Fünfzehntausendsiebenhundert
Die Zahl ist die Zahl unsichtbarer Operationen.
Seit Ende 2022 haben Überwachungsakteure mehr als 15.700 Ortungsabfragen durch das globale mobile Signalisierungsnetz geschickt und dabei Personen in mehreren Ländern ins Visier genommen — über eine Telekommunikationsinfrastruktur, die für jedes Netz, das sie berührt, wie legitimer Roaming-Verkehr aussieht. Die Telefone der Zielpersonen zeigten keine Benachrichtigung. Ihre Nachrichtenprotokolle verzeichneten kein Ereignis. Die Ortung war auf der Geräteebene unsichtbar, weil sie auf der darunterliegenden Signalisierungsebene ablief.
Das Citizen Lab an der University of Toronto veröffentlichte die Ergebnisse am 23. April 2026 in einem Bericht mit dem Titel "Bad Connection", verfasst von Gary Miller und Swantje Lange. Der Bericht dokumentiert zwei verschiedene Überwachungskampagnen, nennt drei Telekommunikationsunternehmen, deren Infrastruktur als Zugang diente, und benennt die strukturelle Eigenschaft, die diese Kampagnen möglich macht: Das globale Zusammenschaltungssystem der Telekommunikation beruht auf einem Vertrauensmodell, das nie dafür entworfen wurde, zu prüfen, ob Signalisierungsverkehr das ist, wofür er sich ausgibt.
Die Geisterbetreiber
Die drei genannten Unternehmen sind keine Nachrichtendienste. Sie sind keine klassischen Überwachungsanbieter. Sie sind Telekommunikationsunternehmen mit legitimen Lizenzen.
019Mobile ist ein privat geführter israelischer MVNO, der unter der Marke Telzar 019 auftritt. Das Unternehmen betreibt ein eigenes Kernnetz auf dem Funkzugangsnetz von Partner Communications. Die Haaretz-Recherche, die auf die Veröffentlichung des Citizen Lab folgte — überschrieben "Ghost Operators: How Israeli Telecoms Were Exploited to Track Citizens Worldwide" (Geisterbetreiber: Wie israelische Telekommunikationsunternehmen ausgenutzt wurden, um weltweit Bürger zu verfolgen) —, dokumentierte Dutzende Ortungsversuche, die über die Infrastruktur von 019Mobile liefen. Der Leiter für IT und Sicherheit des Unternehmens erklärte, es sei „kein Risiko für unsere Kunden festgestellt worden“, und konnte nicht bestätigen, dass die Infrastruktur zu 019Mobile gehörte.
Tango Networks UK ist ein britischer MVNO, eine Tochter des in Texas ansässigen Unternehmens Tango Networks Inc. Ofcom wies ihm 2022 den britischen Mobile Network Code 53 zu. Es wurde laut Citizen Lab „über mehrere Jahre hinweg für Überwachungsaktivitäten“ genutzt. Das Unternehmen wollte sich nicht äußern.
Airtel Jersey ist ein Betreiber auf den Kanalinseln, der inzwischen Sure gehört, das seinerseits zur Beyon Group gehört, die teilweise im Eigentum des Königreichs Bahrain steht. Der CEO von Sure erklärte, das Unternehmen „vermietet Signalisierungszugang weder direkt noch wissentlich an Organisationen zum Auffinden oder Verfolgen von Personen“.
Keines dieser Unternehmen ist auf dem Papier ein Überwachungsunternehmen. Jedes hält eine legitime Telekommunikationslizenz. Jedes hat die aufsichtsrechtliche Prüfung durchlaufen, die es in seiner Rechtsordnung gibt. Die Bezeichnung „Geisterbetreiber“ ergibt sich aus ihrer Funktion: echte Unternehmen, deren Infrastruktur — wissentlich oder nicht — als vertrauenswürdiger Eintrittspunkt für Überwachungsverkehr genutzt wird, den das Zielnetz akzeptiert, weil er von einem legitimen Peer zu kommen scheint.
Kampagne eins: die rotierende Identität
Die erste Kampagne nutzte sowohl SS7 als auch Diameter mit koordiniert abwechselndem Zugang aus. Wurden SS7-Abfragen von der Firewall eines Zielnetzes blockiert, schaltete das System automatisch auf Diameter um. Wurde Diameter blockiert, fiel es auf SS7 zurück.
Der Überwachungsverkehr rotierte durch 11 Betreiberidentitäten in zehn Ländern. Zu den Ländern, deren Betreiberidentitäten gefälscht wurden, zählen Kambodscha, China, Israel, Italien, Liechtenstein, Marokko, Polen, die Schweiz, Thailand und das Vereinigte Königreich. Drei verschiedene Routing-Muster wurden genutzt, um den wahren Ursprung zu verschleiern: direkter Zugang über Tango Networks UK in das IPX-Netz von BICS, direkter Zugang über 019Mobile in das IPX von Comfone und ein Pfad mit gefälschter Identität, der Hostnamen von AIS Thailand mit Netzwerk-Realm-Kennungen von China Unicom kombinierte und über 019Mobile in das IPX von Syniverse führte.
Das IPX — der IP Packet Exchange — ist das Zusammenschaltungsgeflecht, durch das internationaler Roaming-Verkehr fließt. Unternehmen wie BICS, Comfone und Syniverse betreiben die IPX-Netze. Geisterbetreiber schleusen Überwachungsverkehr in diese Netze ein, die ihn an die Zielbetreiber weiterleiten, als handele es sich um legitime Roaming-Abfragen. Die IPX-Anbieter prüfen nicht zwingend, ob der Verkehr, der sie durchquert, tatsächlich mit Roaming zu tun hat.
Der Citizen-Lab-Forscher Gary Miller schätzte den Anbieter hinter Kampagne eins als „wahrscheinlich einen in Israel ansässigen kommerziellen Geo-Intelligence-Anbieter“ ein, mit möglichen Verbindungen zu Circles, Cognyte und Rayzone.
Kampagne zwei: der unsichtbare Befehl
Die zweite Kampagne war qualitativ anders. Sie fragte nicht das Netz nach dem Standort der Zielperson ab. Sie befahl der SIM-Karte der Zielperson, ihn zu melden.
Die Technik ist als SIMjacker bekannt und wurde 2019 erstmals von Cathal Mc Daid bei AdaptiveMobile Security dokumentiert. Sie nutzt die in SIM-Karten eingebettete Anwendung S@T Browser aus — eine Altkomponente, die es Mobilfunkbetreibern erlauben sollte, Servicenachrichten an Endgeräte zu senden. Der Angriff sendet eine speziell formatierte binäre SMS an die SIM-Karte der Zielperson. Die SIM verarbeitet den Befehl, ohne dem Nutzer eine Benachrichtigung anzuzeigen, ohne ein Ereignis im Nachrichtenprotokoll festzuhalten und ohne eine Interaktion zu verlangen. Die SIM-Karte antwortet dann mit den Standortdaten des Telefons.
Das Citizen Lab dokumentierte seit Ende 2022 mehr als 15.700 solcher Ortungsversuche. Von einem einzigen Global Title — einer Signalisierungskennung — wurden zwischen Oktober 2023 und April 2025 mehr als 1.700 Angriffe auf die Privatsphäre erfasst. Zweiundneunzig Prozent des Verkehrs von dieser Kennung standen im Zusammenhang mit Standortverfolgung.
Die Angriffsfläche von SIMjacker ist die SIM-Karte selbst. Der Angriff braucht keinen Internetzugang. Er braucht keine App-Installation. Er braucht keine Nutzerinteraktion. Er braucht nur, dass die Zielperson eine SIM-Karte in einem Telefon hat, das mit irgendeinem Mobilfunknetz verbunden ist. Jedes Telefon mit einer SIM-Karte liegt in der Angriffsfläche, nicht durch Fehlkonfiguration, sondern von Bauart wegen.
Was der Nutzer nicht tun kann
Der strukturelle Befund lautet, dass das Ziel von SS7-, Diameter- oder SIMjacker-Überwachung das Risiko durch eigenes Handeln nicht mindern kann.
Ein VPN hilft nicht. Der Angriff arbeitet auf der Signalisierungsebene unterhalb des IP-Stacks. Das VPN verschlüsselt Datenverkehr; der Signalisierungsverkehr, der den Standort meldet, ist vom Datenverkehr getrennt und für das VPN unsichtbar.
Verschlüsselte Nachrichtendienste helfen nicht. Signal, WhatsApp und Matrix schützen Nachrichteninhalte. SS7- und SIMjacker-Angriffe greifen nicht auf Inhalte zu. Sie ziehen den Standort ab. Die Verschlüsselung ist irrelevant, weil der Angriff die Datenschicht gar nicht berührt.
Das Telefon zu wechseln hilft nicht. Der Angriff zielt auf die SIM-Karte und die Rufnummer, nicht auf das Endgerät.
Ein datenschutzorientierter Browser hilft nicht. Der Angriff berührt weder den Browser noch das Betriebssystem noch irgendeine Anwendung.
Die einzige nutzerseitige Gegenmaßnahme ist, die SIM-Karte ganz zu entfernen — was die Mobilfunkverbindung beseitigt und für die Milliarden Menschen, die auf Mobiltelefone angewiesen sind, keine praktikable Verteidigung ist.
Die architektonische Lehre: Wenn die Angriffsfläche die Betreiberebene selbst ist, muss die Verteidigung außerhalb dieser Ebene arbeiten.
Das Protokoll, das das beheben sollte
Diameter wurde in den 2000er-Jahren als Ersatz für SS7 entworfen, gerade um die Sicherheitsschwächen zu adressieren, die Angriffe auf der Signalisierungsebene möglich machen. Diameter enthält Authentifizierungsmechanismen, Verschlüsselungsfähigkeiten und Zugangskontrollen, die SS7 fehlen.
Der Befund des Citizen Lab lautet, dass die Betreiber es „weitgehend versäumt“ haben, diese Schutzmaßnahmen umzusetzen. Der Diameter-Einsatz in 4G- und 5G-Netzen stützt sich weiterhin auf dasselbe Peer-to-Peer-Vertrauensmodell, das SS7 verwundbar macht. Die Betreiber, die das neue Netz gebaut haben, haben das alte Vertrauensmodell mitgenommen.
Das bedeutet: Die Migration von 3G über 4G zu 5G — die Infrastrukturaufrüstung, die die Signalisierungsschwachstelle schließen sollte — hat sie nicht geschlossen. Die Protokolle haben sich geändert. Das Vertrauensmodell nicht. Die Geisterbetreiber nutzen das Vertrauensmodell aus, nicht das Protokoll.
Die GSMA, der globale Standardisierungsverband der Mobilfunkbetreiber, veröffentlichte zwei Jahre vor dem Bericht des Citizen Lab einen Code of Conduct for Global Title Leasing. Der Kodex ist freiwillig. Das Citizen Lab stellte fest, dass er „keine nennenswerten Unterzeichner“ hat.
Die Spyware-Parallele
Im selben Monat, in dem das Citizen Lab "Bad Connection" veröffentlichte, setzte das Spyware-Ökosystem sein eigenes Muster der Ausnutzung der Vermittlungsschicht fort.
Am 22. Mai teilte das DHS NPR mit, ICE unterhalte "no relationship" — keine Beziehung — zu Paragon Solutions, dem israelischen Hersteller kommerzieller Spyware, dessen Werkzeug Graphite aus der Ferne in Geräte eindringen und auf verschlüsselte Nachrichten zugreifen kann, ohne dass die Zielperson auf einen Link klickt. Doch das DHS wollte nicht klarstellen, ob ICE über einen Dritten weiterhin auf von Paragon entwickelte Werkzeuge zugreifen kann. Der Paragon-Vertrag wurde in den Beschaffungsunterlagen des Bundes am 20. Januar als "closed out" — abgeschlossen — geführt. Doch er war schon einmal reaktiviert worden — im August 2024 unter der Trump-Regierung — nach einer früheren Aussetzung.
Der kommissarische ICE-Direktor Todd Lyons räumte in einem Schreiben vom 1. April ein, dass er den Einsatz „hochmoderner technologischer Werkzeuge“ zur Terrorismusbekämpfung und Fentanyl-Strafverfolgung genehmigt habe. Die Erklärung des DHS — "ICE has no relationship with Paragon Solutions, Inc. or with the company that acquired them", ICE unterhält keine Beziehung zu Paragon Solutions, Inc. oder zu dem Unternehmen, das es übernommen hat — ist sorgfältig formuliert: Sie adressiert den direkten Vertrag und lässt den Zugang über Dritte unerwähnt.
Das Muster der Geisterbetreiber und das Muster der Spyware-Beschaffung teilen eine strukturelle Eigenschaft: legitim wirkende Stellen, die als Vermittler für Überwachungsfähigkeiten dienen, die die Zielperson am Ende nicht erkennen, nicht blockieren kann und von denen ihr nie jemand erzählt hat. Der Geister-Telko leitet Ortungsabfragen durch das Signalisierungsnetz. Der Spyware-Anbieter leitet den Zugang über einen vertraglichen Vermittler. In beiden Fällen ist die Vermittlungsschicht die Angriffsfläche.
Was das Signalisierungsnetz sieht
Das globale mobile Signalisierungsnetz — die SS7- und Diameter-Infrastruktur, die jeden Mobilfunkbetreiber der Welt verbindet — verarbeitet diese Überwachungsabfragen als routinemäßigen Roaming-Verkehr. Wenn ein Telefon von einem Netz in ein anderes wechselt, sendet das besuchte Netz Signalisierungsnachrichten an das Heimatnetz, um den Teilnehmer zu authentifizieren und Anrufe weiterzuleiten. Das ist die legitime Funktion des Signalisierungssystems.
Geisterbetreiber schleusen Abfragen ein, die legitimen Roaming-Abfragen zum Verwechseln ähnlich sehen. Das Netz kann eine legitime Roaming-Authentifizierung nicht von einer als solche getarnten Überwachungsabfrage unterscheiden. Das Vertrauensmodell nimmt an, dass jede Stelle mit Signalisierungszugang ein legitimer Betreiber mit einem legitimen betrieblichen Anlass ist, die Teilnehmer eines anderen Netzes abzufragen.
Die Zahl der Stellen mit Signalisierungszugang ist groß und wächst. Jeder Mobilfunkbetreiber, jeder MVNO und jeder Signalisierungs-Hub, der an das IPX-Netz angeschlossen ist, kann potenziell Abfragen einschleusen. Die Angriffsfläche wächst mit jeder neuen Stelle, die Signalisierungszugang erhält. Der freiwillige Verhaltenskodex der GSMA hat dieses Wachstum nicht eingedämmt.
Die architektonische Antwort
Die Verteidigung gegen Überwachung auf der Signalisierungsebene ist dieselbe Verteidigung, die diese Publikation gegen Zensur auf der Betreiberebene, Einbrüche bei Pflichtplattformen und serverseitiges Tracking dokumentiert hat: außerhalb der Vermittlungsschicht operieren.
Mesh-Netze, die keine SIM-Karte brauchen. Peer-to-Peer-Overlays, die nicht über die Signalisierungsinfrastruktur des Netzbetreibers laufen. Satellitentransport, der das Mobilfunknetz vollständig umgeht. WLAN-gestützte Kommunikation, die nicht mit dem SS7-/Diameter-System interagiert.
Briar kommuniziert über Bluetooth und WLAN ohne Mobilfunkverbindung. Meshtastic baut Mesh-Netze auf LoRa-Funk. Reticulum bietet kryptografische Vernetzung unabhängig von der Betreiberebene. Das Peer-to-Peer-Overlay von URnetwork abstrahiert den Transport vom Netzbetreiber.
Keines dieser Werkzeuge braucht eine SIM-Karte. Keines ist für das Signalisierungsnetz sichtbar. Keines lässt sich über SS7 oder SIMjacker verfolgen, weil sie nicht die Infrastruktur durchqueren, die diese Systeme beobachten.
Die 15.700 vom Citizen Lab dokumentierten Ortungsversuche liefen über die Betreiberebene. Die Transporte, die außerhalb davon arbeiten, waren für jeden einzelnen von ihnen unsichtbar.
Das Vertrauensmodell ist die Schwachstelle
Der Schluss ist struktureller, nicht technischer Natur.
Dass SS7 keine Authentifizierung kennt, ist eine Entwurfsentscheidung der 1970er-Jahre, die fortbesteht, weil die Kosten eines Ersatzes den Anreiz jedes einzelnen Betreibers zum Handeln übersteigen. Die nicht durchgesetzten Sicherheitskontrollen von Diameter sind ein Entwurf der 2000er-Jahre, den die Betreiber nicht umsetzten, weil das Vertrauensmodell bereits stand. Der freiwillige Verhaltenskodex der GSMA ist eine Antwort der 2020er-Jahre, die die Betreiber nicht unterzeichneten, weil die Folgen einer Nichtbefolgung gleich null sind.
Die Geisterbetreiber nutzen ein Vertrauensmodell aus, das seit über einem Jahrzehnt als verwundbar dokumentiert ist, das seit 2018 Gegenstand mehrerer Citizen-Lab-Berichte war, auf das die eigenen Arbeitsgruppen der GSMA hingewiesen haben und das strukturell unverändert bleibt. Die Schwachstelle besteht fort, nicht weil sie unbekannt wäre, sondern weil ihre Behebung von jedem Betreiber im globalen Netz verlangen würde, Authentifizierung auf der Signalisierungsebene durchzusetzen — ein Koordinationsproblem, das kein einzelner Akteur lösen kann und zu dessen Anordnung keine Aufsichtsbehörde die Befugnis hat.
Fünfzehntausendsiebenhundert Ortungsversuche. Keine Benachrichtigung auf dem Telefon irgendeiner Zielperson. Keine Spur in irgendeinem Nachrichtenprotokoll. Keine Verteidigung, die irgendeiner Zielperson durch irgendeine Handlung offenstünde. Die Signalisierungsinfrastruktur, die jedes Mobilfunkgespräch der Welt verbindet, ist die Überwachungsinfrastruktur. Das Vertrauensmodell, das das Netz funktionieren lässt, ist das Vertrauensmodell, das die Überwachung funktionieren lässt.
Die Architektur, die außerhalb dieses Vertrauensmodells arbeitet, ist die Architektur, die nicht in der Angriffsfläche liegt.
URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport. Das URnetwork-Overlay läuft nicht über die SS7- oder Diameter-Signalisierungsinfrastruktur. Es braucht keine SIM-Karte. Es ist für das Signalisierungsnetz, das die Geisterbetreiber ausnutzen, nicht sichtbar.
https://ur.io
Quellen (8 Belege)
Quellen
- Citizen Lab: Bad Connection
- TechCrunch: Surveillance vendors caught abusing access to telcos
- Haaretz: Ghost Operators
- Commsrisk: Investigation Shows Telcos Enable Spying
- CyberScoop: Surveillance campaigns exploit telecom vulnerabilities
- NPR: DHS says ICE has no relationship with Paragon
- NPR: What we know about US government spyware
- GBlock: Surveillance vendors tracking phones through carrier networks