Telefonbetrug: Das Geschäft mit gefälschten Rufnummern

Wer einen Anruf von der vermeintlichen Hausbank bekommt, schaut oft zuerst auf die Nummer. Sie kann zum Eindruck beitragen, dass das Gespräch echt ist, noch bevor die Person am anderen Ende ihre Geschichte erzählt. Genau diese Täuschung sollen die Betreiber einer jetzt abgeschalteten Plattform anderen Kriminellen ermöglicht haben: Telefonanrufe mit gefälschten Rufnummern, verkauft als technische Dienstleistung.

Polizei und Staatsanwaltschaft Berlin meldeten am 13. Oktober 2026, dass sie gemeinsam mit serbischen Behörden gegen die mutmaßlichen Anbieter vorgegangen seien. Nach bisherigen Ermittlungen gingen mindestens 600.000 Anwahlversuche von der Infrastruktur aus. Der Fall gibt Einblick in eine Arbeitsteilung beim Telefonbetrug: Wer Menschen am Telefon täuschen will, kann sich die nötige Technik offenbar bei einem spezialisierten Dienstleister beschaffen.

Die Technik hinter der vorgetäuschten Banknummer

Den fünf Hauptbeschuldigten wird vorgeworfen, sogenannte Voice-over-IP-Dienstleistungen für Straftaten anderer bereitgestellt zu haben. Voice over IP bedeutet zunächst nur, dass Telefonie über Internetverbindungen läuft. Die Technik wird auch für gewöhnliche, rechtmäßige Gespräche verwendet. Im Berliner Verfahren geht es darum, dass der Dienst seinen Kunden Anrufe mit manipulierten Rufnummern ermöglicht haben soll – insbesondere für die Maschen mit falschen Bankmitarbeitern und falschen Polizeibeamten.

Beim Caller-ID-Spoofing wird die Rufnummer manipuliert, die beim Angerufenen erscheint. Die Bundesnetzagentur erklärt, dass dafür auch tatsächlich existierende Nummern missbraucht werden können, deren rechtmäßige Inhaber mit dem Anruf nichts zu tun haben. Die angezeigte Nummer muss dafür weder gekauft noch freigeschaltet werden. Eine vorgetäuschte Banknummer bedeutet daher für sich genommen auch nicht, dass die Telefonanlage der Bank gehackt wurde.

Für Betroffene können daraus zwei verschiedene Probleme entstehen. Die angerufene Person hält das Gespräch möglicherweise für vertrauenswürdig. Der unbeteiligte Inhaber einer missbrauchten Nummer wiederum kann Rückrufe von Menschen erhalten, die sich über Anrufe beschweren, die er nie getätigt hat. Auch solche Folgen beschreibt die Bundesnetzagentur. Wer unerwartet angebliche Rückrufe bekommt, sollte deshalb nicht automatisch annehmen, dass tatsächlich jemand über den eigenen Anschluss telefoniert hat.

Ein Geschäftsmodell, bei dem andere den Betrug ausführen

Die mutmaßlichen Betreiber sollen mit ihrem Service mehr als 1,6 Millionen Euro eingenommen haben. Dieser Betrag beschreibt ihre vermuteten Einnahmen aus der Dienstleistung. Er beziffert weder den gesamten Schaden der Angerufenen noch einen bestätigten Gewinn nach Abzug aller Kosten. Wie der Dienst seine Preise festlegte oder welche einzelnen Leistungen die Kunden bezahlten, legen die Behörden öffentlich nicht dar.

Die vorgeworfene Rollenverteilung erklärt, weshalb Ermittler auch die technische Infrastruktur ins Visier nehmen. Ein Anbieter kann die Voraussetzungen für viele Betrugsversuche schaffen, ohne selbst jedes Täuschungsgespräch zu führen. Aus dem beschriebenen Modell lässt sich ableiten, dass die Nutzer nicht alle technischen Aufgaben selbst erledigen mussten. Welche Kenntnisse sie im Einzelnen benötigten, ist aus der Mitteilung allerdings nicht ersichtlich.

Ein früherer, unabhängig dokumentierter Fall zeigt, dass solche Dienste bereits vor dieser Ermittlungsaktion existierten. Die Plattform iSpoof wurde im November 2022 international abgeschaltet. Laut Eurojust konnten registrierte, zahlende Nutzer darüber unter anderem Anrufe mit vorgetäuschten Rufnummern tätigen und sich als Banken oder Behörden ausgeben. Der Hauptadministrator wurde im Mai 2023 in London zu 13 Jahren und vier Monaten Haft verurteilt. Eine Verbindung zwischen iSpoof und dem aktuellen Berliner Verfahren ist damit nicht belegt; vergleichbar ist das Geschäftsmodell einer verkauften Täuschungstechnik.

Was die Ermittlungsaktion und ihre Zahlen aussagen

Die Berliner Ermittlungen laufen seit Februar 2025. Am 7. Oktober 2026 wurden in Serbien drei Durchsuchungsbeschlüsse vollstreckt und zwei Männer festgenommen. Am 13. Oktober folgten Durchsuchungen gegen zwei weitere Beschuldigte in Berlin und Hessen. In Nordrhein-Westfalen wurden im Zusammenhang mit dem Verfahren außerdem Wohnungen von 14 weiteren Beschuldigten durchsucht. Domains und Server sowie Telegram-Konten und weitere technische Bestandteile der Plattform wurden nach Behördenangaben beschlagnahmt und abgeschaltet.

Den drei in Serbien Beschuldigten ordnet die Mitteilung ausdrücklich den Vorwurf der Beihilfe zum Computerbetrug in mehr als 18.000 Fällen zu. Das ist keine gerichtlich bestätigte Zahl von Opfern. Auch die mindestens 600.000 Anwahlversuche erlauben keine Aussage darüber, wie viele unterschiedliche Menschen erreicht oder geschädigt wurden. Einen Schaden von rund 764.000 Euro nennen die Behörden für bislang 70 Fälle. Diese Summe darf nicht mit den mutmaßlichen Service-Einnahmen zu einem angeblichen Gesamtschaden addiert werden.

Die Polizei hält den Dienst möglicherweise für den größten Anbieter dieser Leistungen im deutschsprachigen Raum. Öffentlich nachvollziehbare Vergleichszahlen nennt sie dafür nicht. Auch der Name der Plattform und konkrete Opferzahlen für Österreich oder die Schweiz fehlen. Für die Beschuldigten gilt die Unschuldsvermutung; das Verfahren ist noch nicht abgeschlossen.

Österreich schützt heimische Rufnummern inzwischen stärker

Bei der Erklärung von Spoofing muss man die heutigen Schutzmassnahmen berücksichtigen. Nach Angaben der österreichischen Regulierungsbehörde RTR ist bei angezeigten österreichischen Telefonnummern durch ihre Massnahmen grundsätzlich sichergestellt, dass diese nicht gefälscht sind. Für ausländische Telefonnummern gibt es laut RTR weiterhin keinen wirksamen Schutz vor Spoofing. Die pauschale Aussage, jede Nummer lasse sich bei jedem Anruf beliebig anzeigen, beschreibt die Lage in Österreich deshalb nicht ausreichend.

In Deutschland gelten seit dem 1. Dezember 2022 ebenfalls technische Schutzvorgaben. Bei Anrufen, die aus ausländischen Netzen übergeben werden, muss die Anzeige deutscher Rufnummern grundsätzlich unterdrückt werden; für Mobilfunknummern beim internationalen Roaming besteht eine Ausnahme. Anrufe mit bestimmten unzulässigen Absendernummern, darunter die Notrufnummern 110 und 112, müssen abgebrochen werden. Auf welchem technischen Weg die jetzt abgeschaltete Plattform ihre Anrufe vermittelte, erläutert die Berliner Mitteilung nicht.

Der Schutz vor einer gefälschten Nummer beantwortet zudem nur einen Teil der Vertrauensfrage. Selbst eine korrekt übermittelte Rufnummer bestätigt nicht automatisch die behauptete berufliche Rolle einer Person oder die Richtigkeit ihrer Zahlungsanweisung. Ob jemand tatsächlich für die Bank spricht, lässt sich bei einem verdächtigen Gespräch über einen unabhängig gewählten Kontakt zur Bank überprüfen.

Wie aus angeblicher Hilfe eine Überweisung wird

Wie die Täuschung im Gespräch funktioniert, zeigt ein Fall, den die Polizei Oberbayern Nord am 3. Februar 2026 veröffentlichte. Ein 47-Jähriger aus Gaimersheim erhielt einen vermeintlichen Anruf seiner Hausbank. Der Anrufer behauptete, betrügerische Überweisungen müssten rückgängig gemacht werden. Der Mann gab daraufhin über das TAN-Verfahren zwei Überweisungen auf Konten des Betrügers frei. Später erlaubte er auch einen Fernzugriff auf seinen Computer. Laut Polizei entstand ein hoher fünfstelliger Schaden. Ein Zusammenhang mit der Berliner Plattform ist nicht bekannt.

Die angebliche Sicherheitsmassnahme wird bei dieser Masche zur Handlung, mit der das Geld erst abfliesst. Wer sich an der behaupteten Absicht des Anrufers orientiert, kann die tatsächliche Wirkung einer Freigabe übersehen. Deshalb sollte man bei einem unerwarteten Bankanruf keine TAN oder Zugangsdaten weitergeben und keinen Fernzugriff einrichten. Die Kriminalpolizei rät, das Gespräch im Zweifel zu beenden und die Bank selbst anzurufen. Dafür eine bekannte offizielle Nummer verwenden, etwa aus den eigenen Bankunterlagen, und keine vom Anrufer vorgegebene Nummer übernehmen.

Weitere typische Abläufe und Hinweise zur Soforthilfe erklärt unser Leitfaden zu Telefonbetrug. Die Abschaltung des mutmaßlichen Dienstleisters betrifft eine konkrete Infrastruktur. Eine unerwartete Aufforderung, Geld zu bewegen oder einen Zugriff zu erlauben, bleibt ein Anlass, das Gespräch zu unterbrechen und die Behauptung selbst zu prüfen.