Warum die Rufnummer lügt – CLIP no screening, Spoofing und was die Anzeige wirklich bedeutet

Das Telefon klingelt, im Display steht die Nummer der eigenen Bank. Oder eine Nummer, die mit 110 endet. Oder, besonders verwirrend, die eigene Handynummer.

Die meisten Menschen gehen davon aus, dass die angezeigte Nummer die Nummer ist, von der angerufen wird. So wie bei einem Brief der Absender auf dem Umschlag. Aber genau wie beim Brief kann man auf den Umschlag schreiben, was man will.

Ich beschäftige mich beruflich mit Telefonie und bekomme diese Frage regelmäßig: „Wie kann es sein, dass meine Nummer angezeigt wird, obwohl ich nicht angerufen habe?“ Die Antwort ist ein Feature, das es völlig legal gibt und das täglich millionenfach sinnvoll genutzt wird. Und das man missbrauchen kann.

Jeder Anruf hat zwei Nummern

Das ist der Kern des Ganzen, und kaum jemand weiß es: Bei einem Anruf werden oft zwei Rufnummern übertragen.

1. Die netzseitige Nummer (network provided). Diese setzt der Telefonanbieter des Anrufers. Sie gehört zu dem Anschluss, von dem der Anruf tatsächlich kommt. Der Anbieter weiß, welcher Kunde da anruft, und schreibt die passende Nummer hinein.
2. Die vom Anrufer angegebene Nummer (user provided). Diese setzt der Anrufer selbst, genauer: seine Telefonanlage. Der Anbieter reicht sie weiter, ohne sie bei jedem Anruf zu prüfen.

Und jetzt kommt der entscheidende Punkt: Im Display des Angerufenen erscheint normalerweise die zweite, also die vom Anrufer angegebene.

CLIP no screening

Das Feature, mit dem der Anrufer seine angezeigte Nummer selbst bestimmt, heißt CLIP no screening. Zerlegt:

• CLIP steht für Calling Line Identification Presentation, also die Anzeige der Rufnummer des Anrufers.
• No screening heißt: Die Nummer wird vom Netz nicht gegen den Anschluss geprüft.

Das klingt erst einmal nach einer Sicherheitslücke. Tatsächlich ist es ein ganz normales Werkzeug für Geschäftskunden, und es gibt viele legitime Gründe dafür:

• Callcenter und Hotlines: Ein Unternehmen hat 200 Durchwahlen, möchte aber, dass beim Kunden immer die zentrale Servicenummer erscheint. Ruft der Kunde zurück, landet er wieder in der Hotline statt bei einem Mitarbeiter, der gerade Pause hat.
• Mehrere Standorte: Die Filiale in Hamburg telefoniert über die Anlage in Bremen, soll aber mit der Hamburger Nummer erscheinen.
• Rufumleitungen: Ein Anruf wird von der Festnetznummer aufs Handy weitergeleitet. Auf dem Handy soll die Nummer des ursprünglichen Anrufers erscheinen, nicht die eigene Festnetznummer.
• Mobilfunknummer aus der Anlage: Ein Mitarbeiter telefoniert über die Firmenanlage, beim Gegenüber soll seine Handynummer erscheinen.

Ohne CLIP no screening würde in all diesen Fällen die „falsche“ Nummer angezeigt. Das Feature ist also gewollt.

Was das Gesetz sagt

In Deutschland regelt das Telekommunikationsgesetz (TKG), § 120, wie mit Rufnummern umgegangen werden muss. Vereinfacht:

Wer eine Nummer angeben darf: Eine zusätzliche Nummer darf nur übertragen, wer daran ein Nutzungsrecht hat. Die Nummer muss also einem selbst gehören oder man muss sie nutzen dürfen. Eine Ausnahme gibt es für Rufumleitungen, bei denen die Nummer des ursprünglichen Anrufers weitergereicht werden darf.

Welche Nummern nie angezeigt werden dürfen: Notrufnummern (110 und 112), Premium-Dienste (z. B. 0900), Massenverkehrsdienste (0137), Auskunftsdienste (118xy) und Kurzwahlnummern. Anrufe, die eine solche Nummer als Absender tragen, müssen von allen beteiligten Anbietern abgebrochen werden.

Anrufe aus dem Ausland: Seit dem 1. Dezember 2022 gilt: Kommt ein Anruf aus einem ausländischen Netz und trägt eine deutsche Rufnummer, wird die Anzeige unterdrückt. Beim Angerufenen erscheint dann „unbekannt“. Ausnahme: Mobilfunk-Roaming. Wer mit seiner deutschen Handynummer im Urlaub anruft, soll weiterhin erkannt werden.

Und noch ein Satz aus dem Gesetz, den ich wichtig finde: Andere an der Verbindung beteiligte Anbieter dürfen übermittelte Rufnummern nicht verändern. Was am Anfang hineingeschrieben wird, kommt am Ende an.

Warum Spoofing trotzdem funktioniert

Wenn das alles so geregelt ist, warum klingelt dann trotzdem die „Bank“?

1. Die Prüfung ist nicht technisch, sondern vertraglich. Ob ein Kunde eine Nummer nutzen darf, wird beim Einrichten des Anschlusses geklärt, nicht bei jedem einzelnen Anruf. Ein seriöser Anbieter prüft das. Ein Kunde, der seine Anlage selbst konfiguriert, kann aber technisch erst einmal hineinschreiben, was er will. Ob der Anbieter das filtert, hängt vom Anbieter ab.

2. Die Lücke beim Mobilfunk. Die Ausnahme fürs Roaming ist gut gemeint, hat aber eine Kehrseite: Anrufe aus dem Ausland mit deutscher Handynummer dürfen weiterhin durchgereicht werden. Für das Netz sieht ein gefälschter Anruf mit Mobilfunknummer aus dem Ausland erst einmal genauso aus wie ein echter Urlauber. Deshalb tauchen bei Betrugsanrufen besonders oft Handynummern auf.

3. Einstieg innerhalb der EU. Betrüger weichen auf VoIP-Anbieter innerhalb Europas aus, die weniger streng prüfen. Kommt der Anruf über einen Weg ins Netz, der nicht als „Ausland“ markiert ist, greift der Filter nicht.

4. Die Tricks mit der 110. Die 110 selbst darf nicht angezeigt werden. Aber eine ganz normale Ortsnummer, die auf 110 endet, schon. Für viele Menschen sieht „0421 … 110“ im Display nach Polizei aus. Die echte Polizei ruft aber nie mit der 110 an, und auch nicht mit einer Nummer, die nur so tut.

Wie das im SIP-Trace aussieht

Wer meinen Beitrag über SIP-Traces gelesen hat, kann das direkt nachvollziehen. In einer SIP-Einladung (INVITE) stehen die beiden Nummern in zwei verschiedenen Headern:

INVITE sip:+494211234567@provider.example SIP/2.0
From: "Service" <sip:+498001234567@provider.example>;tag=a1b2c3
To: <sip:+494211234567@provider.example>
P-Asserted-Identity: <sip:+493098765432@provider.example>
Privacy: none

• From ist die vom Anrufer angegebene Nummer. Hier die Servicenummer, die beim Kunden angezeigt werden soll.
• P-Asserted-Identity ist die netzseitige Nummer, die der Anbieter gesetzt hat und für die er geradesteht. Hier die echte Nummer des Anschlusses.
• Privacy steuert, ob die Nummer angezeigt werden darf. Steht hier id, wird die Nummer beim Angerufenen unterdrückt (das klassische CLIR).

Der Angerufene sieht im Display die Nummer aus From. Die P-Asserted-Identity bleibt im Netz und ist vor allem für Anbieter, Behörden und Fehlersuche wichtig. Bei Notrufen etwa zählt die netzseitige Nummer.

Bei einem gefälschten Anruf sieht der Trace genauso aus. Nur dass in From eben die Nummer der Bank steht, und in P-Asserted-Identity irgendetwas ganz anderes. Diese Information hat aber nur der Anbieter, nicht der Mensch mit dem Telefon in der Hand.

Und andere Länder?

In den USA ist das Problem so groß geworden, dass dort ein Verfahren namens STIR/SHAKEN vorgeschrieben ist. Dabei signiert der Anbieter des Anrufers jeden Anruf digital und bestätigt, ob er die angezeigte Nummer für echt hält. Der Anbieter des Angerufenen kann die Signatur prüfen.

Das ist im Grunde dasselbe Prinzip wie bei E-Mails mit SPF, DKIM und DMARC, die ich im Beitrag über meinen Mailserver beschrieben habe: Der Absender kann nicht mehr einfach irgendetwas behaupten, ohne dass es auffällt.

In Deutschland gibt es so ein flächendeckendes Verfahren bisher nicht. Hier setzt man vor allem auf die gesetzlichen Regeln aus dem TKG, auf Filter an den Netzgrenzen und darauf, dass die Bundesnetzagentur missbrauchte Nummern abschaltet. Auf EU-Ebene wird über strengere Vorgaben für VoIP-Anbieter diskutiert.

Wenn die eigene Nummer missbraucht wird

Der unangenehmste Fall: Plötzlich rufen fremde Menschen zurück und fragen, warum man sie angerufen hat. Die eigene Nummer wird für Spoofing benutzt.

Die schlechte Nachricht: Der eigene Anbieter kann das meist nicht abstellen. Die Anrufe kommen nicht von dessen Netz, sondern von irgendwo anders, nur eben mit der eigenen Nummer als Absender. Der Anbieter sieht diese Anrufe in der Regel gar nicht.

Was man tun kann:

• Ruhig bleiben. Man hat nichts falsch gemacht, und der Spuk hört meist nach einigen Tagen von selbst auf, weil die Betrüger die Nummer wechseln.
• Bei der Bundesnetzagentur melden. Dort gibt es ein Formular für Rufnummernmissbrauch.
• Bei Rückrufern freundlich erklären, dass die Nummer missbraucht wurde. Die meisten verstehen das.
• Beim Anbieter nachfragen, ob er etwas sieht. Gerade wenn man eine eigene Telefonanlage betreibt, lohnt sich ein Blick, ob die Anlage selbst missbraucht wird. Das wäre dann etwas ganz anderes als Spoofing.

So schützt man sich

Für den Alltag reicht im Grunde eine einzige Regel:

Die angezeigte Rufnummer ist ein Hinweis, kein Beweis.

Daraus folgt:

1. Bei sensiblen Anrufen auflegen und selbst zurückrufen, und zwar über eine Nummer, die man selbst kennt: von der Bankkarte, aus dem Vertrag, von der offiziellen Webseite. Nicht über die Rückruftaste. Dabei landet man bei einem gefälschten Anruf übrigens beim echten Inhaber der Nummer, der von nichts weiß.
2. Die Polizei ruft nie mit der 110 an. Und sie fragt am Telefon nicht nach Wertsachen, Bargeld oder PINs.
3. Banken fragen nie nach TANs, PINs oder Passwörtern. Egal, welche Nummer im Display steht.
4. Druck ist ein Warnsignal. „Sie müssen sofort handeln“ ist der Klassiker bei Betrug. Echte Probleme lassen sich auch in zehn Minuten noch klären.
5. Älteren Angehörigen davon erzählen. Die sind am häufigsten Ziel, und oft reicht schon das Wissen, dass die Anzeige lügen kann.

Fazit

Die Rufnummer im Display ist kein Ausweis. Sie ist eine Angabe, die der Anrufer selbst machen kann, aus guten Gründen, denn ohne CLIP no screening würden Hotlines, Rufumleitungen und Firmenanlagen nicht so funktionieren, wie wir es gewohnt sind.

Das Gesetz zieht seit 2022 klare Grenzen: keine Notrufnummern als Absender, keine deutschen Nummern aus dem Ausland, außer beim Mobilfunk-Roaming. Das hat einiges gebracht, aber nicht alles. Solange es kein Verfahren gibt, das die Nummer bei jedem Anruf kryptografisch bestätigt, bleibt am Ende der gesunde Menschenverstand die wichtigste Schutzschicht.

Oder, wie man im Support sagen würde: Vertrauen ist gut, Rückruf über die bekannte Nummer ist besser.

Passend dazu auf der Frickelfabrik:

• „Telefon geht nicht“: warum die Störungssuche bei VoIP so knifflig ist