Hackingangriffe per SMS nehmen zu!

Die SMS ist lange nicht mehr so populär, wie sie mal war; trotzdem nehmen die Hacking- und Pishingangriffe über SMS stetig zu.
Die meisten Mobilfunkkunden nutzen Messengerdienste wie WhatsApp, Signal, Threema, oder Telegram zum Versenden und empfangen von Kurzmitteilungen.

Im Jahr 2012 wurden in Deutschland noch fast 60 Milliarden davon verschickt, 2023 waren es nur noch 5,3 Milliarden, 2024 sank die Zahl knapp unter 5,0 Milliarden, so die Bundesnetzagentur.

Messenger – bestenfalls mit Ende-zu-Ende-Verschlüsselung – haben dem Kommunikationsmittel den Rang abgelaufen. Dennoch sind Handy-Nutzer weiterhin über ihre Telefonnummer per SMS erreichbar.

Das machen sich Kriminelle zu Nutze. Sie verschicken SMS wie: „Hallo, das hier ist jetzt meine neue Nummer. LG dein lieblingskind“ Oder: „Die von Ihnen gekaufte Ware wurde versendet. Bitte überprüfen Sie die Details“ – worauf ein Link folgt. So wollen Betrüger die Betroffenen etwa zur Kontaktaufnahme bringen, ihre Daten abgreifen, oder sie zu Malware-Downloads lotsen.
Die Telekom kündigte kürzlich an, ab 1. April 2025 eine „SMS-Firewall“ gegen solche Betrugsversuche hochzuziehen. Die übrigen Mobilfunkprovider geben auf Anfrage von netzpolitik.org an, bereits technische Maßnahmen zur Bekämpfung von betrügerischen SMS zu nutzen.

Die SMS-Kontrolle der Handy-Provider geschieht weitgehend ohne öffentlichen Aufschrei, während etwa die von der EU geplante Chatkontrolle auf breite Ablehnung stößt. In beiden Fällen geht es um die automatische Kontrolle von Nachrichten und einen potenziellen Eingriff in die Vertraulichkeit von Kommunikation. Eine Infrastruktur, die beispielsweise automatisch Links zu Phishing oder Malware erkennen soll, könnte rein technisch ebenso dafür eingesetzt werden, beliebige andere Links zu filtern.

Mobilfunkanbieter dürfen SMS-Inhalte per Gesetz nicht auslesen und nicht analysieren

SMS sind nicht verschlüsselt, es wäre also für die Provider leicht, die Inhalte zum Beispiel mit Sprachmodellen auf verdächtige Inhalte zu analysieren. Im Rahmen von Strafverfolgung dürfen sie die SMS auch offenlegen, doch außerhalb dessen unterliegen Kurznachrichten dem Fernmeldegeheimnis und sind durch das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz geschützt. Die Mobilfunkanbieter dürfen die SMS-Inhalte also nicht einsehen. Aber wie anders soll eine SMS-Firewall denn potenziell schädliche Inhalte herausfiltern? Wir haben die Provider danach gefragt.

Den deutschen Mobilfunkmarkt teilen sich vier Anbieter, die jeweils zahlreiche Marken mit Netz versorgen.
Laut Statista versorgte im dritten Quartal 2024 Vodafone 83 Millionen aktive SIM-Karten mit Mobilfunknetz, die Telekom 67 Millionen, Telefónica 46 Millionen und 1&1 drei Millionen.

Die SMS-Firewall der Telekom wird sich bei der automatischen Analyse von mutmaßlich betrügerischen SMS erst einmal auf verdächtige Links konzentrieren. Bei iOS-Geräten seien vor allem Links auf Phishing-Seiten problematisch; bei Android-Geräten würden Links in SMS oft zu Malware führen.

SMS-Firewalls sind Folge eines Spyware-Angriffs

Die Maßnahme sei laut Telekom-Sprecher eine Antwort auf FluBot, „seinerzeit die Malware mit dem höchsten Volumen an potenziell schädlichen Kurznachrichten“. Das Spionageprogramm FluBot wurde Mitte 2022 vom Netz genommen, aber war laut Telekom Anlass für die Provider, das Gespräch mit den Aufsichtsbehörden zu suchen. Ziel sei es gewesen, Menschen zu schützen, „die leider mit ihren Credentials, den Privacy-Einstellungen und dem Teilen persönlicher Informationen auf Social Media nicht optimal umgehen.“

Aber woran erkennt die Telekom denn betrügerische Links? „In der täglichen Arbeit unserer Security-Expertinnen und -Experten sammeln wir als Deutsche Telekom sehr viele Erkenntnisse über Strategien, Werkzeuge und Infrastruktur von Kriminellen.“ Wichtig sei dabei vor allem das Wissen über ferngesteuerte Server, die als Verteiler von Malware, Teil eines Botnetzes oder aus der Analyse gemeldeter Schad-E-Mails bekannt sind. SMS mit Links die auf solche Server führen, sortiere die Telekom künftig aus.
Zusätzlich nutze die Telekom Absende- und Empfangsinformationen, sowie Datum und Uhrzeit versendeter SMS, um so Hinweise auf Nachrichten zu finden, die in größeren Volumina oder per Skript verschickt wurden. So könnten Angriffswellen erkannt und entsprechende SMS an der Zustellung gehindert werden.