in den KnowBe4 Risk Score ein. Dieser soll menschliche und KI-bezogene Risiken in einer einheitlichen Bewertung zusammenführen und Sicherheitsverantwortlichen zeigen, in welchen Bereichen zusätzlicher Schulungsbedarf besteht.
Zu den zentralen Funktionen gehören:
- Erweiterte Security-Awareness-Schulungen: Die Telefonkommunikation wird als zusätzlicher Social-Engineering-Kanal in Trainingsprogramme eingebunden.
- Praxisnahe Übungen: Beschäftigte erleben realistische Gesprächssituationen in einer kontrollierten Umgebung.
- Messbare Risikotransparenz: Berichte zeigen, welche Abteilungen oder Nutzergruppen besonders anfällig für sprachbasierte Täuschungsversuche sind.
- Realistische Angriffsmethoden: Lokale Anruferkennungen, unterschiedliche Rollen und mehrstufige Gesprächsverläufe bilden moderne Vishing-Kampagnen nach.
- Zentrale Auswertung: Die Simulationsergebnisse werden mit bestehenden Phishing- und Schulungsdaten verknüpft.
Starre Telefonskripte reichen für Trainings nicht aus
Nach Einschätzung von KnowBe4 folgen erfolgreiche Vishing-Angriffe nur selten einem einfachen, generischen Betrugsskript. Stattdessen passen Angreifer ihre Aussagen an die Reaktionen des Opfers an, beantworten Rückfragen und bauen schrittweise Vertrauen auf.
„Die Unternehmen, bei denen es in diesem Jahr zu Sicherheitsverletzungen kam, wurden nicht durch ein generisches Telefonbetrugsskript getäuscht, sondern durch ein geduldiges, anpassungsfähiges Gespräch, das in jedem Schritt legitim wirkte“, so Kras.
Security-Awareness-Programme müssen diese Dynamik berücksichtigen. Einfache Warnhinweise auf verdächtige Anrufe reichen angesichts professionell vorbereiteter Gesprächsführung und KI-gestützter Stimmmanipulation kaum noch aus.
Vishing-Simulationen können Unternehmen dabei helfen, technische Schutzmaßnahmen um einen entscheidenden Faktor zu ergänzen: Mitarbeiter, die auch unter Druck innehalten, Identitäten über einen unabhängigen Kanal überprüfen und ungewöhnliche Anforderungen konsequent hinterfragen.
