STIR/SHAKEN Anrufer-ID-Authentifizierung

STIR steht für „Secure Telephone Identity Revisited“. Es ist der Satz von IETF-Standards, die definieren, wie eine digitale Signatur erstellt und an einen Anruf angehängt wird.

SHAKEN steht für „Signature-based Handling of Asserted information using toKENs“. Es ist die ATIS-Spezifikation, die Netzbetreibern erklärt, wie STIR tatsächlich in ihren Netzwerken eingesetzt wird.

Kurz gesagt: STIR ist der Standard, SHAKEN ist das darauf aufbauende Implementierungs-Framework. In der Praxis werden beide immer zusammen genannt, weshalb das STIR/SHAKEN-Protokoll meist als eine Einheit betrachtet wird.

Drei Schritte, die alle abgeschlossen sind, bevor das Telefon des Empfängers klingelt.

Authentifizierung. Ihr Anbieter prüft, wer den Anruf tätigt und ob er das Recht hat, die Nummer der Anrufer-ID zu verwenden. Signierung. Der Anbieter fügt dem Anruf einen signierten SIP-Identity-Header bei, der sein Zertifikat und eine Attestierungsstufe enthält, die beschreibt, wie sicher er ist. Verifizierung. Der beendende Anbieter validiert diese Signatur anhand des Zertifikats des ursprünglichen Anbieters und übergibt das Ergebnis an seine eigenen Spam-Analysen.

Was der Empfänger am Ende dieser Kette tatsächlich sieht, liegt im Ermessen seines Netzbetreibers. STIR/SHAKEN liefert die Beweise; die Analyse-Engine des Netzbetreibers trifft die Entscheidung.

Jede Signatur enthält eine Attestierungsstufe, die angibt, wie viel der ursprüngliche Anbieter tatsächlich über den Anruf weiß. Es gibt drei Stufen.

Volle Attestierung (A): Der Anbieter kennt den Kunden und hat bestätigt, dass dieser berechtigt ist, die Nummer zu verwenden. Dies ist die Stufe, bei der der Anruf am wahrscheinlichsten unmarkiert beim Empfänger ankommt. Teilweise Attestierung (B): Der Anbieter kennt den Kunden, hat aber dessen Recht auf diese spezifische Nummer nicht verifiziert, was häufig der Fall ist, wenn ein Unternehmen eigene Nummern mitbringt. Gateway-Attestierung (C): Der Anbieter leitet den Anruf nur weiter und kann dessen Ursprung überhaupt nicht bestätigen, was typisch für internationalen Verkehr ist, der in das US-Netzwerk gelangt.

Die Netzbetreiber-Analysen gewichten diese stark. Anrufe der Stufe A kommen in der Regel problemlos durch, Anrufe der Stufe C ziehen genaue Prüfung auf sich. Wenn Ihre Anrufannahmequoten schlecht sind und Sie nicht herausfinden können, warum, ist Ihre Attestierungsstufe eines der ersten Dinge, die Sie bei Ihrem Anbieter überprüfen sollten.

In den Vereinigten Staaten, ja. Gemäß dem TRACED Act hat die FCC im Jahr 2020 Regeln erlassen, die Sprachanbieter verpflichten, STIR/SHAKEN bis zum 30. Juni 2021 in den IP-Teilen ihrer Netzwerke zu implementieren. Kleinen Anbietern mit 100.000 oder weniger Teilnehmeranschlüssen wurde eine Verlängerung bis zum 30. Juni 2023 gewährt, die später für eine Teilmenge mit hohem Anrufaufkommen auf 2022 verkürzt wurde. Die Verpflichtung wurde seitdem auch auf Gateway- und Zwischenanbieter ausgeweitet.

Anbieter reichen auch Zertifizierungen in der Robocall Mitigation Database der FCC ein, und seit September 2021 ist es Netzbetreibern untersagt, Traffic direkt von Anbietern anzunehmen, die nicht darin gelistet sind. Kanada betreibt eine parallele Anforderung über die CRTC.

Wissenswert, wenn Sie selbst Anrufe tätigen, anstatt sie nur zu übermitteln: Die STIR/SHAKEN-Konformität ist eine Verpflichtung Ihres Sprachanbieters, nicht Ihres Unternehmens. Sie müssen nichts einreichen. Aber die Implementierung Ihres Anbieters bestimmt direkt, wie Ihre Anrufe behandelt werden, was es zu einer berechtigten Frage macht, die Sie jedem Anbieter stellen sollten, den Sie evaluieren.

Nicht direkt, und dies ist das häufigste Missverständnis darüber. STIR/SHAKEN authentifiziert die Anrufer-ID. Es trifft keine Aussage darüber, wofür ein Anruf bestimmt ist. Ein vollkommen legaler Robocall mit voller Attestierung kommt ungehindert durch, und ein Betrüger kann immer noch einen gefälschten Anruf tätigen. Der Anruf kommt lediglich mit einem ehrlichen Hinweis an, dass niemand dafür bürgen kann.

Das Framework beseitigt die Anonymität aus dem Netzwerk. Da jeder signierte Anruf auf den ursprünglichen Anbieter zurückverfolgt werden kann, können Regulierungsbehörden und Netzbetreiber Wiederholungstäter identifizieren, anstatt nicht rückverfolgbarem Traffic hinterherzujagen, und Netzbetreiber erhalten ein zuverlässiges Signal zum Filtern. Die Bekämpfung von STIR/SHAKEN-Robocalls ist ein Nebenprodukt dieser Rückverfolgbarkeit und nicht der Mechanismus selbst.

Weil die Attestierung nur ein Faktor unter vielen ist. Die Analyse-Engines der Netzbetreiber berücksichtigen auch, wie viele Anrufe eine Nummer pro Tag tätigt, wie lange diese Anrufe dauern, wie oft sie beantwortet werden, wie viele Empfänger die Nummer gemeldet haben, wie kürzlich sie aktiviert wurde und ob sie in den Registern der Analyseanbieter erscheint.

Eine brandneue Nummer, die dreihundert Mal am Tag mit einer durchschnittlichen Dauer von vier Sekunden wählt, sieht genau wie ein Robocaller aus, und eine vollständige Attestierung wird sie nicht retten. Das ist ein Problem des Wählverhaltens, kein Signaturproblem.

Die Dinge, die wirklich etwas bewirken: Registrieren Sie Ihre Nummern bei den Analyseanbietern, verteilen Sie das Anrufvolumen auf genügend Nummern, damit keine einzelne Nummer überlastet aussieht, behalten Sie Ihre durchschnittliche Anrufdauer im Auge und fügen Sie eine Marken-Anrufer-ID hinzu, damit Empfänger sehen, wer anruft, anstatt einer unbekannten Ziffernfolge.

STIR/SHAKEN ist eine Verifizierung. Sie läuft zwischen den Netzbetreibern ab, der Empfänger sieht sie nie, und ihre Aufgabe ist es, dem empfangenden Netzwerk mitzuteilen, dass Ihr Anruf das ist, was er vorgibt zu sein.

Marken-Anrufer-ID ist die Anzeige. Sie zeigt Ihren Firmennamen und auf unterstützten Geräten Ihr Logo und einen Anlass für den Anruf auf dem Bildschirm des Empfängers an. Ihre Aufgabe ist es, einem Menschen einen Grund zum Abheben zu geben.

Sie lösen benachbarte Hälften desselben Problems und funktionieren am besten zusammen: Die Signierung bringt Ihren Anruf am Filter vorbei, das Branding sorgt dafür, dass er beantwortet wird. Die Signierung ist in Ihrem CloudTalk-Plan enthalten. Die Marken-Anrufer-ID ist ein kostenpflichtiges Add-on, das pro ausgehendem Anruf abgerechnet wird.

Nein. STIR/SHAKEN ist ein nordamerikanisches Framework, das von der FCC in den USA und der CRTC in Kanada vorgeschrieben wird. Andere Länder verfolgen eigene Ansätze zur Anrufer-ID-Authentifizierung, und viele haben noch gar keine.

Dies ist wichtiger, als es klingt, wenn Sie von außerhalb in die USA verkaufen. Anrufe, die außerhalb Nordamerikas ihren Ursprung haben, gelangen typischerweise über einen Gateway-Anbieter in das US-Netzwerk, was eine Gateway-Attestierung (C) bedeutet, und somit eine höhere Wahrscheinlichkeit, dass sie markiert werden, bevor jemand abhebt. Die Verwendung einer lokalen US-Nummer von einem Anbieter, der Ihren Traffic am Ursprung signiert, vermeidet diesen Weg vollständig.

Die Signierung erfolgt automatisch bei ausgehenden Anrufen zu US-Zielen. Es gibt keine Einstellung zum Aktivieren, kein Zertifikat zu verwalten und keinen separaten Authentifizierungsanbieter, mit dem Sie einen Vertrag abschließen müssten. Die STIR/SHAKEN-Implementierung wird auf der Netzbetreiberseite der Plattform gehandhabt, wo auch die regulatorische Verpflichtung liegt.

Drumherum befindet sich der Rest des Deliverability-Toolkits: Anti-Spam-Nummernregistrierung, Spam-Behebung für Nummern, die einen schlechten Ruf erlangt haben, Marken-Anrufer-ID zur Anzeige und lokale Nummern in über 160 Ländern, damit Ihre Anrufe nahe an den Empfängern ihren Ursprung haben. Die Zustellbarkeit wird selten durch einen einzigen Hebel behoben, und die Signierung ist derjenige, der vorhanden sein muss, bevor die anderen wichtig werden.