IMSI-Catcher

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

IMSI-Catcher sind Geräte, mit denen die auf der Mobilfunk-Karte eines Mobiltelefons gespeicherte International Mobile Subscriber Identity (IMSI) ausgelesen und der Standort eines Mobiltelefons innerhalb einer Funkzelle eingegrenzt werden kann.[1] Auch das Mithören von Mobilfunk-Telefonaten ist möglich.[2]

Das Gerät arbeitet dazu gegenüber dem Mobiltelefon wie eine Funkzelle (Basisstation) und gegenüber dem Netzwerk wie ein Mobiltelefon; alle Mobiltelefone in einem gewissen Umkreis buchen sich bei dieser Funkzelle mit dem stärksten Signal, also dem IMSI-Catcher, ein. Der IMSI-Catcher simuliert also ein Mobilfunknetzwerk.

Dabei werden allerdings auch Daten Unbeteiligter im Funknetzbereich des IMSI-Catchers erfasst, ohne dass diese es erfahren. Der IMSI-Catcher legt darüber hinaus unter Umständen den gesamten Mobilfunkverkehr der betroffenen Mobiltelefone lahm, sodass auch Notrufe nicht möglich sind.

IMSI-Catcher werden hauptsächlich zur Bestimmung des Standortes und zum Erstellen eines Bewegungsprofils von Personen benutzt. Eingesetzt werden IMSI-Catcher von Strafverfolgungsbehörden und Nachrichtendiensten, aber beispielsweise auch durch die Polizei wie jene im Kanton Zürich (Kantonspolizei Zürich).[3]

Funktionsweise[Bearbeiten]

Der Catcher simuliert eine bestimmte Mobilfunkzelle des Netzbetreibers. Der Catcher steigt in der Kanal-Nachbarschaftsliste des Mobiltelefons als Serving-Cell auf. Der IMSI-Catcher strahlt eine veränderte Location Area Identity aus und veranlasst somit die Mobiltelefone dazu, Kontakt zum (simulierten) Mobilfunk-Netz aufzubauen („Location Update“-Prozedur). Der Catcher fordert daraufhin einen „Identity Request“-Befehl an. Das Mobiltelefon antwortet mit einem Identity Response, welcher IMSI oder TMSI (temporary IMSI) sowie IMEI enthalten kann. Die erhaltenen Daten müssen dann mit vorhandenen Datenbeständen verglichen werden.

Der gesamte Vorgang wird dadurch ermöglicht, dass ein Mobiltelefon sich zwar gegenüber dem Mobilfunknetz authentifiziert, nicht aber das Mobilfunknetz sich gegenüber dem Mobiltelefon. Nachdem der Catcher als Basisstation das Mobiltelefon übernommen hat, bringt er das Mobiltelefon über einen dafür vorgesehenen Signalisierungsweg im GSM-Protokoll in den unverschlüsselten Übertragungsmodus. Somit wird ein über den Catcher geführtes Gespräch abhörbar. Um das abgehörte Gespräch weiterzuleiten (Man-In-The-Middle-Angriff), muss sich der IMSI-Catcher gegenüber dem Mobilfunknetz als Mobiltelefon ausgeben. Dabei kann er die unverschlüsselt abgehörten Nachrichten nicht unverschlüsselt weiterleiten, da das Mobilfunkgerät zwar von der Basisstation dazu gebracht werden kann, unverschlüsselt zu senden, diesen Modus aber nicht von sich aus wählen darf. Deshalb benötigt der IMSI-Catcher eine eigene SIM-Karte und leitet die abgehörten Daten als eigenes Gespräch weiter. Anrufe, die von einem abgehörten Mobiltelefon aus getätigt werden, zeigen dem Angerufenen daher auch nicht die Telefonnummer des tatsächlichen Anrufers an, sondern die des IMSI-Catchers, bzw. sie werden nicht angezeigt.

Obwohl die Firmware eines Mobiltelefons den unüblichen Modus der Nicht-Verschlüsselung von Gesprächen dem Benutzer signalisieren könnte, wird darauf verzichtet. Lediglich bei einigen Modellen ist es möglich, Aufschluss zu erlangen, ob das Mobilfunkgerät im verschlüsselten Modus überträgt. Hierzu muss ein interner Netzwerkmonitor des Geräts aktiviert werden. Dieser ist jedoch zumeist nicht benutzerfreundlich und erfordert Fachkenntnisse, um die angezeigten Werte richtig zu deuten. Ohnehin ist bei Mobilfunkgesprächen ebenso wie bei Festnetzgesprächen zu beachten: Staatliche Abhörmaßnahmen finden direkt bei der Mobilfunk- / Telefongesellschaft statt und sind aus Gründen, die sich aus der Systematik der Abhörmethode ergeben, nicht am Endgerät feststellbar.

Beispielszenario

Eine Zielperson befindet sich in ihrer Wohnung. Ermittler nähern sich der Zielperson mit einem Fahrzeug, in welchem der Catcher untergebracht ist, und führen je eine Simulation pro Netzbetreiber durch. Nun dürften gerade in einer Großstadt pro Messung und Netz eine Menge an Kennungspaaren „IMSI“ oder „TMSI“, „IMEI“ gefangen werden. Dieser Umstand dürfte es erforderlich machen, mehrere Messungen durchzuführen.

Nun verlässt die Zielperson die Wohnung und fährt z. B. in eine andere Stadt. Die Ermittler verfolgen die Zielperson und führen evtl. schon auf der Fahrt erneut Messungen durch. Durch den Abgleich der ersten Serie an Messungen mit der zweiten oder weiteren Messungsserien kann herausgefunden werden, welche Kennungen gleich sind. Die IMSI und IMEI, welche bei der ersten sowie der zweiten Messungsserie identisch sind, gehören mit hoher Wahrscheinlichkeit zur Zielperson.

Auch wenn die Person die SIM-Karte wechselt, bleibt immer noch die IMEI des Mobiltelefons gleich. Aus diesem Grund sind Kriminelle dazu übergegangen, neben dem Wechsel der SIM-Karte ein anderes Mobiltelefon einzusetzen, also mehrere verschiedene Mobiltelefone mit unterschiedlichen SIM-Karten zu benutzen. Durch Vergleich mit allen gesammelten Daten sind Rückschlüsse auf den Tauschzyklus möglich.

Bei manchen älteren Mobiltelefonen lässt sich über eine besondere Software mit Hilfe eines Datenkabels auch die IMEI abändern. Beim Wechsel der IMEI sollte darauf geachtet werden, eine solche Kennung zu vergeben, wie sie auch in der Praxis von den Herstellern vergeben wird (stimmiger Type Approval Code und stimmiger Ländercode).

BKA und Verfassungsschutz verwenden bereits Geräte, welche Gespräche abhören können (z. B. GA 090).[4] Sie gelten – bei einem Preis von 200.000 bis 300.000 € – auch bereits als Exportschlager.

Weitere Einsatzfelder[Bearbeiten]

Eine vielfach nicht erwähnte und auch unterschätzte Problematik stellt die Besonderheit von IMSI-Catchern dar. Sie können die in ihrem Wirkungsbereich befindlichen Mobiltelefone blockieren,[1] sodass auch ein Notruf an Polizei, Feuerwehr oder Rettungsdienst während eines solchen Einsatzes unmöglich ist.

Gerade damit lässt sich aber auch eine gewollte Kommunikationsunterdrückung im Rahmen von polizeilichen Überwachungs- und Zugriffsmaßnahmen realisieren.

Schutzmaßnahmen[Bearbeiten]

In Großstädten dürfte es nur sehr schwer möglich sein, die IMSI und IMEI eines Mobiltelefonnutzers anhand nur eines Standortes in kurzer Zeit zu ermitteln. Wenn das Mobiltelefon also nur an einem bestimmten Ort eingesetzt wird (z. B. ein Haus mit vielen Parteien) und die Position nicht verändert wird, geht das gesuchte Mobiltelefon in der Menge der anderen unter und ist schwerer zu identifizieren. Darüber hinaus müsste das simulierte Signal des IMSI-Catchers über längere Zeit wesentlich stärker sein, als die Funknetzversorgung des Netzbetreibers. Dies würde zu einer schnellen Enttarnung des IMSI-Catchers führen.

Nachweisbarkeit[Bearbeiten]

Mit Hilfe von spezieller Monitor-Software, die ununterbrochen alle Signale aufzeichnet (z. B. Zellen-ID, Kanal, Location-Area, Empfangspegel, Timing Advance, Mindest-/Maximal-Pegel) kann der Einsatz eines IMSI-Catchers unter Umständen nachvollzogen werden. Da IMSI-Catcher auch von Geheimdiensten eingesetzt werden, ist anzunehmen, dass jene gut getarnt sind. Dies bedeutet, dass eine Netzbetreiberzelle eins zu eins kopiert wird.

Auffällig ist jedoch, dass bei allen Mobiltelefonen eines Netzbetreibers in der Nähe des Catchers zur gleichen Zeit „Kommunikation“ stattfindet. Dies ist beispielsweise durch Monitor-Software feststellbar. Noch auffälliger: Dieses Phänomen wiederholt sich in kurzen Abständen bei allen Netzbetreibern in der Nähe des Catchers. Um dies festzustellen, wären also mindestens zwei Mobiltelefone pro Netzbetreiber nötig, deren Daten per Software laufend ausgewertet werden.

Beispiel eines möglichen Signalisierungsprofils – als // dargestellt – und vier Mobile Network Codes (Netzbetreiber). Für jeden MNC werden 2 Mobiltelefone eingesetzt, daher der Doppelstrich (//). Die Reihenfolge der MNCs ist unerheblich. Ein einfacher Strich (/) ist z. B. ein Periodic Location Update.

t (Zeitachse) -------->
MNC1.......//................/...........
MNC2.........//..........................
MNC3............//.........../...........
MNC4...../.........//....................

Die Treppenstruktur weist auf einen Fremdeingriff durch einen Catcher in das Mobilfunknetz hin.

Ein normales Profil ohne Standortwechsel und eigenen Eingriff ist völlig unstrukturiert:

t (Zeitachse) ----->
MNC1............................/........
MNC2...../............................./.
MNC3................../..................
MNC4........../................../.......

Allerdings ist diesem erkennbaren Muster auf einfachste Art und Weise durch den IMSI-Catcher zu entgegnen, indem ein script pseudo-zufällig für Aktivität zu den einzelnen eingebuchten Teilnehmern sorgt, z.B. durch stille SMS oder RRLP-Abfragen. Dadurch werden die T3212-Timer der einzelnen Teilnehmer dazu gebracht, nicht mehr quasi-synchron zu laufen, die Aktivitätsmuster erscheinen zufälliger, und diese einfache Möglichkeit der Erkennbarkeit wird verhindert.

Da der IMSI-Catcher zwar gegenüber dem Mobiltelefon ein GSM-Netzwerk simulieren kann, jedoch nicht gegenüber dem Netzwerk ein Mobiltelefon, ist ein Scan-Vorgang mit IMSI-Catcher auch recht einfach durch einen Telefonanruf zu enttarnen: Man ruft das fragliche Mobiltelefon an. Wenn es nicht klingelt, wurde die vom „echten“ Netz kommende Signalisierung verschluckt. Ein erfolgreicher terminierter Anruf kann den Einsatz eines „einfachen“ IMSI-Catchers ausschließen (z. B. R&S GA 090). Mittlerweile gibt es jedoch intelligentere IMSI-Catcher, die nur halbaktiv arbeiten. Somit lassen sich auch eingehende Gespräche belauschen. Ein paar Mobiltelefone (z. B. frühere Geräte von SonyEricsson) zeigen jedoch eine deaktivierte Verschlüsselung an ("Ciphering Indication Feature"), was auf den Einsatz eines IMSI-Catchers zurückzuführen sein kann - vorausgesetzt, dass der Netzbetreiber dies nicht über das OFM bit in EF_AD (Operational Feature Monitor LSB in Byte 3 der Elementary File: Administrative Data "6FAD") auf der SIM unterdrückt. Davon unbeeinträchtigt sind jedoch Überwachungsfunktionen, die direkt vom echten Netzwerk vollkommen ohne IMSI-Catcher gesteuert werden.

Rechtsgrundlage[Bearbeiten]

In Deutschland ist der am 14. August 2002 in Kraft getretene § 100i der Strafprozessordnung die Rechtsgrundlage für den Einsatz eines IMSI-Catchers durch Strafverfolgungsbehörden.[1][5] Die Vorschrift dient unter anderem der Fahndung sowie der Begründung von Sachbeweisen. In einem Beschluss vom 22. August 2006[6] bestätigte das Bundesverfassungsgericht die Vereinbarkeit des Einsatzes von IMSI-Catchern zur Strafverfolgung mit dem Grundgesetz. Nach Ansicht der Richter verstößt dieser Einsatz weder gegen Datenschutzbestimmungen noch gegen Grundrechte wie das Fernmeldegeheimnis oder das allgemeine Persönlichkeitsrecht.

In Österreich ist die Verwendung des IMSI-Catchers durch eine Novelle des Sicherheitspolizeigesetz seit 1. Januar 2008 auch ohne richterliche Erlaubnis möglich. Da dies eine enorme Bedrohung der Privatsphäre darstellt, initiierten Die Grünen eine Petition, die eine erneute Prüfung dieser Gesetzesänderung verlangte; jedoch wurde dieser Forderung von den zuständigen Ministerien nicht nachgegangen. Eine parlamentarische Anfrage des Abgeordneten Alexander Zach (Liberales Forum) an den damaligen Innenminister Günther Platter ergab, dass innerhalb der ersten vier Monate, also von Januar bis April 2008 bereits über 3800 Anfragen (32 mal pro Tag) zur Überwachung von Mobiltelefon und Internet erfolgten.[7]

Problematik

Normalerweise werden Telefonüberwachungen über den Betreiber abgewickelt und werden von diesen erst nach richterlicher Genehmigung vorgenommen. IMSI-Catcher kann die Polizei (technisch gesehen) jederzeit einsetzen und somit die richterliche Überprüfung umgehen. Dieses Vorgehen wäre zwar illegal, nachzuweisen ist das jedoch nur schwer. Spätestens bei einer Gerichtsverhandlung wären so unrechtmäßig erhobene Daten jedoch nicht als Beweise zulässig.

Präventiv ist die Nutzung in den jeweiligen Polizeigesetzen im Abschnitt der Datenerhebung geregelt.

Geräte[Bearbeiten]

In Deutschland am weitesten verbreitet ist wohl das „GA 090“ der Firma Rohde & Schwarz. In Österreich befinden sich bereits mehrere Geräte der Firma Rohde & Schwarz im Einsatz, die Anschaffung eines Geräts mit UMTS-Tauglichkeit wurde beschlossen.[8]

Mit einem Aufwand von ca. 1500 Euro ist es möglich, einen IMSI-Catcher selbst zu bauen.[9]

Siehe auch[Bearbeiten]

  • IMEI Seriennummer zur eindeutigen Identifizierung von Mobilfunk-Endgeräten
  • IMSI zur eindeutigen Identifizierung von Netzteilnehmern in GSM- und UMTS-Mobilfunknetzen
  • SIM-Karte zur Identifikation des Nutzers im Mobilfunknetz
  • GSM-ortung
  • Stealth Ping - auch Silent SMS oder Stille SMS zur Ortung von Mobiltelefonen oder zur Erstellung von Bewegungsprofilen
  • Cell-ID ist ein Verfahren der mobilen Positionsbestimmung im GSM-Mobilfunknetz

Weblinks[Bearbeiten]

Einzelnachweise[Bearbeiten]

  1. a b c Leitfaden zum Datenzugriff insbesondere für den Bereich der Telekommunikation. Generalstaatsanwaltschaft München, 2011, abgerufen am 5. Dezember 2011 (PDF; 429 kB).
  2. Stefan Krempl: 26C3: GSM-Hacken leicht gemacht. In: Heise News. Heise Zeitschriften Verlag. Abgerufen am 10. Juli 2013.
  3. Digitale Gesellschaft am 4. März 2014, IMSI-Catcher: Schweigen im Zürcher Überwachungsstaat.
  4. Bericht zu den Maßnahmen nach dem Terrorismusbekämpfungsgesetz. (PDF; 429 kB)
  5. Katz und Maus: Die Hell’s Angels und die Polizei. In: c’t, 11. August 2009
  6. Beschluss 2 BvR 1345/03
  7. Vorlage:Internetquelle/Wartung/Zugriffsdatum nicht im ISO-FormatVorlage:Internetquelle/Wartung/Datum nicht im ISO-FormatHandy- und Internetüberwachung. DER STANDARD, 3. Juli 2008, abgerufen am 21. Januar 2009.
  8. platterwatch.at
  9. Vorlage:Internetquelle/Wartung/Zugriffsdatum nicht im ISO-FormatVorlage:Internetquelle/Wartung/Datum nicht im ISO-FormatVorlage:Internetquelle/Wartung/Archivdatum nicht im ISO-FormatIMSI-Catcher für 1500 Euro im Eigenbau. Heise online, 1. August 2010, archiviert vom Original am 2. August 2010, abgerufen am 2. August 2010.