So verhindern Sie Rufnummern-Spoofing in der Cloud-Telefonanlage, am SIP-Trunk und beim Anbieter: Einstellungen, Filterregeln, Meldewege zu Anbieter und Behörde und der Ablauf der ersten 24 Stunden.
Die Zentrale klingelt, im Display steht die eigene Hauptrufnummer, und ein Kollege aus dem Vertrieb ruft zurück, weil er einen Kundenanruf vermutet. Eine Stunde später meldet sich der erste echte Kunde und will wissen, warum ihn jemand von genau dieser Nummer nach einem Bestätigungscode gefragt hat. Spätestens jetzt ist Spoofing ein Vorfall in der Sprachinfrastruktur, mit Folgen für das Vertrauen der Kunden und die Reputation der Rufnummer. Wer Rufnummern-Spoofing im Unternehmen verhindern will, muss wissen, was sich in der eigenen Telefonanlage kontrollieren lässt und was nur der Anbieter erledigen kann. Der SIP-Trunk dazwischen ist meist der Ort, an dem beides zusammenläuft.
Die Rufnummer im Display ist ein Feld in der Signalisierung. Es wird beim Gesprächsaufbau mitgeschickt, und auf dem Weg zum Angerufenen prüft niemand zwingend, ob der Inhalt stimmt. Festgelegt wird die Kennung dort, wo Ihre Anlage konfiguriert ist und wo Ihr Vertrag mit dem Anbieter regelt, welche Nummern Sie senden dürfen.
Genau diese Vertrautheit nutzen Angreifer. Weil im Display eine bekannte Nummer steht, gibt der Angerufene einen Code heraus oder ruft die Nummer zurück, die ihm der Anrufer nennt.
Beim Sprach-Spoofing steht das Gespräch im Mittelpunkt, also die Person am Telefon, die überredet werden soll. CLI-Spoofing (Calling Line Identification) fälscht die Rufnummernanzeige, das Feld, das der Angerufene im Display sieht. E-Mail-Spoofing läuft über einen ganz anderen Mechanismus und wird auf der Domain mit SPF, DKIM und DMARC abgewehrt, den Verfahren, mit denen ein Mailserver die Echtheit eines Absenders prüft.
Praxisregel: Verlangt ein Anrufer einen Code, drängt er zur Eile oder schickt er nach dem Gespräch einen Link, legen Sie auf und prüfen Sie über einen offiziellen Kanal nach.
Für ein Unternehmen steht mehr auf dem Spiel als der einzelne Betrugsanruf. Eine beschädigte Reputation der ausgehenden Rufnummern kostet Vertrauen bei jedem Kunden, den Sie danach anrufen. Und wenn die Anrufprotokolle lückenhaft sind, lässt sich später kaum rekonstruieren, was wann von welchem Konto ausging. Eine Cloud-Telefonanlage mit zentralen Anrufprotokollen und Alarmen zeigt eine solche Abweichung deutlich früher als eine Blocker-App auf einem einzelnen Smartphone.
Ein Spoofing-Vorfall beginnt nicht immer an derselben Stelle. Der Angriff kann auf die Rufnummernanzeige zielen oder auf den SIP-Pfad, und oft bereitet eine gefälschte E-Mail den sozialen Teil vor. Gemeinsam ist allen Varianten, dass niemand Ihr Tischtelefon übernehmen muss, um Ihre Nummer zu missbrauchen, weil eine schwache Kontrolle weiter oben in der Kette genügt.
Das erste Signal ist ein ungewöhnliches Ausgangsvolumen aus einer Nebenstelle oder einer Gruppe. Sehr kurze Gespräche in Serie deuten auf automatisiertes Scannen oder auf wahllose Kontaktversuche hin. Ebenso verdächtig sind Ziele und Vorwahlen, die die Abteilung sonst nie wählt. Ein sauberes Protokoll ist hier wertvoller als ein grober Filter, weil es einen Einzelfall von einer schleichenden Abweichung unterscheidet.
Die Schwachstellen selbst stehen in der Konfiguration. Ein unverschlüsselter SIP-Trunk und eine schwache SIP-Authentifizierung öffnen den Pfad. Ein zu großzügiges ausgehendes Routing und eine frei setzbare Kennung machen den Missbrauch danach einfach. Auf der E-Mail-Seite wirkt der Angriff so lange glaubwürdig, wie die Absenderdomain nicht mit SPF, DKIM und DMARC geschützt ist.
Eine Support-Nummer, die plötzlich außerhalb ihrer Servicezeiten wählt, muss sofort geprüft werden. Dasselbe gilt für eine administrative Durchwahl, die Ziele anruft, die im Alltag niemand braucht, und für eine Serie abgewiesener Anrufversuche, auf die ein erfolgreicher folgt. Solche Muster zeigen Ihnen, wo in der Anlage eine Sperre fehlt und wo eine Meldung fällig ist, sobald der Verkehr den erwarteten Rahmen verlässt.
Die Kennung entsteht in der Anlage und im Netz des Anbieters. Dort setzt auch die Abwehr an, und eine Blocker-App auf dem Smartphone bleibt eine Ergänzung für den einzelnen Nutzer.
Der eigentliche Kontrollpunkt ist die Cloud-Telefonanlage. Tischtelefon und Softphone sind Endgeräte, und über Rechte und ausgehende Routen entscheiden der Trunk und die Anlage. Deshalb lohnt sich der Aufwand dort am meisten. Wie die Signalisierung zwischen Anlage und Anbieter läuft, erklärt unser Überblick zu VoIP.
Verschlüsseln Sie die Signalisierung zum Anbieter mit SIP-TLS, also SIP über Transport Layer Security. Die Verschlüsselung schützt den Weg vor Mitlesen und Manipulation und stellt sicher, dass Ihre Plattform mit dem richtigen Gegenüber spricht. Gegen eine gefälschte Kennung, die ein berechtigtes Konto selbst setzt, hilft sie allerdings nicht. Wer welche Kennung senden darf, regelt die Rechtevergabe in der Anlage.
Bietet Ihr Anbieter statisches Peering an, kommt eine IP-Freigabeliste hinzu, sodass Sprachverkehr aus einem unerwarteten Adressbereich einen Alarm auslöst statt eines Gesprächs.
Danach gehört die ausgehende Seite auf den Prüfstand. Eine Nebenstelle oder eine Gruppe braucht keinen freien Zugriff auf jedes Ziel der Welt, schon gar nicht, wenn die Leitung die Hauptrufnummer trägt. Ein Reservierungsteam telefoniert anders als eine Hotline, und ein Außendienst anders als beide, weshalb die Ausgangsregeln diese Unterschiede abbilden sollten. Im Zweifel begrenzen Sie am Anfang lieber etwas zu streng und öffnen später auf dokumentierte Anfrage, denn eine breite Angriffsfläche, deren Missbrauch erst im Nachhinein auffällt, kommt teurer zu stehen.
Ohne Protokolle kommt jede Sperre zu spät. INVITE-Anfragen, mit denen SIP ein Gespräch aufbaut, Ablehnungen, Fehlerantworten der Klassen 4xx und 5xx und Verhaltensänderungen im ausgehenden Verkehr müssen deshalb lange genug sichtbar bleiben, damit eine Untersuchung möglich bleibt und der Anbieter Belege bekommt.
Im Mittelstand reichen einfache Schwellenwerte, solange sie gesetzt sind. Eine Begrenzung für gleichzeitige Gespräche und ein Alarm bei auffälligem Volumen halten den Schaden aus einem übernommenen Konto klein. Eine Sperre für Hochrisiko-Ziele kommt dazu, und die Anlage sollte verhindern, dass ein unberechtigter Nutzer eine Outbound-Kampagne über die Hauptrufnummer startet. Wie Voxbi Anrufmuster überwacht und unbefugten Verkehr stoppt, steht auf der Seite zu Sicherheit und Compliance.
Bei mehreren Standorten oder eigenen Trunks bleibt ein Session Border Controller (SBC) am Netzrand als zusätzliche Kontrollschicht sinnvoll. Er steuert das Peering, begrenzt Sessions und ergänzt die Identitätsregeln in der Anlage um eine weitere Barriere. In europäischen Umgebungen läuft die Abwägung meist auf dasselbe hinaus: weniger implizites Vertrauen ins Endgerät, mehr Kontrolle in der Cloud-Telefonanlage und beim Anbieter.
Ein gut vorbereiteter Spoofing-Angriff lässt sich nicht allein auf Kundenseite stoppen. Wird eine Nummer missbraucht, geht die Meldung zuerst an den Anbieter, mit der Bitte, die Nummer zu sperren oder zu markieren, und mit Belegen, die sauber genug sind, dass die Sache schnell vorankommt.
In Deutschland stützt Sie dabei das Telekommunikationsgesetz. § 120 TKG verpflichtet die Anbieter, beim Verbindungsaufbau nur eine Rufnummer zu übermitteln, die dem Anrufer auch zugeteilt ist, und die Anzeige einer deutschen Rufnummer zu unterdrücken, wenn der Anruf aus einem ausländischen Netz übergeben wird. Für Beschwerden zum Rufnummernmissbrauch ist die Bundesnetzagentur zuständig. Unternehmen in Österreich wenden sich an die Rundfunk und Telekom Regulierungs-GmbH (RTR), in der Schweiz ans Bundesamt für Kommunikation (BAKOM).
Am Anfang steht die formelle Störungsmeldung. Danach reichen Sie die Verbindungsdatensätze ein, die Call Detail Records (CDR), mit Zeitstempeln und betroffenen Nummern. Ist die ausgehende Nummer kompromittiert oder schadet die Fälschung der Marke, fordern Sie eine Sperre oder eine Markierung der Nummer im Netz an und kontrollieren anschließend, ob die betrügerischen Anrufe immer noch als legitim angezeigt werden.
Trennen Sie sauber, was die Anlage stoppen kann und was am vorgelagerten Netz hängt. Die Telefonanlage sperrt ein Konto, schließt eine ausgehende Route oder deaktiviert ein SIP-Profil. Eine Nummer, die bereits im Netz zirkuliert, nimmt dagegen nur der Anbieter aus dem Verkehr, und nur er kann die Anzeige in den Transitnetzen korrigieren lassen. Deshalb zählt beim Vorfall eine gemeinsame Chronologie mit Anrufprotokollen und einem klar umrissenen technischen Umfang.
Bündeln Sie den Meldeweg zu Ihrem Anbieter an einer Stelle, auch wenn ein Integrator dazwischensitzt. Sobald Netzbetrieb und Sicherheit getrennt melden, zieht sich die Bearbeitung hin und Unterlagen gehen verloren.
Belege helfen dem Anbieter, und sie helfen Ihnen selbst, wenn Sie den Schaden beziffern und entscheiden müssen, ob der Fall weiter eskaliert. Bewahren Sie deshalb die CDR, Bildschirmfotos der angezeigten Nummer, Rückmeldungen der angerufenen Personen und die Uhrzeiten der Anrufwellen auf.
Ein guter Filter bildet den Betrieb ab, statt wahllos zu sperren. Saison und Servicezeiten bestimmen, was durchkommt, und eine Buchhaltung braucht andere Regeln als eine Hotline. In einer gut eingerichteten Cloud-Telefonanlage wirken die Regeln in beide Richtungen: gegen den verdächtigen Eingang und gegen ein internes Konto, dessen Verkehr die Reputation der Firmennummer beschädigt oder das Unternehmen für Social Engineering angreifbar macht.
Beginnen Sie mit einer Sperrliste für Vorwahlen, bei denen Ihr Betrieb Missbrauch beobachtet hat, und ergänzen Sie für empfindliche Funktionen eine Freigabeliste erlaubter Nummern. Anonyme Anrufe blockieren Sie überall dort, wo der Betrieb es zulässt, vor allem am Empfang und in der Buchhaltung. Wichtiger als Raffinesse ist Konsistenz, und die Regeln werden angepasst, sobald sich die Nutzung ändert. Weitere Einstellungen stehen im Leitfaden zum Blockieren von Spam-Anrufen.
Zeitfenster gehören ebenfalls dazu. Eine Abteilung, die tagsüber Kundenanrufe entgegennimmt, braucht nachts keine freie Wahl ins Ausland, wenn niemand da ist, der sie kontrolliert. Ein Limit für ausgehende Gespräche pro Nutzer begrenzt außerdem den Schaden aus einem übernommenen Konto.
Eine Klinik, ein Hotel, eine Verwaltung und eine Schule brauchen verschiedene Profile. Im Gesundheitswesen bleibt der Weg zu Patientenzimmern und zur Anmeldung streng begrenzt, mit benannten Nummern und festen Routen. In der Hotellerie hält eine eigene Warteschlange für die Rezeption Reservierungen, Gästeanfragen und interne Gespräche auseinander. Der Filter begrenzt, was eine kompromittierte Nebenstelle anrichten kann. Die Wachsamkeit der Mitarbeitenden bleibt daneben die zweite Verteidigungslinie.
In der Verwaltung vereinfacht ein Plan aus festen Durchwahlen die Aufsicht. In Schulen bekommen Elternnummern und Notfalldienste eine eigene Logik, und Konten, die keine Auslandsgespräche führen müssen, verlieren die freie ausgehende Wahl. Diese Disziplin im Routing verhindert, dass eine öffentlich bekannte Nummer zum Werkzeug für Belästigung oder Missbrauch wird.
Für Outbound-Kampagnen gilt eine eigene Regel. Keine Kampagne startet ohne Freigabe einer verantwortlichen Person, erst recht nicht über die Hauptrufnummer. Rollenbasierte Rechte und eine regelmäßige Durchsicht der Ausnahmen sichern diese Regel im Alltag ab, und die Anrufprotokolle zeigen, ob sie eingehalten wird.
Gemeldet wird ein solcher Vorfall meist von außen. Familien, deren Angehörige in einer Pflegeeinrichtung leben, sehen deren Hauptnummer im Display, obwohl niemand von dort angerufen hat. Hotelgäste melden, dass sich ein angebliches Reservierungsteam bei ihnen gemeldet hat. Dann geht es zuerst darum, alles zu kappen, was sich noch ausnutzen lässt, und danach ohne Verzögerung die technische Kette hinaufzugehen.
Zuerst stoppt das Team die ausgehenden Kampagnen, sobald ein Konto, eine Nebenstelle oder eine Gruppe verdächtig wirkt. Als Nächstes wird die betroffene Leitung isoliert und geprüft, ob die Fälschung nur ein Softphone, mehrere Endgeräte oder die ganze Zentrale betrifft. In der Cloud-Telefonanlage zeigt sich dabei, ob das Problem von einem Endgerät ausgeht, von einem SIP-Konto, einer ausgehenden Route oder vom Trunk selbst.
Die Beweissicherung schließt sich an. Sammeln Sie die im vorigen Abschnitt genannten Belege und notieren Sie dazu Uhrzeiten, Volumina, die betroffene Nebenstelle und alle jüngsten Änderungen an Routing oder Ausgangsrechten. Je früher der Umfang feststeht, desto gezielter lässt sich die richtige Quelle abschalten, ohne den gesamten Sprachverkehr zu blockieren.
Der Kontakt zum Anbieter folgt unmittelbar. Erscheint die Nummer im Ausgang, obwohl sie das nicht darf, fordern Sie die Sperre der auffälligen Nutzung, eine Prüfung des SIP-Trunks und eine Suche nach manipulierter Rufnummernanzeige im Netz an. Die Meldung an die Bundesnetzagentur, die RTR oder das BAKOM läuft parallel und greift vor allem dann, wenn die Anrufe schon bei Dritten ankommen und eine Belästigung abzustellen ist.
Bei einem bezifferbaren Schaden bereiten Sie die Strafanzeige mit den bereits gesammelten Unterlagen vor. Die Reaktion der ersten Stunden bleibt trotzdem technisch: den Ausgang stoppen und Beweise sichern, mit einer klaren Entscheidungslinie zwischen Betrieb und Anbieter.
Die Akte enthält die Belege aus der Beweissicherung sowie die internen Notizen zur Entdeckung des Vorfalls. Ziel ist eine kurze, lesbare Akte, mit der der Anbieter, die interne Sicherheit und, falls nötig, die Behörden arbeiten können.
Wer die angezeigte Nummer zurückruft, bestätigt genau den Mechanismus, den der Betrüger ausnutzt, besonders dort, wo eine Kennung über einen SIP-Trunk oder ein schlecht geschütztes Endgerät eingespeist werden kann. Der sichere Weg führt über den offiziellen Anschluss der betreffenden Organisation, damit der Kontakt dort nachvollziehbar bleibt.
Ein Anruf mit der richtigen Nummer im Display kann trotzdem falsch sein. Der Betrug funktioniert, weil der Nutzer auf seinem Softphone oder IP-Telefon eine glaubwürdige Kennung sieht und antwortet, ohne den tatsächlichen Weg des Gesprächs zu prüfen. Architektur und Konfiguration brauchen deshalb eine dritte Schicht: Menschen, die im Zweifel auflegen und nachfragen.
Ein kurzes Briefing genügt, solange es konkret bleibt. Neue Kolleginnen und Kollegen lernen, dass ein Bestätigungscode niemals am Telefon herausgeht und dass ein Link nach einem zweifelhaften Anruf ungeöffnet bleibt. Zurückgerufen wird über einen unabhängigen Kanal. Eine kleine interne Übung mit einem gefälschten Anruf zeigt schnell, wer auflegt und wer die angezeigte Nummer zurückruft. Nebenbei kommen dabei riskante Gewohnheiten im Support oder in der Geschäftsführung ans Licht, die sonst niemand anspricht. Teams, die in den ersten fünf Minuten wissen, was zu tun ist, sparen sich häufig die unnötige Eskalation.
Jedes Quartal gehen Sie die Filterlisten, die ausgehenden Rechte, die Volumenalarme und die gewährten Ausnahmen durch. Die Prüfung bestätigt, dass die Kontaktdaten beim Anbieter stimmen und die Eskalationskette benannt ist, und sie kontrolliert, ob zurückliegende Vorfälle in Anrufprotokollen und Tickets nachvollziehbar geblieben sind. Bei personenbezogenen Daten bleiben die Datenschutzbeauftragten bei allen Fällen im Verteiler, die eine Datenoffenlegung oder die Information Betroffener berühren.
Für den Alltag reicht eine kurze Merkregel. Trunk und Anlage nehmen im Ausgang keine beliebige Kennung an, und kein Endgerät und kein Konto speist eine Nummer unkontrolliert ein. Ausgangsregeln und Schwellenwerte stoppen auffälligen Verkehr, bevor er das Netz erreicht. Und sobald der Betrug im Netz zirkuliert, zählt vor allem, wie schnell Teams, Anbieter und interner Support einander erreichen.
Voxbi liefert die Cloud-Telefonanlage dazu, mit zentraler Rechteverwaltung und nachvollziehbaren Anrufprotokollen. Die Daten liegen in Rechenzentren in der Europäischen Union. Die Rufnummern und die regulatorische Seite kommen von Mixvoip. Schreiben Sie an hello@voxbi.com und lassen Sie Ihre Filterregeln und Eskalationswege einmal gegenprüfen, bevor der nächste Vorfall Ihre Firmennummer trifft.
So hinterlassen Sie eine Nachricht auf der Mailbox eines Handys. Die Anleitung vergleicht Mailbox, Sprachnotiz und Anbieter-Zugang, zeigt den Ablauf auf iPhone und Android und hilft weiter, wenn die Nachricht nicht ankommt.
Die Filialen hängen am teuren MPLS-Vertrag, die Fachbereiche ziehen in die Cloud. SD-WAN-Lösungen ordnen den Verkehr neu. Architektur, Anbieterauswahl und Rollout im Überblick.
Ein Tier-3-Rechenzentrum lässt sich warten, während die IT-Last weiterläuft. Was N+1 und gleichzeitige Wartbarkeit für Ihre Cloud-Telefonanlage bedeuten, worin sich Tier 2, Tier 3 und Tier 4 unterscheiden und wie Sie ein Zertifikat prüfen.
Sprechen Sie mit uns oder mit einem zertifizierten Voxbi-Partner.
