FaceTime-Phishing
FaceTime-Phishing: Betrüger geben sich über FaceTime als Apple-Support aus
Betrüger geben sich über FaceTime als Apple-Support aus
Phishing verlässt zunehmend das klassische E-Mail-Postfach und verlagert sich auf Kommunikationskanäle, denen Anwender intuitiv mehr Vertrauen entgegenbringen. Betrüger nutzen inzwischen auch FaceTime, um sich als Apple-Support auszugeben, ihre Opfer unter Druck zu setzen und Zugangsdaten oder Finanzinformationen zu erbeuten. Besonders gefährlich wird die Masche, wenn Social Engineering mit ungepatchten Schwachstellen und browserbasierten Exploits kombiniert wird.
Apple warnt in seinen Sicherheitshinweisen vor Social-Engineering-Angriffen, gefälschten Supportanrufen und manipulierten Absenderinformationen. Dabei können Angreifer durch sogenanntes Spoofing den Eindruck erwecken, ein Anruf stamme tatsächlich von Apple oder einem anderen vertrauenswürdigen Unternehmen. Apple stellt ausdrücklich klar, dass der Support weder das Passwort eines Apple Accounts noch Bestätigungscodes verlangt.
Aktuelle Betrugsfälle zeigen, dass Cyberkriminelle für solche Angriffe auch FaceTime als Kommunikationskanal einsetzen. Malwarebytes berichtete im Juli 2026 über unerwartete FaceTime-Anrufe, bei denen sich Kriminelle als Apple-Support oder Bankmitarbeiter ausgeben.
Videoanruf senkt die natürliche Skepsis
Der Angriff folgt einem bekannten Social-Engineering-Muster, erhält durch den Videokanal aber eine neue Qualität. Der vermeintliche Supportmitarbeiter behauptet beispielsweise, beim Apple Account seien verdächtige Aktivitäten festgestellt worden oder es müsse dringend ein technisches Problem behoben werden.
Dann beginnt die eigentliche Manipulation.
Durch Zeitdruck, vermeintliche Sicherheitswarnungen und eine professionell wirkende Gesprächsführung soll das Opfer dazu gebracht werden, Anweisungen ohne weitere Prüfung auszuführen. Gefragt wird dabei unter Umständen nach Zugangsdaten, Sicherheitscodes oder Finanzinformationen.
Der psychologische Vorteil für die Angreifer liegt im Kommunikationskanal: Bei offensichtlich verdächtigen E-Mails haben viele Anwender inzwischen gelernt, Links und Absender kritisch zu prüfen. Ein direkter Video- oder Sprachanruf über eine vertraute Plattform kann dagegen erheblich authentischer wirken.
Genau diese Verschiebung macht moderne Social-Engineering-Angriffe gefährlich. Die Glaubwürdigkeit entsteht nicht mehr allein durch eine perfekt nachgebaute Website oder gut formulierte Phishing-Mail, sondern durch die gesamte Inszenierung des Kontakts.
Wenn Social Engineering auf Exploits trifft
Noch problematischer wird es, wenn Angreifer die psychologische Manipulation mit technischen Angriffen kombinieren. Ein Opfer kann während oder nach dem Gespräch beispielsweise auf eine präparierte Website gelockt werden.
Existieren auf dem Gerät ungepatchte Browser- oder Betriebssystemschwachstellen, können solche Seiten im schlimmsten Fall als Ausgangspunkt für weitergehende Kompromittierungen dienen.
Wie real dieses Risiko ist, zeigt DarkSword. Der 2026 bekannt gewordene Exploit-Chain verbindet sechs Schwachstellen in iOS und Safari beziehungsweise angrenzenden Komponenten. Sicherheitsforscher beobachteten Angriffe auf ungepatchte iPhones; die Angriffskette konnte beim Besuch einer manipulierten Website zur Installation von Schadsoftware führen.
Damit entsteht ein besonders wirkungsvoller hybrider Angriffspfad: Social Engineering bringt den Menschen dazu, eine technische Sicherheitsbarriere selbst zu überwinden – der Exploit übernimmt anschließend den Rest.
Patch-Management wird zum entscheidenden Zeitfaktor
Für Unternehmen und Privatanwender ist deshalb nicht nur die Erkennung von Phishing relevant. Ebenso entscheidend ist die Zeitspanne zwischen der Veröffentlichung eines Sicherheitsupdates und dessen tatsächlicher Installation.
DarkSword verdeutlicht dieses Problem. Apple stellte auch für ältere iOS-Versionen Patches für Schwachstellen aus der Angriffskette bereit. Geräte, auf denen verfügbare Sicherheitsupdates nicht installiert werden, bleiben dagegen unnötig lange exponiert. Technisches Patch-Management und Security Awareness dürfen deshalb nicht als getrennte Disziplinen betrachtet werden. Ein überzeugendes Social-Engineering-Szenario kann den Weg zu einer präparierten Website öffnen; eine ungepatchte Schwachstelle kann daraus anschließend eine technische Kompromittierung machen.
Apple empfiehlt Zwei-Faktor-Authentifizierung und konsequentes Misstrauen
Apple rät Anwendern unter anderem dazu, die Zwei-Faktor-Authentifizierung für ihren Apple Account zu aktivieren und niemals Passwörter oder Bestätigungscodes an Dritte weiterzugeben. Wer vermutet, dass sein Account bereits kompromittiert wurde, sollte das Passwort ändern und unbekannte Geräte aus dem Account entfernen. Für FaceTime stehen inzwischen zudem Funktionen zum Filtern unbekannter Anrufer und zum Stummschalten beziehungsweise Melden erkannter Spam- oder Betrugsanrufe zur Verfügung. Das technische Instrumentarium allein reicht jedoch nicht aus.
Security Awareness muss sich vom E-Mail-Phishing lösen
„Anwender müssen darauf trainiert werden, bei unerwarteten, verdächtigen Kontaktanfragen hellhörig zu werden und ihnen zu misstrauen – egal, ob es sich um E-Mails, SMS, Telefon- oder FaceTime-Anrufe handelt“, warnt Dr. Martin J. Krämer, CISO Advisor bei KnowBe4 . Damit trifft die aktuelle Entwicklung einen neuralgischen Punkt vieler Awareness-Programme. Noch immer konzentrieren sich zahlreiche Schulungen stark auf klassische Phishing-Mails. Moderne Social-Engineering-Kampagnen sind jedoch längst multimedial und kanalübergreifend.
Telefon, Messenger, Videokonferenzen, soziale Netzwerke, QR-Codes und künftig verstärkt KI-generierte Stimmen und Videos erweitern die Angriffsfläche erheblich.
Unternehmen sollten ihre Beschäftigten deshalb nicht nur darauf trainieren, verdächtige Links zu erkennen. Entscheidend ist eine grundlegendere Fähigkeit: Identitäten, außergewöhnliche Forderungen und künstlich erzeugten Zeitdruck unabhängig vom verwendeten Kommunikationskanal zu hinterfragen. Dazu gehören kontinuierliche Awareness-Trainings und realistische Phishing-Simulationen ebenso wie technische Schutzmaßnahmen und klar definierte Meldewege für verdächtige Vorfälle.
Fazit: Vertrauen wird selbst zur Angriffsfläche
FaceTime-Phishing ist weniger eine völlig neue Angriffstechnik als eine Weiterentwicklung eines alten Prinzips. Cyberkriminelle verlagern ihre Manipulation dorthin, wo Anwender noch nicht dieselben Abwehrreflexe entwickelt haben wie gegenüber einer klassischen Phishing-Mail.
Für Sicherheitsverantwortliche bedeutet das einen Paradigmenwechsel: Nicht der Kommunikationskanal entscheidet darüber, ob eine Anfrage vertrauenswürdig ist. Identität und Legitimität müssen unabhängig davon überprüft werden.
Kommt zu dieser psychologischen Manipulation noch eine ungepatchte technische Schwachstelle hinzu, können aus wenigen Minuten vermeintlichem Supportkontakt im schlimmsten Fall Account-Diebstahl, finanzieller Schaden oder eine vollständige Gerätekompromittierung werden.
