Nummernusurpation: Warum Ihre Anrufe und SMS nicht mehr sicher sind und wie die Arcep reagiert

Einleitung: Die Illusion der digitalen Identität

Stellen Sie sich vor, Sie erhalten einen Anruf von Ihrer Bank, Ihrem Versicherungsberater oder sogar einem Angehörigen, wobei genau die richtige Nummer auf Ihrem Bildschirm erscheint. Vertrauensvoll nehmen Sie ab, nur um schließlich festzustellen, dass Sie mit einem Betrüger am anderen Ende der Welt verbunden sind. Dieses Szenario, das früher Spionagefilmen vorbehalten war, ist für Millionen von Menschen in Frankreich zur täglichen Realität geworden. Das ist die sogenannte Nummernusurpation, im Englischen als Spoofing bekannt.

Die telefonische Identität, die wir als eindeutiges und zuverlässiges Merkmal betrachten, ist in Wirklichkeit fragil. Das Protokoll, das für die Weiterleitung von Anrufen und SMS verwendet wird, wurde nicht mit Sicherheit als Priorität entwickelt. Dies lässt die Tür für einfache technische Manipulationen offen, um die tatsächliche Identität des Absenders zu verschleiern. Angesichts der Explosion dieser Betrugsfälle hat die Arcep (die Regulierungsbehörde für elektronische Kommunikation, Post und Pressevertrieb) beschlossen, in die Offensive zu gehen und eine Untersuchung gegen alle Telekommunikationsbetreiber einzuleiten.

Warum besteht diese Schwachstelle im Jahr 2026 immer noch? Wie gelingt es Betrügern, die Sicherheitssysteme zu umgehen? Und vor allem: Was kann die Regulierungsbehörde tun, um die Betreiber zur Sicherung unserer Kommunikation zu zwingen?

Der technische Mechanismus: Wie funktioniert Spoofing?

Um die Usurpation zu verstehen, muss man begreifen, dass die Nummer, die auf Ihrem Telefon angezeigt wird, kein Identitätsnachweis ist, sondern lediglich ein „Etikett“, das in den Signalisierungsdaten des Anrufs übertragen wird.

Die Schwachstelle des SIP-Protokolls

Die Mehrheit der modernen Anrufe wird über das SIP-Protokoll (Session Initiation Protocol) abgewickelt, das für Voice-over-IP (VoIP) verwendet wird. Das Hauptproblem von SIP besteht darin, dass es dem Absender ermöglicht, das Feld „From“ (Von) im Header der Nachricht selbst zu definieren.

Wenn ein Betrüger ein schlecht gesichertes VoIP-Gateway oder eine spezialisierte Software verwendet, kann er jede beliebige Nummer in dieses Feld einfügen. Das Netz des Betreibers empfängt den Anruf und leitet, ohne eine gründliche Überprüfung der tatsächlichen Herkunft des Signals, einfach das gewünschte Etikett an das Telefon des Empfängers weiter.

Verschiedene Formen der Usurpation

Spoofing beschränkt sich nicht nur auf Sprachanrufe. Man unterscheidet hauptsächlich drei Arten von Angriffen:

1. Unternehmens-Spoofing: Der Betrüger imitiert die Nummer einer Institution (Bank, Finanzamt, Krankenkasse), um sofort ein Vertrauensverhältnis aufzubauen.
2. Regional-Spoofing: Der Angreifer verwendet eine Nummer mit derselben regionalen Vorwahl wie das Opfer, um die Chance zu erhöhen, dass der Anruf entgegengenommen wird.
3. Kontakt-Spoofing: Seltener und gezielter usurpiert der Betrüger die Nummer eines Angehörigen, um eine dringende Überweisung zu erbitten (Betrugsmasche „falscher Sohn“ oder „falscher Chef“).

Die Untersuchung der Arcep: Die Betreiber in der Verantwortung

Seit Anfang 2026 hat die Arcep ihre Überwachung intensiviert. Die eingeleitete Untersuchung richtet sich nicht gegen die Betrüger – die oft rechtlich nicht erreichbar sind –, sondern gegen die Betreiber. Die Regulierungsbehörde stellt eine grundlegende Frage: Warum lassen Mobilfunknetze Anrufe durch, deren Identität offensichtlich gefälscht ist?

Mangelnde Filterung am Eingang

Die Arcep weist auf die Durchlässigkeit der Interkonnektionen hin. Wenn ein Anruf von einem ausländischen Betreiber oder einem kleinen VoIP-Anbieter in ein großes französisches Netz (Orange, SFR, Bouygues, Free) gelangt, ist die Filterung oft unzureichend. Die Betreiber akzeptieren die Anrufe und vertrauen auf die vom Ursprungsnetz übermittelten Informationen, ohne einen Mechanismus zur Kreuzvalidierung zu nutzen.

Finanzielle und technische Herausforderungen

Für die Betreiber stellt die Implementierung einer strikten Filterung eine technische Herausforderung dar. Die Echtzeit-Überprüfung der Authentizität jedes eingehenden Anrufs könnte zu Verbindungsverzögerungen oder, schlimmer noch, zur Blockierung legitimer Anrufe (False Positives) führen. Zudem macht das Fehlen eines harmonisierten weltweiten Standards den Kampf komplex: Ein französischer Betreiber kann nicht einfach Identitätsgarantien von einem Betreiber in einer rechtlich laxen Gerichtsbarkeit fordern.

Welche Lösungen gibt es zur Sicherung unserer Kommunikation?

Die Arcep drängt die Betreiber zur Einführung von Zertifizierungsprotokollen. Ziel ist der Übergang von einem System des „blinden Vertrauens“ zu einem System des „verifizierten Vertrauens“.

Der STIR/SHAKEN-Standard

Das Framework STIR/SHAKEN, das bereits in Nordamerika erfolgreich eingesetzt wird, ist die bevorzugte technische Lösung. So funktioniert es:

• STIR (Secure Telephone Identity Revisited): Ermöglicht das Hinzufügen eines verschlüsselten digitalen Zertifikats zum Anruf.
• SHAKEN (Signature-based Handling of Assertions provided by Tokens): Definiert, wie Betreiber diese Zertifikate handhaben müssen.

Zusammenfassend: Der Betreiber des Absenders „signiert“ den Anruf. Der Betreiber des Empfängers prüft die Signatur. Wenn die Signatur fehlt oder ungültig ist, kann das Telefon den Hinweis „Potenziell betrügerischer Anruf“ anzeigen oder den Anruf blockieren.

Die Rolle intelligenter Filter und KI

Parallel dazu integrieren Betreiber und Hersteller (Apple, Google) Datenbanken mit gemeldeten Nummern. KI analysiert mittlerweile Verhaltensmuster: Eine Nummer, die innerhalb einer Stunde 10.000 Anrufe von jeweils 10 Sekunden tätigt, wird fast systematisch als Spoofing-Bot identifiziert und auf eine Blacklist gesetzt.

Praxisleitfaden: Wie schützt man sich vor Spoofing?

Bis die Maßnahmen der Arcep und der Betreiber voll wirksam sind, bleibt Wachsamkeit Ihre beste Verteidigung. Spoofing setzt auf Emotionen und Dringlichkeit.

Empfohlene Sicherheitsreflexe

Situation	Empfohlener Reflex
Anruf einer Bank, die einen Code verlangt	Sofort auflegen. Rufen Sie Ihren Berater selbst über die offizielle Nummer zurück.
Dringende SMS eines Angehörigen, die Geld fordert	Rufen Sie die Person auf ihrer gewohnten Nummer an, um dies zu prüfen.
Anruf einer Behörde (Finanzamt, Sozialkasse)	Geben Sie niemals Bankdaten am Telefon preis. Behörden kommunizieren vorrangig über Ihre gesicherten Online-Portale.
Zweifel an der Identität des Gesprächspartners	Stellen Sie eine persönliche Frage, die nur das echte Gegenüber beantworten könnte.

Werkzeuge zur Risikominimierung

• Filter-Apps: Tools wie Hiya oder Truecaller können helfen, aber achten Sie auf die Vertraulichkeit Ihrer eigenen Kontaktdaten.
• Blockieren unbekannter Nummern: Unter Android und iOS können Sie Ihr Telefon so konfigurieren, dass alle Anrufe, die nicht in Ihren Kontakten stehen, direkt auf die Mailbox geleitet werden.
• Meldung: Nutzen Sie die Plattform 33700, um betrügerische SMS zu melden. Dies hilft den Betreibern, Angriffswellen in Echtzeit zu identifizieren.

Fazit: Auf dem Weg zu einer zertifizierten Telefonidentität

Die Nummernusurpation ist das Symptom eines Netzwerks, das für die Konnektivität, aber nicht für die Sicherheit konzipiert wurde. Im Jahr 2026 erreichen wir einen Wendepunkt, an dem das Vertrauen in die angezeigte Nummer zu einem Sicherheitsrisiko geworden ist. Die Untersuchung der Arcep ist ein starkes Signal: Die Verantwortung für den Schutz kann nicht länger allein auf den Schultern des Endnutzers liegen.

Der Übergang zu Standards wie STIR/SHAKEN und eine strengere Filterung an den Netzgrenzen sind unerlässlich. Die Telefonnummer muss wieder das werden, was sie immer hätte sein sollen: ein zuverlässiger Identitätsnachweis und nicht nur eine Maske für Cyberkriminelle. Denken Sie bis dahin daran: In der heutigen digitalen Welt ist die angezeigte Nummer nicht zwangsläufig die Person, die mit Ihnen spricht.