BR deckt Sicherheitslücke in Mobilfunknetzen auf

Es ist ja so: Unser Smartphone weiß erstaunlich viel über uns und verrät manchmal mehr davon, als uns lieb ist. Eine Recherche des Bayerischen Rundfunks über deutsche Mobilfunknetze zeigt, wie schnell aus technischen Informationen ein Datenschutzproblem werden kann.

Bei bestimmten Anrufen wurden Daten des angerufenen Handys an die anrufende Seite übertragen. Die IMEI (International Mobile Equipment Identity) ist eine 15-stellige Seriennummer, mit deren Hilfe mobile Endgeräte weltweit identifiziert werden können und die auch zum Sperren eines gestohlenen Smartphones genutzt werden kann. Und diese Nummer, sowie Modell und Betriebssystemversion wurden offenbar sogar übertragen, bevor der Angerufene das Gespräch angenommen hatte.

Klingt erstmal harmlos, aber in puncto Datenschutz müssen wir genau dann besonders gut hinschauen, wenn scheinbar harmlose Informationen miteinander verknüpft werden. Die IMEI lässt sich einem konkreten Gerät zuordnen. Modell und Softwareversion können Hinweise darauf geben, welche Sicherheitslücken relevant sein könnten. Wer solche Daten systematisch sammelt, kann Geräteprofile erstellen und Angriffe gezielter vorbereiten. Das Bundesamt für Verfassungsschutz hält die Schwachstelle deshalb für sicherheitsrelevant und geht davon aus, dass ausländische Nachrichtendienste solche Informationen nutzen.

Bemerkenswert ist, dass dafür niemand ein Handy hacken musste. Die Informationen kamen nämlich aus dem Mobilfunknetz selbst. Über 70 Testanrufe zeigten, dass Daten in bestimmten Fällen übertragen wurden. Telekom, Vodafone und Telefónica haben nach Hinweisen des BR technische Maßnahmen eingeleitet oder bereits umgesetzt.

Die zuständige Standardisierungsorganisation 3GPP sieht bei gewöhnlichen Anrufen keine Weitergabe der IMEI an die andere Gesprächsseite vor. Auch die Bundesnetzagentur betont, die IMEI solle das Mobilfunknetz nicht verlassen. Daten, die für einen Vorgang nicht notwendig sind, gehören dort auch nicht hin.
Ein Grundprinzip des Datenschutzes lautet: Datenminimierung. Je weniger Informationen ein System preisgibt, desto weniger kann ein Angreifer daraus machen. Eine Gerätekennung mag nicht wie eine gefährliche Information wirken, aber in den falschen Händen kann sie zum Ausgangspunkt für Überwachung, Phishing und Spionage werden.

Sicherheit muss also schon beim Design beginnen. Netzbetreiber und Hersteller sollten regelmäßig prüfen, welche Daten ihre Systeme tatsächlich übertragen. Standards müssen datensparsam ausgelegt und ihre Umsetzung kontrolliert werden.

Datenschutz beginnt schon bei der Frage, welche Daten überhaupt anfallen und bei der Entscheidung, wohin sie fließen und welche besser gar nicht erst das Netz verlassen sollten.