angiri-Betrug ist eine Betrugsmasche, bei der Anrufe nur einmal klingeln und dann aufgelegt wird. Betrüger tätigen dabei massenhaft Anrufe von Premium- oder internationalen Nummern, bei denen es nur einmal klingelt. Sie spekulieren darauf, dass neugierige Anrufer zurückrufen und bei einem kostenpflichtigen Anbieter landen, der ihnen hohe Gebühren berechnet und den Betrügern eine Umsatzbeteiligung einbringt. Es handelt sich um die sprachbezogene Variante des IRSF (Integrated Recall Scam), die von Mobilfunkanbietern durch Anrufmusteranalyse und Sperrung von Premium-Nummern gestoppt wird.
Was ist Wangiri und woher kommt der Name?
Wangiri (ワン切り) ist Japanisch und bedeutet „einmal klingeln und auflegen“ – ein Begriff, der Anfang der 2000er-Jahre in Japan für eine Betrugsmasche geprägt wurde, die sich seitdem weltweit verbreitet hat. Das Vorgehen ist bewusst minimalistisch: Ein automatisierter Wählcomputer ruft einen Teilnehmer an, lässt es genau einmal klingeln und legt auf, bevor jemand abnehmen kann. Der Teilnehmer sieht einen verpassten Anruf von einer unbekannten internationalen oder hochpreisig wirkenden Nummer und ruft – aus Neugier oder Pflichtgefühl – zurück – und gerät so direkt in eine Falle für überteuerte Anrufe. Wangiri ist keine technische Schwachstelle des Mobilfunknetzes, sondern eine Ausnutzung der Unwissenheit des Nutzers am Mobiltelefon. Deshalb hat diese Betrugsmasche jede Generation von Mobilfunknetzmodernisierungen überstanden.
So funktioniert der Betrug mit dem einmaligen Rückruf
Das gesamte Geschäft basiert auf dem Rückruf. Betrüger mieten internationale Premium-Rufnummern (IPRNs) – Rufnummernbereiche mit überhöhten Verbindungsgebühren, von denen ein Teil an denjenigen zurückgezahlt wird, der den Anrufverkehr darüber generiert. Die Kampagne mit dem ersten Klingeln dient ausschließlich dazu, diesen Verkehr zu erzeugen. Ruft der Teilnehmer zurück, landet er auf der Premium-Rufnummer des Betrügers, oft mit inszenierten Tricks, um ihn in der Leitung zu halten – ein langes Freizeichen, eine gefälschte Sprachansage, Wartemusik, eine Bandansage mit der Bitte zu warten –, da die Vergütung mit Verbindungsdauer und -qualität skaliert. Der Netzbetreiber des Teilnehmers zahlt die überhöhte Verbindungsgebühr über die Verbindungskette, stellt sie dem Teilnehmer in Rechnung, und der Anteil der Einnahmen fließt zurück an den Betrüger. Es handelt sich um das sprachseitige Pendant zum Messaging-Betrug, der im Abschnitt künstlich aufgeblähter Verkehr beschrieben wird: ein legitimes Abrechnungssystem, das mit künstlich erzeugtem, wertlosem Datenverkehr aufgebläht wird.
Der Link zu IRSF
Wangiri ist die Schnittstelle zwischen Privatkunden und internationalem Umsatzbeteiligungsbetrug (IRSF). IRSF ist die Großhandelsmaschinerie – die Premium-Tarife, die Testanrufgeneratoren und die in langen Verbindungsketten verborgenen Umsatzbeteiligungsvereinbarungen –, die jeden Anruf an ein Premium-Ziel monetarisiert. Wangiri ist schlichtweg der effektivste Weg, diese Anrufe in großem Umfang zu generieren, ohne zuvor eine Telefonanlage oder eine SIM-Karte zu kompromittieren: Anstatt eine Datenverkehrsquelle zu hacken, überzeugt der Betrüger Tausende von Abonnenten, die Anrufe freiwillig zu tätigen. Dieselben IPRN-Informationen, Hot-Number-Listen und Umsatzsicherungsmaßnahmen, die vor klassischem IRSF schützen, bilden daher das Rückgrat der Wangiri-Abwehr – weshalb die Behandlung beider Probleme als ein einziges Problem und nicht als zwei separate Ansätze die erfolgversprechendste Vorgehensweise für Betreiber ist.
Warum Wangiri in Wellen ankommt
Telefonbetreiber erleben Wangiri als plötzliche Anrufspitzen und nicht als gleichmäßiges Hintergrundrauschen. Der Grund dafür liegt im Betrieb. Die Kampagnen werden von automatischen Wählgeräten gegen sequenzielle oder zufällig generierte MSISDN-Nummernblöcke gestartet und verbrauchen innerhalb weniger Stunden einen ganzen Block an Zielnummern, bevor die Quell- und Premium-Nummernblöcke gesperrt und rotiert werden. Eine solche Welle trifft typischerweise ein ganzes Land oder den Kundenstamm eines einzelnen Betreibers gleichzeitig – oft abends oder am Wochenende, wenn die Betrugsabteilungen weniger ausgelastet sind – und kann Tage später mit neuen Nummernblöcken erneut auftreten. In den GCC-Staaten und der gesamten MENA-Region zielen wiederkehrende Wellen auf Kunden mit hohem durchschnittlichem Umsatz pro Nutzer (ARPU) ab. Dabei werden häufig bekannte regionale oder benachbarte Vorwahlen gefälscht, um die Rückrufrate zu erhöhen. Da jede Welle kurz und selbstlimitierend ist, kommt eine Erkennung durch nachträgliche manuelle Überprüfung immer zu spät; die Kontrolle muss automatisiert und direkt im System erfolgen.
Der Schaden ist weitreichender als der Gesetzesentwurf.
Der sichtbare Schaden besteht in den hohen Rechnungen der Abonnenten sowie den darauf folgenden Rückbuchungen und Beschwerden – Kosten für Support und Reputation, die der Betreiber unabhängig davon tragen muss, ob er auf die Gebühr verzichtet oder nicht. Der weniger sichtbare Schaden ist struktureller Natur: Streitigkeiten über Interconnect-Abrechnungen, wenn überhöhte Terminierungsgebühren angefochten werden, ein schwindendes Vertrauen der Abonnenten in die eigene Rufnummernvergabe und eine verstärkte regulatorische Kontrolle in Märkten, in denen Regulierungsbehörden – wie die TDRA in den VAE, die CST in Saudi-Arabien und ihre regionalen Pendants – tolerierten Betrug als Versagen des Verbraucherschutzes werten. Ein Betreiber, der Wangiri gewähren lässt, riskiert das langfristige Vertrauen seiner Abonnenten, um einige Premium-Abrechnungen abzuwickeln, die er höchstwahrscheinlich ohnehin zurückerstatten wird. Dies korrekt zu handhaben, ist Kernaufgabe der Umsatzsicherung für Betreiber und kein Sonderfall.
Detektion: die Signale, die Wangiri enthüllen
- Kurz andauernde eingehende Anrufspitzen – eine Flut von Anrufversuchen mit nur einem Klingeln von unter zwei Sekunden Dauer an viele Teilnehmer innerhalb eines kurzen Zeitfensters, ausgehend von wenigen Vorwahlbereichen. Charakteristisch ist das Klingeln und sofortige Auflegen selbst: hohe Anzahl an Anrufversuchen, nahezu keine Antwortdauer.
- Konzentration auf Premium-Ranges beim Rückruf – ausgehende Anrufe aus dem Abonnentenstamm konzentrieren sich auf bekannte oder vermutete IPRN-Ziele und teure Premium-Präfixe, insbesondere auf Bereiche ohne vorherige organische Anrufhistorie.
- Geschwindigkeits- und Kostenanomalien – Ursprungs- oder Beendigungsraten aus einem Bereich, den kein legitimer Dienst erzeugt, und Rückrufraten zu einem Ziel, die innerhalb von Minuten weit über den Basiswert ansteigen.
- Querverweis der IRSF-Nummerninformationen – Abgleich sowohl der Quellbereiche als auch der Rückrufziele mit gemeinsam genutzten Hot-Number- und IPRN-Datenbanken, sodass ein in einem Netzwerk verbrauchter Bereich in Ihrem Netzwerk gesperrt wird, bevor die nächste Welle eintrifft.
- Spoofed-CLI und impossible-routing checks – Quellnummern, die die Validierung nicht bestehen, nicht zugewiesene oder Testbereiche angeben oder einen Ursprung angeben, der nicht mit der Verbindung übereinstimmt, über die sie tatsächlich eingegangen sind.
Die Angriffskette und die Kontrollmechanismen, die jedes Glied unterbrechen.
| Angriffsschritt | Bedienersteuerung |
|---|---|
| Dialer sendet Anrufe mit einmaligem Klingeln aus IPRN-verbundenen Bereichen | Die integrierte Anrufmusteranalyse erkennt kurzzeitige eingehende Anrufspitzen und blockiert die Quellbereiche. |
| Abonnent sieht einen verpassten Anruf von einer unbekannten Nummer | Aufklärung der Abonnenten und netzinterne Warnungen vor verdächtigen internationalen Vorwahlen |
| Der Abonnent ruft zu einem Premium-Ziel zurück. | Echtzeit-Sperrlisten für Premium-Telefonnummern und Rückruf-Abfrage für Hochrisiko-Vorwahlen |
| Die Anrufe werden offen gehalten, um die Premium-Abrechnung zu maximieren. | Dauer- und Kosten-Geschwindigkeits-Anomalieerkennung mit automatischen Schwellenwerten |
| Die Umsatzbeteiligung regelt die Zusammenschaltungskette | Einbehaltung von Einnahmen aus der Steuersicherung und Abgleich von IRSF-Informationen vor der Einigung |
| Die Bereiche werden für die nächste Welle neu gedreht. | Gemeinsame Nutzung von Notfallnummern und Partnerprüfung, sodass rotierende Bereiche vorab gesperrt sind |
Verteidigung: Ein Leitfaden für Einsatzkräfte
- Die Analyse von Anrufmustern sollte direkt an der Sitzungs- und Verbindungsgrenze erfolgen, nicht erst nach einer nächtlichen Verarbeitung – die Wangiri-Wellen sind bereits abgeklungen, bevor der Bericht für den nächsten Tag erstellt wird. Der eingehende Datenverkehr sollte in Echtzeit anhand von Versuchsvolumen, Dauer und Bereichskonzentration bewertet werden.
- Premium-Sperrlisten pflegen und durchsetzen, die kontinuierlich anhand von GSMA- und branchenspezifischen IRSF/IPRN-Informationsfeeds aktualisiert werden, und Rückrufe an markierte Ziele blockieren oder hinterfragen, bevor eine Verbindung hergestellt wird.
- Legen Sie Geschwindigkeits- und Kostenanomalieschwellenwerte pro Quellbereich und pro Ziel fest, mit automatischer Abschaltung – so dass sich ein Bereich, der unmögliche Versuchsraten oder Rückrufe an eine plötzlich stark frequentierte Premium-Vorwahl generiert, selbst begrenzt, anstatt die volle Welle auszulösen.
- Durch den Abgleich von Quell- und Zielnummern mit gemeinsam genutzten Hot-Number-Datenbanken werden Bereiche, die in Peer-Netzwerken belegt sind, vorab blockiert, und die Rotation verliert ihren Vorteil.
- Sensibilisieren Sie Ihre Abonnenten kontinuierlich – durch proaktive Warnungen, keine Anrufe an unbekannte internationale Nummern zu erwidern, und durch eine einfache Möglichkeit, mutmaßliche Wangiri-Anrufe zu melden, die direkt neue Nummernkreise in die Erkennungsdatenbank einspeist.
- Integrieren Sie Sprach- und SMS-Betrugsbekämpfung in die gleiche Betrugsstrategie wie bei Messaging-Diensten – die Verhaltensbewertung und Reichweitenanalyse, die SMS-AIT und IRSF stoppen, ist die gleiche Methode, und die Kombination von Sprach- und SMS-Betrugsbekämpfung als ein einziges Programm schließt die Lücke, die Betrüger normalerweise nutzen.
BroadNet nutzt Verhaltensbetrugsbewertung und IRSF-Nummernanalyse über alle betriebenen Strecken hinweg und setzt dieselben Kontrollmechanismen – übergreifend für Sprach- und SMS-Kommunikation – in den Betrugsbekämpfungsprogrammen der Betreiber ein. Wangiri und seine SMS-basierten Pendants werden gemeinsam und in Echtzeit bewertet, anstatt an zwei getrennten Systemen.
Häufig gestellte Fragen
Was ist der Wangiri-Betrug?
Wangiri-Betrug ist eine Betrugsmasche, bei der Anrufe nur kurz klingeln – der Name stammt aus dem Japanischen und bedeutet „einmal klingeln und auflegen“. Betrüger rufen dabei viele Teilnehmer von Premium- oder internationalen Nummern aus an, wobei es nur einmal klingelt. Ziel ist es, neugierige Empfänger zum Rückruf zu verleiten. Diese landen dann bei einem kostenpflichtigen Anbieter, der ihnen hohe Gebühren in Rechnung stellt und einen Teil der Einnahmen an den Betrüger weiterleitet.
Wie funktioniert der Betrug mit dem Rückruf nach nur einem Klingeln?
Ein automatisches Wählgerät ruft jedes Ziel einmal an und legt auf, sodass ein verpasster Anruf von einer unbekannten Nummer angezeigt wird. Ruft der Teilnehmer zurück, landet das Gespräch auf einer internationalen Premium-Nummer (IPRN), die vom Betrüger kontrolliert wird. Diese wird oft mit gefälschten Sprachmenüs oder Wartemusik künstlich verlängert. Der Mobilfunkanbieter des Teilnehmers zahlt und stellt die überhöhte Gebühr in Rechnung, und der Betrüger kassiert seinen Anteil.
Wie können die Betreiber Wangiri stoppen?
Netzbetreiber stoppen Wangiri mit automatisierten, integrierten Kontrollmechanismen: Anrufmusteranalyse, die kurzzeitige eingehende Anrufspitzen erkennt, Sperrlisten für Premium-Nummern und Rückrufaufforderungen, die auf Basis von GSMA- und IRSF-Nummerninformationen aktualisiert werden, Schwellenwerte für Geschwindigkeits- und Kostenanomalien mit automatischer Abschaltung sowie Schulungen für die Teilnehmer. Da die Wellen kurz und selbstlimitierend sind, muss die Abwehr in Echtzeit an der Netzgrenze erfolgen und nicht erst im Nachhinein.
Referenzen
- GSMA – Gruppe für Betrug und Sicherheit (FASG): Leitfaden zu IRSF, Wangiri und Telekommunikationsbetrug: gsma.com
- GSMA – Netzwerkbasierte Betrugsanalyse und Ressourcen für Notfallnummern für Mobilfunkbetreiber: gsma.com
- BroadNet — Betrugsbekämpfungsprogramme für SMS und Sprache von Mobilfunkbetreibern.
- BroadNet — künstlich aufgeblähter Datenverkehr: Erkennung und Abwehr.