Für Unternehmen

Checkliste gegen Call-ID-Spoofing für Unternehmen

Von Johannes Wiedemann, erstellt mit KI-Unterstützung So arbeiten wir

Call-ID-Spoofing funktioniert, weil Menschen die angezeigte Nummer für einen Beweis halten. Netzmaßnahmen wie STIR/SHAKEN oder nationale Sperrregeln wie §120 TKG reduzieren manche gefälschten Anrufe, sagen Mitarbeitenden aber nicht, wer tatsächlich spricht – siehe STIR/SHAKEN vs. Anruferverifizierung. Schutz entsteht deshalb durch Abläufe, die auch dann halten, wenn Nummer, Name und sogar Stimme stimmen.

Mit dieser Checkliste prüfen Sie Ihre Organisation. Jeder Punkt lässt sich entscheiden, einstellen oder testen; haken Sie ihn erst ab, wenn er schriftlich festgehalten ist und das zuständige Team ihn kennt.

1. Eine Regel, die alle kennen

• Schriftliche Regel: keine Zahlungen, Daten, Codes oder Zugangsänderungen allein auf einen eingehenden Anruf hin – unabhängig von angezeigter Nummer, Name oder Position.
• Die Regel benennt den unabhängigen Kanal: Rückruf über eine Nummer aus Verzeichnis, HR-System, Vertrag oder Lieferantenstammdaten – nie über eine Nummer, die der Anrufer nennt.
• Mitarbeitende wissen, dass sie nie Ärger bekommen, wenn sie ein Gespräch beenden und zurückrufen – auch bei Führungskräften.
• Ihr Unternehmen fragt Mitarbeitende und Kunden nie telefonisch nach Passwörtern oder Einmalcodes und sagt das öffentlich.

2. IT-Helpdesk und Kontowiederherstellung

• Passwort-Resets, Wechsel von MFA-Geräten, geänderte Wiederherstellungsnummern und neue Rechte erfordern Rückruf auf hinterlegte Nummer, Freigabe über einen vorhandenen Faktor oder eine zweite Freigabe.
• Wissensfragen (Personalnummer, Name der Vorgesetzten, Eintrittsdatum) gelten nicht als alleinige Prüfung.
• Konten von Geschäftsführung, Administratoren und Finanzabteilung brauchen einen strengeren Ablauf mit Bestätigung durch eine zweite Person.
• „Alle Faktoren verloren“ läuft über einen eigenen, langsameren Prozess mit Identitätsprüfung und Benachrichtigung über die anderen Kanäle der Person.
• Jeder Reset wird mit Prüfer und Prüfweg protokolliert; die Person wird anschließend benachrichtigt.
• Helpdesk-Mitarbeitende haben vorbereitete Formulierungen, um dringende Anfragen höflich abzulehnen.

Vollständiger Ablauf: Helpdesk-Anrufer verifizieren vor Passwort- und MFA-Resets.

3. Zahlungen und geänderte Bankverbindungen

• Neue Zahlungsempfänger und geänderte Bankdaten werden über bereits hinterlegte Kontaktdaten bestätigt, nicht über Daten aus der Anfrage.
• Zahlungen über einem festgelegten Betrag oder außerhalb des normalen Ablaufs brauchen vier Augen.
• „Vertrauliche“ oder „dringende“ Anweisungen der Geschäftsführung durchlaufen denselben Prozess wie alle anderen.
• Lieferanten wissen, wie Sie sie zu Änderungen der Bankverbindung kontaktieren – und wie nicht.

Vollständiger Ablauf: Zahlungsanweisungen telefonisch prüfen.

4. Geschäftsführung und Assistenz

• Geschäftsführung und Assistenz wissen, dass ihre Stimmen und Nummern am ehesten imitiert werden.
• Es gibt einen Ablauf, um eine überraschende Anweisung „vom Chef“ zu prüfen, auch außerhalb der Bürozeiten.
• Wo Teams Codewörter oder Kontrollfragen nutzen, werden sie persönlich vereinbart, regelmäßig gewechselt und nie per E-Mail oder Chat verschickt.

Hintergrund: Deepfake-CEO-Betrug und die Prüfung riskanter Anrufe.

5. Telefonie und Anbietereinstellungen

• Sie wissen, ob Ihr Anbieter Ihre ausgehenden Anrufe signiert (etwa mit STIR/SHAKEN) und mit welcher Attestierungsstufe je Nummernblock und Plattform.
• Sie wissen, wie der Anbieter unsignierte, ungültige und internationale Anrufe behandelt und welche nationalen Regeln für Ihre Verbindungen gelten.
• Interne Anrufe sind von externen Anrufen mit interner Nummer unterscheidbar (etwa indem Verzeichnisnamen nur bei echten internen Anrufen erscheinen).
• Ungenutzte Rufnummernblöcke sind nicht aktiv, und jede Plattform, die Ihre Nummern anzeigen darf, ist dokumentiert.
• Für Untersuchungen nötige Verbindungsdaten werden für einen festgelegten Zeitraum datenschutzkonform aufbewahrt.

6. Eigene Rufnummern vor Missbrauch schützen

• Ihre offiziellen Kontaktnummern stehen auf der Website und in der Kundenkommunikation – zusammen mit dem, was Sie telefonisch nie verlangen.
• Für ausgehende Anrufe bei Kunden haben Sie Branded Calling oder einen verifizierten Anrufernamen geprüft, wo verfügbar.
• Es gibt eine Anlaufstelle für Kunden und Partner, die verdächtige Anrufe in Ihrem Namen erhalten.
• Sie wissen, wie Sie Missbrauch Ihrer Nummern Ihrem Anbieter und der Bundesnetzagentur melden.

7. Schulung und Tests

• Neue Mitarbeitende in Finanzen, HR, IT-Support und Assistenz lernen die Rückruf-Regel in ihrer ersten Woche.
• Schulungen behandeln gefälschte Nummern, geklonte Stimmen und Zeitdruck-Taktiken mit realistischen Beispielen – siehe Deepfake-Anrufe erkennen.
• Mit Zustimmung der Geschäftsführung (und, wo nötig, des Betriebsrats) führen Sie angekündigte oder kontrollierte Anrufsimulationen durch und werten sie ohne Schuldzuweisung aus.
• Der Prozess wird mindestens einmal jährlich und nach jedem Vorfall überprüft.

8. Wenn ein verdächtiger Anruf passiert

• Mitarbeitende wissen, wo sie ihn sofort melden (Security-Team, Helpdesk oder feste Ansprechperson).
• Die Meldung enthält Datum und Uhrzeit, angezeigte Nummer, angerufene Nummer, Forderung und eventuelle Folgenachrichten.
• Wurden Zugangsdaten preisgegeben oder geändert, werden betroffene Konten gesichert und Sitzungen beendet.
• Wurde Geld überwiesen, wird sofort die Bank kontaktiert und die Polizei informiert.
• Betroffene Kolleginnen, Kunden oder Lieferanten werden über einen vertrauenswürdigen Kanal gewarnt.

So nutzen Sie die Checkliste

Benennen Sie pro Abschnitt eine verantwortliche Person, markieren Sie offene Punkte und setzen Sie für jeden ein Datum. Die meisten Punkte kosten nur eine Entscheidung. Beginnen Sie mit den Abschnitten 1 bis 3: Sie schließen die Lücken, die Angreifer am häufigsten nutzen.

Woran Identity Phone arbeitet

Identity Phone wird für Geschäftskunden entwickelt. Geplant sind verifizierte Anruferidentität zwischen Kolleginnen und Kollegen, Helpdesk-Verifizierung vor dem Zurücksetzen von Zugangsdaten und ein Protokoll markierter Anrufe. Diese Funktionen sind noch nicht verfügbar; unabhängig geprüfte Leistungswerte gibt es noch nicht. Unternehmen können sich für den frühen Zugang auf die Warteliste setzen.