Recherchen des BR zeigen, dass deutsche Mobilfunknetze bei Telefonaten im Hintergrund sensible Gerätedaten an die Anruferseite übertragen haben. Betroffen waren die 15-stellige IMEI-Kennnummer sowie Angaben zu Smartphone-Modell und Betriebssystemversion. Die Daten gelangten schon vor der Annahme des Gesprächs zum Anrufer – und können für Angreifer wertvoll sein.

Wie groß ist die Sicherheitslücke? Und wie reagieren Netzbetreiber darauf? BR24 sprach mit dem BR-Investigativjournalisten Alexander Nabert über die Recherche. Das Video finden Sie oben eingebettet über dem Artikel.

Bundesamt für Verfassungsschutz: Sicherheitslücke „sicherheitsrelevant“

Das Bundesamt für Verfassungsschutz (BfV) wertet die von BR Recherche entdeckte Sicherheitslücke auf Anfrage als „sicherheitsrelevant“. Die Daten könnten kriminellen und staatlichen Cyberakteuren gezielte Angriffe erleichtern, etwa mit Spionagesoftware. „Aufgrund bereits erfolgter Cyberangriffe auf Mobilfunkgeräte durch staatliche Angreifer“ gehe das BfV „nahezu sicher davon aus, dass fremde Nachrichtendienste entsprechende Informationen für ihre Zwecke nutzen“.

Für die Recherche riefen BR-Reporter unter anderem den CDU-Bundestagsabgeordneten Roderich Kiesewetter an, der im Auswärtigen Ausschuss sitzt. Dabei konnten sie die IMEI seines Smartphones auslesen, aus der sich das konkrete Gerätemodell ergibt. Kiesewetter sprach im BR-Interview von einem gravierenden „Einfallstor für ausländische Nachrichtendienste“. Er sei alarmiert, was seine Familie, sein Team und ihn betreffe. Es müsse geklärt werden, wer dafür verantwortlich sei und warum die Lücke nicht viel früher geschlossen wurde.

Netzbetreiber ändern ihre Systeme

Insgesamt untersuchte der BR bei mehr als 70 Testanrufen, welche Informationen beim Rufaufbau über das Netz an das Smartphone des Anrufers übermittelt werden. In den Netzen von Telekom und Telefónica (O2) gelangten dabei in mehreren Fällen IMEI-Nummern zum Anrufer. Bei Telekom und Vodafone wurden Smartphone-Modelle und Betriebssystemversionen offengelegt. So ließ sich erkennen, ob wichtige Sicherheitsupdates installiert waren. Die Daten wurden nicht bei jedem Anruf übertragen, sondern offenbar nur in bestimmten Konstellationen.

Seit wann die Sicherheitslücke bestand, ist unklar. Der BR informierte Telekom, Vodafone und Telefónica Ende Juni über die Schwachstelle. Vodafone schrieb dem BR, das Unternehmen habe die Daten, die bei Anrufen übermittelt werden, „zusätzlich eingegrenzt“. Die Telekom kündigte Mitte August gegenüber dem BR an, ihr Netz entsprechend anzupassen. Telefónica erklärte, technische Maßnahmen umgesetzt zu haben. Die Unternehmen betonten, internationale Branchenstandards einzuhalten.

Die dafür zuständige Mobilfunk-Standardisierungsorganisation 3GPP erklärte dem BR hingegen, die Spezifikationen sähen bei gewöhnlichen Anrufen keine Weitergabe der IMEI an die andere Gesprächsseite vor. Die Internet Engineering Task Force warnt in ihren Standards zudem ausdrücklich davor, konkrete Betriebssystemversionen offenzulegen.

GSMA informiert mehr als 1.000 Unternehmen weltweit

Der internationale Mobilfunkverband GSMA bestätigte die Sicherheitslücke auf Anfrage. Die GSMA vertritt Mobilfunkanbieter weltweit und entwickelt mit der Branche technische Richtlinien für den Betrieb und die Sicherheit von Mobilfunknetzen. Nachdem der BR sich mit Fragen an den Verband gewandt hatte, warnte er seine mehr als 1.000 Mitgliedsunternehmen, wozu auch die deutschen Netzanbieter gehören.

In dem neunseitigen Briefing, das dem BR vorliegt, empfiehlt die GSMA Netzbetreibern, ihre Netze zu überprüfen und unnötig übermittelte Informationen herauszufiltern. Angreifer könnten mit den Daten Geräteprofile erstellen, Phishing und Social Engineering gezielter einsetzen und bekannte Sicherheitslücken in Geräten und Software aufspüren. Auch bestehende GSMA-Richtlinien enthielten bereits Empfehlungen, unnötige technische Informationen aus den Verbindungsdaten zu entfernen.

IMEI besonders zu schützen

Jiska Classen, Professorin am Hasso-Plattner-Institut in Potsdam und Leiterin der Forschungsgruppe zur Sicherheit mobiler und drahtloser Systeme, spricht von einer gravierenden Sicherheitslücke, mit der es Angreifern prinzipiell möglich sei, massenhaft Daten von Smartphone-Nutzern zu sammeln. Die Schwachstelle zeige, wie schlecht getestet solche Systeme teilweise seien. Sowohl die Hersteller der Netzwerkgeräte als auch die Netzbetreiber und die Bundesnetzagentur hätten das Problem übersehen.

Das Telekommunikationsgesetz verpflichtet die Netzbetreiber, Kommunikations- und Metadaten zu schützen. In einem gesetzlich verankerten Sicherheitskatalog zählt die Bundesnetzagentur die IMEI-Nummer ausdrücklich zu den als besonders schützenswerten Kundendaten.

Die Bundesnetzagentur teilte dem BR mit: „Für den Rufaufbau auf Empfängerseite sind die Daten grundsätzlich nicht relevant und könnten somit entfallen.“ Die IMEI solle das Mobilfunknetz nicht verlassen. Die Betreiber hätten das Verhalten inzwischen abgestellt oder befänden sich noch in der technischen Klärung.

Soldaten im Fokus von Spionen

Der Sicherheitsexperte Harrison Sand vom norwegischen Unternehmen Mnemonic hatte im April in Norwegen eine ähnliche Sicherheitslücke aufgedeckt und seine Methodik mit dem BR geteilt. Er sagte dem BR, ausländische Nachrichtendienste investierten enorme Ressourcen, um Informationen aus Telefonnetzen zu gewinnen. Die Netzbetreiber hätten die Verantwortung ihre Netze sicher zu betreiben.

Wie Nachrichtendienste eine IMEI nutzen können, zeigt ein Szenario aus dem Bundeswehr-Magazin „Y“: Werde die Kennung eines Soldaten zunächst in Deutschland und später auf einem Truppenübungsplatz in Litauen erfasst, könne er „in den Fokus eines Spions rücken“. Das Verteidigungsministerium erklärte dem BR, Nachrichtendienste könnten mithilfe solcher Gerätekennungen Bewegungsprofile erstellen und Personen identifizieren.

Anmerkung der Redaktion: Nach Veröffentlichung des Artikels hat die Telekom auf Anfrage der Nachrichtenagentur dpa mitgeteilt, man habe Änderungen im Netz vorgenommen, „damit Metadaten – unabhängig von Gerätefunktionen – vor der Weitergabe an der Grenze unseres Netzes entfernt werden.“