Zwei Milliarden gestohlene SIM-Karten sind ein echter Alptraum

Ein neuer Verdacht gegen die NSA: Sie soll sich in das Netzwerk des weltgrößten SIM-Karten-Herstellers gehackt und Verschlüsselungs-Keys für Millionen von Geräten gestohlen haben.

Die neueste Enthüllung Edward Snowdens zur National Security Agency (NSA) gehört zu den schockierendsten: Die Behörde und ihr britisches Gegenstück GCHQ sollen in die Netzwerke von Gemalto eingedrungen sein und Verschlüsselungs-Keys gestohlen haben, die unzählige Millionen, vielleicht sogar Milliarden von SIM-Karten schützen. Gemalto ist ein globaler Hersteller von SIM-Karten für mobile Geräte. Laut Economist stellt das Unternehmen mehr SIM-Karten als alle anderen Firmen her.

Eine Kompromittierung von SIM-Karten in diesem Ausmaß würde die Integrität des ganzen globalen Handy-Kommunikationssystems in Frage stellen. Das heißt zwar noch nicht, dass Ihre Kommunikation abgehört wird, aber dass dies mit einem Tastendruck möglich ist.

Der Intercept-Artikel, in dem die Vorwürfe erstmals genannt wurden, schätzt, dass Gemalto pro Jahr etwa zwei Milliarden SIM-Karten produziert. Um das in Kontext zu bringen: Es gibt 7,125 Milliarden Menschen auf der Welt; und laut Schätzungen gibt es 7,19 Milliarden mobile Geräte. Zu Gemaltos Kunden gehören Mobil-Anbieter wie T-Mobile, Sprint, AT&T, Verizon und etwa 450 weitere Unternehmen. Die Firma ist in 85 Ländern tätig und betreibt 40 Fabriken.

SIM ist die Abkürzung für Subscriber Identification Module. Eine SIM-Karte ist im Grunde ein kleiner Integrierter Schaltkreis, der in das mobile Gerät gesteckt wird. Sie enthält neben der einzigartigen IMSI-Nummer (International Mobile Subscriber Identity) auch einen verschlüsselten Authentifizierungs-Key. Der Key und die Nummer zusammen bestätigen, dass Ihr Handy auch wirklich Ihr Handy ist. Das ist wie ein Login-Name und ein Passwort, nur dass diese komplett in der Hardware sind und deshalb nicht verändert werden können.

Wenn man die Master-Liste dieser Keys besitzt, hat man die Möglichkeit, Gespräche abzuhören und Datenkommunikation auf jedem Gerät mit SIM-Karte abzufangen, wenn deren Verschlüsselungs-Key auf der Liste zu finden ist. Wenn der Vorwurf stimmt, bedeutet das, dass NSA und GCHQ die Möglichkeit haben, weltweit riesige Mengen von Handygesprächen und Datenübertragungen ohne Durchsuchungsbefehl oder eine andere richterliche Erlaubnis abzuhören.

In den nicht-technischen Medien wird viel über die Metadaten-Sammlung der NSA diskutiert, doch Enthüllungen wie die aktuelle oder jene über kompromittierte pseudozufällige Zahlengeneratoren sind die wirklich besorgniserregenden. Metadaten können viel darüber aussagen, wo eine Person war, mit wem sie sich getroffen hat, und natürlich auch, wer die Person ist. Eine massive Attacke auf SIM-Karten oder Verschlüsselungsprotokolle gibt den Angreifern aber die Möglichkeit, direkt – im Klartext – die Inhalte der überwachten Kommunikation zu sehen. Und auch wenn vom Aufenthaltsort und der Information zu Geräteinteraktionen viel abgeleitet werden kann, muss man bei Klartext-Kommunikationen nichts mehr ableiten – man sieht alles genau so, wie es gesagt wurde, und das in Echtzeit. Eine genaue Analyse der Überwachungsdaten ist nicht notwendig.

In einem geheimen Dokument, das von der NSA gestohlen worden sein soll und von The Intercept veröffentlicht wurde, schreibt die NSA: „[wir] haben erfolgreich mehrere [Gemalto]-Maschinen infiltriert und glauben, wir haben ihr ganzes Netzwerk…“.

Privatsphäre und Handykommunikation sind hier aber nicht die einzigen Bedenken. Denn es gibt auch beträchtliche finanzielle Auswirkungen – aus zwei Gründen: Wie Chris Soghoian von der American Civil Liberties Union und der Johns-Hopkins-Kryptograph Matthew Green in einem Intercept-Artikel schreiben, wurden SIM-Karten in den frühen Tagen der Handykommunikation nicht dafür entwickelt, individuelle Kommunikationen zu schützen, sondern um den Rechnungsprozess zu vereinfachen und die Anwender davon abzuhalten, die Mobilfunkanbieter zu betrügen. In Entwicklungsländern, in denen nach wie vor mit veralteten und schwachen Handy-Netzen der zweiten Generation gearbeitet wird, verlassen sich viele Anwender auch bei finanziellen Transaktionen und Microfinancing-Diensten wie dem beliebten M-Pesa auf die SIM-Karten.

Ein Angriff auf Gemalto kann die Integrität der globalen Kommunikationsinfrastruktur kompromittieren, die immer mehr über mobile Geräte und die darin enthaltenen SIM-Karten läuft.

Und das ist nicht nur ein finanzielles Problem für Entwicklungsländer: Gemalto ist auch der wichtigste Hersteller von Mikrochips in EMV-Geldkarten mit Chip und PIN, eine der wichtigsten Zahlungsmethoden in Europa. Diese Karten können ebenfalls kompromittiert werden. Laut The Intercept werden die Chips von Gemalto auch bei der Herstellung von Zugangs-Tokens, elektronischen Pässen, Identifikationskarten und Schlüsseln für Oberklasseautos wie BMW und Audi verwendet. Wenn Sie also eine Chip-und-PIN-Karte von Visa, Mastercard, American Express, JP Morgan Chase oder Barclays verwenden, stehen die Chancen gut, dass der Chip in der Karte von Gemalto kommt und sein Verschlüsselungs-Key gestohlen wurde.

Trotz aller Vorwürfe und vermeintlich geheimer Dokumente, dementiert Gemalto felsenfest, dass das sichere Netzwerk des Unternehmens jemals kompromittiert worden ist: „Keine Einbrüche wurden in der Infrastruktur, auf der unsere SIM-Aktivitäten laufen, oder in anderen Teilen unseres sicheren Netzwerks festgestellt, das unsere andere Produkte wie Bankkarten, ID-Karten oder elektronische Pässe verwaltet. Jedes dieser Netzwerke ist von den anderen isoliert und sie können nicht mit externen Netzwerken verbunden werden“, so die Firma in einer Erklärung.

Allerdings gibt das Unternehmen zu, dass es in der Vergangenheit vereitelte Hacking-Versuche gab, von denen angenommen wird, dass die NSA und GCHQ verantwortlich dafür waren.

Ein weiterer besorgniserregender Aspekt dieser und anderer Snowden-Enthüllungen ist, dass das veröffentlichte Dokument schon aus dem Jahr 2010 stammt. Mit anderen Worten: Die vermutliche SIM-Karten-Intrige läuft schon seit fünf Jahren, doch die Technik ist ebenfalls fünf Jahre alt, was in Computer-Jahren ein ganzes Leben ist.

Über das persönliche Risiko, das kompromittierte SIM-Karten-Keys für unsere kollektive und individuelle Privatsphäre bedeuten, gibt es noch einen anderen Punkt: Wenn die Snowden-Dokumente echt sind, ist dieser Angriff ein Alptraum für die internationalen Beziehungen. Erinnern Sie sich noch, als vor zwei Monaten militaristischer denkende Menschen den Angriff von Nordkorea auf Sony Pictures Entertainment als Kriegshandlung eingestuft haben? Nun, diese Attacke, die so gut von Nordkorea wie von jedem anderen kommen konnte, zielte auf ein Filmstudio und brachte in paar geheime Filmdrehbücher und E-Mails an die Öffentlichkeit. Ein Angriff auf Gemalto kann dagegen die Integrität der globalen Kommunikationsinfrastruktur kompromittieren, die immer mehr über mobile Geräte und die darin enthaltenen SIM-Karten läuft.

Tipps
Abonnieren Sie uns und bleiben Sie auf dem neuesten Stand mit unseren Beiträgen
  • Für alle anderen Länder