Spoofing: gefälschte Anrufe erkennen und sich schützen

Das Telefon klingelt, im Display steht die Nummer deiner Bank, und am anderen Ende erklärt jemand ruhig, dass es ein Problem mit deinem Konto gibt. Die Nummer stimmt. Du hast sie sogar im Adressbuch, weshalb dein Telefon gleich den richtigen Namen dazu anzeigt. Trotzdem kann der Anruf von einem beliebigen Rechner irgendwo auf der Welt kommen, denn diese Anzeige lässt sich fälschen. Der Vorgang heißt Spoofing, und er ist der Grund, warum eine Rufnummer im Display nichts beweist.

Dieser Text erklärt zuerst, was hinter dem Begriff steckt und wie die gefälschte Rufnummer technisch zustande kommt. E-Mail und SMS bekommen ihren kurzen Teil, weil dieselbe Idee dort ebenso funktioniert. Den größten Raum nimmt der praktische Teil ein: woran du einen solchen Anruf erkennst, welche eine Gewohnheit dich fast vollständig davor schützt und wohin du den Fall meldest.

Was ist Spoofing

Spoofing kommt vom englischen to spoof, also verulken oder vortäuschen. In der Technik meint es das Fälschen einer Absenderkennung, damit eine Verbindung von einer vertrauenswürdigen Quelle zu kommen scheint. Gefälscht wird immer nur die Kennung. Der Anschluss der Bank, das Postfach der Behörde und der Server der Paketfirma bleiben unangetastet, und niemand muss sie knacken, damit die Täuschung funktioniert.

Der Grund dafür liegt im Alter der Protokolle. Telefonnetz und E-Mail stammen aus einer Zeit, in der die Teilnehmer überschaubar und untereinander bekannt waren. Wer eine Absenderangabe machte, wurde beim Wort genommen, weil eine Prüfung damals sinnlos erschien und Rechenzeit gekostet hätte. Diese Annahme steckt bis heute in der Grundlage, und alles, was seither an Schutz dazugekommen ist, wurde nachträglich darübergelegt.

In der Praxis begegnet dir das in drei Ausprägungen. Der Anruf mit fremder Rufnummer ist die folgenreichste, weil die Stimme am Telefon unmittelbar Druck aufbauen kann. Die E-Mail mit gefälschtem Absender ist die häufigste, wird aber inzwischen von den großen Anbietern recht zuverlässig aussortiert. Die SMS mit falschem Absendernamen liegt dazwischen. Es gibt daneben eine Reihe technischer Varianten, etwa gefälschte IP-Adressen oder manipulierte Namensauflösung im Netz, die für Angriffe auf Infrastruktur eine Rolle spielen und im Alltag von Privatpersonen praktisch nicht vorkommen.

Anruf-Spoofing: wenn im Display eine fremde Nummer steht

Beim Verbindungsaufbau schickt jedes Telefonnetz eine Reihe von Datenfeldern mit, getrennt vom Gespräch selbst. Eines davon enthält die Rufnummer des Anrufers, im Fachjargon Calling Line Identification oder kurz Caller ID. Dein Telefon liest dieses Feld aus, gleicht es mit dem Adressbuch ab und zeigt an, was dort steht. Wie diese Angabe in das Feld gelangt ist, kann das Gerät nicht sehen.

Genau hier setzt die Fälschung an. Anrufe, die über Internet-Telefonie in die klassischen Netze eingespeist werden, bringen ihre Absenderkennung als frei setzbaren Wert mit. Für den Betrieb einer Firma ist das notwendig und völlig legitim: Eine Telefonanlage mit dreihundert Nebenstellen soll nach außen die zentrale Servicenummer zeigen, und ein Callcenter, das im Auftrag eines Auftraggebers anruft, meldet sich mit dessen Nummer. Die Möglichkeit ist also kein Konstruktionsfehler, sondern eine gewollte Funktion, die auf dem Weg zum Endgerät kaum überprüft wird.

Wer sie missbraucht, braucht dafür weder Spezialwissen noch nennenswertes Geld. Es genügt ein Zugang zu einem Telefoniedienst, der die Absenderkennung durchreicht und bei der Zuteilung nicht genau hinsieht, häufig mit Sitz außerhalb der Reichweite deutscher Aufsicht. Die Kosten pro Anruf liegen im Cent-Bereich, die Nummern lassen sich automatisiert durchwählen, und aufgelegt wird, sobald jemand misstrauisch klingt. Konkrete Anbieter oder Vorgehensweisen nennen wir hier bewusst nicht. Der Punkt ist ein anderer: Weil der Aufwand so gering ist, sagt eine vertrauenswürdige Nummer im Display exakt nichts über den Menschen aus, der spricht.

Welche Nummern angezeigt werden

Vier Muster tauchen immer wieder auf, und jedes zielt auf eine andere Reaktion.

Die 110 ist ein Sonderfall, den man kennen sollte: Die echte Polizei ruft niemals mit dieser Nummer heraus, weil sie technisch ausschließlich für eingehende Notrufe vorgesehen ist. Erscheint sie im Display, ist der Anruf schon allein deshalb gefälscht.

Ebenso aufschlussreich ist der Umgang mit Behörden allgemein. Ämter, Gerichte und Strafverfolgung arbeiten schriftlich. Eine Vorladung kommt per Post, eine Kontosperrung ebenfalls, und keine dieser Stellen fordert am Telefon Bargeld, Gold oder die Herausgabe von Wertsachen an einen Abholer. Wenn ein Anruf genau das tut, ist die Frage nach der Echtheit bereits beantwortet.

E-Mail-Spoofing und SMS-Spoofing

Bei E-Mail ist das Prinzip dasselbe und noch etwas älter. Das Feld From, das dein Programm als Absender anzeigt, ist reiner Text im Kopf der Nachricht, den der Versender frei bestimmt. Es sagt so viel aus wie der Absender, den jemand auf einen Briefumschlag schreibt.

Anders als beim Telefon ist die Gegenwehr hier deutlich weiter. Drei Verfahren greifen ineinander und werden von allen großen Anbietern ausgewertet:

• SPF hinterlegt im Namenssystem einer Domain, welche Server für sie Nachrichten verschicken dürfen. Kommt eine Mail von woanders, fällt das auf.
• DKIM setzt eine kryptografische Signatur über die Nachricht, die sich mit einem öffentlich hinterlegten Schlüssel prüfen lässt. Sie zeigt, dass der Inhalt unterwegs unverändert blieb und wirklich aus der Domain stammt.
• DMARC verbindet beides und legt fest, was mit einer Nachricht geschehen soll, die durchfällt: annehmen, in den Spam-Ordner schieben oder ablehnen.

Für dich als Empfänger heißt das, dass eine plumpe Fälschung im Namen einer gut gepflegten Domain heute meist gar nicht mehr ankommt. Übrig bleiben die Nachrichten von ähnlich aussehenden Domains, bei denen ein Buchstabe getauscht oder ein Bindestrich eingefügt wurde, und die technisch völlig sauber sind. Der Absendername in der Anzeige hilft dabei nicht weiter, weil er frei wählbar ist. Ein Blick auf die vollständige Adresse hinter dem Namen lohnt sich deshalb immer.

Bei SMS-Spoofing wird die Absenderkennung durch einen Text ersetzt, die sogenannte Alphanumeric Sender ID. Sie wurde eingeführt, damit Firmen mit ihrem Namen statt einer Nummer erscheinen, und genau das macht sie brauchbar für Täuschungen. Kommt die Fälschung im selben Namen an wie frühere echte Nachrichten, sortieren viele Telefone sie in denselben Gesprächsverlauf ein, was der falschen Nachricht die Glaubwürdigkeit der echten leiht. Der Fachbegriff für solche Betrugsnachrichten lautet Smishing, zusammengezogen aus SMS und Phishing. Die Regel dafür ist einfach: Links aus solchen Nachrichten nicht antippen, sondern die Seite oder App selbst aufrufen.

Wie du dich vor Spoofing schützt

Jetzt der Teil, auf den es ankommt. Technisch kannst du an der Anzeige nichts verbessern, denn sie wird auf dem Weg zu dir gefälscht, lange bevor dein Gerät sie zu sehen bekommt. Schützen kann dich deshalb nur eine Handvoll Gewohnheiten, die dafür ziemlich zuverlässig wirken.

Der Rückruf über die offizielle Nummer

Das ist der wichtigste Punkt des ganzen Artikels. Wenn ein Anruf etwas von dir will, das mit Geld, Daten oder Zugängen zu tun hat, beendest du das Gespräch und rufst selbst zurück. Nicht unter der Nummer im Display, nicht unter der Nummer, die der Anrufer dir nennt, und nicht über die Rückruftaste in der Anrufliste. Sondern unter der Nummer, die auf deiner Bankkarte steht, im Impressum der offiziellen Website, auf einem alten Kontoauszug oder im Telefonbuch.

Warum das so gut funktioniert, liegt an der Richtung. Ein gefälschter Anruf kommt zu dir, und die Fälschung wirkt nur in dieser einen Richtung. Wählst du selbst, baut dein Netz die Verbindung zu genau dem Anschluss auf, der zu dieser Nummer gehört. Da lässt sich nichts dazwischenschieben.

Was am Telefon nichts verloren hat

Es gibt eine kurze Liste von Dingen, die in einem echten Anruf nie vorkommen. Wer sie kennt, braucht das Gespräch inhaltlich gar nicht zu bewerten.

Der letzte Punkt verdient besondere Aufmerksamkeit. Die Bitte um Verschwiegenheit und die Aufforderung, in der Leitung zu bleiben, sind kein Zufall, sondern Methode: Sie sollen verhindern, dass du dich mit einer zweiten Person berätst, weil genau dieses Gespräch die Masche fast immer beendet.

Auflegen ist erlaubt

Höflichkeit ist ein Hebel, mit dem am Telefon gearbeitet wird. Wer erzogen wurde, niemandem ins Wort zu fallen, hält länger durch als ihm guttut, und das ist einkalkuliert. Ein Anruf, der Druck aufbaut, dir eine Frist setzt oder mit Konsequenzen droht, darf ohne Erklärung beendet werden. Es gibt keine seriöse Angelegenheit, die daran zerbricht, dass du in zehn Minuten selbst zurückrufst.

Für ältere Angehörige lohnt es sich, das einmal in Ruhe zu besprechen, statt es in einer Broschüre zu belassen. Der Enkeltrick und die Masche mit den falschen Polizisten laufen inzwischen fast durchweg über gefälschte Rufnummern, was sie gegenüber früher deutlich überzeugender macht. Ein vereinbartes Codewort in der Familie und ein zweiter, unabhängiger Anruf beim vermeintlichen Enkel kosten nichts und lösen den Fall in einer Minute.

Was Technik beitragen kann

Ein paar Werkzeuge helfen zusätzlich, ohne das Problem an der Wurzel zu lösen. Moderne Telefone markieren verdächtige Nummern, wofür sie allerdings Rufnummern zur Prüfung an den Hersteller senden. Router am Festnetz können Sperrlisten führen und Anrufe ohne Nummer abweisen. Bei Onlinekonten hilft eine Zwei-Faktor-Anmeldung, weil ein am Telefon abgeschwatztes Passwort dann allein nichts wert ist.

Auf Netzebene gibt es Verfahren, die Rufnummern beim Einspeisen kryptografisch signieren, in Nordamerika unter dem Namen STIR/SHAKEN im Einsatz. In Europa existieren vergleichbare Pflichten für Anbieter, ausländische Anrufe mit deutschen Rufnummern auszusortieren, und sie greifen zunehmend. Verlassen kann man sich darauf noch nicht, denn die Lücken sitzen genau dort, wo die missbräuchlichen Anrufe eingespeist werden.

Die andere Richtung dieses Themas haben wir uns bereits angesehen: Beim anonymen Anrufen verbirgst du deine eigene Nummer, statt eine fremde vorzutäuschen. Beides berührt dasselbe Feld in der Signalisierung. Das eine ist eine gesetzlich garantierte, kostenlose Funktion für jedermann, das andere Rufnummernmissbrauch.

Spoofing melden

Zwei Stellen sind zuständig, und sie schließen einander nicht aus.

Die Bundesnetzagentur ist für Rufnummernmissbrauch zuständig und nimmt Meldungen über ein Onlineformular, per Mail oder schriftlich entgegen. Sie kann Rufnummern abschalten lassen, Anbietern die Abrechnung untersagen und Bußgelder verhängen. Nützlich für die Meldung sind das Datum, die Uhrzeit, die angezeigte Nummer und ein paar Sätze zum Inhalt des Gesprächs. Auch wenn dir nichts passiert ist, hilft die Meldung: Die Behörde erkennt Missbrauch an der Häufung, und eine einzelne Beschwerde ist ein Datenpunkt in einem Muster.

Die Polizei ist dran, sobald ein Schaden entstanden ist, also Geld überwiesen, Zugangsdaten weitergegeben oder Wertsachen übergeben wurden. Anzeige geht bei jeder Dienststelle und in den meisten Bundesländern auch online über die Internetwache. Parallel dazu sofort die Bank anrufen, denn Überweisungen lassen sich in den ersten Stunden gelegentlich noch aufhalten. Danach gilt das Übliche für Beweise: Screenshots der Anrufliste, Kontoauszüge, Notizen zum Gesprächsverlauf, alles aufheben.

Nicht sinnvoll ist der Rückruf bei der angezeigten Nummer, um dem Anrufer die Meinung zu sagen. Sie gehört fast immer einem unbeteiligten Anschluss, dessen Inhaber ohnehin schon eine unangenehme Woche hat.

Wenn jemand mit deiner Nummer anruft

Genau dieser unbeteiligte Anschluss kann deiner sein. Dann rufen Fremde bei dir an, um sich über einen Anruf zu beschweren, den du nie geführt hast, und vereinzelt kommen unfreundliche Nachrichten dazu.

Die wichtigste Auskunft vorweg: Dein Anschluss ist nicht gehackt. Es gibt keinen Zugriff auf dein Telefon, keine Schadsoftware und keine kompromittierte SIM. Deine Nummer wurde lediglich in ein Datenfeld geschrieben, was von jedem beliebigen Ort aus geschehen kann und dein Gerät überhaupt nicht berührt. Meist stammt sie aus einem automatisch durchgezählten Nummernblock, nicht aus einer gezielten Auswahl.

Verhindern lässt sich das kaum, und das ist die unbequeme Seite. Deine Nummer sperren zu lassen hilft nicht, weil der Missbrauch nicht über deinen Anschluss läuft. Was bleibt, ist eine Meldung bei der Bundesnetzagentur, eine kurze sachliche Ansage auf der Mailbox und ein wenig Geduld. Solche Wellen dauern in aller Regel einige Tage bis zwei Wochen, dann zieht der Absender weiter zum nächsten Nummernblock. Bei anhaltender Belästigung ist ein Wechsel der Rufnummer beim Anbieter möglich, was allerdings mit Aufwand verbunden ist und wie stabil eine einmal vergebene Nummer als Kennung wirkt, haben wir im Text über die digitale Identität beschrieben.

Was bleibt

Spoofing ist keine besonders raffinierte Technik. Es nutzt eine Vertrauensannahme aus, die seit Jahrzehnten in unseren Kommunikationsnetzen steckt und sich nicht ohne Weiteres entfernen lässt, weil unzählige legitime Anwendungen darauf aufbauen. Bei E-Mail hat man mit SPF, DKIM und DMARC eine Prüfschicht nachgezogen, die inzwischen ordentlich funktioniert. Beim Telefon steht diese Nachrüstung noch aus.

Für dich läuft daraus eine einzige Regel zusammen, die sich einprägt und in jedem Fall trägt: Eine Rufnummer im Display ist eine Behauptung. Wenn es um Geld, Zugangsdaten oder Druck geht, legst du auf und wählst selbst die Nummer, die du aus einer Quelle hast, die dir niemand ins Ohr diktiert hat. Diese Gewohnheit kostet zwei Minuten und schlägt jede Erkennungssoftware, die es derzeit gibt.

Häufige Fragen

Was ist Spoofing?

Spoofing bezeichnet das Fälschen einer Absenderkennung, damit eine Nachricht oder ein Anruf von einer vertrauenswürdigen Quelle zu stammen scheint. Beim Telefon ist das die angezeigte Rufnummer, bei E-Mail die Absenderadresse, bei SMS der Absendername. Gefälscht wird jeweils nur die Kennung, nicht der Anschluss oder das Konto dahinter. Der Zweck ist fast immer derselbe: Vertrauen erzeugen, das ohne die fremde Kennung nicht entstehen würde.

Wie funktioniert Spoofing beim Telefon?

Die Rufnummer, die dein Display anzeigt, wird beim Verbindungsaufbau als Datenfeld mitgeschickt. Wer den Anruf über einen Internet-Telefoniedienst einspeist, kann dieses Feld frei setzen, weil es technisch als Angabe des Anrufers gilt und auf dem Weg durch die Netze in der Regel nicht überprüft wird. Deshalb kann im Display die Nummer einer Bank, einer Behörde oder sogar dein eigener Anschluss erscheinen, obwohl der Anruf von ganz woanders kommt.

Wie erkenne ich Spoofing?

An der Nummer selbst gar nicht, und das ist der Kern der Sache. Erkennbar ist das Muster des Gesprächs: unerwarteter Anruf einer Stelle, die dich sonst schriftlich kontaktiert, akuter Zeitdruck, eine Drohung, die Bitte um TAN, Passwort, Fernwartungssoftware oder eine Überweisung. Auch die Aufforderung, unter keinen Umständen aufzulegen oder mit niemandem zu sprechen, ist ein verlässliches Signal. Prüfen kannst du es nur über einen eigenen Rückruf unter der offiziellen Nummer.

Was ist Caller-ID-Spoofing?

Caller-ID-Spoofing, auch Call-ID-Spoofing, ist der Fachbegriff für die gefälschte Rufnummernanzeige. Die Caller ID ist das Feld, das dein Telefon aus der Signalisierung ausliest und auf dem Display darstellt. Beim Spoofing enthält dieses Feld eine Nummer, die dem Anrufer nicht gehört. Legitim genutzt wird derselbe Mechanismus von Unternehmen, die aus einer Telefonanlage heraus mit ihrer zentralen Servicenummer anrufen. Missbräuchlich genutzt ist er der technische Kern des Telefonbetrugs.

Ist ein Fake-Anruf mit fremder Nummer strafbar?

In Deutschland ist es Anbietern und Anrufern untersagt, eine Rufnummer zu verwenden, die ihnen nicht zugeteilt ist. Die Bundesnetzagentur kann solche Nummern abschalten und Bußgelder verhängen. Kommt eine Täuschung mit Vermögensschaden hinzu, liegt zusätzlich Betrug nach dem Strafgesetzbuch vor, bei falschen Polizeibeamten außerdem Amtsanmaßung. Der Scherzanruf mit fremder Nummer ist also keine Grauzone, sondern bereits Rufnummernmissbrauch.

Gibt es Apps zum Spoofen von Nummern?

Ja, entsprechende Dienste und Apps existieren, und ihr Angebot ist der Grund, warum diese Betrugsform so verbreitet ist. Sie hier zu nennen wäre allerdings verfehlt: Wer damit eine fremde Rufnummer anzeigen lässt, begeht Rufnummernmissbrauch, und je nach Absicht kommt Betrug dazu. Wer lediglich seine eigene Nummer nicht preisgeben möchte, braucht keine solche App, sondern die kostenlose Rufnummernunterdrückung oder eine zweite SIM-Karte.

Wo kann ich Spoofing melden?

In Deutschland nimmt die Bundesnetzagentur Meldungen zu Rufnummernmissbrauch entgegen, online über ein Formular oder schriftlich. Hilfreich sind Datum, Uhrzeit, die angezeigte Nummer und eine kurze Schilderung des Gesprächs. Ist Geld geflossen oder wurden Zugangsdaten weitergegeben, gehört der Fall zusätzlich zur Polizei, jede Dienststelle nimmt die Anzeige auf. Die Bank informierst du parallel, denn Überweisungen lassen sich in den ersten Stunden manchmal noch stoppen.

Jemand ruft mit meiner Nummer an, was kann ich tun?

Zunächst die beruhigende Nachricht: Dein Anschluss ist nicht gehackt und dein Telefon nicht befallen. Deine Nummer wurde lediglich als gefälschte Absenderkennung eingesetzt, was von außen geschieht und keinen Zugriff auf dein Gerät erfordert. Verhindern kannst du es kaum. Sinnvoll ist eine Meldung bei der Bundesnetzagentur, eine kurze sachliche Ansage auf der Mailbox und Geduld, denn solche Wellen laufen meist nach einigen Tagen aus.