Mobilfunk on Arpokrat

SMS-2FA schützt nichts mehr: Was Sie stattdessen nutzen sollten

Tue, 08 Sep 2026 00:00:00 +0000

Am 9. Januar 2024 verkündete der offizielle X-Account der Securities and Exchange Commission, der US-Börsenaufsicht, die Zulassung von Bitcoin-ETFs, eine Entscheidung, auf die der Markt seit Monaten wartete. Innerhalb von Minuten legte der Bitcoin um mehr als 1.000 Dollar je Einheit zu. Dann dementierte die SEC: Der Account war gehackt worden. Der Kurs fiel um mehr als 2.000 Dollar zurück.

Lehrreich an diesem Fall ist nicht das Ausmaß der Kursbewegung, sondern wie banal das Mittel war. Laut der Pressemitteilung des US-Justizministeriums druckte Eric Council Jr., 26 Jahre alt, mit einem tragbaren Kartendrucker einen gefälschten Ausweis, betrat einen AT&T-Laden und überzeugte einen Mitarbeiter, die mit dem Account verknüpfte Rufnummer auf eine SIM-Karte zu übertragen, die er kontrollierte. Er erhielt die Codes zum Zurücksetzen des Passworts per SMS und gab sie an seine Mittäter weiter. Am 16. Mai 2025 wurde er zu 14 Monaten Haft verurteilt.

Eine Präzisierung ist nötig, die den Fall anders lesen lässt, ohne seine Lehre zu schwächen. Nach der offiziellen Erklärung der SEC war die Multi-Faktor-Authentifizierung für diesen Account im Juli 2023 auf Wunsch der Mitarbeiter deaktiviert worden. SMS diente zum Tatzeitpunkt also nicht als zweiter Faktor, sondern als Wiederherstellungskanal. Und genau das macht das Beispiel nützlich: ob zweiter Faktor oder Hintertür, die Rufnummer bleibt die Stelle, an der die Kette nachgibt.

Was ein zweiter Faktor garantieren soll

Das Prinzip passt in einen Satz. Ein Passwort allein ist etwas, das Sie wissen; dazu kommt etwas, das Sie besitzen (ein Telefon, ein physischer Schlüssel) oder etwas, das Sie sind (ein Fingerabdruck). Wer Ihr Passwort aus einem Datenleck stiehlt, verfügt damit noch nicht über Ihren physischen Gegenstand.

Die Überlegung beruht auf einer selten ausgesprochenen Annahme: dass der zweite Faktor tatsächlich an einen Gegenstand in Ihrem Besitz gebunden ist und dass seine Vorlage etwas darüber aussagt, wo Sie sich gerade anmelden. Bei SMS scheitert beides.

SMS ist kein Besitzfaktor

Einen Code per SMS zu erhalten beweist nicht, dass Sie ein Gerät besitzen, sondern dass eine von einem Netzbetreiber vergebene und von ihm veränderbare Rufnummer auf ein Endgerät zeigt. Das ist nicht dasselbe. Drei Angriffswege nutzen diese Lücke, und sie lassen sich nicht auf die gleiche Weise schließen.

Der SIM-Swap

Das ist der Angriff im SEC-Fall, und er beruht auf keiner technischen Schwachstelle. Der Angreifer sammelt persönliche Daten über sein Ziel, oft ohnehin aus veröffentlichten Datenlecks verfügbar, und wendet sich dann als diese Person an den Netzbetreiber: Telefon verloren, bitte die Nummer auf eine neue SIM übertragen. Ist er überzeugend, oder ist ein Mitarbeiter beteiligt, wechselt die Nummer und sämtliche SMS landen bei ihm. Der IC3-Jahresbericht 2024 des FBI verzeichnet allein für dieses Jahr 982 Meldungen zu SIM-Swapping und knapp 26 Millionen Dollar gemeldeten Schaden, und zählt dabei nur Opfer, die Anzeige erstattet haben. Kein Software-Update behebt diesen Weg: Er zielt nicht auf Software, sondern auf einen menschlichen Geschäftsprozess.

Das Abhören über SS7

Signaling System 7 ist das Protokoll, über das sich die Telefonnetze weltweit verständigen: einen Anruf vermitteln, Roaming abwickeln, eine SMS von einem Betreiber zum anderen zustellen. Es wurde 1975 entworfen, als der Kreis der Betreiber geschlossen und klein war und jeder die anderen konstruktionsbedingt für vertrauenswürdig hielt. Es enthält daher keinerlei native Authentifizierung zwischen Netzen: Eine Anfrage, die legitim aussieht, wird als legitim behandelt.

Das ist keine theoretische Schwäche. Im Dezember 2014 führten die deutschen Forscher Tobias Engel und Karsten Nohl es auf dem Chaos Communication Congress öffentlich vor: einen Teilnehmer orten und seine SMS abfangen, allein anhand der Rufnummer. 2017 wurde die reale Ausnutzung bestätigt: Der deutsche Anbieter O2-Telefónica räumte ein, dass Kunden ihre Bankkonten geleert worden waren, nachdem sich die Angreifer Zugang zum Netz eines ausländischen Betreibers verschafft und eine SMS-Weiterleitung eingerichtet hatten, um die Bestätigungscodes der Bank abzugreifen.

Phishing in Echtzeit

Der dritte Weg ist der wichtigste, denn er hängt von keiner Telekom-Schwachstelle ab und überlebt alles, was man an den beiden anderen beheben würde.

Eine gefälschte Website bildet die Anmeldeseite eines Dienstes perfekt nach. Sie geben dort Benutzernamen und Passwort ein, die die gefälschte Seite sofort an die echte weiterreicht, welche daraufhin eine SMS an Ihr Telefon schickt. Die SMS erreicht Sie tatsächlich, sie ist echt. Sie tippen den Code auf der gefälschten Seite ein, die ihn ihrerseits binnen Sekunden weiterleitet. Die Sitzung öffnet sich, und der Angreifer ist derjenige, der sie hält.

Man nennt das einen Adversary-in-the-Middle-Angriff. Er ist industrialisiert: Werkzeuge wie Evilginx, ein 2017 aufgetauchter Reverse Proxy, oder im Monatsabo verkaufte Kits machen ihn ohne besondere Kenntnisse zugänglich. Gestohlen wird im Übrigen nicht nur der Code, sondern das Sitzungs-Cookie, das anschließend erlaubt, angemeldet zu bleiben, ohne erneut irgendeine Authentifizierung zu durchlaufen.

Der Punkt ist architektonisch. Der per SMS versendete Code enthält keinerlei Information über die Website, die ihn angefordert hat. Er kann echt und falsch also nicht unterscheiden: Er ist überall gültig, wo man ihn eingibt.

Das ist keine Meinung mehr, das ist eine offizielle Position

Das stärkste Argument gegen SMS kommt nicht von Anbietern, sondern von den Institutionen, die die Standards schreiben.

Im Juli 2025 veröffentlichte das US-amerikanische NIST die finale Fassung der SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. Der Text schafft eine ausdrückliche Kategorie eingeschränkter Authentifikatoren, vorbehalten Mechanismen, deren Widerstandsfähigkeit mit der Entwicklung der Bedrohungen nachgelassen hat. Abschnitt 3.1.3.3 ordnet dort die Nutzung des Festnetz-Telefonnetzes ein, also per SMS oder Sprachanruf versandte Codes: „Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9." Konkret muss ein Dienst, der es weiterhin nutzt, eine nicht eingeschränkte Alternative anbieten, seine Nutzer über das Risiko informieren und einen Migrationsplan vorhalten.

Im Dezember 2024 hatte die CISA, die US-Cybersicherheitsbehörde, ihre Mobile Communications Best Practice Guidance veröffentlicht, nach der Spionagekampagne Salt Typhoon, bei der dem chinesischen Staat zugerechnete Akteure in mehrere US-Telekomnetze eingedrungen waren. Die Formulierung lässt keinen Interpretationsspielraum: „Do not use SMS as a second factor for authentication. SMS messages are not encrypted", und weiter unten, unverblümt: „Only FIDO authentication is phishing-resistant." Das Dokument empfiehlt ausdrücklich FIDO-Hardwareschlüssel, nennt dabei Yubico und Google Titan, und stellt klar, dass nach Aktivierung von FIDO die SMS deaktiviert werden muss, da sie sonst als ausnutzbarer Rückfallweg bestehen bleibt.

Authenticator-Apps: echter Fortschritt, aber nur eine Teillösung

TOTP-Apps, für Time-based One-Time Password, erzeugen einen sechsstelligen Code, der sich alle dreißig Sekunden ändert und lokal aus einem bei der Einrichtung geteilten Geheimnis und der aktuellen Uhrzeit berechnet wird. Nichts läuft über das Telefonnetz.

Der Gewinn ist sofort spürbar: SIM-Swapping wird wirkungslos, weil die Nummer nicht mehr beteiligt ist, das Abhören über SS7 ebenso, weil keine Nachricht transportiert wird. Die Umstellung auf eine Authenticator-App lohnt sich bei jedem Konto, das nicht weiter gehen kann.

Der dritte Weg bleibt jedoch unberührt. Ein TOTP-Code, der auf einer gefälschten Seite eingegeben wird, wird genau wie ein SMS-Code an die echte Seite weitergereicht. Die App weiß nicht, wo Sie sich anmelden: Sie zeigt eine Zahl an, und diese Zahl ist bei jedem gültig, der sie innerhalb ihres Dreißig-Sekunden-Fensters vorlegt. Die CISA sagt es mit denselben Worten: Authenticator-Codes sind besser als SMS, bleiben aber anfällig für Phishing.

TOTP ist eine ehrliche Zwischenstufe, kein Ziel.

Warum ein FIDO2-Schlüssel die Natur des Problems verändert

Ein FIDO2/WebAuthn-Hardwareschlüssel macht den Angriff nicht bloß schwerer, er nimmt ihm die mechanische Möglichkeit.

Bei der Registrierung an einem Dienst erzeugt der Schlüssel ein für diesen Dienst bestimmtes kryptografisches Schlüsselpaar. Der öffentliche Teil geht an den Dienst, der private verlässt den Chip nie und ist weder exportierbar noch auslesbar. Kein geteiltes Geheimnis, das sich kopieren ließe, kein sechsstelliger Code, der abzufangen wäre.

Dann folgt der entscheidende Mechanismus, die Bindung an den Origin. Bei der Anmeldung übergibt der Browser dem Schlüssel den echten Domainnamen der angezeigten Seite. Diese Information ist Teil der signierten Daten, und der Browser erzwingt sie: Das JavaScript der Seite kann sie weder verändern noch fälschen.

Ein FIDO2-Schlüssel macht Phishing nicht schwerer erfolgreich. Er macht das Ergebnis des Phishings unbrauchbar.

Nehmen wir den Adversary-in-the-Middle-Angriff noch einmal, diesmal mit Schlüssel. Die gefälschte Seite ist perfekt, das Opfer bemerkt nichts und berührt seinen Schlüssel. Der Browser übergibt die echte Domain der Seite, also die betrügerische. Der Schlüssel stellt fest, dass für diese Domain kein Paar existiert, oder signiert für sie und erzeugt damit eine Signatur, die der echte Dienst ablehnen wird. In beiden Fällen erhält der Angreifer nichts Verwertbares.

Genau hier liegt der Unterschied in der Art. Bei SMS oder TOTP beruht die Sicherheit letztlich auf der Wachsamkeit des Nutzers, auf seiner Fähigkeit, eine gefälschte Domain in der Adressleiste zu erkennen, in einem Moment, in dem er in Eile ist und die Seite normal aussieht. Bei FIDO2 nimmt eine Maschine diese Prüfung vor, jedes Mal, ohne von irgendjemandes Aufmerksamkeit abzuhängen. Diese Verlagerung der Verantwortung zählt mehr als die kryptografische Stärke.

Der Effekt lässt sich messen. Google machte die Schlüssel Anfang 2017 für seine Mitarbeiter verpflichtend und gab 2018 an, keine einzige Kontokompromittierung verzeichnet zu haben, bei mehr als 85.000 Personen.

Die tatsächlichen Grenzen von Hardwareschlüsseln

Sie als perfekt darzustellen wäre unredlich und für die wirklich anstehenden Entscheidungen nutzlos.

Die Kosten sind real. Rechnen Sie mit 25 bis 60 Euro je nach Modell, mehr für biometrische Varianten, und mit dem Doppelten davon.

Der Verlust eines Schlüssels ist das eigentliche Risiko. Ein einziger Schlüssel für ein kritisches Konto ist ein Konstruktionsfehler. Es braucht zwei registrierte Schlüssel pro wichtigem Konto, einen davon anderswo verwahrt, bei einer nahestehenden Person oder in einem Safe. Der zweite ist kein Komfort, er ist das, was den ersten ohne Sorge nutzbar macht.

Die Abdeckung ist unvollständig. Viele Dienste, gerade Banken in Europa, unterstützen FIDO2 noch nicht, daher die folgende Priorisierung.

Ein Schlüssel kann gestohlen werden. Daher die Notwendigkeit, eine PIN auf dem Schlüssel zu setzen oder ein Fingerabdruckmodell zu wählen: Andernfalls genügt der Gegenstand allein dem, der ihn aufhebt.

Der Rückfallweg bleibt das schwächste Glied. FIDO2 zu aktivieren, ohne SMS zu deaktivieren, schützt nicht: Ein Angreifer nimmt schlicht den offen gebliebenen Weg. Die Migration ist erst abgeschlossen, wenn der alte Mechanismus aus dem Konto entfernt ist, Wiederherstellungsoptionen eingeschlossen.

Zur Hardware: Die YubiKey-Reihe deckt das breiteste Protokollspektrum ab, Google Titan ist günstiger und auf FIDO beschränkt, Nitrokey und SoloKeys bieten Alternativen mit offener, prüfbarer Firmware, Token2 Modelle mit eingebautem Ziffernfeld, bei denen die PIN am Schlüssel statt auf der Tastatur eingegeben wird. Unter den FIDO2-zertifizierten Schlüsseln gibt es keine schlechte Wahl, das Protokoll ist dasselbe und nur die Nebenanwendungen unterscheiden sich.

Wo anfangen, wenn man nicht alles ändern kann

Die Reihenfolge der Migration ist keine Geschmacksfrage, sie ergibt sich aus den Abhängigkeiten zwischen Ihren Konten.

Zuerst das Haupt-Postfach. Es empfängt die Zurücksetzungslinks für fast alles andere. Wer es kontrolliert, übernimmt die übrigen Konten eines nach dem anderen, ohne eines davon direkt anzugreifen. Nichts verdient es, vorher abgesichert zu werden.
Der Passwortmanager. Er bündelt den ersten Faktor für alle Ihre Zugänge, sein Schutz muss also dem des am besten geschützten Kontos entsprechen, das er enthält. Jetzt ist der Moment, die Qualität des Master-Passworts zu prüfen, ein Thema, das unser Artikel über Entropie und die Wissenschaft hinter Ihrer Sicherheit im Detail behandelt.
Finanzkonten und Krypto-Plattformen. Ziele von unmittelbarem Wert, bei denen eine Kompromittierung binnen Minuten zum unumkehrbaren Verlust wird.
Soziale Konten mit Reichweite. Der SEC-Fall zeigt, was das Wort eines Accounts mit Followern wert ist, und der Schaden trifft nicht immer dessen Inhaber.
Der Rest kann warten, mit einer TOTP-App anstelle der SMS. Ein Forum oder ein Streamingdienst rechtfertigt nicht denselben Aufwand.

Für Konten, die FIDO2 noch nicht unterstützen: überall dort auf TOTP wechseln, wo es möglich ist, und beim Netzbetreiber die Portierungssperre für Ihre Nummer beantragen, bei den meisten eine kostenlose Option.

Was das über den Ansatz von Arpokrat sagt

Dieser Beitrag beschreibt ein Problem, das nur existiert, weil eine Kennung ins Zentrum des Systems gestellt wurde. Die Rufnummer war nie als Identitätsnachweis gedacht: Sie wurde aus Gewohnheit zum Rückgrat der Online-Authentifizierung, und alle drei oben beschriebenen Angriffe nutzen genau diese Zweckentfremdung aus.

Das ist die Überlegung hinter dem Entwurf des Arpokrat-Messenger-Protokolls: keine Rufnummer, keine E-Mail-Adresse, kein Konto. Der Nutzer existiert als Satz kryptografischer Schlüssel, die auf seinem eigenen Gerät liegen, und der Kontakt kommt über Einladungslinks zum einmaligen Gebrauch zustande. Die Logik ist die von FIDO2, eine Ebene höher: Was ein Dritter nicht besitzt, kann ihm nicht entlockt werden, weder durch Social Engineering gegen einen Netzbetreiber noch durch behördliche Anordnung. Diese Stimmigkeit mit der Zero-Knowledge-Architektur entwickelt unser Artikel über jetzt sammeln, später entschlüsseln.

Ein Hardwareschlüssel, der signiert, ohne sein Geheimnis je preiszugeben, ist im Übrigen auch die Funktionsweise einer Offline-Krypto-Wallet, ausführlich in unserem vollständigen Cold-Wallet-Leitfaden: den geheimen Teil in einem eigenen Gegenstand halten und nichts als eine Signatur herauslassen.

Fazit

SMS-2FA war nicht schlecht entworfen. Als es sich Anfang der 2010er Jahre durchsetzte, war es ein erheblicher Fortschritt gegenüber dem bloßen Passwort, und es hatte die eine Eigenschaft für sich, die in der Breite zählt: Jeder besaß bereits ein Telefon.

Das Problem ist nicht seine Erfindung, sondern sein Fortbestehen. Die SS7-Demonstrationen stammen von 2014, die reale Ausnutzung im Bankwesen von 2017, die Industrialisierung des Echtzeit-Phishings vom Ende jenes Jahrzehnts. Die CISA schrieb 2024, man solle es nicht mehr verwenden, das NIST hielt die Einschränkung 2025 fest. Rund ein Jahrzehnt liegt zwischen dem Moment, in dem die Lücken in der Breite ausnutzbar wurden, und dem, in dem die Institutionen es niederschrieben. Und SMS bleibt bei den meisten Diensten für Endverbraucher der zweite Faktor ab Werk.

Diese Lücke ist die eigentliche Information dieses Beitrags. Sicherheitsmechanismen verschwinden nicht, wenn sie aufhören zu funktionieren, sondern wenn etwas ebenso Einfaches an ihre Stelle tritt, und das dauert weit länger. Die Frage ist deshalb nicht, ob Sie SMS aufgeben sollten, das ist seit Jahren entschieden. Sie lautet, welche anderen Schutzmechanismen, die Sie für selbstverständlich halten, sich bereits in derselben Lage befinden, ohne dass es bisher jemand aufgeschrieben hätte.

Quellen

US-Justizministerium, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16. Mai 2025
Securities and Exchange Commission, SECGov X Account, offizielle Erklärung vom 22. Januar 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, finale Fassung, Juli 2025
CISA, Mobile Communications Best Practice Guidance, 18. Dezember 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, Demonstration von Tobias Engel und Karsten Nohl, Dezember 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, Mai 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, Juli 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, WebAuthn-Spezifikation

5G, Standortdaten und der Zielfehler des Rechts

Tue, 18 Aug 2026 00:00:00 +0000

2011 forderte die Polizei von Detroit bei einem Mobilfunkanbieter die Einbuchungshistorie des Telefons von Timothy Carpenter an. Sie erhielt 12 898 Standortpunkte über 127 Tage hinweg, rund hundert pro Tag. Sieben Jahre später entschied der Oberste Gerichtshof der Vereinigten Staaten, dass diese Anfrage eine Durchsuchung darstellte und einen richterlichen Beschluss erforderte.

Diese 12 898 Punkte stammten von Antennen der vierten Generation, von denen jede einen Radius von mehreren Kilometern abdeckte. Dieselbe Anfrage, heute an ein städtisches 5G-Netz gerichtet, würde nicht hundert Punkte pro Tag auf wenige Kilometer genau liefern. Sie würde ein weit größeres Volumen liefern, auf einige Dutzend Meter genau.

Die Technik hat die Größenordnung gewechselt. Die juristische Argumentation ist an derselben Stelle der Kette geblieben.

Ein Rechtsgut, das Gerichte auf beiden Seiten des Atlantiks anerkennen

Es gibt ein Interesse, das fast alle einräumen und fast kein Rechtstext wirksam schützt: das Recht, sich irgendwo aufzuhalten, ohne dass dieser Umstand aufgezeichnet wird.

Die europäische Rechtsprechung hat es unmissverständlich festgestellt. In Digital Rights Ireland (verbundene Rechtssachen C-293/12 und C-594/12, 8. April 2014) und anschließend in Tele2 Sverige und Watson (verbundene Rechtssachen C-203/15 und C-698/15, Große Kammer, 21. Dezember 2016) entschied der Gerichtshof der Europäischen Union, dass diese Daten in ihrer Gesamtheit sehr genaue Schlüsse auf das Privatleben der Betroffenen zulassen: Gewohnheiten des täglichen Lebens, Aufenthaltsorte, Ortsveränderungen, ausgeübte Tätigkeiten und soziale Beziehungen.

Der Oberste Gerichtshof der Vereinigten Staaten kam in Carpenter v. United States, 585 U.S. 296 (2018), zu einem ähnlichen Ergebnis. Er betonte einen Punkt, den die amerikanische Literatur viel kommentiert hat: den unausweichlichen und automatischen Charakter dieser Erhebung. Man willigt nicht ein, an eine Antenne angebunden zu werden, man ist es, weil man ein eingeschaltetes Telefon besitzt.

Das Rechtsgut existiert also und wird von den beiden Gerichten anerkannt, auf die es in dieser Frage ankommt. Das Problem liegt woanders.

Was 5G tatsächlich verändert hat

Eine verbreitete Verwechslung besteht darin, den Standort als Datum zu behandeln, das das Telefon übermittelt, so wie eine Nachricht oder ein Foto. Das ist nicht der Fall. Der Standort ist eine physikalische Folge der Funktionsweise des Netzes. Der Betreiber weiß, an welcher Antenne das Gerät hängt, weil er es wissen muss, um einen Anruf durchzustellen. Es gibt keinen Schlüssel, mit dem sich diese Information verschlüsseln ließe, denn sie ist kein Inhalt, sondern eine Eigenschaft der Verbindung selbst.

Genau das macht 5G in rechtlicher, nicht in technischer Hinsicht bedeutsam.

Frühere Architekturen beruhten auf großen Funkzellen. Eine 4G-Antenne versorgt üblicherweise einen Radius von mehreren Kilometern, und die allein aus der Einbuchung abgeleitete Position bewegte sich in der Stadt im Bereich von Hunderten Metern, auf dem Land bisweilen im Bereich von Dutzenden Kilometern. 5G beruht auf massiver Verdichtung: städtische Zellen decken typischerweise einige hundert Meter ab, und die ingenieurwissenschaftliche Literatur rechnet mit Dichten in der Größenordnung von vierzig bis fünfzig Basisstationen pro Quadratkilometer, gegenüber vier oder fünf zur Zeit von 3G.

Die Folge ist zwangsläufig. Laut dem Ericsson-Whitepaper zur 5G-Positionsbestimmung erreicht die allein für die Konnektivität ausgerollte Infrastruktur eine Genauigkeit von zwanzig bis fünfzig Metern im Freien und von ein bis drei Metern in Gebäuden und sinkt unter günstigen städtischen Bedingungen unter einen Meter. Es handelt sich nicht um eine irgendwo aktivierte Ortungsfunktion, sondern um das, was das Netz bauartbedingt weiß, ohne dass eine App installiert oder eine Berechtigung erteilt wäre. Wir haben all diese Mechanismen samt der tatsächlich wirksamen Gegenmaßnahmen in unserem Artikel über die dauerhafte Ortung des Telefons ausführlich dargestellt.

Der Eingriff hat also um mehrere Größenordnungen zugenommen. Der anwendbare Rechtsrahmen ist der für 2G und 3G gedachte geblieben. Keine normative Anpassung hat diesen Maßstabswechsel begleitet.

Das Recht schützt den Zugriff, nicht die Entstehung

Das europäische Recht regelt sorgfältig, wer unter welchen Voraussetzungen und unter welcher Kontrolle auf Standortdaten zugreifen darf. Die Richtlinie 2002/58/EG stellt den Grundsatz der Vertraulichkeit der Kommunikation auf, und der Gerichtshof entschied in La Quadrature du Net (verbundene Rechtssachen C-511/18, C-512/18 und C-520/18, Große Kammer, 6. Oktober 2020), dass Artikel 15 Absatz 1 dieser Richtlinie im Licht der Artikel 7, 8, 11 und 52 Absatz 1 der Charta einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten zu präventiven Zwecken entgegensteht. Der Gerichtshof ließ allerdings eng gefasste Ausnahmen zu, wenn ein Mitgliedstaat einer ernsten Bedrohung der nationalen Sicherheit gegenübersteht, die sich als real und aktuell oder vorhersehbar erweist, vorbehaltlich einer wirksamen Kontrolle.

Das sind echte Schutzmechanismen, und es wäre absurd, sie kleinzureden. Aber sie greifen alle erst im Nachhinein. Sie setzen voraus, dass das Datum existiert und gespeichert wird, und regeln danach die Bedingungen seiner Auswertung.

Wenn der Standort jedoch ein unvermeidbares Nebenprodukt des Netzbetriebs ist, dann ist nicht die Vertraulichkeit der richtige Ansatzpunkt. Es ist die Persistenz.

Eine augenblickliche Position, die zur Durchleitung einer Kommunikation nötig ist und sofort danach gelöscht wird, ist kein Überwachungsinstrument. Eine über Monate gespeicherte Positionshistorie ist eines, gleich welche Zugriffsgarantien sie umgeben.

Der Unterschied zwischen beiden ist kein juristischer, sondern ein architektonischer. Und der europäische Zeitplan macht die Frage dringend statt theoretisch. Die Kommission hat den Vorschlag für eine ePrivacy-Verordnung 2025 mangels Einigung zwischen den Mitgesetzgebern zurückgezogen. Sie arbeitet seitdem an einem eigenständigen Instrument zur Datenspeicherung für strafrechtliche Zwecke, das für 2026 angekündigt ist und die seit der Nichtigerklärung der Richtlinie von 2006 uneinheitlich gewordenen nationalen Regelungen harmonisieren soll. Mit anderen Worten: Der Text, der für ein Jahrzehnt das Regime der Standortmetadaten festlegen wird, entsteht gerade jetzt, auf der Grundlage einer Argumentation, die zur Zeit kilometergroßer Funkzellen entwickelt wurde.

Der Präzedenzfall, den 5G selbst geschaffen hat

Das Interessanteste an diesem Vorgang ist, dass die richtige Antwort bereits im technischen Standard steht, dort aber auf einen anderen Gegenstand angewandt wird.

Bis 4G wurde die dauerhafte Teilnehmerkennung, die IMSI, beim Anmelden im Klartext über die Funkschnittstelle übertragen. Das machte IMSI-Catcher möglich, jene falschen Basisstationen, die laut der maßgeblichen Beschreibung der Electronic Frontier Foundation stärker senden als die legitimen Antennen, um Endgeräte anzuziehen und deren Kennung abzugreifen.

Seit Release 15 der 3GPP-Spezifikationen, veröffentlicht 2019, bringt 5G eine elegante Antwort. Die dauerhafte Kennung, nunmehr SUPI genannt, kann auf der Funkschnittstelle durch die SUCI ersetzt werden, eine verborgene Kennung, die entsteht, indem der teilnehmerspezifische Teil mittels Elliptische-Kurven-Kryptografie mit dem öffentlichen Schlüssel des Heimatnetzbetreibers verschlüsselt wird. Nur das Heimatnetz, das den zugehörigen privaten Schlüssel besitzt, kann sie entschlüsseln. Das Ergebnis ist bei jeder Berechnung ein anderes, was die Korrelation von einer Sitzung zur nächsten verhindert.

Die gewählte Logik verdient Hervorhebung, denn sie ist genau jene, die den Gesetzgeber leiten sollte: Man verschlüsselt nicht die Position, was technisch unmöglich wäre, man verschlüsselt die Identität. Eine Position ohne zurechenbare Identität hat für individualisierte Überwachung nur sehr begrenzten Wert.

Die Schwachstelle: ein optionaler Schutz

Es gibt allerdings einen erheblichen Vorbehalt, und das ist aus unserer Sicht der konkreteste Ansatzpunkt des gesamten Vorgangs.

Das Whitepaper NIST CSWP 36A, im März 2026 vom National Institute of Standards and Technology veröffentlicht, benennt ihn unverblümt. Endgeräte und Netzfunktionen, die Release 15 oder später entsprechen, müssen die SUCI unterstützen, ihre Aktivierung bleibt jedoch dem Betreiber freigestellt. Drei Bedingungen müssen zusammentreffen: Der Gerätehersteller muss sie unterstützen, der Betreiber muss sie in seinem Netz aktivieren, und die SIM-Karte muss die für die Berechnung nötigen Elemente tragen.

Hinzu kommt eine Konfigurationsfalle. Der Standard sieht ein Null-Schutzverfahren vor, bei dem das SUCI-Format formal verwendet wird, aber ohne tatsächliche Verschlüsselung, sodass die Kennung im Klartext übertragen wird. NIST schreibt, dass der Betreiber sein Netz mit einem Schutzverfahren ungleich null konfigurieren muss, und erinnert daran, dass ein Bericht des CSRIC, des Beratungsgremiums der Federal Communications Commission, bereits 2021 empfahl, das Nullverfahren allein Notrufen von einem dem Netz unbekannten Endgerät vorzubehalten.

Die Feststellung verdient es, so stehen gelassen zu werden. Der beste verfügbare Schutz gegen die Nachverfolgung von Mobilgeräten existiert im technischen Standard seit 2019. Er beruht auf einer Konfigurationsentscheidung, die im Ermessen des Betreibers liegt. Eine amerikanische Bundesbehörde hält es für sinnvoll, 2026 ein Dokument zu veröffentlichen, um daran zu erinnern, dass man ihn einschalten sollte. Und kein europäisches Rechtsinstrument schreibt ihn vor.

Hinzuzufügen ist, dass die SUCI das Thema nicht abschließt. Die unter dem Titel 5G SUCI-catchers: still catching them all? vorgestellten Arbeiten dokumentieren Verknüpfungsangriffe, die es erlauben, Sitzungen trotz der Verschlüsselung erneut zu korrelieren, und der Schutz fällt vollständig weg, wenn der Angreifer das Endgerät zum Wechsel auf eine ältere Generation zwingt. Eine rechtliche Pflicht würde also nicht alles lösen. Sie würde gleichwohl eine Lücke beseitigen, für die es keine vertretbare Rechtfertigung gibt: die zwischen dem, was der Standard erlaubt, und dem, was kommerzielle Netze tun.

Drei stimmige Eingriffe

Nimmt man den Gedanken ernst, dass Standortdaten durch Technikgestaltung minimiert statt nachträglich geschützt werden sollten, ergeben sich drei Maßnahmen zwangsläufig.

Die wirksame Verbergung der Kennung verpflichtend machen. Die Aktivierung der SUCI vorschreiben und Null-Schutzverfahren in kommerziellen Netzen untersagen, abgesehen vom Restfall der Notrufe. Es geht nicht darum, eine neue Technologie vorzuschreiben oder einen Ausbau zu finanzieren, sondern darum, die Aktivierung einer seit sieben Jahren standardisierten und in den Geräten bereits vorhandenen Funktion zu verlangen.
Die Speicherung als Ausnahme behandeln, nicht als Voreinstellung. Die zur Durchleitung einer Kommunikation nötige Position sollte gelöscht werden, sobald diese Funktion erfüllt ist. Der Aufbau einer Historie sollte eine besondere Rechtfertigung verlangen. Das ist der Unterschied zwischen einem Netz, das weiß, wo Sie sind, und einem Netz, das sich erinnert, wo Sie waren.
Die Schlüsselhoheit zum maßgeblichen Anknüpfungspunkt machen. Der Standort der Server in der Union bedeutet wenig, wenn die Schlüssel, mit denen sich die Daten lesbar machen lassen, anderswo liegen. Das rechtlich erhebliche Kriterium sollte die tatsächliche Verfügungsgewalt über die Entschlüsselungsmittel sein, eine Frage, die wir am Konflikt zwischen Data Act und CLOUD Act ausführlich untersucht haben.

Der Ansatz, dem Arpokrat folgt

Diese Argumentation ist nicht auf das Telekommunikationsrecht beschränkt. Es ist jene, die wir auf unsere eigenen Architekturentscheidungen anwenden, und sie passt in einen Satz: Was nicht erzeugt wurde, muss nicht geschützt werden.

Deshalb entfernt ArpokratOS GPS, Bluetooth und NFC auf Kernel-Ebene, statt sie in einem Menü abzuschalten. Ein Schalter ist eine Richtlinie: Er kann von einer privilegierten Komponente umgangen, durch ein Update wieder eingeschaltet, von einem kompromittierten System ignoriert werden. Den Codepfad zu entfernen, beseitigt die Frage. Das ist auf Geräteebene die Übertragung derselben Verschiebung, die wir auf der Ebene des Rechts fordern: bei der Entstehung ansetzen statt beim Zugriff.

Sogleich ist zu sagen, was das nicht leistet. Kein Betriebssystem entzieht ein Endgerät der Geometrie des Netzes. Solange eine SIM-Karte aktiv ist, kennt der Betreiber die Funkzelle, und die vollständige Leitung des Verkehrs über Tor ändert daran nichts, denn sie schützt Inhalt und Ziel, nicht die Funkschicht. Genau deshalb ist das Thema ein juristisches. Es gibt eine Kategorie von Risiken, die keine individuelle Konfiguration verringert und für die die einzige verfügbare Stellschraube die für den Betreiber geltende Regel ist.

Dieselbe Sorge bestimmt den Rest unserer Arbeit. Ein Datum, das nicht existiert, kann weder beschlagnahmt noch weiterverkauft noch abgezogen noch in zehn Jahren von einer Maschine entschlüsselt werden, über die heute niemand verfügt, eine Frage, die wir unter dem Blickwinkel der heute geernteten und später gebrochenen Verschlüsselung behandelt haben.

Fazit

Die öffentliche Debatte über Mobilfunküberwachung konzentriert sich fast ausschließlich auf den Zugriff: Wer darf die Daten einsehen, auf welcher Grundlage, mit welcher Genehmigung. Diese Debatte ist berechtigt, und die seit 2014 vom Gerichtshof ergangenen Entscheidungen haben spürbare Wirkung entfaltet. Aber sie setzt zu spät in der Kette an.

Die vorgelagerte und entscheidendere Frage lautet, ob die Historie überhaupt existieren soll. Ein heute aus legitimem Grund angelegter Bestand steht morgen für einen anderen zur Verfügung, und die ihn umgebenden Garantien hängen von späteren politischen Entscheidungen ab, die im Moment der Erhebung niemand in der Hand hat. Das ist eine Wette auf die Stabilität der Institutionen, abgeschlossen für eine Dauer, die niemand festlegt.

5G hat die Auflösung dieser Information vervielfacht, ohne dass eine normative Anpassung erfolgt wäre. Zugleich hat es mit dem SUCI-Mechanismus gezeigt, dass der gangbare Weg darin besteht, Position und Identität voneinander zu lösen, statt zu versuchen, eine physikalische Eigenschaft des Netzes zu verschlüsseln. Der technische Standard hat die Antwort sieben Jahre geliefert, bevor das Recht die Frage stellte.

Der europäische Text zur Datenspeicherung entsteht jetzt. Er wird Metadaten betreffen, also Standortdaten, also das, was 5G inzwischen in einer Feinheit erzeugt, die seine Verfasser nicht gekannt haben. Ob er sich damit begnügt, den Zugriff auf eine als gegeben hingenommene Historie zu regeln, oder ob er es wagt, die Notwendigkeit dieser Historie zu hinterfragen, ist wahrscheinlich die wichtigste Datenschutzfrage der kommenden Jahre in Europa. Und es ist eine Frage, die der technische Sektor ausnahmsweise bereits im richtigen Sinne entschieden hat.

Quellen

Gerichtshof der Europäischen Union, Digital Rights Ireland, verbundene Rechtssachen C-293/12 und C-594/12, 8. April 2014
Gerichtshof der Europäischen Union, Tele2 Sverige und Watson, verbundene Rechtssachen C-203/15 und C-698/15, Große Kammer, 21. Dezember 2016
Gerichtshof der Europäischen Union, La Quadrature du Net u. a., verbundene Rechtssachen C-511/18, C-512/18 und C-520/18, Große Kammer, 6. Oktober 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, März 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Dauerhafte Ortung: Wie Ihr Smartphone Sie verfolgt, auch wenn Sie es längst unterbunden glauben

Sun, 02 Aug 2026 00:00:00 +0000

Zwei Forscher der University of Maryland haben 2024 den WLAN-Ortungsdienst von Apple wiederholt abgefragt, ohne besondere Privilegien und ohne Spezialhardware, und innerhalb eines Jahres die genaue Position von mehr als zwei Milliarden WLAN-Zugangspunkten weltweit rekonstruiert. Ihre Arbeit Surveilling the Masses with Wi-Fi-Based Positioning Systems zeigt, was diese Karte ermöglicht: Material zu verfolgen, das in die Ukraine gelangt und sie wieder verlässt, die Bewegung der Bevölkerung nach den Bränden auf Maui zu beobachten, eine Person über ihren Internetrouter aufzuspüren.

Bei keinem dieser Geräte war GPS aktiviert. Die Position kam von woanders.

Das ist der häufigste blinde Fleck beim Thema mobile Privatsphäre: die Überzeugung, es gebe einen Ortungsschalter, und sobald er aus sei, wisse das Telefon nicht mehr, wo es ist. Diese Überzeugung ist auf sieben verschiedenen Ebenen falsch.

Ortung ist keine Funktion, die Ihr Telefon einschaltet. Sie ist eine Eigenschaft dessen, was es ist.

GPS, der harmloseste Vektor

Der einzige Mechanismus, den alle kennen, ist zugleich derjenige, der Sie am wenigsten beunruhigen sollte.

GNSS, der Oberbegriff für das amerikanische GPS, Galileo, GLONASS und BeiDou, funktioniert durch Zuhören. Die Satelliten senden fortlaufend mit Zeitstempel versehene Signale, der Empfänger fängt mehrere davon auf und berechnet seine Position aus den Laufzeitunterschieden. Übliche Genauigkeit im Freien: drei bis fünf Meter, in der Stadt oft mehrere Dutzend Meter, weil Fassaden die Signale reflektieren.

Entscheidend ist, dass diese Berechnung passiv abläuft. Das Telefon sendet nichts zu den Satelliten, kein Satellitenbetreiber weiß, dass es Sie gibt. Wäre GNSS allein im Spiel, würde das Abschalten von GPS genügen.

Es gibt allerdings eine Einschränkung. Um die erste Positionsbestimmung zu beschleunigen, nutzen Telefone A-GPS: Sie laden die Satellitenbahndaten von einem Server herunter, über das SUPL-Protokoll. Um die passenden Daten zu erhalten, übermittelt das Telefon diesem Server die Kennung der Funkzelle, in die es eingebucht ist. Reines GNSS verrät Sie nicht, aber der Beschleuniger, den man ihm angesetzt hat, sehr wohl.

Das Mobilfunknetz: was der Betreiber prinzipbedingt weiß

Damit ein Anruf Sie erreichen kann, muss das Netz wissen, in welchem Gebiet Sie sich befinden. Das ist keine aktivierbare Option, sondern die Existenzbedingung des Dienstes. Ihr Telefon meldet sich ständig bei der nächstgelegenen Antenne, und diese Einbuchung hinterlässt beim Betreiber eine Spur. Keine installierte App, keine erteilte Berechtigung: eine aktive SIM-Karte genügt.

Die Genauigkeit hängt vom Verfahren ab:

Zellkennung allein: von 200 Metern im dicht bebauten Stadtgebiet bis zu mehr als 30 Kilometern auf dem Land, wo eine Antenne einen sehr großen Radius abdeckt.
Erweiterte Cell ID, die den Antennensektor ergänzt (die meisten Standorte sind in drei Sektoren zu 120 Grad unterteilt) sowie die Signalstärke: von 100 Metern bis zu einigen Kilometern.
Timing Advance, das die Laufzeit hin und zurück zwischen Telefon und Antenne misst: in der Größenordnung von 550 Metern bei GSM, rund 78 Meter bei LTE.
Multilateration über drei oder mehr Antennen: 50 bis 300 Meter im städtischen LTE.

5G verschiebt die Größenordnung aus zwei sich addierenden Gründen. Zunächst die Dichte: 5G-Zellen decken sehr viel kleinere Radien ab, weshalb schon die bloße Einbuchung eine feine Information ist. Dann die Normierung: Seit Release 16 sieht 3GPP native Positionierungssignale vor. Die kommerziellen Zielwerte liegen bei unter 3 Metern in Gebäuden und unter 10 Metern im Freien für 80 % der Endgeräte, und Release 18 geht für bestimmte industrielle Anwendungen bis in den Zentimeterbereich.

Die Infrastruktur, die Sie verbindet, wird damit zu einem Ortungssystem von GPS-vergleichbarer Qualität, ohne dass Sie irgendetwas aktiviert hätten. Diese Daten werden nach nationalen Regeln gespeichert und den Behörden über unterschiedliche Verfahren zugänglich gemacht. Es ist dieselbe Grundsatzdebatte wie beim Thema anwendbare Rechtsordnung für gehostete Daten: Technischer und rechtlicher Schutz decken sich nicht.

WLAN: eine Weltkarte aus Hardwareadressen

Jeder WLAN-Zugangspunkt sendet permanent eine eindeutige Hardwarekennung aus, die BSSID. Diese Kennungen sind fest und geografisch stabil: Ein Router bleibt jahrelang am selben Ort.

Apple, Google und einige spezialisierte Anbieter pflegen Datenbanken, die jede BSSID mit Koordinaten verknüpfen. Aufgebaut werden sie von den Telefonen ihrer eigenen Nutzer, die die Liste der sichtbaren Zugangspunkte zusammen mit einer GNSS-Position melden. Anschließend wird der Vorgang umgekehrt: Ein Telefon, das vier bekannte Zugangspunkte sieht, braucht keinen einzigen Satelliten mehr. In dicht besiedelten Gebieten erreicht die Genauigkeit regelmäßig einige Dutzend Meter und liegt in Gebäuden noch darunter.

Zwei Eigenschaften machen diesen Mechanismus schwer zu neutralisieren. Erstens sucht das Telefon auch dann nach Netzen, wenn WLAN ausgeschaltet zu sein scheint: Seit Android 4.3 behält das System einen periodischen Suchlauf bei, der die Ortung verbessern soll, unabhängig vom Schalter in den Schnelleinstellungen. Dieses Verhalten hängt an einer separaten Einstellung, tief in den Ortungsdiensten vergraben, die so gut wie kein Nutzer je geöffnet hat.

Zweitens ist die Datenbank von außen abfragbar. Genau das ist die Lücke, die Rye und Levin ausgenutzt haben: Die Ortungsschnittstellen liefern nicht nur die angefragte Position zurück, sondern auch die benachbarter Zugangspunkte, was es erlaubt, die Karte abzuernten, ohne den Orten jemals physisch nahe zu kommen.

Bluetooth und BLE: geortet durch die Telefone der anderen

Bluetooth Low Energy fügt eine Näherungsebene hinzu, mit einer Reichweite von wenigen bis einigen Dutzend Metern, also mit einer weit feineren Auflösung als das Mobilfunknetz. Zwei Verwendungen bestehen nebeneinander. Kommerzielle Beacons, aufgestellt in Geschäften, Flughäfen oder Einkaufszentren, senden eine Kennung, die Apps auf dem Telefon erkennen. Damit wird sichtbar, vor welchem Regal Sie stehen geblieben sind und wie lange. Und kollaborative Ortungsnetze, für die Apples Find My das Vorbild ist, inzwischen übernommen von Google und Samsung.

Der zweite Mechanismus kehrt eine stillschweigende Annahme um. Die maßgebliche Analyse Who Can Find My Devices?, veröffentlicht in den Proceedings von PETS 2021 durch Forscher der Technischen Universität Darmstadt, hat Apples Protokoll durch Reverse Engineering rekonstruiert. Ein Gerät ohne Netzverbindung sendet ein BLE-Signal, ein beliebiges Apple-Gerät in der Nähe empfängt es, fügt seine eigene Position hinzu und übermittelt sie verschlüsselt an Apples Server, ohne Wissen des eigenen Besitzers wie auch des Besitzers des georteten Geräts.

Die Folge ist struktureller Natur: Ein Gerät ohne SIM-Karte, ohne WLAN, ohne jede Netzverbindung bleibt ortbar, sofern ein Unbekannter mit einem Telefon in der Tasche vorbeikommt. Ihre Abschottung hängt nicht mehr von Ihren Einstellungen ab, sondern von denen der Passanten.

Die Inertialsensoren: orten ohne Ortungsberechtigung

Ein Telefon enthält einen Beschleunigungssensor, ein Gyroskop, ein Magnetometer und häufig ein Barometer. Diese Sensoren fallen unter eine andere Berechtigungskategorie als die Ortung: Eine App kann sie auslesen, ohne jemals gefragt zu haben, wo Sie sind.

Forscher aus Princeton haben das mit PinMe gezeigt. Ihre App geht von IP-Adresse und Zeitzone für eine grobe Position aus und liest dann die Sensoren: Der Beschleunigungssensor liefert das Beschleunigungs- und Bremsprofil, das Gyroskop die Abfolge der Kurven, das Magnetometer die Fahrtrichtung, das Barometer die Höhenänderungen. Ein neuronales Netz erkennt die Fortbewegungsart, zu Fuß, Auto, Zug oder Flugzeug, und die Strecke wird mit öffentlichen Karten-, Höhen- und Wetterdaten abgeglichen. Ergebnis: eine Bewegungsspur von GPS-vergleichbarer Genauigkeit, ohne Ortungsberechtigung. Das Verfahren hat Grenzen, die die Autoren dokumentieren, denn es scheitert in Gebieten ohne Straßen und verschlechtert sich bei gleichförmigen Schachbrettgrundrissen, wo viele Wege dieselbe Signatur erzeugen. Es bleibt der Beweis, dass eine verweigerte Berechtigung keine geschlossene Tür ist.

Das Barometer liefert zudem die Dimension, mit der GNSS schlecht umgeht, die vertikale. Die amerikanischen Vorgaben für Notrufe verlangen eine Stockwerksgenauigkeit von plus/minus 3 Metern für 80 % der Anrufe aus Gebäuden. Zu wissen, in welchem Stockwerk sich jemand befindet, ist etwas anderes als zu wissen, in welchem Häuserblock.

Der Datenmarkt: der banalste Vektor

Die bisherigen Mechanismen beschreiben, wie eine Position berechnet wird. Offen bleibt, wohin sie geht, und dort liegt der Großteil des alltäglichen Risikos.

Tausende Apps binden Werbe-SDKs ein, Softwarebausteine von Dritten, die ein Entwickler hinzufügt, um seine Arbeit zu monetarisieren oder seine Reichweite zu messen. Diese Bausteine erben die Berechtigungen der Wirt-App: Eine Wetter-App, die Ihre Position berechtigterweise braucht, gibt sie an Akteure weiter, deren Namen Sie nie gelesen haben. Hinzu kommen die Werbe-Auktionsströme, in denen Ihre ungefähre Position bei jeder Bannereinblendung an Dutzende potenzieller Käufer verteilt wird, auch an jene, die nichts kaufen und sich mit Zuhören begnügen.

Dieser Rohstoff nährt eine ganze Industrie. Die Electronic Frontier Foundation hat den Fall Fog Data Science dokumentiert, ein Unternehmen, das Milliarden Datenpunkte zu mehr als 250 Millionen Geräten für sich reklamierte und sie an lokale US-Polizeibehörden verkaufte. Brian Krebs hat Locate X beschrieben, ein Produkt, mit dem sich ein Polygon auf einer Karte ziehen und der Verlauf der Geräte anzeigen lässt, die dieses Gebiet betreten und verlassen haben.

Dieser Vektor verlangt kein technisches Kunststück, sondern nur, dass jemand zu zahlen bereit ist. Der Preis ist bescheiden.

IMSI-Catcher: die aktive Ortung

Die bisher beschriebenen Mechanismen nutzen den Normalbetrieb aus. Daneben gibt es die aktive Ortung, betrieben von einem Dritten, der in das Netz eingreift.

Ein IMSI-Catcher, auch Cell-Site-Simulator genannt, ist ein Gerät, das sich als legitime Antenne ausgibt. Telefone in Reichweite buchen sich dort ein und geben dabei ihre Teilnehmerkennung und ihre Anwesenheit in einem eng begrenzten Umkreis preis.

5G sollte diese Tür schließen, indem die dauerhafte Klartextkennung durch eine verschlüsselte ersetzt wurde, die SUCI. Die Tür ist nur halb zu. Die unter dem Titel 5G SUCI-catchers: still catching them all? vorgestellten Arbeiten dokumentieren Verknüpfungsangriffe, mit denen sich Sitzungen trotz Verschlüsselung wieder korrelieren lassen. Vor allem aber fällt der Schutz vollständig, wenn der Angreifer das Endgerät zwingt, auf eine ältere Generation zurückzufallen, insbesondere 2G, dessen Authentifizierung einseitig ist. Ein 5G-Telefon bleibt für einen Angriff verwundbar, der für ein Netz der 1990er Jahre entworfen wurde, weil es sich immer noch darauf einlässt.

Die Gegenmaßnahmen und ihre tatsächliche Wirkung

Jede der folgenden Maßnahmen bewirkt etwas. Keine bewirkt alles, und die Lücke zwischen dem, was sie leisten, und dem, was man ihnen zuschreibt, führt zu den falschen Entscheidungen.

Der Flugmodus

Der Flugmodus schaltet das Senden von Mobilfunkmodem, WLAN und Bluetooth ab. Das ist real, und es ist das beste Ergebnis für einen so geringen Aufwand.

Was er nicht leistet: Er stoppt die Inertialsensoren nicht, er löscht die bereits zwischengespeicherten Positionen nicht, die beim erneuten Verbinden abgehen, und er erlaubt es auf den meisten Geräten, WLAN oder Bluetooth einzeln wieder zu aktivieren, ohne ihn zu verlassen. Schließlich ist er ein Softwarezustand, keine Stromunterbrechung: Seine Verlässlichkeit hängt von der Integrität des Systems ab, das ihn durchsetzt.

Ein unterschätztes Detail: Das Abmelden und das erneute Anmelden am Netz sind selbst Ereignisse mit Zeitstempel beim Betreiber. Ein Telefon, das um 21 Uhr in einer Zelle verschwindet und um 23 Uhr in einer anderen wieder auftaucht, hat eine Information erzeugt, keine Stille.

Die Randomisierung der MAC-Adresse

Mobile Systeme senden heute bei Suchläufen zufällige MAC-Adressen aus, um die Nachverfolgung von Ort zu Ort zu verhindern. Die Absicht ist gut, das Ergebnis unvollständig. Die maßgeblichen Arbeiten, darunter Why MAC Address Randomization is not Enough, zeigen, dass der Inhalt der Suchpakete oft ausreicht, um das Gerät wiederzuerkennen: Die Anzahl der Informationselemente, ihre Werte und ihre Reihenfolge bilden einen Fingerabdruck. Hinzu kommen die Sequenznummern, die fortlaufend und damit verkettbar sind, sowie die für jedes Modell typische zeitliche Signatur. Manche Studien berichten von einer zuverlässigen Nachverfolgung der Hälfte aller Geräte über mindestens zwanzig Minuten.

Schließlich eine konzeptionelle Grenze: Die Randomisierung betrifft nur die Suchphase. Sobald Sie sich mit einem Netz verbinden, ist die verwendete Adresse für dieses Netz konstruktionsbedingt konstant, damit die Verbindung funktioniert. Das Café, in das Sie jeden Morgen gehen, erkennt Sie wieder.

Die Suchläufe wirklich abschalten

Das ist die lohnendste und zugleich am meisten übersehene Einstellung. Unter Android sind die WLAN-Suche und die Bluetooth-Suche zwei getrennte Optionen, angesiedelt in den Ortungsdiensten, unabhängig von den Schaltern der Schnelleinstellungen. Solange sie aktiv sind, genügt es nicht, WLAN über das Bedienfeld auszuschalten: Der Suchlauf läuft weiter.

Sie zu deaktivieren beseitigt eine ganze Erfassungsebene, ohne anderen Preis als eine etwas langsamere erste Positionsbestimmung. Für die meisten Leser ist das das beste Verhältnis zwischen aufgewendetem Aufwand und erzieltem Ergebnis.

Die App-Berechtigungen

Der Entzug der Ortungsberechtigung bei Apps, die sie offensichtlich nicht brauchen, bleibt sinnvoll, und aktuelle Systeme bieten drei Abstufungen: die einmalige Freigabe, die auf die aktive Nutzung beschränkte Freigabe und den ungefähren Standort, der nur ein Gebiet in der Größenordnung eines Kilometers übermittelt.

Das schützt allerdings weder vor SDKs innerhalb einer App, die einen legitimen Grund für den Zugriff auf Ihre Position hat, noch vor den Inertialsensoren, noch vor den Netzebenen, die über gar keine Berechtigung laufen.

Wovor ein VPN nicht schützt

Ein klärungsbedürftiger Punkt, weil die gegenteilige Annahme sehr verbreitet ist: Ein VPN verbirgt Ihren Standort nicht. Es verbirgt Ihre öffentliche IP-Adresse und verfälscht damit die IP-basierte Ortung, die ohnehin der gröbste Mechanismus der Liste ist.

Ein VPN rührt weder an den GNSS-Empfänger noch an die WLAN-Suche, noch an Bluetooth, noch an die Sensoren. Es ändert nichts an dem, was Ihr Betreiber weiß, denn der verschlüsselte Tunnel läuft über seine Antennen, und die Einbuchung in die Funkzelle bleibt für ihn sichtbar. Es hindert eine App mit Ortungsberechtigung nicht daran, exakte Koordinaten innerhalb des Tunnels zu übermitteln. Ein VPN schützt Inhalt und Ziel Ihrer Kommunikation in einem nicht vertrauenswürdigen Netz, und das ist bereits viel. Die Ortung gehört nicht zu seinem Aufgabenbereich.

Die physischen Grenzen

Eine Faraday-Tasche funktioniert im Wortsinn: Sie blockiert Senden und Empfangen. Das Entfernen des Akkus ebenfalls, wo es noch möglich ist. Ein eigenes Gerät, oder das Telefon einfach woanders zu lassen, bleibt die robusteste Maßnahme.

Diese Lösungen teilen einen Mangel, dem man ins Auge sehen muss: Sie erzeugen eine Auffälligkeit. Ein Telefon, das jeden Dienstagabend zwei Stunden schweigt, sagt etwas aus. Gegen einen Gegner, der Muster analysiert statt Momentaufnahmen, ist die Abwesenheit selbst eine Information.

Drei Gegner, drei Strategien

Das ist die wichtigste Unterscheidung dieses Artikels und diejenige, die man am seltensten liest.

Gegen einen Werbetreibenden oder einen Datenhändler ist der Kampf zu gewinnen. Disziplin bei den Berechtigungen, Abschalten der Suchläufe, ein System ohne proprietäre Ortungsdienste, Zurücksetzen der Werbekennung: Zusammen senkt das die erfasste Menge sehr deutlich. Dieser Gegner sucht billige Masse, nicht Ihren Einzelfall.

Gegen Ihren Netzbetreiber genügt keine Konfiguration. Die Mobilfunkortung ist die Bedingung des Dienstes. Die einzigen realen Stellschrauben sind rechtlicher Natur, also was das Gesetz zu speichern und zu übermitteln erlaubt, und materieller Natur: welches Gerät, welche SIM-Karte, auf welchen Namen, wo eingeschaltet.

Gegen einen gezielt vorgehenden staatlichen Gegner verschiebt sich die Überlegung erneut, denn er kombiniert den rechtlichen Zugriff auf die Betreiberdaten, die aktive Ortung per Cell-Site-Simulator, die Herausgabeanordnung an Plattformen und gegebenenfalls die Kompromittierung des Endgeräts. Softwareseitige Gegenmaßnahmen verkleinern die Angriffsfläche, aber das realistische Ziel ist nicht das Verschwinden: Es besteht darin, genau zu wissen, was exponiert bleibt.

Der Ansatz von ArpokratOS

ArpokratOS beantwortet diese Landschaft mit einer Entscheidung, die aus der obigen Unterscheidung folgt: Was neutralisiert werden muss, wird auf Systemebene neutralisiert, nicht in einem Menü.

Beim GNSS wird der Hardwaretreiber entfernt. Das Gerät verhält sich, als existierte der Chip nicht, für Anwendungen ebenso wie für das System selbst. Der Unterschied zu einem Schalter in den Einstellungen ist nicht kosmetisch. Ein Schalter ist eine Richtlinie: Er wird von einer Schicht durchgesetzt, die von einer hinreichend privilegierten Komponente umgangen, durch ein Update wieder aktiviert oder von einem kompromittierten System ignoriert werden kann. Den Codepfad zu entfernen erledigt die Frage, denn es gibt nichts mehr zu aktivieren.

Bluetooth wird auf Core-Ebene behandelt, nach derselben Logik. Ein in den Einstellungen deaktiviertes Bluetooth lässt den Softwarestack auf vielen Geräten in der Praxis am Leben, um Näherungsdienste und kollaborative Ortungsnetze zu bedienen. Auf Systemebene abwesend, kann es weder mit einem Ladenbeacon sprechen noch an einem Netz vom Typ Find My teilnehmen noch als Angriffsfläche ohne Nutzerinteraktion dienen.

Man muss klar sagen, was das nicht leistet. ArpokratOS macht ein Telefon nicht unauffindbar. Solange eine SIM-Karte aktiv ist, kennt der Betreiber die Funkzelle, in der Sie eingebucht sind, und kein Betriebssystem ändert daran etwas, auch nicht mit dem gesamten Datenverkehr über Tor. Das Routing schützt Inhalt und Ziel, nicht die Funkgeometrie. Wer Unsichtbarkeit verspricht, verkauft eine Geschichte.

Was eine solche Architektur leistet, ist bescheidener: die Beseitigung der Anwendungs- und Näherungsebenen, über die der weit überwiegende Teil der realen Erfassung läuft, und ein ausdrückliches Bedrohungsmodell für das, was bleibt. Es ist dieselbe Überlegung wie bei der Wahl eines Desktop-Systems, ausgeführt in unserem Vergleich der Betriebssysteme: Die nützliche Frage lautet nicht, ob ein Werkzeug schützt, sondern wovor es schützt und zu welchem Preis.

Fazit

Dieser Artikel liefert keine Methode, um zu verschwinden. Diese Methode existiert nicht, und Texte, die das Gegenteil behaupten, erzeugen vor allem falsches Vertrauen, das gefährlicher ist als gar kein Schutz, weil es zu Risiken verleitet.

Das Ziel war, eine binäre Frage, bin ich ortbar oder nicht, durch eine nützliche zu ersetzen: von wem, mit welcher Genauigkeit, zu welchen Kosten für die Gegenseite, und ist mir das wichtig. Die Antwort fällt anders aus für eine Journalistin, die eine Quelle schützt, für eine Führungskraft auf Reisen in einer heiklen Jurisdiktion, für einen Anwalt, dessen Termine eine Strategie verraten, oder für eine Privatperson, die es ärgert, dass ein Werbetreibender ihre Gewohnheiten kennt.

Aufmerksamkeit verdient im Übrigen nicht die Leistungsfähigkeit jedes einzelnen dieser Mechanismen für sich, sondern die Tatsache, dass sie sich überschneiden. Eine auf fünfzig Meter genaue Position ist wenig interessant. Eine auf fünfzig Meter genaue Position, alle Viertelstunde, zwei Jahre lang, zeichnet einen Wohnort, einen Arbeitsplatz, ein Bekenntnis, einen Gesundheitszustand, eine Affäre, eine Quelle. Standortdaten sind das Metadatum, das alle anderen lesbar macht, und genau deshalb sind sie viel wert.

Quellen

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: Der neue 'Super-Cookie' der Telekommunikationsanbieter, der Ihre Privatsphäre bedroht

Mon, 01 Jun 2026 00:00:00 +0000

Das geplante Ende der Drittanbieter-Cookies in Webbrowsern hat ein wahres Wettrüsten in der Branche der gezielten Werbung ausgelöst. Während Google versucht, seine eigenen Standards (wie die Privacy Sandbox) durchzusetzen, hat ein anderer unerwarteter Akteur beschlossen, sich ein Stück vom Kuchen zu sichern: Ihr Internetdienstanbieter (ISP).

So entstand Utiq (früher bekannt als Projekt TrustPid), ein Joint Venture, das von den europäischen Telekommunikationsgiganten gegründet wurde. Der breiten Öffentlichkeit als “transparente und respektvolle” Lösung verkauft, ist Utiq in Wirklichkeit das, was Cybersicherheitsexperten am meisten fürchten: ein “Super-Cookie”, das auf Netzwerkebene funktioniert.

Was ist Utiq und wie funktioniert es?

Traditionell wird Werbe-Tracking (Cookies) von Ihrem Webbrowser (Chrome, Firefox, Safari) verwaltet. Sie konnten es blockieren, indem Sie Erweiterungen (wie uBlock Origin) oder einen datenschutzorientierten Browser (wie Brave) verwendeten.

Utiq verlagert das Problem einen Schritt zurück: auf die Ebene Ihrer Netzwerkverbindung.

So schnappt die Falle zu:

Das Netzwerk-Abfangen: Wenn Sie über Ihre mobile Verbindung (4G/5G) oder Ihre Glasfaser-Box im Internet surfen, verwendet Utiq Ihre IP-Adresse und Ihre Telekommunikations-Abonnementdaten, um Sie zu identifizieren.
Die Zustimmung (die falsche Wahl): Wenn Sie auf einer Partner-Website ankommen, bittet Sie ein Popup-Fenster, Utiq zu akzeptieren. Aufgrund der Ermüdung durch Cookie-Banner (Consent Fatigue) klicken Millionen von Nutzern auf “Akzeptieren”, ohne zu lesen.
Das “Network Signal”: Sobald die Zustimmung erteilt ist, kontaktiert Utiq direkt Ihren Telekommunikationsbetreiber. Dieser generiert ein eindeutiges und pseudonymisiertes Identifikations-Token (das Netzwerksignal), das er an Werbetreibende weiterleitet.

Sie sind nun von Website zu Website nachverfolgbar, nicht durch eine auf Ihrem Computer gespeicherte Datei, sondern durch die Infrastruktur selbst, die Ihnen das Internet bereitstellt.

Warum Utiq ein Albtraum für die Privatsphäre ist (OPSEC)

Die Initiative wirft ernsthafte Probleme für die digitale Souveränität und die Vertraulichkeit Ihrer Daten auf:

Tracking an der Quelle: Im Gegensatz zu klassischen Cookies können Sie nicht einfach “Ihren Verlauf löschen” oder “Ihren Cache leeren”, um Utiq loszuwerden. Das Identifikations-Token wird von Ihrem ISP generiert.
Die Zentralisierung von Profilen: Telekommunikationsbetreiber kennen bereits Ihren Namen, Ihre physische Adresse, Ihre Bankdaten und Ihren Standort in Echtzeit. Indem sie Ihren Web-Browserverlauf über Utiq damit verknüpfen, erstellen sie ein Verhaltensprofiling von erschreckender Präzision.
Die Schwachstelle der Pseudonymisierung: Utiq verteidigt sich damit, Ihren Namen nicht im Klartext zu teilen, und behauptet, “verschlüsselte” Token zu verwenden. In der Welt der Cybersicherheit ist jedoch bewiesen, dass Pseudonymisierung reversibel ist. Der Abgleich dieser Token mit anderen Datenbanken ermöglicht es, Personen leicht zu reidentifizieren.

Welche Betreiber nutzen Utiq?

Utiq wurde von einer Allianz der vier größten europäischen Betreiber gegründet. Wenn Sie Kunde bei einem von ihnen (oder einer ihrer Low-Cost-Tochtergesellschaften) sind, ist Ihre Verbindung möglicherweise bereits “kompatibel” mit diesem Tracking.

Hier sind die Gründer und die Links zu ihren jeweiligen Datenschutzrichtlinien:

Orange (Frankreich, Spanien, Polen, etc.)
Vodafone (Deutschland, Spanien, Großbritannien, etc.)
Telefónica / O2 / Movistar (Spanien, Deutschland, etc.)
Deutsche Telekom (Deutschland, Mitteleuropa)

Der OPSEC-Tipp: Obwohl Utiq ein zentralisiertes Einwilligungsportal (consenthub.utiq.com) anbietet, um den Zugriff zu widerrufen, bleibt die beste Verteidigung technologischer Natur.

Der Zero-Trust-Ansatz gegen Utiq

Die Philosophie der digitalen Souveränität, getragen von Ökosystemen wie Arpokrat, beruht auf einem einfachen Prinzip: Vertrauen Sie niemals der Netzwerkinfrastruktur.

Um Systeme wie Utiq technisch zu neutralisieren, besteht die Lösung darin, Ihren Datenverkehr vor Ihrem eigenen Internetdienstanbieter zu verbergen:

Die Nutzung eines souveränen VPNs: Indem Sie Ihren Datenverkehr verschlüsseln, sobald er Ihr Gerät verlässt, sieht Ihr ISP nur einen unlesbaren Datenstrom, der an einen VPN-Server geleitet wird. Er kann die Utiq-Token nicht mehr injizieren oder lesen.
Das Tor-Netzwerk (Orbot): Das Onion-Routing verhindert jede End-to-End-Identifizierung.
Die DNS-Verschlüsselung (DoH/DoT): Verhindert, dass Ihr Betreiber weiß, welche Websites Sie besuchen möchten.

Zusammenfassend lässt sich sagen, dass Utiq der Beweis dafür ist, dass Internetdienstanbieter sich nicht mehr damit zufrieden geben, bloße “Leitungen” zu sein; sie wollen zu Datenmaklern werden. Mehr denn je ist die Verschlüsselung Ihres Datenverkehrs keine Sicherheitsoption mehr, sondern eine absolute Notwendigkeit, um Ihr digitales Schweigen zu bewahren.