Sicherheitslücke in Mobilfunknetzen: Anbieter übertrugen IMEI-Codes ungeschützt

Wörtlich heißt es da, adressiert an die Mobilfunkanbieter: "Da die IMEI das Mobilgerät identifiziert, könnte sie potenziell dazu genutzt werden, Nutzer zu identifizieren und zu verfolgen, und zwar zum Zweck der Überwachung und der Auswertung von Anrufdaten, sofern sie unverschlüsselt übermittelt wird." Sowohl Smartphone-Hersteller als auch Mobilfunk-Provider sind deshalb von der GSMA im RFC 7255 und anderen Standards aufgefordert, die IMEI vor der Weitergabe zu anonymisieren.

Die GSMA ist der internationale Branchenverband der Mobilfunkindustrie mit "seine mehr als 1.000 Mitgliedsunternehmen". Sie legt unter anderem die technischen Spezifikationen fest, nach denen nationale Netze Geräte authentifizieren. Die Standards sehen vor, dass die IMEI verschleiert wird, bevor sie das Netz eines Providers verlässt.

Vorgaben der GSMA

Trotz dieser Vorgaben sei die IMEI in den vergangenen Jahren in deutschen Netzen immer wieder im Klartext übertragen worden, schreibt BR Recherche. Damit hätte zumindest theoretisch jeder, der Zugriff auf den Datenverkehr in einer Funkzelle hat – etwa Strafverfolger, Geheimdienste oder kriminelle Akteure –, einzelne Geräte identifizieren und Bewegungsprofile erstellen können.

Auch der Verfassungsschutz beschäftigt sich seit längerem mit der Frage, welche Daten aus Mobilfunknetzen für die Nachverfolgung genutzt werden können. Sicherheitspolitiker wie der CDU-Bundestagsabgeordnete Roderich Kiesewetter sehen in solchen Schwachstellen ein generelles Risiko für die informationelle Selbstbestimmung.

Die Deutsche Telekom erklärte auf Anfrage, man habe nach Hinweisen aus der Recherche erste Schutzmaßnahmen ergriffen. Man wolle die IMEI künftig konsequent gemäß den GSMA-Standards anonymisieren. Vodafone und Telefónica äußerten sich ähnlich und kündigten technische Anpassungen an.

Reaktionen der Anbieter

Aus Datenschutzkreisen kommt Kritik, dass die Aufsichtsbehörden den Fall nicht früher aufgegriffen hätten. Die Bundesnetzagentur sei als Telekommunikationsaufsicht grundsätzlich in der Pflicht, die Einhaltung der einschlägigen technischen Richtlinien zu kontrollieren. Bislang habe sie jedoch keine eigenen Ermittlungen angekündigt.

Sicherheitsexperten empfehlen Verbraucherinnen und Verbrauchern, auf aktuelle Betriebssystemversionen zu achten und Apps nur aus vertrauenswürdigen Quellen zu installieren. Zudem könne ein VPN-Dienst zumindest den Inhalt der Datenübertragung verschleiern – die Übermittlung der IMEI selbst wird dadurch allerdings nicht verhindert.

Was Nutzer tun können

Die Recherche wirft ein neues Licht auf den Zustand der digitalen Infrastruktur in Deutschland. Erst Anfang des Jahres hatten vergleichbare Berichte über unsichere Router und ungeschützte Glasfaseranschlüsse für Aufsehen gesorgt. Nun stehen die Mobilfunknetze im Zentrum der Kritik.

Offen bleibt, welche Stellen in den vergangenen Jahren tatsächlich auf die ungeschützt übertragene IMEI zugegriffen haben. Die Recherchekonstellation aus BR, Verfassungsschutz-Experten und Mobilfunkbranche lässt erwarten, dass die politische Debatte über eine Modernisierung der Telekommunikationsüberwachung neu aufflammt.