50 Jahre altes SS7-Protokoll: Wie Angreifer Handys ohne Malware orten und abhören

Displaysperren, Biometrie und Antivirenprogramme schützen Mobiltelefone vor direktem Zugriff und Schadsoftware. Gegen eine fundamentale Schwachstelle im weltweiten Mobilfunknetz richten all diese Maßnahmen jedoch nichts aus.

Kriminelle und Geheimdienste können das Telefonnetzwerk direkt manipulieren. Als Einfallstor dient dabei ein Kommunikationsstandard, dessen Ursprünge über ein halbes Jahrhundert zurückreichen.

Signalisierungssystem 7: Das veraltete Fundament des Mobilfunks

Eine Frau telefoniert mit ihrem Mobiltelefon.

Das sogenannte Signalisierungssystem Nummer 7 (SS7) entstand 1975 mit der Einführung digitaler Netze. Es steuert bis heute weltweit den Verbindungsaufbau von Telefonaten, die Zustellung von SMS-Nachrichten und das mobile Roaming zwischen verschiedenen Netzanbietern.

Zur Entstehungszeit war das Protokoll für einen kleinen Kreis staatlicher Anbieter konzipiert, die einander vertrauten. Heute nutzen weltweit mehr als 1.200 Betreiber und 4.500 Netzwerke diesen Standard.

Ein Mobilfunkmast zur Signalübertragung.

Der Zugang zum SS7-Netz erfolgt über sogenannte „Global Titles“ (GT), die ähnlich wie IP-Adressen im Internet funktionieren. Kriminelle können sich diesen Zugang über Sicherheitslücken oder durch das Mieten von Netzknotenpunkten bei Drittanbietern verschaffen.

Innerhalb des SS7-Netzwerks fehlt eine strikte Berechtigungsprüfung für eingehende Datenabfragen. Angreifer, die lediglich die Telefonnummer ihres Ziels kennen, können dadurch:

• Laufende Telefonate umleiten oder abfangen
• Eingehende Textnachrichten mitlesen
• Den geografischen Standort des Telefons ohne GPS-Nutzung ermitteln

Spionage und Kontodiebstahl in der Praxis

Ein Sendemast für Mobilfunknetze.

Bekannte Fälle von Überwachung und Betrug

Recherchen von WDR und Süddeutscher Zeitung legten 2013 nahe, dass der US-Geheimdienst NSA das Mobiltelefon der damaligen Bundeskanzlerin Angela Merkel über Schwachstellen im SS7-Netz abhörte.

Im Jahr 2017 nutzten Kriminelle das Protokoll für Finanzbetrug in Deutschland: Sie fingen SMS zur Zwei-Faktor-Authentifizierung ab und räumten gezielt Bankkonten von o2-Kunden leer. 2018 wurde das SS7-Tracking zudem genutzt, um die Flucht von Prinzessin Latifa aus Dubai auf einem Boot auf hoher See zu stoppen.

Schleppender Abschied von alten Netzstandards

Sicherheitsexperte Karsten Nohl bei einem Vortrag.

Der deutsche Sicherheitsforscher Karsten Nohl demonstrierte die Angriffsvektoren bereits 2014 auf dem 31. Chaos Communication Congress. Zwar blockieren Netzbetreiber seither bekannte bösartige Knotenpunkte, doch laut Nohl existieren weiterhin über 150 potenziell gefährliche Befehlsstrukturen.

Ein Bericht des ZDF-Magazins Frontal enthüllte, dass eine Spionagesoftware jahrelang weltweit Handys ortete – darunter fast 500 Rufnummern mit deutscher Vorwahl.

Angela Merkel mit einem Mobiltelefon.

Eine sofortige Abschaltung der alten 2G-Netze war lange nicht möglich, da Dienste wie der automatische Fahrzeug-Notruf eCall sowie Gebiete mit schwacher 4G- oder 5G-Abdeckung darauf angewiesen sind. Die Deutsche Telekom plant das 2G-Aus für Sommer 2028, Vodafone peilt Ende 2030 an.

Eingeschränkte Schutzoptionen für Nutzer

Symbolische Darstellung verdeckter digitaler Überwachung.

Nach Erhebungen des Wissenschaftskanals Veritasium werden jährlich weiterhin rund 2,5 Millionen SS7-Tracking-Versuche registriert. Solange eine aktive SIM-Karte im Mobilfunknetz eingebucht ist, lässt sich die netzseitige Standortabfrage durch den Nutzer technisch nicht verhindern.

Für die Sicherheit kritischer Konten empfiehlt sich der Verzicht auf SMS-basierte Bestätigungscodes. Authentifizierungs-Apps oder physische Hardware-Sicherheitsschlüssel generieren Einmalcodes lokal auf dem Gerät und umgehen den unsicheren Mobilfunk-Übertragungsweg vollständig.

Ende-zu-Ende-verschlüsselte Messenger wie Signal verhindern zudem das Abhören von Gesprächsinhalten und Textnachrichten über Schwachstellen im Telefonnetz.