Mobilfunk: Imei-Kennungen gelangten beim Rufaufbau unbemerkt zu Anrufern

Was geschehen ist – die Kernmeldung ausführlich

Eine schwerwiegende Sicherheitslücke in deutschen Mobilfunknetzen hat es über einen längeren Zeitraum ermöglicht, die eindeutige Identifikationsnummer eines Smartphones, die sogenannte IMEI (International Mobile Equipment Identity), unbemerkt während des Rufaufbaus auszulesen. Dies geschah noch bevor der Angerufene das Gespräch überhaupt entgegengenommen hatte. Die 15-stellige Kennung ist ein hochsensibler Datenpunkt, da sie ein Gerät weltweit eindeutig identifizierbar macht. Die Entdeckung geht auf umfangreiche Recherchen des Bayerischen Rundfunks (BR) zurück, der in einer Testreihe mehr als 70 Anrufe analysierte. Dabei stellte sich heraus, dass in bestimmten Konstellationen sensible Informationen über das Mobilfunknetz an das Gerät des Anrufers übermittelt wurden. Diese Sicherheitslücke betraf nicht nur die Identität des Geräts, sondern in einigen Fällen auch Informationen über das verwendete Smartphone-Modell sowie die installierte Betriebssystemversion. Letzteres erlaubte Rückschlüsse darauf, ob ein Gerät auf dem aktuellen Sicherheitsstand war oder ob kritische Updates fehlten. Die betroffenen Mobilfunkbetreiber bestätigten nach Konfrontation durch den BR die Existenz der Schwachstelle und gaben an, bereits entsprechende technische Gegenmaßnahmen eingeleitet zu haben, um den unbefugten Datenabfluss zu unterbinden.

Die Einzelheiten – Zahlen, Namen und technische Hintergründe

Im Rahmen der Untersuchung des Bayerischen Rundfunks wurden über 70 Testanrufe durchgeführt, um die Datenübertragung beim Rufaufbau zu prüfen. Die Analyse des Datenverkehrs mittels Wireshark-Mitschnitten bestätigte, dass in den Netzen der Deutschen Telekom sowie von Telefónica (O2) in mehreren Fällen die IMEI-Kennung an den Anrufer übertragen wurde. Bei den Anbietern Telekom und Vodafone konnten zudem Rückschlüsse auf die Smartphone-Modelle und die genutzten Betriebssystemversionen gezogen werden. Diese Daten wurden zwar nicht bei jedem einzelnen Anruf übermittelt, jedoch traten sie in spezifischen, vom Netz abhängigen Konstellationen auf. Die betroffenen Unternehmen reagierten unterschiedlich: Vodafone teilte mit, die bei Anrufen übermittelten Daten „zusätzlich eingegrenzt“ zu haben. Die Telekom kündigte Mitte August an, ihr Netz entsprechend anzupassen, während Telefónica erklärte, bereits technische Maßnahmen zur Behebung umgesetzt zu haben. Die IMEI selbst ist eine 15-stellige Nummer, die jedes Mobilfunkgerät weltweit eindeutig kennzeichnet. Da sie fest in die Hardware integriert ist, lässt sie sich durch einen einfachen SIM-Kartenwechsel oder einen Werksreset des Betriebssystems nicht ohne Weiteres verändern oder zurücksetzen, was sie zu einem dauerhaften Identifikationsmerkmal macht.

Hintergrund – Der Weg zur Entdeckung der Lücke

Die Problematik der IMEI-Übermittlung ist eng mit der Funktionsweise internationaler Mobilfunknetze verknüpft. Grundsätzlich ist es für einen Mobilfunkprovider, in dessen Netz sich ein Nutzer befindet, ohnehin möglich, die Verbindung zwischen Telefonnummer, Identität des Nutzers und der IMEI herzustellen. Dies ist für den regulären Netzbetrieb notwendig. Problematisch wird es jedoch, wenn sich ein Nutzer im Ausland in ein fremdes Netz einbucht. Dort hat der ausländische Betreiber in der Regel keinen Zugriff auf die Klardaten des Nutzers, wohl aber auf die IMEI, die das Gerät an die Mobilfunkstation übermittelt. Durch die nun aufgedeckte Schwachstelle konnten Informationen, die eigentlich innerhalb eines geschlossenen Systems bleiben sollten, über die Netzgrenzen hinweg an Dritte gelangen. Dies öffnet Tür und Tor für Szenarien, in denen Geheimdienste oder andere Akteure Personen gezielt tracken können. Die Recherchen des BR verdeutlichen, dass hierbei offenbar bestehende Branchenstandards der GSMA (Global System for Mobile Communications Association) nicht korrekt implementiert wurden. Obwohl die GSMA in ihren Dokumenten, wie etwa im RFC 7254, explizit vor der unverschlüsselten Übermittlung der IMEI warnt, fand diese in der Praxis dennoch statt.

Die Beteiligten – Wer ist betroffen und wer entscheidet

An der Aufarbeitung dieses Vorfalls sind verschiedene Akteure beteiligt. Auf der Seite der Mobilfunkanbieter stehen die Deutsche Telekom, Vodafone und Telefónica (O2), die als Betreiber der Netze für die korrekte Implementierung der Sicherheitsstandards verantwortlich sind. Der Bayerische Rundfunk (BR) fungierte als aufdeckende Instanz, die durch ihre Testreihen das Ausmaß der Lücke erst sichtbar machte. Als externe Experten wurden Spezialisten wie Karsten Nohl, der Gründer von SRLabs, hinzugezogen, um die sicherheitstechnischen Auswirkungen der IMEI-Übermittlung einzuordnen. Auch das Bundesamt für Verfassungsschutz (BfV) wurde vom BR um eine Einschätzung gebeten. Das BfV bewertete die Schwachstelle als sicherheitsrelevant und wies darauf hin, dass fremde Nachrichtendienste solche Informationen mit hoher Wahrscheinlichkeit für ihre Zwecke nutzen könnten, da bereits Cyberangriffe auf Mobilfunkgeräte durch staatliche Akteure bekannt seien. Schließlich ist die GSMA als internationaler Branchenverband involviert, die nach der Kontaktaufnahme durch den BR die Sicherheitslücke offiziell bestätigte und ihre mehr als 1000 Mitgliedsunternehmen weltweit in einem neunseitigen Briefing dazu aufforderte, ihre Netze auf unnötige Datenübertragungen hin zu überprüfen.

Einordnung – Was das bedeutet

Einzuordnen ist die Schwachstelle als ein systemisches Problem bei der Umsetzung internationaler Sicherheitsvorgaben. Während die IMEI für sich genommen kein direktes Authentifizierungsmerkmal darstellt, ist ihre Bedeutung für das Tracking von Personen nicht zu unterschätzen. Den Berichten zufolge ermöglicht der Zugriff auf die IMEI, Nutzungsprofile über verschiedene Apps, Konten und Werbe-IDs hinweg zusammenzuführen. Dies geschieht unabhängig davon, ob ein Nutzer seine SIM-Karte wechselt oder sein Gerät auf die Werkseinstellungen zurücksetzt. Ein weiterer Aspekt ist das sogenannte IMEI-Cloning: Ein Angreifer, der in den Besitz einer gültigen IMEI gelangt, könnte diese auf ein manipuliertes Gerät übertragen, um Identitäten vorzutäuschen oder Ermittlungsdaten zu verfälschen. Auch die Möglichkeit, ein Gerät über die GSMA Device Registry als gestohlen zu melden und so die Mobilfunknutzung für den rechtmäßigen Besitzer zu unterbinden, stellt ein reales Risiko dar. Experten wie Karsten Nohl betonen jedoch, dass es sich nicht um eine „dramatische“ Sicherheitslücke im Sinne eines sofortigen Totalausfalls der Sicherheit handelt, sondern eher um eine subtile, aber stetige Gefährdung der Privatsphäre, die besonders für Personen im Fokus von Nachrichtendiensten kritisch ist.

Offene Fragen – Was der Quelltext nicht beantwortet

Der vorliegende Quelltext lässt einige Fragen unbeantwortet, die für eine vollständige technische Analyse notwendig wären. So bleibt unklar, seit welchem genauen Zeitpunkt die Schwachstelle in den jeweiligen Netzen existierte. Es wird nicht spezifiziert, ob die Übermittlung der IMEI lediglich ein Konfigurationsfehler bei den Netzbetreibern war oder ob tiefgreifendere Probleme in der verwendeten Netzwerkhardware oder Software-Stacks vorliegen. Zudem wird nicht detailliert erläutert, welche spezifischen „Konstellationen“ dazu führten, dass die Daten bei manchen Anrufen übertragen wurden und bei anderen nicht. Auch bleibt offen, ob neben den genannten drei deutschen Anbietern auch andere Provider weltweit in ähnlichem Maße von dieser Fehlkonfiguration betroffen sind, wobei die Warnung der GSMA an über 1000 Mitglieder ein globales Ausmaß nahelegt. Schließlich wird nicht explizit benannt, ob bereits konkrete Fälle bekannt sind, in denen diese Lücke aktiv von Nachrichtendiensten oder Kriminellen ausgenutzt wurde, oder ob es sich bei der BfV-Einschätzung lediglich um eine theoretische Gefahrenprognose handelt.

Wie es weitergeht – Angekündigte Schritte und Ausblick

Die betroffenen Mobilfunkanbieter haben bereits reagiert und nach eigenen Angaben Maßnahmen ergriffen, um die Datenübertragung beim Rufaufbau zu begrenzen. Die Telekom, Vodafone und Telefónica haben ihre Netze nach der Konfrontation durch den BR angepasst. Die GSMA hat in ihrem Briefing an die Mitgliedsunternehmen klare Empfehlungen ausgesprochen, wie die Netze zu überprüfen sind, um unnötig übermittelte Informationen künftig herauszufiltern. Ob diese Maßnahmen ausreichen, um die Sicherheitsstandards der GSMA vollständig zu erfüllen, bleibt abzuwarten. Da die GSMA die Lücke offiziell bestätigt hat, ist davon auszugehen, dass weltweit Netzbetreiber ihre Konfigurationen prüfen werden, um ähnliche Schwachstellen zu schließen. Für die Nutzer bedeutet dies, dass die unmittelbare Gefahr durch diese spezifische Lücke in den deutschen Netzen durch die getroffenen Maßnahmen der Betreiber minimiert worden sein sollte. Dennoch bleibt das Thema der IMEI-Sicherheit ein dauerhafter Punkt auf der Agenda der IT-Sicherheit, da die Identifikationsnummer ein zentraler Bestandteil der Mobilfunkarchitektur ist, der bei der Übermittlung über Netzgrenzen hinweg stets ein gewisses Risiko für die Privatsphäre birgt.