Zusammenfassung

  • Australien hat bereits Regeln zur Rückverfolgung betrügerischer Anrufe und SMS. Die ACMA sagt jedoch, dass manche Anbieter kaum Kenntnisse über Wege jenseits direkter Nachbarn haben und nicht wissen, ob sie bei einer konkreten Kommunikation Ursprung, Transit oder Zustellung waren.
  • Ein neuer Branchenstandard kann Pflichten verteilen. Verantwortlichkeit wird aber erst praktisch, wenn Anbieter fallbezogene Routennachweise sichern und austauschen; ein Platz auf der Route beweist für sich genommen keinen Verstoß.

Was im Vorfallsdatensatz fehlt

Kundinnen und Kunden sehen einen Anruf oder eine Nachricht. Die Aufsicht muss eine Kette rekonstruieren. Dazwischen steht eine Frage, die eine Untersuchung beschleunigen oder blockieren kann: Welche Anbieter transportierten welchen Abschnitt der Kommunikation, und was konnten sie an diesem Punkt erkennen?

In ihrer Rede vom 13. Oktober beschreibt die ACMA einen Markt, in dem an einem für Kunden scheinbar einfachen Dienst mehrere Unternehmen beteiligt sein können. Der Retail-Anbieter trägt die primäre Verantwortung für den direkten Kundenkontakt; die Qualität des zugrunde liegenden Sprach-, Text- oder Datendienstes kann jedoch von weiteren Unternehmen abhängen. Die Behörde hört weiterhin von Kunden, die bei Serviceproblemen zwischen Anbietern hin- und hergeschickt werden. Bei Untersuchungen begegnen ihr zudem Einwände, ein anderes Unternehmen in der Lieferkette sei zuständig, das sich mitunter nicht wirksam zur Verantwortung ziehen lasse. Die Rede entlastet den Retail-Anbieter nicht. Sie trennt die Kundenbeziehung vom gesamten Lieferweg. Rede der ACMA

Bei betrügerischen Nachrichten wird diese Unterscheidung dringlicher. Laut ACMA verstehen manche Anbieter nur eingeschränkt, wie Verkehr durch und zwischen Netzen läuft. Sie kennen Lieferketten jenseits unmittelbarer Nachbarn kaum und können in einzelnen Fällen nicht zuverlässig feststellen, ob sie Ursprung, Transit oder Zustellung einer bestimmten Betrugsnachricht waren. Das verzögere Gegenmaßnahmen, erschwere die Suche nach Schwachstellen und behindere Maßnahmen gegen Anbieter, die Kunden oder andere Unternehmen enttäuscht hätten.

Zunächst ist dies ein Nachweisproblem, danach eine Auseinandersetzung über rechtliche Verantwortung. Fehlt ein Datensatz, der eingehende Kommunikation, nächste Übergabe, Zeit, erbrachte Funktion und Reaktion verbindet, kann ein Anbieter seine Rolle nicht erklären. Der Nachweis, dass er auf der Route lag, belegt jedoch nicht, dass er den Betrug verursacht oder eine Regel verletzt hat. Die Rollenzuordnung soll Verantwortung untersuchbar machen, nicht das Ergebnis vorwegnehmen.

Rückverfolgungsregeln gibt es bereits

Das Problem ist nicht, dass es keine Regeln gäbe. Der von der ACMA registrierte Branchenstandard C661:2022 Reducing Scam Calls and Scam SMs legt Verfahren fest, um betrügerische Anrufe und Nachrichten zu erkennen, zurückzuverfolgen, zu sperren und anderweitig zu stören. Bei Verstößen kann die Behörde tätig werden. Der Standard sieht auch Informationsaustausch und eine Rückverfolgung zum Ursprung vor. Veröffentlichte Durchsetzungsfälle zeigen, dass dies ein operatives Instrument und keine bloße Absichtserklärung ist. C661:2022

Das SMS-Sender-ID-Register bringt eine weitere, rollenbezogene Ebene hinzu. In den Konsultationsunterlagen definiert die ACMA einen Ursprungsanbieter als ein Unternehmen, das Nachrichten mit Sender-ID für einen Kunden oder Messaging-Anbieter versendet. Ein Zustellungsanbieter ist der Netzbetreiber, der solche Nachrichten an Nutzer seines Netzes liefert; ein Transit-Anbieter transportiert sie zwischen anderen Telekommunikationsunternehmen. Der beschriebene Rückverfolgungsweg beginnt beim Zustellungsanbieter und führt über vorherige Übergaben zurück, bis der Ursprung gefunden ist. Diese Definitionen betreffen Nachrichten mit Sender-ID und gelten nicht automatisch für jeden Sprach-, Nachrichten- oder Datenweg. Konsultationspapier der ACMA zum Sender-ID-Register

Die Lücke liegt zwischen einem Verfahren und der Sicht auf einen konkreten Vorfall. Ein Anbieter kann zur Rückverfolgung verpflichtet sein und dennoch keine verlässliche Karte des Weges besitzen, an dem er beteiligt war. Kontaktlisten, Antwortfristen und Sperranweisungen ersetzen keinen Datensatz, der Übergabe, Rolle und Zeitpunkt erfasst. Eine mehrgliedrige Kette zeigt auch nicht automatisch, wer eine konkrete Kommunikation hätte verhindern können.

Ein Unternehmensverzeichnis ist nicht dasselbe wie die Route eines Vorfalls. Ein Anbieter kann seine Geschäftspartner kennen, ohne alle nachgelagerten Ziele zu sehen. Er kann eine Nachricht weiterleiten, ohne ihr Ursprung zu sein, oder sie zustellen, ohne den Absender ausgewählt zu haben. Diese Unterschiede bestimmen, welche Nachweise er angemessen sichern und welche Maßnahmen er ergreifen kann. Dieselbe Pflicht für alle Beteiligten könnte Verantwortung überdehnen oder das Abschieben auf den jeweils nächsten Anbieter erleichtern.

Der Sektor ist erfasst, der Branchenstandard steht noch aus

Die Designation des Scams Prevention Framework weist erfasste Sprach- und Nachrichtendienste als regulierten Telekommunikationssektor aus und bestimmt die ACMA zur zuständigen Sektoraufsicht. Die Leistung wird durch einen Carrier und einen öffentlichen Telekommunikationsdiensteanbieter erbracht; beide Rollen können bei demselben oder bei verschiedenen Unternehmen liegen. Damit berücksichtigt die Regelung, dass die Bereitstellung Unternehmensgrenzen überschreiten kann.

Die Designation bedeutet nicht, dass bereits alle materiellen Pflichten gelten. Abschnitt 102 sieht einen Übergangszeitraum vor. Vom 1. September 2026 bis Ende März 2027 bleiben die meisten materiellen Vorschriften des Frameworks ausgenommen; Regeln zur Ausarbeitung eines Sektorkodex und bestimmte Fragen der Streitbeilegung werden gesondert behandelt. Die am 1. September in Kraft getretenen SPF Rules 2026 enthalten eine eng begrenzte Ausnahme für bestimmte private Sprachleitungen. Sie ersetzen keinen Telekommunikationskodex.

Der Jahresarbeitsplan der ACMA sieht die Entwicklung eines Kodex für den Telekommunikationssektor vor, vorbehaltlich notwendiger Übertragungen und Designationen. Im Oktober erklärte die Behörde, ihre Erfahrungen mit C661 und den Regeln zum SMS-Sender-ID-Register würden in den neuen Kodex und einen Ansatz „Know Your Customer / Know Your Traffic“ einfließen. Das ist ein angekündigter Arbeitsstrang, kein endgültiger Text und keine bereits veröffentlichte Pflicht, für jede Route ein Protokoll zu führen. Arbeitsplan der ACMA

Der separate Entwurf eines Telecommunications Consumer Protections Industry Standard kann noch bis zum 10. November 2026 kommentiert werden. Er behandelt Verbraucherschutz und Abhilfe, nicht den SPF-Kodex gegen Betrug. Die ACMA sagt, sie berücksichtige Lieferkettenverantwortung auch bei diesem Entwurf; abgeschlossen ist jedoch keine der beiden Initiativen. Konsultation zum TCP Standard

Was eine überprüfbare Route zeigen muss

Der praktische Test für den kommenden Kodex lautet: Können Ermittler die Route eines Vorfalls, die Rolle jedes Anbieters und dessen verfügbares Wissen rechtzeitig rekonstruieren? Dafür ist keine öffentliche Gesamtkarten aller Netze nötig. Eine solche Karte könnte sensible Informationen offenlegen und rasch veralten. Nötig ist zunächst ein authentifizierter, zeitlich begrenzter Datensatz für einen konkreten Vorfall, der jede Übergabe verbindet und über ein festgelegtes Verfahren abrufbar ist.

Der Datensatz sollte mindestens vier Dinge trennen: die tatsächlich ausgeübte Rolle, die Übergabe an den benachbarten Anbieter samt Zeit und Ziel, die erkennbaren Signale und die Reaktion — Rückverfolgung, Sperrung, Eskalation, Beweissicherung oder eine begründete Entscheidung, nicht tätig zu werden. Das sind Kriterien für den Kodex, keine bereits von der ACMA in dieser Form auferlegten Pflichten. Sie verlangen auch nicht, jedes Datenpaket zu speichern oder jedem Unternehmen die gesamte Topologie offenzulegen. Ein verhältnismäßiger Ansatz könnte den Zugang auf ein konkretes Ereignis begrenzen, Kundendaten schützen und Abrufe protokollieren.

Die Beweiskette muss in beide Richtungen funktionieren. Ein Zustellungsanbieter muss bei vorgelagerten Anbietern eine Rückverfolgung anfordern und eine brauchbare Antwort erhalten können. Der Ursprungsanbieter sollte das Konto oder den Vermittler ermitteln können, über den die Kommunikation eintrat, soweit Regeln und Datenschutz dies erlauben. Transit-Anbieter müssen erklären können, was sie transportierten und beobachteten, ohne Wissen vorzutäuschen, das sie nicht hatten. Jeder Schritt benötigt eine Fallreferenz, eine Frist und eine prüfbare Antwort.

So kann auch die Durchsetzung genauer unterscheiden. Ein Anbieter, der eine Nachricht nur weiterleitete und den Absender nicht erkennen konnte, hat eine andere Rolle als ein Unternehmen, das den Ursprungskunden unter Vertrag nahm oder eine Rückverfolgungsanfrage ignorierte. Umgekehrt sollte das Fehlen eines direkten Kundenvertrags keinen Anbieter schützen, dessen Rolle und Pflicht belegt sind. Die Rollenzuordnung soll diese Unterschiede anhand von Nachweisen prüfbar machen.

Die von der ACMA genannten kumulierten Werte — mehr als 3,3 Milliarden betrügerische Anrufe und 1,1 Milliarden betrügerische SMS, die in den genannten Zeiträumen gestoppt wurden — zeigen umfangreiche Störungsmaßnahmen. Sie verraten nicht die Zahl einzigartiger Versuche, den Beitrag jedes Anbieters oder ob die Route eines erfolgreichen Betrugs rekonstruiert werden kann. Die Zahl gesperrter Nachrichten misst weder Rückverfolgungsqualität noch Reaktionszeit. ACMA’s Hinweis auf Sichtbarkeitslücken begründet solche Kennzahlen; er beweist nicht, dass alle bestehenden Kontrollen versagt haben.

Quellen: ACMA-Rede vom 13. Oktober 2026; ACMA zu C661; C661:2022; ACMA-Konsultation zum SMS-Sender-ID-Register; SPF-Regulated-Sectors-Designation 2026; SPF Rules 2026; ACMA-Arbeitsplan; TCP-Standard-Konsultation.