Montagmorgen, 9:10 Uhr. Ihre Kundenhotline ist bereits voll mit Menschen, die Sie nie angerufen haben. Die erste Mitarbeiterin spricht mit einer Kundin, die wissen will, warum „Ihre Betrugsabteilung” sie am Samstagabend angerufen und aufgefordert hat, ihr Erspartes auf ein Sicherheitskonto zu überweisen. Der dritte Kollege hat einen Mann in der Leitung, der einen Einmalcode vorgelesen hat, weil der Anrufer seine Adresse und die letzten vier Ziffern seiner Karte kannte. Bis mittags: sechzig Tickets, vier bestätigte Schadensfälle, eine Journalistin, die um Stellungnahme bittet. Niemand in Ihrem Haus hat auch nur eine dieser Nummern gewählt. Auf den Displays stand trotzdem Ihre.

Wer bei einer Bank, einem Telekommunikationsanbieter, einem Energieversorger oder einer Behörde Betrugsprävention, Kommunikation oder Kundenservice verantwortet, kennt dieses Muster. Anrufe im Namen der Bank oder Ihrer Marke sind Ihr Problem, obwohl Sie keine Straftat begangen haben. Ihr Name ist das Tatwerkzeug. Dieser Beitrag beschreibt, wie die Täuschung technisch funktioniert, was Rufnummern-Spoofing ein Unternehmen tatsächlich kostet, was die heutigen Regeln abdecken und was nicht, und wohin sich Verifikation entwickeln muss.

Die angezeigte Nummer hat Ihnen nie gehört

Alles, was ein Kunde sieht, wenn sein Telefon klingelt, ist technisch gesehen eine Behauptung. Die Rufnummer ist ein Feld, das die anrufende Seite beim Verbindungsaufbau selbst setzt; in der IP-Telefonie ist das Vortäuschen einer fremden Firmennummer eine Konfigurationseinstellung, kein Hackerangriff. Nichts im normalen Anrufweg prüft, ob der Anrufer irgendein Recht hat, Ihre Servicenummer anzuzeigen. Das Smartphone des Kunden erledigt dann die Markenarbeit für den Angreifer: Es erkennt die Nummer, zeigt Ihren Namen aus den Kontakten oder einer Rufnummern-Datenbank an, und manchmal erscheint der Anruf unter demselben Eintrag wie Ihre echten Nachrichten.

Bei SMS ist dieselbe Schwäche noch schärfer. Alphanumerische Absenderkennungen, das Label „IhreBank” über einer Nachricht, wählt der Absender selbst. Auf vielen Geräten sortiert sich eine gefälschte Nachricht mit Ihrer Absenderkennung in denselben Gesprächsverlauf wie Ihre echten Nachrichten, direkt unter die authentischen Anmeldecodes vom Vormonat. Die Fälschung erbt das Vertrauen jeder echten Nachricht darüber.

Der Kernpunkt für ein Fraud-Team: Nummer und Name sind beide vom Angreifer gewählt. Der Kunde, der dem Display glaubt, ist nicht leichtsinnig. Das Display lügt mit Ihrem Gesicht.

Die Rechnung kommt in drei Währungen

Der erste Posten sind direkte Schäden, die Ihrer Marke zugeschrieben werden. Jedes Opfer wird den Vorfall so zusammenfassen: „Die Bank hat mich angerufen.” Ob die Haftung am Ende bei Ihnen landet oder nicht, die Zuschreibung landet immer bei Ihnen: Erstattungsstreitigkeiten, Beschwerden beim Ombudsmann, Schriftverkehr mit der Aufsicht und Presseberichte, die Ihr Logo neben das Wort „Betrug” stellen.

Der zweite Posten ist operativ und steht in Ihren eigenen Warteschlangendaten. Jede Spoofing-Welle erzeugt eingehendes Volumen, das Sie nicht eingeplant haben: Geschädigte, Beinahe-Geschädigte, die prüfen wollen, ob der Anruf echt war, Kartensperrungen, Reklamationsvorgänge, Anfragen für die Anzeige bei der Polizei. Jeder Kontakt kostet Agentenminuten, jeder Betrugsfall kostet Stunden. Serviceleiter sehen eine Betrugswelle oft in ihren Volumen- und Gesprächszeitkurven, bevor das Fraud-Team ihr einen Namen gegeben hat.

Der dritte Posten ist der langsamste und aus meiner Sicht der größte: die Erosion Ihres Outbound-Kanals. Sprechen Sie mit jemandem, der für eine Bank aktiv Kunden anruft, und Sie hören überall dasselbe: Die Kunden gehen nicht mehr ran. Jahre von „Wir werden Sie niemals danach fragen”, verbunden mit der gelebten Erfahrung echter Betrugsanrufe, haben die Menschen gelehrt, dass ein Anruf ihrer Bank wahrscheinlicher ein Krimineller ist als ein Bankberater. Also landet die echte Betrugswarnung in der Mailbox, der Anruf zur offenen Rechnung kommt nie zustande, die Servicenachfrage verhallt. Sie bezahlen für einen Kanal, den Ihre eigene Sicherheitskommunikation mit niedergebrannt hat. Das ist der strategische Schaden: kein Einzelfall, sondern eine dauerhafte Steuer auf jeden legitimen Anruf, den Sie je noch tätigen.

Was die Bundesnetzagentur regelt und was durchrutscht

Der deutsche Gesetzgeber hat früh reagiert. Seit dem 1. Dezember 2022 gelten die Spoofing-Regeln des Telekommunikationsgesetzes: Netzbetreiber müssen bei Anrufen aus ausländischen Netzen deutsche Festnetznummern unterdrücken, damit einer angezeigten deutschen Nummer wieder vertraut werden kann; Anrufe, die Notrufnummern wie 110 und 112 oder teure Sondernummern vortäuschen, werden gar nicht erst durchgestellt. Wer betroffen ist, kann Fälle über die Beschwerdestelle der Bundesnetzagentur melden.

Das hat den bequemsten Angriffsweg verbaut. Aber die ehrliche Bilanz enthält drei strukturelle Lücken. Erstens gilt die Unterdrückungspflicht nicht für deutsche Mobilfunknummern, weil deren Nutzung im Ausland durch Roaming normal ist; genau dorthin verlagert sich das Spoofing. Zweitens sind die Regeln national, das Telefonnetz aber international: Anrufe mit ausländischen oder unbekannten Nummern, bei denen sich der Anrufer im Gespräch als Ihre Marke ausgibt, bleiben unberührt, ebenso SMS-Absenderkennungen. Drittens zeigt der Blick über die Grenzen, dass auch schwerere Geschütze das Problem nicht schließen: Das nordamerikanische STIR/SHAKEN-System, bei dem Netzbetreiber Anrufe kryptografisch signieren, kämpft weiter mit Altnetzen und internationalen Übergabepunkten, und Frankreich verzeichnete nach Einführung seines vergleichbaren MAN-Mechanismus weiter steigende Spoofing-Meldungen. Eine Signatur beweist, welcher Netzbetreiber den Anruf eingespeist hat, nicht, dass der Anrufer Ihre Nummer benutzen durfte.

Bleiben die Aufklärungskampagnen: „Wir fragen Sie niemals nach Ihrer PIN.” Sie sind notwendig, und jede hier angesprochene Organisation sollte sie fahren. Aber beachten Sie ihre Asymmetrie: Sie bringen Kunden bei, woran man einen falschen Kontakt erkennt, nie, woran man einen echten erkennt, denn an einem echten Anruf ist heute nichts beweisbar. Aufklärung lehrt Misstrauen, nicht Verifikation. Ihr logischer Endpunkt ist der Kunde, der bei allen auflegt, auch bei Ihnen.

Was ein Fraud-Team in diesem Quartal tun kann

Auf ein perfektes Telefonnetz zu warten ist kein Plan. Konkrete Schritte, grob nach Aufwand geordnet:

Inventarisieren Sie jede Rufnummer und jede SMS-Absenderkennung, die Ihr Haus ausgehend verwendet, über alle Abteilungen und Dienstleister hinweg, und streichen Sie inkonsistente oder nicht registrierte Kennungen.
Registrieren Sie, was sich registrieren lässt: Cloud-Callcenter-Nummern bei Ihren Netzbetreibern, Absenderkennungen bei Ihren SMS-Aggregatoren, und prüfen Sie in jedem Markt, ob es Sperrlisten für rein eingehende Nummern gibt.
Gestalten Sie ausgehende Anrufe so, dass Ablehnung sicher ist: Fragen Sie in einem von Ihnen initiierten Gespräch nie nach Codes oder Zahlungen, und laden Sie den Kunden gleich zu Beginn ein, aufzulegen und über die Nummer Ihrer Website oder Karte zurückzurufen.
Geben Sie Ihren Serviceteams eine Echtzeitsicht auf laufende Anrufkampagnen, damit „Haben Sie mich wirklich angerufen?” in Sekunden eine faktische Antwort bekommt, dazu einen Gesprächsleitfaden für bestätigte Opfer.
Messen Sie Markenmissbrauch als Kennzahl: Opfermeldungen, Verifikationsanrufe, Beschwerdespitzen, Annahmequoten im Outbound. Die Kanalerosion bleibt unsichtbar, bis Sie sie in eine Kurve legen.
Melden Sie jede Welle der Bundesnetzagentur und Ihren Netzbetreibern; Sperrregeln werden mit gemeldeten Daten besser.

Verifikation muss ein Beweis werden, kein Ratespiel

Alle Maßnahmen oben teilen dieselbe Decke: Sie verteuern falsche Anrufe oder lehren Kunden, sie zu fürchten, aber keine gibt dem Kunden den positiven Beweis, dass ein echter Anruf echt ist. Das Web hat das entsprechende Problem vor Jahren gelöst. Wir haben aufgehört, Menschen zum Entziffern von URLs anzuhalten, und Websites Zertifikate gegeben; der Browser prüft den Beweis, und die Last wanderte von der Wachsamkeit des Nutzers zur Nachweispflicht des Anbieters. Die Telefonie braucht ihr Gegenstück: ein Verzeichnis verifizierter Organisationen und einen Identitätsnachweis, der mit dem Kontakt eintrifft und auf dem Gerät des Kunden prüfbar ist, idealerweise offline, damit er genau in den Momenten funktioniert, die Betrüger ausnutzen.

Darauf bauen wir die Organisationsschiene von Hongi. Die Verbraucher-App gibt es heute schon: Zwei gekoppelte Personen sehen je ein rotierendes Codewort, alle 30 Sekunden erneuert und offline berechnet, sodass sich beide Seiten einander beweisen können. Die Organisationsebene verlängert denselben Mechanismus: ein Verzeichnis verifizierter Organisationen, Verifikation zwischen Mitarbeiter und Kunde während des Gesprächs und eine Offline-Anruferkennung, die bei registrierten Nummern „Organisation X ruft an — zum Verifizieren tippen” anzeigt. Beim Status will ich präzise sein, denn an vollmundigen Versprechen herrscht in diesem Feld kein Mangel: Portal und API sind im Aufbau, die Anruferkennungsebene ist in aktiver Entwicklung. Das ist Roadmap, kein fertiges Produkt. Wenn Sie früh mitgestalten oder pilotieren wollen, beginnen Sie auf unserer Organisationsseite; unsere Compliance-Übersicht beschreibt den Umgang mit den zugrunde liegenden Daten.

Ihre Marke wird so oder so missbraucht; dieser Teil liegt nicht mehr in Ihrer Hand. In Ihrer Hand liegt, ob Ihr Kunde den Unterschied erkennen kann, wenn wirklich Sie anrufen.