IMSI-Catcher, No-KYC-eSIM-Anbieter und GrapheneOS: Was Mobilfunk über den Nutzer verrät und warum man 2G ausgeschaltet lassen sollte.
Beim IMSI-Catcher steht der Feind scheinbar draußen vor der Tür. Kriminelle oder die Polizei bauen ein falsches Mobilfunknetz auf. Die Smartphones melden sich an, Standort oder Kennung werden beim IMSI-Catcher geloggt. Die Überwachung des Mobilfunks bleibt aber nicht bei so etwas stehen.
Stille SMS, SS7, Diameter, Roaming-Daten, Providerabfragen, Gerätekennungen, eSIM-Profile, App-Konten und die spätere Auswertung des Telefons greifen nur an anderen Stellen an. Wer alles als IMSI-Catcher verkauft, verkauft falsche Sicherheit.
Ein Pixel mit GrapheneOS kann das Gerät jedoch stark härten. Es macht das Mobilfunknetz jedoch nicht blind. Eine No-KYC-eSIM kann die Verbindung zwischen Ausweis, Rufnummer und Anschluss schwächen. Sie schaltet jedoch keine Funkzelle ab. Eine Data-only-eSIM ohne SMS nimmt der stillen SMS einen Teil ihres Nutzens. Sie verhindert jedoch nicht, dass ein Gerät im Netz auftaucht.
2G muss abgeschaltet werden
Der klassische IMSI-Catcher arbeitet als lokal aufgespannter Mast. Er gibt sich als Funkzelle aus und wartet darauf, dass sich Geräte in der Umgebung mit ihm als stärkstes Signal verbinden. 2G macht es ihm leicht. Der Standard ist alt, schwach und aus heutiger Sicht kaum noch zu verteidigen.
Auf unterstützten Geräten lässt sich 2G deshalb einfach als Netzstandard deaktivieren. Das Gerät sucht dann nicht mehr nach 2G-Netzen und verbindet sich auch nicht mehr damit. Notrufe bleiben logischerweise ausgenommen.
Bei Pixel-Geräten beispielsweise sitzt der Schalter zur Deaktivierung in den jeweiligen SIM-Einstellungen. Wer einen solchen Schalter hat, sollte ihn zum Eigenschutz selbstverständlich nutzen. VoLTE (Voice over LTE) sollte aktiviert und 4G oder 5G bevorzugt werden. SMS und normale Telefonie sollten nicht für sensible Inhalte verwendet werden. Dafür braucht es keine App mit buntem Warnsymbol, damit das jeder normal denkende Mensch versteht und erkennt, dass dies dem persönlichen Datenschutz zuträglich ist.
Neuere Android-Versionen bringen zusätzliche Funktionen für die mobile Netzwerksicherheit mit. Unterstützte Geräte können vor unverschlüsselten Mobilfunk-Verbindungen oder bestimmten Kennungsabfragen warnen. Das hängt jedoch jeweils vom Gerät und dem verbauten Modem ab.
Das Ausschalten von 2G macht das Telefon nicht unsichtbar. Es nimmt falschen Basisstationen aber einen der simpelsten Wege, Daten, die sie gar nichts angehen, gar nicht erst zu erhalten.
Die Stille SMS braucht eine Nummer
Sie hat mehr Mythos als Technikglanz. Das System zeigt die Stille SMS nicht an, das Gerät kann und wird aber darauf reagieren. Es meldet sich im Netz an, wodurch Verkehrsdaten entstehen oder aktualisiert werden. Das ist vor allem dann hilfreich, wenn eine bekannte Rufnummer existiert, die besonders gerne von unseren Behörden bei Ermittlungen verwendet wird.
Genau darin liegt auch der wahre Wert der Nummer. Sie ist in Bankkonten, Messengern, Shops, Lieferdiensten, Behördenformularen und Recovery-Prozessen hinterlegt. Eine Telefonnummer ist schon lange nicht mehr nur ein Kontaktweg, für den sie eigentlich gedacht war. Sie ist ein Griff an die digitale Identität. Die von jedem von uns.
Eine Data-only-eSIM ohne klassische Rufnummer und ohne SMS-Empfang unterbricht diesen Teil einer potenziellen Überwachung. Keine normale SMS. Keine SMS-2FA. Auch Stille SMS an die private Nummer sind nicht möglich. Das bringt schon etwas Sicherheit, aber auch nur an dieser Stelle. Wer daraus einen Tarnumhang macht, verkauft mehr, als die Technik hergibt.
Stille SMS taugen trotzdem nicht als Maßstab für das Tracking. Ein verbundenes Mobilfunkgerät hinterlässt auch ohne SMS Spuren, wenn jemand den passenden Netzzugriff hat. Die Stille SMS ist nur ein Auslöser. Sie ist Auslöser und Momentaufnahme. Das Netz braucht sie nicht zwingend, um ein eingebuchtes Gerät zu erkennen.
SS7 und Diameter laufen am Smartphone vorbei
Diese Protokolle regeln die Signalisierung zwischen Netzbetreibern, Roaming-Partnern und den dazugehörigen Dienstleistern. Über sie kommunizieren die Mobilfunk-Netze miteinander. Das Smartphone zeigt davon aber nichts an.
Detektor-Apps lösen die bei diesen Protokollen entstehenden Probleme nicht. Einige Projekte helfen jedoch bei Forschung und Analyse. Im Alltag prallen sie jedoch genau an der Stelle ab, an der es eigentlich interessant wird. Baseband, Netzsignalisierung und Providerlogik gehören leider zu den am strengsten gehüteten Geheimnissen unserer Mobilfunkanbieter und sind nicht einfach zugänglich.
Nutzer wie wir können einen SS7-Missbrauch praktisch nicht erkennen. Dieser Teil muss durch Netzbetreiber, Signaling-Firewalls und die staatliche Regulierung abgesichert werden. Auch 4G löst das Problem nicht. Hier kommt das Protokoll Diameter ins Spiel, das beispielsweise bei Standortabfragen eigene Schwächen aufweist.
Das Abschalten von 2G hilft gegen lokale Fake-Basisstationen. Es repariert logischerweise aber keine globale Mobilfunk-Signalisierung. Wer über Provider, Roaming oder Interconnect kommt, muss das Smartphone nicht erst knacken. Das Gerät taucht bereits in der Infrastruktur auf.
Normale SIM-Karten verraten ihre Nutzer sofort
Weder No-KYC-eSIMs noch No-KYC-Data-Only-eSIMs lösen das Funkproblem. Sie lösen aber glücklicherweise einen Teil des Identitätsproblems. Bei normalen SIM-Karten hängt der Anschluss oft direkt an einer Person, an einem selbst, einem Freund oder einem lokalen Kioskbetreiber. In Deutschland müssen Anbieter ihre Prepaid-Kunden identifizieren. Für Auskunftsverfahren ergibt sich daraus eine bequeme Kette für Ermittlungen – und natürlich auch die Möglichkeit des Missbrauchs durch Behörden oder Geheimdienste. Die Kette sieht wie folgt aus: Person, Ausweis, Anschluss, Rufnummer, Providerakte.
Eine No-KYC-eSIM schneidet genau dort hinein und erschwert es etwas. Ohne KYC-Prinzip gibt es keinen Ausweis, den man hinterlegen muss. Es gibt keine Rufnummer und auch keine SMS-Funktion. Im Idealfall noch nicht einmal eine Kartenzahlung oder Ähnliches. Online-Dienste wie nadanada, Silent.Link oder AnoSIM werben mit Daten-eSIMs ohne klassische Identifizierung, teils ohne Account und bezahlbar mit Kryptowährungen wie dem Monero.
Das macht ein Gerät beim ISP natürlich nicht unsichtbar. Es verhindert lediglich, dass der Betreiber des Mobilfunks den Anschluss von Beginn an mit einem Namen verknüpfen kann. Dieser Unterschied mag gering erscheinen, kann aber zu einem wichtigen Dreh- und Angelpunkt werden. Der Mobilfunkanbieter kann natürlich weiterhin sehen, dass ein Gerät da ist und im Netz eingebucht ist.
No-KYC endet außerdem nicht beim Anbieterlogo. Wer die eSIM im heimischen WLAN aktiviert, mit einer bekannten IP herumsurft, denselben Browser nutzt oder den QR-Code im Alltagssystem verwaltet, stellt natürlich gleich selbst die nächste Verbindung zu seinen persönlichen Daten her. KYC fehlt dann vielleicht beim Anbieter. Die Zuordnung kann trotzdem über Zahlungsweg, IP-Adresse, Gerät, Browser oder Nutzungsumfeld entstehen und entsprechend ausgewertet und herangezogen werden.
Das Roaming bleibt der Haken
Die meisten dieser eSIMs nutzen Roaming, was Vor- und Nachteile beinhaltet. Eine deutsche SIM-Karte bringt eine harte Identitätsbindung mit sich. Dafür bleibt die technische Seite meistens komplett überschaubar, auch für weniger technisch versierte Nutzer. Eine No-KYC-Reise-eSIM löst die direkte Personenbindung, ist jedoch an eine lange Kette aus eSIM-Anbieter, Plattformanbieter, Heimatnetz, Roaming-Partner und lokalem Mobilfunk-Netz gebunden.
Das kann für einfache Abfragen unbequem sein. Für Akteure mit Zugriff auf Signalisierungsnetze muss es keinen Schutz darstellen. Roaming bedeutet nicht automatisch Privatsphäre. Manchmal verlängert es nur die Lieferkette und erschwert die Zuordnung. No-KYC-Data-Only schützt aber gegen die Rufnummern- und SMS-Logik. Nicht jedoch gegen Funkzellen, Providerdaten oder SS7/Diameter. Diese Daten fallen weiterhin an.
Natürlich verändert sich die Situation, wenn man ein Pixel-Smartphone bar kauft. Es wird interessant, wenn das Gerät nicht direkt an eine Person gebunden ist, beispielsweise durch einen Kauf oder einen Vertrag beim Provider. Ein Google Pixel, das man beispielsweise im Laden gekauft hat. Eine Adresse gibt es nicht mangels Lieferung. Es gibt kein Kundenkonto und keinen Vertrag. Es fehlt auch die Kartenzahlung. Im Onlineprofil ist keine Rechnung zu finden.
LTE-WLAN-Sticks: günstig und nützlich
Auch ein LTE-WLAN-Stick kann in so ein Modell passen. Nicht als Wunderwaffe, sondern als trennbares Wegwerfteil. So ein Stick kostet wenig und lässt sich bar kaufen. Dasselbe gilt für eine SIM-Karte, sofern man sie nicht wieder mit dem eigenen Namen, der eigenen Karte oder dem eigenen Alltag verbindet. Proxystore ist in diesem Zusammenhang kein magischer Privacy-Laden, sondern ein praktisches Beispiel für Hardware und Karten, die nicht über den eigenen Mobilfunkvertrag laufen müssen. Wer dort keine saubere Möglichkeit findet, so etwas getrennt zu kaufen, abzuholen oder liefern zu lassen, braucht diesen Teil des Artikels eigentlich nicht weiterzulesen.
Das Ursprungsproblem bleibt trotzdem bestehen. Auch der Stick hat eine IMEI. Auch die SIM-Karte hat Teilnehmerkennungen. Das Netz erkennt Funkzelle, Zeitpunkt und Datenverbindung. Wer denselben Hotspot immer am selben Ort nutzt, sich mit alten Konten anmeldet oder das Gerät neben dem Alltagshandy betreibt, baut die Zuordnung wieder selbst. Dann war der Stick zwar billig. Die Nutzung verrät am Ende trotzdem genug.
Unbequeme aber sinnvolle Lösungen
Sinnvoll kann so ein Stick trotzdem sein, wenn das Smartphone selbst nicht mit seiner IMEI im Mobilfunknetz auftauchen soll. Dann hängt das Pixel nur im WLAN des Sticks. Bequem ist das nicht, weil man meist noch eine Powerbank mitschleppt. Eine andere Möglichkeit ist ein günstiger Mini-Router mit SIM-Slot, der bar gekauft wird und bereits einen größeren Akku mitbringt.
Läuft darauf GrapheneOS und wird das Gerät nur mit einer No-KYC-Data-Only-eSIM genutzt, fehlen mehrere Möglichkeiten, Daten über eine Person zusammenzuführen. Da hilft auch kein Palantir. Es gibt dabei keine Hauptnummer und kein SMS-2FA. Es fehlt der deutsche Anschlussinhaber. Natürlich darf das kein Vertragshandy sein. Natürlich muss man bei einer sauberen Einrichtung auf ein Google-Konto verzichten. Wie das geht, hatten wir euch letztes Jahr bereits ausführlich beschrieben.
Trotzdem bleibt das Pixel ein Mobilfunkgerät. Es hat eine IMEI. Bei eSIM kommt auch noch eine EID dazu. Diese Kennungen sind nicht automatisch ein Name, aber sie sind technische Anker, auf die man zurückgreifen kann.
Eine neue eSIM macht daraus nicht automatisch ein neues Gerät. Wer mehrere Profile auf demselben Pixel nutzt, wechselt den Anschluss, aber nicht automatisch den technischen Geräteanker. Die IMEI bleibt ein Problem, sobald sie mit einer Person, einem Ort oder einem wiederkehrenden Muster zusammenfällt. Genau deshalb bringt es wenig, eine No-KYC-eSIM sauber zu kaufen und danach alte Konten, alte WLANs oder alte Gewohnheiten weiter zu nutzen.
Der Gewinn liegt nicht darin, dass es keine Kennungen gibt. Der Gewinn liegt darin, dass die Behörden diese Kennungen nicht automatisch mit Namen, Adressen und Verträgen verbinden können.
GrapheneOS hat nur Einfluss auf das eigene Gerät
GrapheneOS repariert kein marodes Mobilfunknetz und macht aus einem Pixel keinen magischen Protokollausbesserer. Sobald das Gerät mit dem Netz verbunden ist, identifiziert es sich gegenüber diesem. Der Flugmodus setzt einen sauberen Schnitt gegen Mobilfunktracking über das Netz. Danach kann WLAN wieder genutzt werden, ohne das Mobilfunkmodem einzuschalten.
Mobilfunk an bedeutet Spur im Mobilfunknetz – auch GrapheneOS ändert daran nichts. Das mobile Betriebssystem GrapheneOS hilft dort, wo es etwas ausrichten kann: auf dem Gerät selbst. Es bietet unter anderem App-Sandboxing, Profile, Berechtigungen, eine gehärtete Speicherverwaltung, Auto-Reboot, weniger unnötige Dienste sowie keine eingebaute Analytics und Telemetrie. Ein sauberes Pixel mit GrapheneOS unterscheidet sich deutlich von einem normalen Android-Gerät mit Google-Hauptkonto, Banking-App, Meta-Kram, Carrier-Diensten und Jahren an digitalem Müll, der sich einfach ansammelt. Also ungefähr dem, was viele Leute dann trotzdem „Privacy-Handy“ nennen.
Die Duress-PIN löscht, statt zu täuschen. GrapheneOS bringt mit der Duress-PIN und dem Duress-Passwort eine Funktion mit, die hier nicht fehlen sollte.
Das ist kein Fake-Profil. Es gibt keine zweite Oberfläche. Es ist keine Geschichte für die Kontrolle am Grenzübergang. Gibt man den festgelegten Duress-Code dort ein, wo das System nach den Geräte-Zugangsdaten fragt, startet ein Wipe. Das Gerät löscht sich. Installierte eSIMs verschwinden dann natürlich ebenfalls.
Eine Duress-PIN für mehr Sicherheit
Der Duress-PIN schützt nicht vor Funkzellen, ohne die der Mobilfunk schlichtweg nicht funktionieren würde. Er schützt das Gerät als Datenquelle. Wenn ein Telefon in fremde Hände gerät, geht es nicht mehr um Metadaten. Dann sind Chats, Dateien, App-Daten, Profile, Messenger, Kontakte und eSIM-Profile betroffen. Genau dort setzt diese wichtige Funktion an.
Es ist auch kein Komfortfeature, sondern für uns als Autoren essenziell. Ein verlorenes oder gestohlenes Gerät kann natürlich auch stark auffallen. Je nach Land und Lage kann das neue Probleme schaffen. In Großbritannien ist man damit per se erst einmal verdächtig, aber nicht so verdächtig, dass man nicht einreisen darf – es sei denn, man steht auf einer Terrorliste, was ich bei keinem von uns denke. Wer den Code aus Versehen verwechselt, löscht seine eigenen Daten. Duress ist ein Notausgang mit kurzer Zündschnur und kein magischer Helfer für die Kontrolle am Flughafen. So streng die TSA in den USA unter Umständen auch ist. Letztes Jahr im Dezember gab es keinerlei Probleme, mit dem Pixel samt aufgespieltem Graphene OS einzureisen.
Mobilfunk: Die Ortung öffnet kein Telefon
Bei einem Behördenzugriff vermischen viele Menschen zwei verschiedene Ebenen. Behörden können ein Gerät mit richterlicher Anordnung lokalisieren, ohne auf dessen Inhalt zugreifen zu können.
Die Mobilfunkortung beantwortet die Frage, wo sich ein Gerät ungefähr befand. Die Geräteforensik hingegen beantwortet die Frage, welche Daten auf diesem Gerät vorhanden sind. In Deutschland erlaubt § 100i StPO unter bestimmten Voraussetzungen technische Maßnahmen zur Ermittlung von Geräte- und Kartennummern sowie des Standorts eines Mobilfunkendgeräts.
Ein aktuelles Pixel-Smartphone mit GrapheneOS, starker Passphrase, Auto-Reboot, getrennten Profilen und sauber genutzten Sperrzuständen macht eine Auswertung des Geräts nahezu unmöglich. Es ist nach aktuellem Stand der Technik und Entwicklung deutlich sicherer als ein Standard-Android mit kurzer PIN und voller Cloud-Anbindung. Die Details dazu gehören nicht noch einmal komplett in diesen Artikel. Dafür gibt es bereits unseren GrapheneOS-Test.
Hier reicht der klassische simple Punkt: Eine Mobilfunkortung verschafft keinen Zugriff auf die Daten vom Telefon. Sie sagt etwas über ein Gerät im Netz aus. Nicht automatisch über die Inhalte auf diesem Gerät.
Die Aussage „Die Behörden haben nichts“ wäre trotzdem falsch. Sie können Funkzellendaten haben. Providerdaten. IP-Zeitpunkte. Kamerabilder. Zahlungsdaten. App-Konten. Daten von Kommunikationspartnern oder, wie wir bereits erwähnt haben, illegal von Databrokern besorgt sowie Bewegungsmuster. Was sie nicht haben, sind die Inhalte eines sauber gesperrten und gehärteten Smartphones.
Aus der Ortung wird nicht automatisch ein offenes Telefon
Hinzu kommt die andere Seite der Kommunikation. Ein sauber gesperrtes Pixel hilft wenig, wenn Chats in Cloud-Backups gespeichert sind, die Infrastruktur auf der anderen Seite beschlagnahmt wird oder App-Konten selbst genug Daten liefern. Gerätehärtung schützt den lokalen Bestand. Sie räumt jedoch nicht automatisch alles weg, was vorher bei Diensten, Kontakten oder Backups gelandet ist.
Die Nutzung verrät mehr als der Kauf. Ein anonymer Kauf hilft nur am Anfang. Danach entscheidet man selbst, insbesondere darüber, wie man das Gerät benutzen möchte. Wer sich mit dem privaten Google-Konto anmeldet, dieselbe E-Mail-Adresse nutzt, die echte Telefonnummer in den Messenger eingibt, Banking-Apps installiert, zu Hause ins WLAN geht oder das Gerät ständig neben dem Alltagshandy trägt, verschenkt die teuer erkaufte Sicherheit wieder. Dafür braucht es keine große Funktechnik. Die klassischen Muster reichen aus.
Noch einfacher wird es, wenn die private Haupt-SIM und die angeblich getrennte eSIM im selben Gerät landen. Dann liegen zwei Welten nebeneinander, die man eigentlich trennen wollte. Das gilt auch, wenn eine davon nur zeitweise aktiv ist. Wer eine Trennung möchte, sollte nicht beide Identitäten im selben Telefon speichern und sich anschließend wundern, warum aus zwei Spuren wieder eine wird.
Anonymität erreicht man nur mit mehreren Schritten
Der Mobilfunk ist dabei nur ein Teil der Geschichte. WLANs, Bluetooth-Geräte, Standortdienste, App-Logins und Push-Dienste – besonders Google-Push – können das Bild weiter verdichten. Wer das Gerät zu Hause ins WLAN hängt, regelmäßig dieselben Orte anläuft oder es neben dem Alltagshandy trägt, dann brauchen die Behörden keine stille SMS mehr. Dann liefern ihnen die Gewohnheiten den kausalen Zusammenhang.
Dann ist beim eSIM-Anbieter vielleicht kein Name eingetragen. Trotzdem deuten Orte, Zeiten, Logins, WLANs, Kontakte und Gewohnheiten auf einen selbst hin. Der Anschluss startet ohne Namensschild. Die Nutzung hängt es später wieder dran.
Unbequem ist nicht die Technik, unbequem ist die Trennung. Ohne sie bleibt wenig übrig. Ein anonym gekaufter Anfang hilft nicht viel, wenn das Gerät danach wieder ins eigene Leben zurückwandert.
Es gibt keinen Schutz ohne eine getrennte Nutzung
Wer so ein Gerät ernst nimmt, nutzt es nicht wie ein zweites Alltagshandy. Es gibt keine Hauptnummer. Keine SMS-2FA. Und natürlich auch keine Rufnummer als Recovery-Anker. Kein privates Google-Profil. Keine unnötigen App-Konten. Keine dauerhafte Kopplung mit dem normalen Telefon.
GrapheneOS, 2G aus, starke Passphrase, getrennte Profile, Auto-Reboot, Duress-PIN und eine No-KYC-Data-Only-eSIM können zusammen sinnvoll sein. Aber nur, wenn die Nutzung und der Aufenthaltsort des Gerätes nichts verrät. Sonst bleibt am Ende ein gut vorbereitetes Gerät, das sich durch den Alltag im Mobilfunknetz wieder sauber zuordnen lässt.
