Zusammenfassung

  • Indien ist bereit, sich an einem von der ITU vorgeschlagenen Test auf ausgewählten internationalen Routen zu beteiligen. Die vorliegenden Quellen nennen weder teilnehmende Länder oder Betreiber noch einen Testbeginn.
  • ITU-Empfehlungen beschreiben die Authentifizierung der von einem Netz übermittelten Anrufernummer. Sie belegen weder, wer spricht, noch die Absicht oder den Wahrheitsgehalt eines Gesprächs.

Nationale Abwehr endet nicht an der Grenze

Bei einer ITU-Rundtischrunde in Neu-Delhi am 9. Oktober stellte Chandra Sekhar Pemmasani, indischer Staatsminister für Kommunikation, mehrere Bausteine der nationalen Betrugsabwehr vor: ASTR, die App Sanchar Saathi, die Digital Intelligence Platform und den Financial Fraud Risk Indicator. Eine Mitteilung von Ministry of Communications zufolge half ASTR, mehr als 8,2 Millionen Anschlüsse (82 Lakh) abzuschalten; die App verzeichnete rund 25 Millionen Downloads; die Plattform verband mehr als 1.600 Organisationen; und der Risikoindikator soll in 15 Monaten dabei geholfen haben, mutmaßliche Verluste von mehr als 50 Milliarden Rupien (5.000 Crore) zu verhindern. Es handelt sich um Regierungsangaben. Downloads sind keine aktiven Nutzer, abgeschaltete Anschlüsse keine gezählten Opfer und mutmaßlich verhinderte Verluste keine unabhängig geprüfte Summe. (Mitteilung von Ministry of Communications)

Die internationale Initiative bleibt ein Vorschlag. Indien begrüßte die Idee der ITU für gemeinsame Tests und bot seine Mitwirkung an. Pemmasani schlug vor, mit willigen Staaten auf ausgewählten internationalen Routen zu beginnen und unterschiedliche Netztechnologien einzubeziehen. Die Mitteilung nennt weder Partnerländer, Betreiber, Zeitplan noch Finanzierung. Sie belegt auch nicht, dass eine Route bereits getestet wird.

Ein nationales Filtersystem kann Nummern innerhalb seines eigenen Zuständigkeitsbereichs bewerten. Ein internationaler Anruf durchläuft dagegen Netze und Vertrauensdomänen mehrerer Betreiber. Das Zielnetz muss erkennen können, ob die Ursprungsseite zur Nutzung der angezeigten Nummer berechtigt war und ob der Authentifizierungsnachweis den gesamten Weg übermittelt wurde. Genau an dieser Schnittstelle wird internationale Zusammenarbeit zu einer Betriebsfrage.

Der Nachweis gilt der Leitung, nicht der Person

Die technische Grundlage entstand vor der Ankündigung. Die ITU-T-Empfehlungen Q.3057 (2020), Q.3062 und Q.3063 (2022) sind in Kraft. Sie behandeln eine Architektur für die Verbindung vertrauenswürdiger Netze, geschützte Signalisierungsverfahren und die Authentifizierung der Anruferleitungskennung (CLI). Nach Q.3063 ist das Zertifikat an den Nachweis gebunden, dass die Ursprungs-Vermittlungsstelle zur Nutzung der übermittelten Nummer berechtigt ist. Ein Sicherheitsgateway kann Zertifikat und Signatur an die Signalisierung anhängen; Transitnetze leiten den Anruf weiter; das Zielnetz kann den Nachweis prüfen und optional einen Sicherheitsindikator anzeigen. (Q.3057; Q.3062; Q.3063)

Die Aussagekraft bleibt begrenzt. Der Nachweis kann stützen, dass das Netz die Leitung zur Nutzung der Nummer berechtigt hat. Er identifiziert nicht die sprechende Person, schließt eine Täuschung über einen anderen Kanal aus, erkennt keine Absicht und prüft nicht den Gesprächsinhalt. Der Standard selbst belegt auch keine Einführung durch einen Betreiber. Q.3063 macht die Anzeige beim Empfänger optional; das Verhalten der Transitnetze und unterschiedliche Protokolle beeinflussen, was ankommt. Eine authentifizierte Nummer ist ein Signal für die Risikobewertung, kein Betrugsurteil.

Auch die Zertifikats-Governance ist noch nicht abgeschlossen. Die ITU führt die Entwürfe Q.3070 zur Zertifikatsausgabe und E.1122 zum Anker der Registrierungsstelle als laufende Arbeiten mit dem Status „determined“. Q.3070 befindet sich bis zum 4. März 2027 in der Konsultation der Mitgliedstaaten. Dieser Status bedeutet nicht, dass die Empfehlung veröffentlicht und in Kraft ist. In ihrer Vorschau vom 1. Oktober kündigte die ITU die Rundtischrunde als Gespräch über die praktische Umsetzung und einen möglichen Proof of Concept; auf der Tagesordnung stand die gefälschte CLI zwischen verbundenen Netzen. Keine der Quellen dokumentiert einen abgeschlossenen Test. (ITU-Seite zur Signalisierungssicherheit; Q.3070-Konsultation; Programm der Rundtischrunde)

Belege müssen der Route folgen

Ein aussagekräftiger Test müsste die einbezogenen Routen und Netztypen benennen und Anrufe mit gültigen, fehlenden, abgelaufenen, widerrufenen oder nicht prüfbaren Zertifikaten getrennt erfassen. Er müsste zeigen, ob Transitbetreiber die Authentifizierungsdaten erhalten, wie das Zielnetz auf jeden Status reagiert und welche Anzeige Nutzer tatsächlich sehen. Auch Verbindungsquote, Fehlannahmen, Fehlablehnungen, Beschwerden und der Umgang mit älteren Zusammenschaltungen gehören dazu. Das sind Fragen für die Auswertung, keine bereits bekanntgegebenen Bedingungen Indiens oder der ITU.

Bis dahin beschreiben die nationalen Zahlen und internationalen Standards unterschiedliche Ebenen. Sie zeigen, dass es in Indien nationale Kontrollinstrumente gibt und dass ein Signalisierungsrahmen existiert. Sie belegen weder Ende-zu-Ende-Vertrauen auf einer internationalen Route noch einen messbaren Rückgang des Betrugs im Live-Verkehr. Der nächste Nachweis muss operativ sein: Welche Stelle vertraut welcher Zertifizierungsinstanz auf welchem Weg, und was geschieht, wenn der Nachweis fehlt oder scheitert?