Sicherheitslücke bei Telefonanrufen übers Handy aufgedeckt

In deutschen Mobilfunknetzen klaffte offenbar über eine gewisse Zeit eine gravierende Sicherheitslücke: Technische Daten von Telefonen konnte ohne großen Aufwand abgegriffen werden. Das könnte auch zum Sicherheitsrisiko für Soldaten werden.

Ein simpler Anruf reichte oftmals aus, um an technische Informationen über fremde Smartphones zu gelangen: Recherchen des Bayerischen Rundfunks (BR) zeigen, dass deutsche Mobilfunknetze bei ankommenden Anrufen im Hintergrund sensible Gerätedaten an die anrufende Seite übermittelten. Und zwar bereits, bevor das Gegenüber den Anruf überhaupt annahm.

Konkret geht es um die 15-stellige IMEI, also die eindeutige Kennnummer eines Mobilfunkgeräts, sowie um Angaben zum jeweiligen Smartphone-Modell und zur eingesetzten Betriebssystemversion. Für Angreifer sind solche Informationen ausgesprochen nützlich: Anhand der Betriebssystemversion lässt sich etwa ablesen, ob wichtige Sicherheitsupdates fehlen – und ob bekannte Schwachstellen ausnutzbar sind. Übertragen wurden die Daten dem Bericht zufolge nicht bei jedem Gespräch, sondern nur in bestimmten Konstellationen, schreibt die "Tagesschau".

Testanruf bei einem Bundestagsabgeordneten offenbart Schwachstelle

Für ihre Recherche riefen die Reporterinnen und Reporter unter anderem den CDU-Bundestagsabgeordneten Roderich Kiesewetter an, der Mitglied des Auswärtigen Ausschusses ist. Beim Verbindungsaufbau ließ sich seine IMEI-Nummer und damit auch das genutzte Gerätemodell auslesen. Kiesewetter sprach laut BR-Bericht von einem gravierenden "Einfallstor für ausländische Nachrichtendienste". Er sei alarmiert – mit Blick auf seine Familie, sein Team und sich selbst. Es müsse geklärt werden, wer die Verantwortung trage und warum die Schwachstelle nicht deutlich früher geschlossen worden sei.

Auch das Bundesamt für Verfassungsschutz (BfV) stuft den Vorgang als bedenklich ein. Gegenüber dem BR bewertete die Behörde die Lücke als "sicherheitsrelevant". Kriminelle wie staatliche Cyberakteure könnten mithilfe solcher Daten gezielt zuschlagen, etwa mit Spionagesoftware. Angesichts bereits erfolgter Cyberangriffe auf Mobilgeräte durch staatliche Angreifer gehe man "nahezu sicher davon aus, dass fremde Nachrichtendienste entsprechende Informationen für ihre Zwecke nutzen".

Mobilfunkanbieter kündigen Anpassungen an

Bei über 70 Testanrufen untersuchte der Bayerische Rundfunk, welche Informationen tatsächlich an die anrufende Seite gelangten. Das Ergebnis: In den Netzen von Telekom und Telefónica (O2) landeten teils IMEI-Nummern beim Anrufer, bei Telekom und Vodafone wurden zudem Smartphone-Modell und Betriebssystemversion offengelegt.

Seit wann die Lücke bestand, ist unklar. Ende Juni informierte der BR nach eigenen Angaben die drei Netzbetreiber. Vodafone erklärte daraufhin, die bei Anrufen übermittelten Daten "zusätzlich eingegrenzt" zu haben. Die Telekom kündigte Mitte August eine Anpassung ihres Netzes an. Telefónica erklärte, technische Maßnahmen bereits umgesetzt zu haben. Alle drei Unternehmen betonten laut Bericht, sich an internationale Branchenstandards zu halten.

Standards sehen Datenweitergabe gar nicht vor

Genau diese Einschätzung stellt die zuständige Standardisierungsorganisation 3GPP allerdings infrage: Ihre Spezifikationen sähen bei gewöhnlichen Telefonaten überhaupt keine Weitergabe der IMEI an die andere Gesprächsseite vor, erklärte sie gegenüber dem BR. Auch die Internet Engineering Task Force warne in ihren Standards ausdrücklich davor, die konkrete Betriebssystemversion offenzulegen.

Der internationale Mobilfunkverband GSMA reagierte nach der BR-Anfrage mit einer schnelle Kontaktierung der Mobilfunkunternehmen: In einem neunseitigen Briefing, das der Redaktion nach eigenen Angaben vorliegt, wurden mehr als 1.000 Mitgliedsunternehmen weltweit gewarnt – darunter auch die deutschen Netzbetreiber. Die Empfehlung: Netze überprüfen, unnötig übermittelte Informationen herausfiltern. Denn Angreifer könnten mit solchen Datenpaketen detaillierte Geräteprofile anlegen, Phishing- und Social-Engineering-Attacken passgenauer gestalten und bekannte Sicherheitslücken gezielt suchen. Bei Social Engineering geht es darum, Menschen so zu manipulieren, dass sie sensible Information weitergeben oder bestimmte Handlungen durchführen.

"Gravierende Sicherheitslücke" – Kritik von Expertin und Bundesnetzagentur

Jiska Classen, Professorin am Hasso-Plattner-Institut in Potsdam und Leiterin der dortigen Forschungsgruppe zur Sicherheit mobiler und drahtloser Systeme, sprach laut "Tagesschau" von einer gravierenden Sicherheitslücke. Grundsätzlich sei es damit möglich gewesen, in großem Stil Daten von Smartphone-Nutzern einzusammeln. Der Fall zeige, wie unzureichend solche Systeme teils getestet würden. Übersehen worden sei das Problem sowohl von den Herstellern der Netzwerktechnik als auch von den Netzbetreibern und der Bundesnetzagentur.

Die Bundesnetzagentur wiederum stellte gegenüber dem BR klar: "Für den Rufaufbau auf Empfängerseite sind die Daten grundsätzlich nicht relevant und könnten somit entfallen." Die IMEI habe das Mobilfunknetz nicht zu verlassen. Die Betreiber hätten das beanstandete Verhalten inzwischen abgestellt oder befänden sich in der technischen Klärung. Ohnehin verpflichtet das Telekommunikationsgesetz die Netzbetreiber zum Schutz von Kommunikations- und Metadaten – die IMEI zählt in einem gesetzlichen Sicherheitskatalog laut Bundesnetzagentur ausdrücklich zu den besonders schützenswerten Kundendaten.

Empfehlungen der Redaktion

Ukrainer verstecken Nato-Panzer in Wäldern und Garagen

Wagenknechts Plan und das Dilemma des BSW

Dobrindt verdoppelt Anti-Drohnen-Einheit

Risiko-Szenario: Der überwachte Soldat

Wie brisant der Zugriff auf eine solche Kennung im Ernstfall werden kann, illustriert ein Szenario aus dem Bundeswehr-Magazin "Y": Werde die IMEI eines Soldaten zunächst in Deutschland und später auf einem Truppenübungsplatz in Litauen registriert, könne dieser "in den Fokus eines Spions rücken". Das Verteidigungsministerium bestätigte demnach, dass Nachrichtendienste mit derartigen Gerätekennungen Bewegungsprofile erstellen und einzelne Personen identifizieren könnten.

Bereits im April hatte der Sicherheitsexperte Harrison Sand vom norwegischen Unternehmen Mnemonic eine ähnliche Schwachstelle aufgedeckt und seine Methodik mit dem BR geteilt. Sein Fazit: Ausländische Nachrichtendienste steckten enorme Ressourcen in den Versuch, an Informationen aus Telefonnetzen zu kommen – die Verantwortung für den sicheren Betrieb liege bei den Netzanbietern. (red)