// HEISE ONLINE — MOBILE & WEB
Mobilfunk: IMEI-Kennungen gelangten beim Rufaufbau unbemerkt zu Anrufern
Recherchen des Bayerischen Rundfunks haben eine Schwachstelle bei Mobilfunkanbietern aufgedeckt, über die sich Handys tracken lassen könnten.
Bis vor wenigen Tagen existierte eine Sicherheitslücke in vielen Mobilfunknetzen. Nach Recherchen des Bayerischen Rundfunks (BR) konnte ein Anrufer in manchen Fällen an die komplette IMEI des Angerufenen gelangen, bevor dieser das Gespräch überhaupt angenommen hatte. Über die 15-stellige IMEI-Kennung lässt sich ein Smartphone eindeutig identifizieren. Das macht die Kennung beispielsweise zu einem wertvollen Datenpunkt fürs Nutzer-Tracking.
Insgesamt habe der BR mit mehr als 70 Testanrufen untersucht, welche Informationen beim Rufaufbau über das genutzte Mobilfunknetz ans Smartphone des Anrufers übermittelt wurden. In den Netzen von Telekom und Telefónica (O2) seien dabei in mehreren Fällen IMEIs zum Anrufer gelangt, wie Wireshark-Mitschnitte des Datenverkehrs zeigten. Bei Telekom und Vodafone seien Smartphone-Modelle und Betriebssystemversionen offengelegt worden. So habe sich etwa erkennen lassen, ob wichtige Sicherheitsupdates installiert gewesen seien. Die Daten seien nicht bei jedem Anruf übertragen worden, sondern nur in bestimmten Konstellationen.
In Stellungnahmen der betroffenen deutschen Mobilfunkanbieter, die heise online vorab einsehen konnte, bestätigten die Unternehmen das Problem und haben es nach eigenen Angaben auch bereits adressiert. Vodafone schrieb dem BR, das Unternehmen habe die Daten, die bei Anrufen übermittelt werden, „zusätzlich eingegrenzt“. Die Telekom kündigte Mitte August gegenüber dem BR an, ihr Netz entsprechend anzupassen. Telefónica erklärte, technische Maßnahmen umgesetzt zu haben.
Das Problem ergibt sich unter anderem aus der Tatsache, dass auf diesem Weg jeder die Verbindung zwischen Telefonnummer, Name und IMEI herstellen könnte. Und ein Mobilfunk-Provider kann dann anhand der IMEI auch sehen, wo sich eine Person gerade aufhält, weil deren Gerät seine IMEI an die Mobilfunkstation übermittelt, mit der es verbunden ist. Das ist kein Problem, solange sich der Nutzer im Netz des eigenen Providers befindet, denn der hat ohnehin jederzeit Zugriff auf all diese Informationen. Doch wenn er sich etwa im Ausland in das Netz des dortigen Mobilfunkbetreibers einbucht, hat dieser nicht ohne weiteres Zugriff auf den Namen.
Deshalb trägt dieses Datenleck zu möglichen Angriffsszenarien bei, in denen Personen etwa im Ausland durch Geheimdienste gezielt getrackt werden. Es stellt aber selbst noch kein dramatisches Sicherheitsproblem dar. Karsten Nohl, Gründer von SRLabs und ausgewiesener Experte für Mobilfunk-Sicherheit, konkretisierte gegenüber heise online diese Einschätzung: „Neben den Tracking-Szenarien ermöglicht die IMEI auch gezieltere Angriffe etwa mit Bezug zum konkreten Smartphone-Modell oder auch IMEI-Cloning“. Grundsätzlich sieht aber auch er keine wirklich dramatischen Security-Auswirkungen.
Der BR bat das Bundesamt für Verfassungsschutz (BfV) um eine Einschätzung der Schwachstelle. Das BfV nannte sie demnach „sicherheitsrelevant“. „Aufgrund bereits erfolgter Cyberangriffe auf Mobilfunkgeräte durch staatliche Angreifer“ gehe das BfV „nahezu sicher davon aus, dass fremde Nachrichtendienste entsprechende Informationen für ihre Zwecke nutzen“.
Für sich genommen gilt die IMEI als personenbeziehbares Datum, aber nicht als direkt sicherheitsrelevant, da sie nicht als Authentifizierungsmerkmal genutzt wird. Das Problem: Solange der Besitzer sein Handy nutzt, hilft auch kein SIM-Wechsel oder Reset. Er kann weiterhin über die IMEI wiedererkannt oder getrackt werden. Erfassen mehrere Apps oder Dienste dieselbe IMEI, lassen sich Nutzungsprofile über Apps, Konten, Neuinstallationen und Werbe-IDs hinweg zusammenführen.
Außerdem könnte ein Angreifer, der an die IMEI gelangt, ein manipulierbares Telefon umprogrammieren und so die gültige IMEI übernehmen. Damit ließen sich beispielsweise Ermittlungs- und Netzdaten verfälschen. Gelänge es dem Angreifer umgekehrt,