Eine interaktive Lernressource über mobile Überwachungstechnologie, Angriffsvektoren und Schutzmaßnahmen.
Ein IMSI Catcher (auch „Stingray" oder „Cell-Site Simulator" genannt) ist ein Gerät, das sich als legitimer Mobilfunkmast ausgibt. Es zwingt Mobiltelefone in der Umgebung, sich mit ihm zu verbinden, anstatt mit dem echten Netz. So kann der Angreifer die IMSIInternational Mobile Subscriber Identity – eine weltweit eindeutige Teilnehmerkennung auf der SIM-Karte. auslesen und in manchen Fällen Kommunikation abhören.
In den meisten Ländern ist der Einsatz von IMSI Catchern durch Privatpersonen illegal. Strafverfolgungsbehörden nutzen sie in vielen Jurisdiktionen mit richterlicher Genehmigung. In Deutschland regelt §100i StPO den Einsatz – hier ist stets ein richterlicher Beschluss erforderlich. Der nicht autorisierte Betrieb ist eine Straftat nach dem Telekommunikationsgesetz.
Ein IMSI-Catcher-Angriff folgt einem typischen mehrstufigen Ablauf. Fahre mit der Maus über die einzelnen Schritte:
Der IMSI Catcher wird in der Zielumgebung platziert und sendet ein Signal aus, das stärker ist als die umliegenden echten Basisstationen. Er imitiert dabei die Kennung (LAC/CID) eines legitimem Mobilfunkmastes.
Der Catcher sendet nur 2G (GSM)-Signale oder zwingt das Gerät, von 4G/5G auf 2G zu wechseln. In 2G fehlt die gegenseitige Authentifizierung – das Telefon kann nicht prüfen, ob der Mast echt ist.
Mobiltelefone in Reichweite verbinden sich automatisch mit dem stärksten Signal. Das Opfer-Telefon authentifiziert sich beim falschen Mast und übermittelt dabei seine IMSI.
Der Catcher liest die IMSI (Teilnehmerkennung) und IMEI (Gerätekennung) aus. Damit lässt sich das Zielgerät eindeutig identifizieren und bei Bedarf über längere Zeit verfolgen.
In fortgeschrittenen Szenarien leitet der Catcher die Verbindung an den echten Mast weiter. So kann er Gespräche und SMS abfangen, ohne dass der Nutzer bemerkt, dass die Verbindung kompromittiert ist.
Der Catcher kann die Verschlüsselung auf A5/0 (keine Verschlüsselung) oder A5/1 (schwach, in Echtzeit knackbar) herabstufen. Gespräche und SMS können im Klartext mitgelesen werden.
Klicke auf die einzelnen Typen, um mehr zu erfahren:
Geringes Risiko
Hört nur den Funkverkehr ab, ohne selbst zu senden. Kann TMSI-Zuweisungen und andere Metadaten erfassen, die im Klartext übertragen werden. Schwerer zu entdecken, da kein eigenes Signal ausgesendet wird. Eingeschränkt in der Menge der erfassbaren Daten.
Hohes Risiko
Simuliert eine echte Basisstation und zwingt Geräte, sich zu verbinden. Kann IMSI, IMEI, Standort und teilweise Kommunikationsinhalte erfassen. Der klassische „Stingray"-Ansatz – weit verbreitet bei Strafverfolgungsbehörden weltweit.
Sehr hohes Risiko
Fortgeschrittene Variante, die als vollständiger Man-in-the-Middle agiert. Leitet Daten transparent an den echten Mast weiter, sodass der Nutzer keinen Verbindungsabbruch bemerkt. Kann auch 4G/LTE-Verbindungen angreifen und ist in der Lage, Inhalte in Echtzeit mitzulesen oder zu modifizieren.
Mittleres Risiko
Nutzt Software Defined Radio (SDR) in Kombination mit Open-Source-Software. Kann mit handelsüblicher Hardware (z.B. HackRF, BladeRF) für unter 1000 € aufgebaut werden. Primär für Sicherheitsforschung und Penetrationstests, aber auch von Angreifern missbrauchbar.
Keine gegenseitige Authentifizierung. Schwache oder keine Verschlüsselung (A5/1, A5/0). Extrem anfällig für IMSI Catcher. Verschlüsselung kann vollständig deaktiviert werden.
Gegenseitige Authentifizierung eingeführt (AKA-Protokoll). Stärkere Verschlüsselung. Trotzdem anfällig durch Downgrade-Zwang auf 2G. IMSI wird initial noch im Klartext gesendet.
Stärkere Kryptografie und gegenseitige Authentifizierung. Dennoch verwundbar: IMSI wird bei bestimmten Prozeduren im Klartext übermittelt. Downgrade-Angriffe auf 2G bleiben möglich.
SUPI (Nachfolger der IMSI) wird mit dem öffentlichen Schlüssel des Netzbetreibers verschlüsselt (SUCI). Gegenseitige Auth ist Pflicht. Deutlich besser geschützt, aber theoretische Angriffsvektoren existieren weiterhin.
Klicke die Buttons, um die einzelnen Phasen eines IMSI-Catcher-Angriffs visuell nachzuvollziehen.