← Alle Artikel

STIR/SHAKEN vs. Anruferverifizierung: Was Unternehmen wissen müssen

Von Johannes Wiedemann, erstellt mit KI-Unterstützung So arbeiten wir

Auch verfügbar auf

English

In diesem Artikel

Eine Telefonanlage mit STIR/SHAKEN-Unterstützung erfährt, ob der Anbieter, über den ein Anruf startet, für die angezeigte Rufnummer bürgt. Das ist nützlich – und wird regelmäßig missverstanden. STIR/SHAKEN bestätigt die Herkunft einer Nummer, nicht die Person am Telefon. Für einen IT-Helpdesk, der MFA zurücksetzt, oder eine Buchhaltung, die eine Zahlung freigibt, entscheidet genau dieser Unterschied darüber, ob eine Prüfung überhaupt schützt.

Dieser Ratgeber erklärt, was Rufnummernauthentifizierung im Netz beweist, wo sie aufhört, wie sich die Lage in den USA und Europa unterscheidet und welche zusätzliche Ebene Unternehmen für sensible Anrufe brauchen.

Was STIR/SHAKEN tatsächlich prüft

STIR ist eine Reihe von IETF-Standards zum Signieren von Anrufinformationen (RFC 8224); SHAKEN beschreibt den Einsatz bei Netzbetreibern. Vereinfacht läuft ein signierter Anruf so ab:

1. Der Ursprungsanbieter hängt dem Anruf ein digital signiertes Token an. Es enthält anrufende und angerufene Nummer, einen Zeitstempel und eine Attestierungsstufe.
2. Der Zielanbieter prüft die Signatur anhand des Zertifikats des Ursprungsanbieters.
3. Der Zielanbieter verwendet das Ergebnis nach eigenen Regeln und lokalem Recht, etwa um Anrufe zu kennzeichnen, umzuleiten oder zu blockieren.

Die Attestierungsstufe (RFC 8588) ist die Aussage des Ursprungsanbieters, wie gut er die Berechtigung an der Nummer kennt: A (Kunde bekannt und für diese Nummer berechtigt), B (Kunde bekannt, Berechtigung für diese Nummer nicht festgestellt) oder C (der Anbieter weiß nur, wo der Anruf in sein Netz gelangt ist). Die drei Stufen erklären wir ausführlicher in Call-ID-Spoofing erklärt.

Was STIR/SHAKEN nicht beweist

Die sprechende Person. Die Attestierung betrifft eine Nummer und ein Kundenkonto. Ein Kollege am Apparat einer anderen Person, ein Angreifer mit übernommenem Softphone-Konto oder jemand mit einer eigenen, legal beschafften Nummer – alle können Anrufe mit Stufe A führen.

Dass die Anfrage seriös ist. Auch ein korrekt signierter Anruf kann ein Social-Engineering-Versuch sein. Die entscheidenden Prüfungen für ein Passwort-Reset oder eine geänderte Bankverbindung finden erst nach dem Verbindungsaufbau statt.

Wege, die nicht durchgehend signiert sind. STIR/SHAKEN setzt IP-basierte Signalisierung voraus. Läuft ein Anruf über ältere Nicht-IP-Netzabschnitte, kann die Signatur verloren gehen; die US-Regulierungsbehörde FCC hat vorgeschlagen, diese Lücke zu schließen. Internationale Anrufe kommen oft über ein Gateway ins Netz und erhalten bestenfalls Stufe C.

Etwas, das der Empfänger sieht. In den meisten Telefonsystemen wertet das Netz die Attestierung aus; angezeigt wird sie den Mitarbeitenden nicht. Manche Geräte zeigen ein „verifiziert“-Symbol, viele Tischtelefone, Softphones und Contact-Center-Plattformen zeigen nichts.

Dass ein Anruf mit Stufe B oder C betrügerisch ist. Unternehmen, die über eine Drittplattform, ein Callcenter oder eine Cloud-Telefonanlage telefonieren und dabei ihre Zentrale anzeigen, erhalten unter Umständen nur Stufe B, wenn der Anbieter ihre Berechtigung an der Nummer nicht festgestellt hat. B ist deshalb nicht automatisch verdächtig.

Selbst Regulierer, die auf das Verfahren setzen, sagen das deutlich. Die französische Behörde Arcep schreibt, dass die Authentifizierungspflicht Rufnummernmissbrauch allein nicht verhindert; ihr Hauptnutzen ist, dass der signierende Betreiber identifiziert werden kann.

USA und Europa stehen an unterschiedlichen Punkten

Region	Wichtigste Maßnahme	Was Unternehmen wissen sollten
USA, Kanada	STIR/SHAKEN für IP-basierten Sprachverkehr, laufende Regelsetzung zu Nicht-IP-Abschnitten und Anruferidentitätsdaten	Größte Verbreitung, aber das Ergebnis ist ein Netzsignal, keine Personenprüfung
Frankreich	Rufnummernauthentifizierung (MAN) auf Basis von STIR/SHAKEN. Laut Arcep werden nicht authentifizierte Anrufe mit französischen Festnetznummern seit Oktober 2024, mit Mobilnummern seit Januar 2025 unterbrochen; seit 1. Januar 2026 werden nicht authentifizierte französische Mobilnummern bei Anrufen aus dem Ausland unterdrückt angezeigt	Anrufe mit französischer Nummer werden strenger geprüft – Angreifer weichen auf andere Nummern und Kanäle aus
Deutschland	§120 TKG: Deutsche Rufnummern bei aus ausländischen Netzen übergebenen Anrufen grundsätzlich unterdrücken (mit Ausnahme im Zusammenhang mit Mobilfunk-Roaming); bestimmte Nummern wie 110 und 112 sind zu blockieren	Keine STIR/SHAKEN-artige Signatur für den Empfänger; eine angezeigte deutsche Nummer beweist weiterhin keine Person
Vereinigtes Königreich	Von Ofcom getragene Blockierung von Auslandsanrufen mit britischen Festnetznummern (seit Anfang 2025); weitere Maßnahmen für britische Mobilnummern wurden konsultiert	Ähnlicher Ansatz wie in Deutschland: unplausible Nummern an der Grenze filtern
Übrige EU-Staaten	Nationale Maßnahmen unterschiedlich, keine EU-weite Authentifizierungspflicht	Beim eigenen Anbieter erfragen, was auf den genutzten Wegen tatsächlich geprüft wird

Regeln ändern sich; prüfen Sie konkrete Fristen und Ausnahmen bei der nationalen Behörde. Keine dieser Maßnahmen verifiziert die einzelne anrufende Person.

Vier Ebenen, die oft verwechselt werden

Ebene	Was sie bestätigt	Typisch zuständig	Grenze
Netzattestierung (STIR/SHAKEN, MAN)	Ein Anbieter bürgt in bestimmtem Umfang für die anrufende Nummer	Telefonieanbieter	Nummer statt Person; abhängig vom Übertragungsweg; meist unsichtbar
Branded Calling / Rich Call Data	Geprüfter Firmenname oder Logo für registrierte ausgehende Nummern	Unternehmen + Branded-Calling-Anbieter	Zeigt das Unternehmen, nicht die Mitarbeiterin; vor allem für Anrufe bei Kunden
Rufnummern-Reputation und Spam-Labels	Wie sich eine Nummer bisher verhalten hat	Netzbetreiber, Apps, Lookup-APIs	Eine neue oder gefälschte Nummer kann unauffällig aussehen
Anruferverifizierung	Die registrierte Person, das Konto oder Gerät hinter genau diesem Anruf – oder eine unabhängige Bestätigung über einen vertrauenswürdigen Kanal	Unternehmen (IT, Security, Finanzen)	Braucht sichere Registrierung und Wiederherstellung; deckt bekannte Beteiligte ab, nicht jeden unbekannten Anrufer

Die ersten drei Ebenen beantworten die Frage „Ist diese Nummer plausibel?“. Nur die vierte beantwortet, was ein Helpdesk-Agent oder eine Buchhalterin wirklich wissen muss: „Ist das tatsächlich die Person, die das verlangen darf?“

So sieht Anruferverifizierung in der Praxis aus

Anruferverifizierung muss nicht neue Technik bedeuten. Die robustesten Formen sind heute organisatorisch:

• Rückruf auf eine hinterlegte Nummer. Gespräch beenden und über Verzeichnis oder HR-System zurückrufen – nie auf eine Nummer, die der Anrufer nennt.
• Freigabe über einen vorhandenen Faktor. Die Person bestätigt die Anfrage in ihrer Authenticator-App oder auf einem registrierten Gerät, das sie bereits nutzt.
• Bestätigung durch eine zweite Person bei Anfragen von Führungskräften, Administratoren und aus der Finanzabteilung, erreicht über das Verzeichnis.

Technische Ansätze verknüpfen einen Anruf kryptografisch mit einer registrierten Identität: Mitarbeitende oder Kunden registrieren sich einmal, spätere Anrufe zwischen registrierten Beteiligten lassen sich gegen diese Registrierung prüfen. Das funktioniert für bekannte Beziehungen – Kollegin zu Helpdesk, Geschäftsführung zu Buchhaltung – und ist nur so stark wie Registrierung und Kontowiederherstellung. Kann ein Angreifer ein „verlorenes“ Gerät per Telefonanruf neu registrieren lassen, schützt die beste Kryptografie nichts.

Audioanalyse auf synthetische Stimmen ist ein weiteres, eigenes Signal. Sie kann auf einen möglichen Deepfake hinweisen, aber Fälschungen übersehen und Fehlalarme auslösen; siehe Deepfake-Anrufe erkennen.

Welche Anrufe welche Ebene brauchen

• Unbekannte eingehende Anrufe bei Mitarbeitenden: Netzfilter und Reputation senken das Volumen. Jede Forderung nach Geld, Daten, Codes oder Zugängen läuft über die unabhängige Rückruf-Regel.
• IT-Helpdesk: Passwörter und MFA nie auf Basis von Rufnummer oder Stimme zurücksetzen. Rückruf, vorhandener Faktor oder zweite Freigabe – den vollständigen Ablauf beschreibt unser Leitfaden zur Anruferverifizierung im Helpdesk.
• Zahlungen und geänderte Bankverbindungen: über einen bereits hinterlegten Kanal bestätigen, bei neuen Empfängern mit vier Augen. Siehe Zahlungsanweisungen telefonisch prüfen.
• Eigene ausgehende Anrufe bei Kunden: Beim Anbieter Stufe-A-Signierung für die eigenen Nummern erfragen, Branded Calling prüfen – und veröffentlichen, wie Ihr Unternehmen Kunden niemals kontaktiert.

Fragen an Ihren Telefonieanbieter

1. Signieren Sie unsere ausgehenden Anrufe, und mit welcher Attestierungsstufe für jeden Nummernblock und jede Plattform, die wir nutzen?
2. Prüfen Sie eingehende Signaturen, und was passiert mit unsignierten, ungültigen oder Stufe-C-Anrufen?
3. Wird ein Prüfergebnis an unsere Telefonanlage, unser Contact Center oder unsere Softphones weitergegeben – und können wir es protokollieren?
4. Welche nationalen Regeln (etwa §120 TKG oder MAN in Frankreich) gelten für unsere Verbindungen, und wie werden Anrufe aus dem Ausland behandelt?
5. Wie gehen Sie mit Meldungen um, dass unsere Nummern missbraucht werden?

Halten Sie die Antworten schriftlich fest. Sie zeigen, was Ihre Netzsignale bedeuten – und wo Ihr eigener Verifizierungsprozess übernehmen muss.

Woran Identity Phone arbeitet

Identity Phone wird für Geschäftskunden entwickelt. Geplant sind verifizierte Anruferidentität zwischen registrierten Kolleginnen und Kollegen, Helpdesk-Verifizierung vor dem Zurücksetzen von Zugangsdaten und zusätzliche Risikosignale für Anrufe. Diese Funktionen sind noch nicht verfügbar; unabhängig geprüfte Leistungswerte gibt es nicht. Unternehmen können sich für den frühen Zugang auf die Warteliste setzen.

Einen praktischen Einstieg, den Sie heute schon nutzen können, bietet unsere Checkliste gegen Call-ID-Spoofing für Unternehmen.

Quellen und Einordnung

Geschrieben und geprüft von Johannes Wiedemann, Gründer von Identity Phone; veröffentlicht am 7. November 2026. Technische Definitionen folgen RFC 8224 und RFC 8588; nationale Beispiele sind gekennzeichnet und mit Behörden oder Gesetzestexten verlinkt. Dieser Artikel ist keine Rechtsberatung. Regeln und verfügbare Netzsignale unterscheiden sich nach Land, Anbieter und Übertragungsweg.

Häufige Fragen

Verhindert STIR/SHAKEN Call-ID-Spoofing?

Es erschwert Spoofing in Netzen und auf Wegen, auf denen Anrufe signiert und geprüft werden, und macht den signierenden Anbieter nachvollziehbar. Es verhindert nicht jeden gefälschten Anruf: Unsignierte Wege, Gateway-Verkehr und korrekt signierte Anrufe von eigenen Nummern der Angreifer bleiben möglich.

Ist ein Anrufer mit Stufe-A-Attestierung der, für den er sich ausgibt?

Nein. Stufe A bedeutet, dass der signierende Anbieter seinen Kunden kennt und davon ausgeht, dass dieser die Nummer nutzen darf. Über die sprechende Person oder die Seriosität einer Forderung sagt das nichts.

Gilt STIR/SHAKEN in Deutschland?

Eine EU-weite Pflicht gibt es nicht. In Deutschland regelt §120 TKG unter anderem die Unterdrückung deutscher Rufnummern bei Anrufen, die aus ausländischen Netzen übergeben werden. Frankreich verlangt dagegen eine Rufnummernauthentifizierung auf Basis von STIR/SHAKEN (MAN).

Was ist der Unterschied zwischen Branded Calling und Anruferverifizierung?

Branded Calling zeigt für registrierte ausgehende Nummern einen geprüften Firmennamen oder ein Logo an. Damit sieht der Empfänger, welches Unternehmen anruft, nicht aber, welche Person spricht. Anruferverifizierung prüft die einzelne Person oder das registrierte Konto hinter einem konkreten Anruf.