Sicherheitslücke in deutschen Mobilfunknetzen: Sensible Daten bei Anrufen übertragen

Bei Telefonanrufen in deutschen Mobilfunknetzen konnten Anrufer sensible Daten über das Smartphone ihres Gegenübers erhalten. Das zeigen Recherchen des Bayerischen Rundfunks. Es geht um Daten, die für Angreifer wertvoll sein können: die 15-stellige IMEI-Kennnummer und Angaben zu Smartphone-Modell und Betriebssystemversion. Die Netze übertrugen die Daten im Hintergrund, und das bereits bevor die angerufene Person das Gespräch annahm.

Das Bundesamt für Verfassungsschutz (BfV) bewertet die entdeckte Sicherheitslücke auf Anfrage als "sicherheitsrelevant". Die Daten könnten kriminellen und staatlichen Cyberakteuren gezielte Angriffe erleichtern, etwa mit Spionagesoftware. "Aufgrund bereits erfolgter Cyberangriffe auf Mobilfunkgeräte durch staatliche Angreifer" gehe das BfV "nahezu sicher davon aus, dass fremde Nachrichtendienste entsprechende Informationen für ihre Zwecke nutzen".

Für die Recherche riefen BR-Reporter unter anderem den CDU-Bundestagsabgeordneten Roderich Kiesewetter an, der im Auswärtigen Ausschuss sitzt. Dabei konnten sie die IMEI seines Smartphones auslesen, aus der sich das konkrete Gerätemodell ergibt. Kiesewetter sprach im Interview von einem gravierenden "Einfallstor für ausländische Nachrichtendienste". Er sei alarmiert, was seine Familie, sein Team und ihn betreffe. Es müsse geklärt werden, wer dafür verantwortlich sei und warum die Lücke nicht viel früher geschlossen wurde.

Insgesamt untersuchte der BR bei mehr als 70 Testanrufen, welche Informationen beim Rufaufbau über das Netz an das Smartphone des Anrufers übermittelt werden. In den Netzen von Telekom und Telefónica (O2) gelangten dabei in mehreren Fällen IMEI-Nummern zum Anrufer. Bei Telekom und Vodafone wurden Smartphone-Modelle und Betriebssystemversionen offengelegt.

So ließ sich erkennen, ob wichtige Sicherheitsupdates installiert waren. Die Daten wurden nicht bei jedem Anruf übertragen, sondern offenbar nur in bestimmten Konstellationen.

Seit wann die Sicherheitslücke bestand, ist unklar. Der BR informierte Telekom, Vodafone und Telefónica Ende Juni über die Schwachstelle. Vodafone schrieb dem BR, das Unternehmen habe die Daten, die bei Anrufen übermittelt werden, "zusätzlich eingegrenzt". Die Telekom kündigte Mitte August gegenüber dem BR an, ihr Netz entsprechend anzupassen. Telefónica erklärte, technische Maßnahmen umgesetzt zu haben. Die Unternehmen betonten, internationale Branchenstandards einzuhalten.

Die dafür zuständige Mobilfunk-Standardisierungsorganisation 3GPP erklärte dem BR hingegen, die Spezifikationen sähen bei gewöhnlichen Anrufen keine Weitergabe der IMEI an die andere Gesprächsseite vor. Die Internet Engineering Task Force warnt in ihren Standards zudem ausdrücklich davor, konkrete Betriebssystemversionen offenzulegen.

Der internationale Mobilfunkverband GSMA bestätigte die Sicherheitslücke auf Anfrage. Die GSMA vertritt Mobilfunkanbieter weltweit und entwickelt mit der Branche technische Richtlinien für den Betrieb und die Sicherheit von Mobilfunknetzen. Nachdem der BR sich mit Fragen an den Verband gewandt hatte, warnte er seine mehr als 1.000 Mitgliedsunternehmen, wozu auch die deutschen Netzanbieter gehören.

In dem neunseitigen Briefing, das dem BR vorliegt, empfiehlt die GSMA Netzbetreibern, ihre Netze zu überprüfen und unnötig übermittelte Informationen herauszufiltern. Angreifer könnten mit den Daten Geräteprofile erstellen, Phishing und Social Engineering gezielter einsetzen und bekannte Sicherheitslücken in Geräten und Software aufspüren. Social Engineering bezeichnet die Manipulation von Menschen, damit diese vertrauliche Informationen preisgeben oder bestimmte Handlungen ausführen.

Auch bestehende GSMA-Richtlinien enthielten bereits Empfehlungen, unnötige technische Informationen aus den Verbindungsdaten zu entfernen.

Jiska Classen, Professorin am Hasso-Plattner-Institut in Potsdam und Leiterin der Forschungsgruppe zur Sicherheit mobiler und drahtloser Systeme, spricht von einer gravierenden Sicherheitslücke, mit der es Angreifern prinzipiell möglich sei, massenhaft Daten von Smartphone-Nutzern zu sammeln. Die Schwachstelle zeige, wie schlecht getestet solche Systeme teilweise seien. Sowohl die Hersteller der Netzwerkgeräte als auch die Netzbetreiber und die Bundesnetzagentur hätten das Problem übersehen.

Das Telekommunikationsgesetz verpflichtet die Netzbetreiber, Kommunikations- und Metadaten zu schützen. In einem gesetzlich verankerten Sicherheitskatalog zählt die Bundesnetzagentur die IMEI-Nummer ausdrücklich zu den als besonders schützenswerten Kundendaten.

Die Bundesnetzagentur teilte dem BR mit: "Für den Rufaufbau auf Empfängerseite sind die Daten grundsätzlich nicht relevant und könnten somit entfallen." Die IMEI solle das Mobilfunknetz nicht verlassen. Die Betreiber hätten das Verhalten inzwischen abgestellt oder befänden sich noch in der technischen Klärung.

Der Sicherheitsexperte Harrison Sand vom norwegischen Unternehmen Mnemonic hatte im April in Norwegen eine ähnliche Sicherheitslücke aufgedeckt und seine Methodik mit dem BR geteilt. Er sagte dem BR, ausländische Nachrichtendienste investierten enorme Ressourcen, um Informationen aus Telefonnetzen zu gewinnen. Die Netzbetreiber hätten die Verantwortung, ihre Netze sicher zu betreiben.

Wie Nachrichtendienste eine IMEI nutzen können, zeigt ein Szenario aus dem Bundeswehr-Magazin "Y": Werde die Kennung eines Soldaten zunächst in Deutschland und später auf einem Truppenübungsplatz in Litauen erfasst, könne er "in den Fokus eines Spions rücken". Das Verteidigungsministerium erklärte dem BR, Nachrichtendienste könnten mithilfe solcher Gerätekennungen Bewegungsprofile erstellen und Personen identifizieren.