Call-ID-Spoofing: wie Anrufer die angezeigte Nummer fälschen und wie Netze sie prüfen
Beim Call-ID-Spoofing lässt ein Anrufer auf Ihrem Telefon eine Nummer erscheinen, die nicht seine ist, oft die Ihrer Bank. Das funktioniert, weil die Nummer als Datenzeile mit dem Anruf mitreist. Diese Zeile füllt die Telefonanlage des Anrufers selbst aus, und die Netze haben sie jahrzehntelang ungeprüft weitergereicht. Heute verpflichten die USA und Frankreich die Netzbetreiber, die Nummer zu signieren und die Signatur zu prüfen, und das Vereinigte Königreich, Deutschland und Belgien sperren Anrufe aus dem Ausland mit einer inländischen Nummer oder unterdrücken die Nummer. Die Regeln ändern sich oft: Wir haben jede Angabe auf dieser Seite zuletzt am 30. Oktober 2026 geprüft.
Violett: der Anruf und sein SiegelLegende
- Violett: der Anruf und sein Siegel
- Gestrichelt: Internet und Funk
Mit Prüfungen · die Netze in Ihrem Land prüfen die Nummer
Drücken Sie eine Schaltfläche, oder klicken Sie auf den Bildschirm des Anrufers, die Bank oder Ihr Handy.Drücken Sie eine Schaltfläche, oder tippen Sie auf den Bildschirm des Anrufers, die Bank oder Ihr Handy.
Dieselben Anrufe mit den Prüfungen, die Netze heute machen, und ohne sie. Jedes Land prüft auf seine Weise. In Deutschland kommt ein solcher Anruf ohne Nummer an.
Anatomie des Call-ID-Spoofings: ein Anruf aus einem Raum im Ausland, über einen Anbieter und über die Grenze, bis zur Prüfung bei Ihrem Netzbetreiber und zu Ihrem Handy. Der Schalter zeigt dasselbe Netz ohne die Prüfungen. Die Zeichnung ist nicht maßstabsgetreu.
-
Folgen Sie einem Anruf
Drücken Sie auf Anruf abspielen und sehen Sie zu, oder scrollen Sie nach unten: Die Zeichnung geht Schritt für Schritt mit. Mit Ausprobieren unter der Zeichnung führen Sie Ihren eigenen Anruf.Drücken Sie auf Anruf abspielen und sehen Sie zu, oder auf Weiter für den nächsten Schritt. Mit Ausprobieren unter der Zeichnung führen Sie Ihren eigenen Anruf.
-
Schritt 1 von 6
Der Anrufer tippt die Nummer ein
Der Anrufer sitzt im Ausland an einem Computer, auf dem eine Telefonanlage läuft. In ihren Einstellungen gibt es ein Feld für die Nummer, die der Anruf anzeigen soll, und dort tippt er die Nummer Ihrer Bank ein. Die Software prüft nicht, ob die Nummer ihm gehört. Das ist Absicht: Ein Callcenter, das für ein Unternehmen anruft, zeigt dessen Nummer an, nicht die eigene.
Warum kann ein Anrufer jede beliebige Nummer anzeigen?
Bei einem Anruf über das Internet steht die angezeigte Nummer in einer Zeile der Nachricht, mit der der Anruf beginnt, im Feld „From“. Laut Standard füllt die Technik des Anrufers sie selbst aus, und das Netz am anderen Ende kann nicht erkennen, ob sie stimmt.
Jeder Anruf trägt zwei Nummern. Die Netznummer sagt den Netzbetreibern, woher der Anruf kommt. Die angezeigte Nummer ist die, die Sie sehen. Meist sind beide gleich, aber ein Unternehmen kann stattdessen eine zentrale Rufnummer anzeigen, damit man es zurückrufen kann. Der Anrufer muss die Nummer, die er anzeigt, weder besitzen noch mieten.
Quellen: IETF: RFC 3261, SIP: Session Initiation Protocol (2002); IETF: RFC 8224, Authenticated Identity Management in the Session Initiation Protocol (2018); Ofcom: Tackling scam calls from abroad, statement (2026)
-
Schritt 2 von 6
Sein Anbieter bringt den Anruf ins Netz
Die Telefonanlage übergibt den Anruf über das Internet an einen Anbieter, der ihn ins Telefonnetz einspeist. Hier könnte zum ersten Mal jemand prüfen. Ein Anbieter, der seinen Kunden und dessen Nummern kennt, kann sich für die Nummer verbürgen: mit einer digitalen Signatur, einer Art Siegel auf dem Anruf. Ein Anbieter im Ausland, der die Nummer Ihrer Bank nie gesehen hat, kann sie nicht ehrlich signieren.
Was steht in dem Siegel?
Das Siegel ist ein kurzer signierter Token namens PASSporT, der mit dem Anruf reist. Er nennt die anrufende Nummer, die angerufene Nummer und die Uhrzeit, und der Anbieter signiert ihn mit einem Zertifikat, das beweist, dass er für Telefonnummern signieren darf.
In den USA heißt das System STIR/SHAKEN, und der Anbieter gibt außerdem an, wie sicher er ist. A heißt, er kennt den Kunden und weiß, dass der Kunde die Nummer nutzen darf. B heißt, er kennt den Kunden, aber nicht die Nummer. C heißt, er hat den Anruf nur von woanders weitergereicht.
Ein Siegel beweist keine Ehrlichkeit. Die Federal Communications Commission stellte fest, dass ein Anbieter, Lingo Telecom, 3.978 automatisierten Anrufen mit gefälschter Nummer die höchste Stufe A gegeben hatte. In diesen Anrufen sprach eine per KI gefälschte Stimme von Joe Biden, dem damaligen Präsidenten.
Quellen: IETF: RFC 8225, PASSporT: Personal Assertion Token (2018); IETF: RFC 8588, PASSporT extension for Signature-based Handling of Asserted information using toKENs (SHAKEN) (2019); Federal Communications Commission: Enhancing STIR/SHAKEN to combat illegal robocalls, draft notice (2026)
-
Schritt 3 von 6
Der Anruf kommt in Ihr Land
Vom Anbieter geht der Anruf von Netz zu Netz, bis er über ein internationales Gateway in Ihr Land kommt. Er zeigt immer noch die Nummer Ihrer Bank, eine Nummer aus Ihrem Land, obwohl er aus dem Ausland kommt. Genau auf diesen Widerspruch achten heute die meisten europäischen Länder. Ein Siegel übersteht diesen Weg selten, und einem Siegel aus dem Ausland würde ohnehin niemand trauen.
Warum lassen sich Anrufe aus dem Ausland schwerer prüfen?
Ein Siegel nützt nur, wenn jedes Netz auf dem Weg es behält und das letzte dem vertraut, der signiert hat. Die Signaturverfahren sind national, und das amerikanische wurde für ein einziges Land entworfen. Viele internationale Wege laufen noch über ältere Verbindungen oder Technik an den Netzgrenzen, die die Nachricht des Anrufs neu aufbaut, und das Siegel geht verloren.
Die Federal Communications Commission nennt automatisierte Anrufe aus dem Ausland eines ihrer hartnäckigsten Probleme, weil sie weder die Anrufer noch die ausländischen Anbieter erreicht, die die Anrufe weiterleiten.
Quellen: IETF: RFC 7340, Secure Telephone Identity Problem Statement and Requirements (2014); European Conference of Postal and Telecommunications Administrations: ECC Report 338, CLI spoofing (2022); Federal Communications Commission: Targeting gateway providers to combat illegal robocalls, fact sheet (2021)
-
Schritt 4 von 6
Die Prüfung bei Ihrem Netzbetreiber
Bevor Ihr Telefon klingelt, kommt der Anruf bei Ihrem Netzbetreiber an, und was dort geschieht, hängt davon ab, wo Sie wohnen. In Deutschland kommt ein Anruf aus dem Ausland, der eine deutsche Nummer zeigt, ohne Nummer an: Auf dem Display steht dann gar keine Nummer, auch nicht die Ihrer Bank. Im Vereinigten Königreich und in Belgien wird ein Anruf aus dem Ausland mit inländischer Nummer gesperrt. In Frankreich wird ein Anruf mit französischer Nummer ohne gültiges Siegel abgebrochen. Ohne diese Prüfungen geht der Anruf so weiter, wie der Anrufer ihn eingetippt hat, und Ihr Telefon klingelt mit „Meine Bank“.
Stoppt eine Prüfung jeden gefälschten Anruf?
Nein. Handynummern sind die Lücke. Ein Anruf aus dem Ausland mit einer inländischen Handynummer kann von jemandem im Urlaub kommen, deshalb lassen die Regeln ihn durch oder unterdrücken die Nummer erst nach einer Prüfung. Frankreich unterdrückt seit dem 1. Januar 2026 unsignierte französische Handynummern aus dem Ausland, und das Vereinigte Königreich zeigt sie ab dem 15. Juli 2027 als unterdrückt an.
Betrüger weichen außerdem auf andere Wege aus. Die belgische Regulierungsbehörde sieht sie immer öfter auf Apps wie WhatsApp wechseln, wo die Netzbetreiber nichts ausrichten können.
Quellen: Arcep: Appels frauduleux depuis l'international, communiqué de presse du 2 décembre 2025 (2025); Ofcom: Tackling scam calls from abroad, statement (2026); BIPT: Telecomsector onderschept 103 miljoen frauduleuze oproepen in de eerste helft van 2026 (2026)
-
Schritt 5 von 6
Jetzt ruft die echte Bank an
Jetzt beginnt ein zweiter Anruf: Die echte Bank ruft Sie von ihrer eigenen Nummer aus an. Ihr Telefon zeigt die Nummer, die der Anruf mitschickt, oder den Namen, den Sie dafür gespeichert haben, also steht auf dem Display „Meine Bank“. Genau das zeigt auch der gefälschte Anruf, wenn ihn nichts aufhält, denn das Telefon hat nur die Nummer. Steht der Schalter auf „Mit Prüfungen“, ist die Nummer der Bank signiert und kommt durch die Prüfung.
Vertrauen Menschen der angezeigten Nummer?
Die meisten schon. 2022 gaben 93 % der Handynutzer im Vereinigten Königreich an, dass sie auf die angezeigte Nummer schauen, um zu entscheiden, ob sie rangehen.
Wirkt die Nummer inländisch, gehen mehr Menschen ran. 2026 sagten 24 % der britischen Telefonnutzer, sie würden wahrscheinlich bei einer unbekannten britischen Handynummer abnehmen, aber nur 8 % bei einer unbekannten Nummer aus dem Ausland.
Quellen: Ofcom: New Ofcom rules to fight fake number fraud (2022); Ofcom: Tackling scam calls from abroad, statement (2026)
-
Schritt 6 von 6
Sie rufen unter einer bekannten Nummer zurück
Gibt sich ein Anrufer als Ihre Bank aus, legen Sie auf und rufen Sie die Nummer auf der Rückseite Ihrer Karte oder auf der Website der Bank an. Das Netz leitet Ihren Anruf zu der Nummer, die Sie wählen, also erreicht er die echte Bank. Ein Anrufer kann die Nummer fälschen, die Sie sehen, aber nicht die, die Sie anrufen.
Und wenn ich die angezeigte Nummer zurückrufe?
Dann erreichen Sie den tatsächlichen Inhaber dieser Nummer. Die Bundesnetzagentur weist darauf hin, dass er die verärgerten Rückrufe bekommt, obwohl er mit den Anrufen nichts zu tun hat.
Trotzdem raten Regulierer davon ab. Auf dem Display sehen Sie nicht, ob die Nummer die echte der Bank ist oder eine, die der Anrufer kontrolliert. Wählen Sie also eine Nummer, die Sie selbst nachgeschlagen haben.
Quellen: Bundesnetzagentur: Rufnummernmanipulation (2026); European Conference of Postal and Telecommunications Administrations: ECC Recommendation (23)03 on international incoming calls with national numbers (2023); Ofcom: What to do about a scam call, text or message (2026)
Call-ID-Spoofing in Zahlen
93 von 100
2022 gaben im Vereinigten Königreich 93 von 100 Handynutzern an, dass sie auf die angezeigte Nummer schauen, um zu entscheiden, ob sie einen Anruf annehmen.
-
74 Millionen
Im ersten Halbjahr 2026 erkannten oder sperrten die fünf größten Netzbetreiber Belgiens mehr als 74 Millionen Anrufe mit gefälschter Nummer, mehr als sieben von zehn betrügerischen Anrufen, die sie stoppten.
BIPT: Telecomsector onderschept 103 miljoen frauduleuze oproepen in de eerste helft van 2026 (2026)
-
19.000
2025 erhielt die französische Regulierungsbehörde für Telekommunikation mehr als 19.000 Meldungen über gefälschte Nummern, gegenüber 531 im Jahr 2023. Spoofing ist dort inzwischen der häufigste Grund für eine Meldung.
Arcep: Usurpation de numéros, communiqué de presse du 29 janvier 2026 (2026)
Wie es dazu kam
- 1994
Die Rufnummer geht über Netzgrenzen
Am 8. März beschließt die Federal Communications Commission Regeln, nach denen Netzbetreiber die Nummer des Anrufers an andere Netze weitergeben müssen, damit die Rufnummernanzeige auch zwischen ihnen funktioniert.
- 2006
Ein erster Weg, die Nummer zu signieren
Die Internet Engineering Task Force (IETF) veröffentlicht RFC 4474, den ersten Standard, mit dem sich signieren lässt, von wem ein Anruf über das Internet kommt.
IETF: RFC 4474, Enhancements for Authenticated Identity Management in SIP (2006)
- 2010
Nummernfälschung wird strafbar
Am 22. Dezember wird in den USA der Truth in Caller ID Act unterzeichnet. Eine falsche Nummer anzuzeigen, um zu betrügen oder zu schaden, wird rechtswidrig. Eine andere Nummer aus gutem Grund anzuzeigen, bleibt erlaubt.
US Congress: Truth in Caller ID Act of 2009, Public Law 111-331 (2010)
- 2018
Das Siegel bekommt seinen Standard
Im Februar veröffentlicht die IETF RFC 8224 und RFC 8225: einen signierten Token, den PASSporT, der in der Nachricht des Anrufs selbst steckt. Das amerikanische System STIR/SHAKEN baut darauf auf.
IETF: RFC 8224, Authenticated Identity Management in the Session Initiation Protocol (2018)
- 2021
Signierte Anrufe in den USA
Bis zum 30. Juni müssen die amerikanischen Anbieter Anrufe in den IP-Teilen ihrer Netze mit STIR/SHAKEN signieren. Ab dem 28. September weisen die Netze Anrufe von Anbietern ab, die in der Robocall Mitigation Database fehlen.
- 2022
Deutschland unterdrückt deutsche Nummern aus dem Ausland
Ab dem 1. Dezember erreicht Sie ein Anruf aus einem ausländischen Netz, der eine deutsche Nummer anzeigt, mit unterdrückter Nummer. Handys im Roaming sind ausgenommen.
Bundesnetzagentur: New regulations to protect against number spoofing (2022)
- 2024
Frankreich bricht unsignierte Anrufe ab
Ab dem 1. Oktober brechen französische Netzbetreiber Anrufe ins Festnetz ab, die eine französische Nummer ohne gültiges Siegel tragen. Anrufe zu Handys folgen am 1. Januar 2025.
Was die Regeln sagen
Eine einheitliche Regel für ganz Europa gibt es nicht. Der Europäische Kodex für die elektronische Kommunikation behandelt die Rufnummernanzeige als Dienst und sagt nichts zum Spoofing, deshalb hat jedes Land seine eigene Prüfung gewählt. Die meisten zielen auf dasselbe Indiz: einen Anruf aus dem Ausland mit einer inländischen Nummer.
-
USA: die Nummer signieren und prüfen
Der TRACED Act vom 30. Dezember 2019 beauftragte die Federal Communications Commission, STIR/SHAKEN vorzuschreiben. Die FCC setzte als Frist den 30. Juni 2021 für die IP-Teile jedes Anbieternetzes. Der Anbieter, bei dem ein Anruf beginnt, signiert ihn, und der, der ihn zustellt, prüft das Siegel.
-
Frankreich: einen unsignierten Anruf abbrechen
Ein Gesetz von 2020 verpflichtet die Netzbetreiber, jede französische Nummer zu authentifizieren, die als Absender erscheint, und den Anruf abzubrechen, wenn das nicht gelingt. Sie nutzen dafür ein gemeinsames Signaturverfahren, den Mechanismus zur Authentifizierung von Nummern (MAN). Zeigt ein Anruf aus dem Ausland eine französische Nummer, die keine Handynummer ist, und fehlt ein gültiges Siegel, wird er abgebrochen.
-
Vereinigtes Königreich: eine britische Nummer aus dem Ausland sperren
Die Regeln der Ofcom verpflichten Anbieter, Anrufe mit ungültiger oder nicht wählbarer Nummer zu sperren. Seit dem 15. Mai 2023 gilt das auch für Anrufe aus dem Ausland, die eine britische Nummer als Netznummer tragen, und seit dem 29. Januar 2025 für Anrufe aus dem Ausland, die Ihnen eine solche Nummer anzeigen. 2024 entschied die Ofcom, das Signieren von Anrufen vorerst nicht vorzuschreiben.
-
Deutschland: eine deutsche Nummer aus dem Ausland unterdrücken
Nach § 120 des Telekommunikationsgesetzes darf ein Anruf nur dann eine deutsche Nummer anzeigen, wenn er aus dem deutschen Netz übergeben wird. Spätestens seit dem 1. Dezember 2022 kommt ein Anruf aus dem Ausland, der eine deutsche Nummer zeigt, ohne Rufnummernanzeige an, und Sie können Anrufe mit unterdrückter Nummer einfach und kostenlos abweisen. Handys im internationalen Roaming sind ausgenommen.
-
Belgien und die Niederlande
Ein belgischer Königlicher Erlass vom 12. Mai 2024 verpflichtet die Netzbetreiber, Anrufe aus dem Ausland mit belgischer Nummer zu sperren: Festnetznummern seit dem 1. September 2024 und Handynummern seit dem 1. Dezember 2024, sobald sie geprüft haben, dass der Anrufer nicht im Roaming ist. In den Niederlanden verbietet das Telekommunikationsgesetz Spoofing, und die Behörde für Verbraucher und Märkte (ACM) überwacht das. Ein Gesetzentwurf, der die Nutzung niederländischer Nummern aus dem Ausland einschränken soll, war von Juli bis Oktober 2026 in öffentlicher Konsultation.
BIPT; Overheid.nl; Internetconsultatie; European Conference of Postal and Telecommunications Administrations
Die meisten dieser Regeln folgen einer gemeinsamen europäischen Vorlage, einer Empfehlung der Europäischen Konferenz der Verwaltungen für Post und Telekommunikation von 2023: Anrufe aus dem Ausland mit einer inländischen Festnetznummer sperren und bei Handynummern zuerst das Roaming prüfen.
Wo Voxbi ins Spiel kommt
Voxbi, eine Cloud-Telefonanlage mit Hosting in der Europäischen Union, zeigt bei Anrufen von Tischtelefonen, Laptops und Handys die Nummer Ihres Unternehmens, und Mixvoip, dem Voxbi gehört, stellt die Rufnummern bereit.
In Voxbi ansehen