Sicherheitslücke beim Mobilfunk: Angreifer konnten per Anruf Gerätedaten ausspähen

Was geschehen ist: Die Entdeckung einer gravierenden Sicherheitslücke

Ein schwerwiegendes Sicherheitsproblem in den Mobilfunknetzen mehrerer deutscher Provider hat für erhebliche Aufmerksamkeit gesorgt. Wie durch Recherchen des Bayerischen Rundfunks bekannt wurde, war es Angreifern möglich, sensible Informationen über mobile Endgeräte allein durch das Tätigen eines Anrufs zu erlangen. Das Besondere und zugleich Beunruhigende an diesem Vorfall ist die Tatsache, dass der Zielnutzer den Anruf nicht einmal entgegennehmen musste, um die Sicherheitslücke zu aktivieren. Die betroffenen Daten wurden quasi im Hintergrund übertragen, ohne dass der Besitzer des Smartphones den Vorgang bemerkte oder eine Aktion ausführen konnte. Diese Form der Datenabfrage stellt eine erhebliche Bedrohung für die Privatsphäre und die Sicherheit der Nutzer dar, da sie völlig unbemerkt im Hintergrund abläuft. Die Schwachstelle betraf dabei nicht nur einzelne Modelle, sondern war in den Infrastrukturen verschiedener großer Mobilfunkanbieter verankert, was den Kreis der potenziell betroffenen Nutzer auf eine sehr große Anzahl von Personen ausweitet. Der Vorfall unterstreicht, wie anfällig komplexe Kommunikationsnetze für unerwartete Datenlecks sein können, selbst wenn die zugrunde liegenden Standards eigentlich eine solche Übermittlung gar nicht vorsehen würden.

Die Einzelheiten: Welche Daten wurden abgegriffen und wie?

Die bei den Anrufen preisgegebenen Informationen sind für Sicherheitsanalysten und potenzielle Angreifer von hohem Wert. Zu den Daten, die über die Mobilfunknetze ausgelesen werden konnten, gehört insbesondere die IMEI-Nummer, also die International Mobile Equipment Identity. Diese Kennung ist weltweit eindeutig und erlaubt eine präzise Identifizierung eines spezifischen Endgeräts. Darüber hinaus konnten Angreifer das verwendete Smartphone-Modell sowie die installierte Betriebssystemversion in Erfahrung bringen. Die Reporter des Bayerischen Rundfunks führten für ihre Untersuchung mehr als 70 Testanrufe durch, um die Sicherheitslücke zu verifizieren. Ein prominentes Beispiel für die erfolgreiche Durchführung dieser Tests war das Mobilgerät des CDU-Bundestagsabgeordneten Roderich Kiesewetter. Bei ihm konnten die Reporter sowohl die IMEI als auch das genutzte Gerätemodell erfolgreich bestimmen. Die Datenübermittlung erfolgte dabei nicht bei jedem einzelnen Anruf, sondern war an spezifische, im Detail nicht näher erläuterte Konstellationen gebunden, die jedoch in der Praxis offenbar häufig genug auftraten, um ein systematisches Ausspähen zu ermöglichen. Die betroffenen Provider, namentlich die Telekom, Vodafone und Telefónica (O2), waren in unterschiedlicher Weise involviert, wobei bei einigen Anbietern IMEI-Nummern und bei anderen Gerätemodelle sowie Betriebssystemversionen übermittelt wurden.

Hintergrund: Warum die Datenübermittlung so gefährlich ist

Die Brisanz der offengelegten Informationen liegt in ihrer Nutzbarkeit für weiterführende Angriffe. Die IMEI-Nummer dient als eindeutiger Fingerabdruck eines Endgeräts und kann von Angreifern genutzt werden, um gezieltes Phishing zu betreiben oder das Gerät über längere Zeiträume hinweg zu tracken. Noch gefährlicher ist die Kombination aus Smartphone-Modell und installierter Betriebssystemversion. Diese Informationen liefern einem potenziellen Angreifer wertvolle Hinweise darauf, ob auf dem jeweiligen Gerät bekannte, aber noch nicht geschlossene Sicherheitslücken – sogenannte Zero-Day-Exploits oder ungepatchte Schwachstellen – vorhanden sind. Ein Angreifer kann so gezielt entscheiden, welche Schadsoftware oder welches Angriffsszenario für das spezifische Modell am erfolgversprechendsten ist. Die Tatsache, dass diese Daten ohne Wissen des Nutzers preisgegeben wurden, macht die Situation besonders kritisch. Die Spezifikationen des zuständigen Mobilfunk-Standardisierungsgremiums 3GPP sehen eine solche Übertragung von internen Gerätedaten an einen Anrufer explizit nicht vor. Dass es dennoch dazu kam, deutet auf eine fehlerhafte Implementierung oder Konfiguration in den Netzen der Provider hin, die nun erst durch die journalistische Aufarbeitung ans Licht kam und korrigiert werden musste.

Die Beteiligten: Wer ist betroffen und wer handelt?

Die Liste der Beteiligten an diesem Vorfall ist lang und reicht von den betroffenen Mobilfunkkunden bis hin zu staatlichen Sicherheitsbehörden. Zu den betroffenen Providern in Deutschland zählen die Telekom, Vodafone und Telefónica (O2). Diese Unternehmen stehen nun in der Pflicht, ihre Netzinfrastrukturen so zu konfigurieren, dass keine unnötigen Informationen mehr nach außen dringen. Auf der Seite der Beobachter und Ermittler spielt der Bayerische Rundfunk eine zentrale Rolle, da dessen Reporter die Sicherheitslücke durch ihre umfangreichen Tests überhaupt erst aufdeckten. Ebenfalls involviert ist das Bundesamt für Verfassungsschutz. Die Behörde bewertet die Situation als ernst und geht aufgrund von Erfahrungen mit früheren Cyberangriffen auf Mobilgeräte „nahezu sicher“ davon aus, dass fremde Geheimdienste derartige Informationen bereits für ihre Zwecke nutzen. Auch internationale Gremien sind alarmiert: Der internationale Mobilfunkverband GSMA hat die Sicherheitslücke bestätigt. Der Verband vertritt mehr als 1.000 Mitgliedsunternehmen weltweit und hat diese bereits angewiesen, ihre Netze zu überprüfen und die Übermittlung der sensiblen Gerätedaten zu unterbinden. Die betroffenen Nutzer selbst hatten bisher keine Möglichkeit, sich gegen das Ausspähen zu wehren, da der Vorgang netzseitig stattfand.

Einordnung: Was bedeutet das für die Sicherheit der Mobilfunknetze?

Einzuordnen ist dieser Vorfall als ein systemisches Versagen bei der Umsetzung von Sicherheitsstandards. Obwohl die Vorgaben des 3GPP klar definiert sind, haben die Provider in der Praxis offenbar Konfigurationen zugelassen, die den Schutz der Privatsphäre untergraben. Den Berichten zufolge ist es höchst wahrscheinlich, dass nicht nur deutsche Netze, sondern auch Mobilfunknetze in anderen Ländern von dieser Schwachstelle betroffen sind. Die Tatsache, dass Geheimdienste ein solches Einfallstor nutzen könnten, verleiht dem Thema eine geopolitische Dimension. Es ist davon auszugehen, dass die Übermittlung der IMEI-Nummer und der Systemkonfiguration eine gezielte Überwachung von Personen des öffentlichen Lebens oder auch von Privatpersonen erheblich erleichtert hat. Die Sicherheitslücke ist ein deutliches Warnsignal dafür, dass die Sicherheit in der Mobilfunkkommunikation nicht allein auf dem Papier durch Standards gewährleistet werden kann, sondern eine ständige Überprüfung der technischen Umsetzung in den Netzen der Provider erfordert. Dass die Lücke nun geschlossen wurde, ist ein wichtiger Schritt, doch das Vertrauen in die absolute Vertraulichkeit der Netzkommunikation dürfte durch diese Enthüllungen nachhaltig erschüttert sein.

Offene Fragen: Was bleibt ungeklärt?

Der vorliegende Bericht lässt einige Fragen offen, die für ein vollständiges Verständnis des Ausmaßes der Sicherheitslücke von Bedeutung wären. So wird nicht im Detail erläutert, welche spezifischen „Konstellationen“ bei den Anrufen dazu führten, dass die Daten übertragen wurden. Es bleibt unklar, ob es sich dabei um bestimmte technische Protokolle, spezielle Netzübergänge oder bestimmte Anruftypen handelte. Ebenso wenig wird spezifiziert, wie lange diese Sicherheitslücke bereits bestand und ob es konkrete Beweise dafür gibt, dass sie neben Geheimdiensten auch von kriminellen Akteuren im großen Stil ausgenutzt wurde. Auch die genaue technische Ursache innerhalb der Netzwerkinfrastruktur der Provider – etwa ob es sich um einen Fehler in der Signalisierungsebene handelte – wird nicht im Detail technisch analysiert. Zudem bleibt offen, wie viele Nutzer insgesamt von dem Ausspähen betroffen waren und ob die Provider bereits vor den Recherchen des Bayerischen Rundfunks Kenntnis von der Problematik hatten. Auch die Frage nach der Haftung der Provider für die potenziell entstandenen Sicherheitsrisiken bei den Kunden bleibt unbeantwortet, da der Fokus des Berichts primär auf der Identifizierung und der Schließung der Lücke lag.

Wie es weitergeht: Maßnahmen und Ausblick

Für die Nutzer in Deutschland gibt es eine positive Nachricht: Den Berichten zufolge ist die Sicherheitslücke in den Mobilfunknetzen der betroffenen Provider inzwischen geschlossen worden. Die Kunden müssen hierzulande also nicht mehr befürchten, dass ihre Gerätedaten bei einem Anruf ohne ihr Zutun ausgelesen werden. Die Provider haben auf die Warnungen reagiert und entsprechende Filter implementiert, um die unnötige Übermittlung dieser Informationen zu unterbinden. International ist der Prozess noch im Gange. Der Mobilfunkverband GSMA hat seine mehr als 1.000 Mitgliedsunternehmen weltweit aufgefordert, ihre eigenen Netze zu überprüfen und ebenfalls entsprechende Maßnahmen zu ergreifen. Es ist davon auszugehen, dass in den kommenden Monaten weitere Provider weltweit ihre Konfigurationen anpassen müssen, um den Sicherheitsstandards zu entsprechen. Ob es weitere, bisher unentdeckte Lücken dieser Art in den Mobilfunkprotokollen gibt, bleibt abzuwarten. Die Aufdeckung dieses Falls hat jedoch den Druck auf die Branche erhöht, die Sicherheit in der Kommunikation als oberste Priorität zu behandeln und die Einhaltung der 3GPP-Spezifikationen in der Praxis strenger zu kontrollieren.