TIR/SHAKEN ist ein Satz von IETF- und ATIS-Standards, die die Rufnummer beim Anrufbeginn kryptografisch signieren, damit der angerufene Netzbetreiber überprüfen kann, ob es sich nicht um Spoofing handelt. Ab 2026 ist der Einsatz in nordamerikanischen Netzen verpflichtend und verbreitet sich international. STIR/SHAKEN authentifiziert jedoch die Rufnummer – nicht die Absicht des Anrufers.
Das Problem: Die Anrufer-ID wurde nie authentifiziert.
In der Geschichte der Telefonie wurde die Rufnummer, die dem Angerufenen angezeigt wurde, lange Zeit einfach vom Anrufer bestätigt und als durchgängig sicher angesehen. Es gab keine Überprüfung, ob der Anrufer berechtigt war, diese Nummer zu verwenden. Diese Sicherheitslücke macht das Fälschen der Rufnummer so einfach und ermöglicht unerwünschte Werbeanrufe, Identitätsdiebstahl und Betrug durch Rufnummernmanipulation. STIR/SHAKEN schließt diese Lücke, indem es dem Verbindungsaufbau eine verifizierbare kryptografische Signatur hinzufügt.
So funktioniert STIR/SHAKEN
STIR (Secure Telephone Identity Revisited) ist der zugrundeliegende Mechanismus der IETF. RFC 8224 definiert die Übertragung eines signierten Identitätsheaders in SIP; RFC 8225 definiert PASSporT, das signierte Token zur Bestätigung der Rufnummer; und RFC 8226 definiert das Zertifikatsframework, das die Signaturstelle an einen Dienstanbieter bindet. SHAKEN (Signature-based Handling of Asserted information using tokens) ist das ATIS/SIP-Forum-Profil, das die Implementierung von STIR durch Netzbetreiber mithilfe einer Governance- und Zertifikatshierarchie beschreibt.
- Der Ursprungsanbieter authentifiziert den Anruf und erstellt ein PASSport, das die anrufende Nummer bestätigt und mit seinem privaten Schlüssel signiert ist.
- Die Signatur wird in den SIP-Identitätsheader eingefügt und mit dem Anruf übertragen.
- Zwischennetzwerke leiten den signierten Anruf an das Ziel weiter.
- Der terminierende Provider ruft das öffentliche Zertifikat des Unterzeichners ab, überprüft die Signatur und stellt sicher, dass die Anrufernummer nicht manipuliert wurde – anschließend wendet er seine eigene Anzeige- oder Spambehandlung an.
Die drei Bescheinigungsstufen
STIR/SHAKEN gibt keine Auskunft über die Vertrauenswürdigkeit des Anrufers – es erfasst lediglich, wie sicher sich der Ursprungsanbieter ist, dass der Anrufer die Nummer verwenden darf. Dieses Vertrauen wird als Attestierungsstufe im PASSporT ausgedrückt.
| Bescheinigung | Name | Was der ursprüngliche Anbieter behauptet |
|---|---|---|
| A | Vollständige Bestätigung | Bekannter Kunde und bestätigtes Recht zur Nutzung der Rufnummer |
| B | Teilweise Beglaubigung | Bekannter Kunde, aber die Nummer konnte nicht bestätigt werden |
| C | Gateway-Attestierung | Anruf aus einem anderen Netzwerk/Gateway eingegangen; Ursprung nicht verifizierbar |
Was es bewirkt und was nicht
Das Rahmenwerk ist leistungsstark, aber eng gefasst. Ein Verständnis seines Anwendungsbereichs verhindert eine übermäßige Abhängigkeit davon.
- Es überprüft, ob die angezeigte Rufnummer während der Übertragung gefälscht wurde, und protokolliert die Bestätigung des Anrufers.
- Es liefert den terminierenden Netzbetreibern und Analyse-Engines ein verlässliches Signal für die Spam-Kennzeichnung und -Blockierung.
- Das beweist nicht die Absicht des Anrufers – auch ein vollständig verifizierter Anruf von einer echten Nummer kann ein Betrug sein.
- Es kennzeichnet oder blockiert Anrufe nicht von selbst; das ist eine separate Analyse- und Richtlinienentscheidung, die auf der Signatur aufbaut.
- Es funktioniert nativ nur auf IP (SIP)-Anrufpfaden; Anrufe, die über ältere TDM-Segmente laufen, können die Signatur verlieren.
Die Anrufer-ID-Authentifizierung ist ein Vertrauenssignal, kein Urteil. In Kombination mit Verhaltensanalysen: Unsere Antwort zur Betrugsprävention im Telekommunikationsbereich (Telecom Fraud Prevention) erläutert, wie die Bestätigung in die Bewertung einfließt, und die BroadNet-Referenzen zu programmierbarer Sprache (Programmable Voice) und Sprach-API/SIP-Trunking (Voice API/SIP Trunking) erklären, wo die Signatur im Anrufablauf enthalten ist.
Das globale Bild im Jahr 2026
Die Anrufer-ID-Authentifizierung begann als nordamerikanische Vorgabe – die FCC schrieb STIR/SHAKEN für IP-Netzwerke in den USA vor, und die kanadische CRTC folgte diesem Beispiel – und das Modell verbreitet sich nun. Frankreich und andere Märkte haben eigene Verfahren zur Anrufer-ID-Authentifizierung oder Rufnummernverifizierung eingeführt, und Branchenverbände arbeiten an der grenzüberschreitenden Interoperabilität. Die Richtung ist klar, aber die Abdeckung ist uneinheitlich: Ein signierter Anruf in einem Land kann in ein Netzwerk gelangen, das ihn nicht verifizieren kann. Daher spielen neben der Kryptografie weiterhin Analysen und Reputation eine wichtige Rolle. Informationen zur technischen Implementierung der Signatur finden Sie in unseren Referenzen zu SIP-Headern und der SIP-Protokollübersicht.
Häufig gestellte Fragen
Stoppt STIR/SHAKEN alle Robocalls?
Nein. STIR/SHAKEN überprüft, ob eine Anrufernummer gefälscht wurde und protokolliert die Bestätigung des Ursprungsanbieters, beurteilt aber nicht die Absicht. Auch eine legitime, vollständig bestätigte Nummer kann unerwünschte oder betrügerische Anrufe tätigen. Der Wert von STIR/SHAKEN liegt darin, ein verlässliches Signal zu liefern, das Spam-Analyse- und Blockierungssysteme für bessere Kennzeichnungs- und Filterentscheidungen nutzen – es ist ein Input für die Durchsetzung von Spam-Richtlinien, nicht die Durchsetzung selbst.
Was bedeuten die Attestierungsstufen A, B und C?
Sie geben an, wie sicher sich der anrufende Anbieter der Anrufe ist. Stufe A (vollständig) bedeutet, dass es sich um einen bekannten Kunden mit bestätigtem Nutzungsrecht für die Rufnummer handelt; Stufe B (teilweise) bedeutet, dass es sich um einen bekannten Kunden handelt, dessen Rufnummer jedoch nicht bestätigt werden konnte; Stufe C (Gateway) bedeutet, dass der Anruf aus einem anderen Netz einging und dessen Ursprung nicht verifiziert werden kann. Die empfangenden Netzbetreiber berücksichtigen diese Stufen bei der Entscheidung, wie ein Anruf behandelt und angezeigt wird.
Wird STIR/SHAKEN auch außerhalb der Vereinigten Staaten verwendet?
Die Einführung der Anrufer-ID-Authentifizierung begann in Nordamerika unter der FCC und der kanadischen CRTC. Mittlerweile breitet sie sich international aus, und Märkte wie Frankreich führen eigene Regelungen ein. Die Abdeckung ist noch uneinheitlich, und die grenzüberschreitende Verifizierung befindet sich in der Entwicklung. Daher sollte das System eher als wachsende globale Richtung denn als universell einsetzbarer Standard im Jahr 2026 verstanden werden.
Funktioniert STIR/SHAKEN auch in Nicht-IP-Netzen (TDM)?
Nicht nativ. Die Signatur wird im SIP-Identitätsheader übertragen und ist daher vom IP-Anrufpfad abhängig. Überquert ein Anruf ein älteres TDM-Segment, kann die Signatur verloren gehen und die Attestierung ungültig werden. Die Überbrückung dieser Lücke für Anrufe, die ältere Infrastrukturen nutzen – mittels Out-of-Band-Mechanismen – ist Gegenstand aktueller Standardisierungsarbeit.
Referenzen
- IETF — RFC 8224, Authenticated Identity Management in SIP: datatracker.ietf.org
- IETF — RFC 8225, PASSporT: Personal Assertion Token: datatracker.ietf.org
- IETF — RFC 8226, Secure Telephone Identity Credentials (Certificates): datatracker.ietf.org
- ATIS – SHAKEN-Standards und Anrufauthentifizierung: atis.org
- FCC — Anrufauthentifizierung / STIR/SHAKEN: fcc.gov