--- id: CP-083 slug: imsi-catcher-falsche-mobilfunkzelle lang: de title: "IMSI-Catcher: die falsche Mobilfunkzelle" description: Eine falsche Mobilfunk-Basisstation kann sich zwischen Ihr Telefon und das Netz schalten. Was die Quellen zu diesem Risiko sagen und was Sie tun können. canonical_url: https://startbrain.io/cyberpedia/de/articles/imsi-catcher-falsche-mobilfunkzelle/ markdown_url: https://startbrain.io/cyberpedia/de/articles/imsi-catcher-falsche-mobilfunkzelle.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „IMSI-Catcher: die falsche Mobilfunkzelle“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/imsi-catcher-falsche-mobilfunkzelle/ (CC BY 4.0)" wing: 1 theme: secure_devices reflex: cr-050 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/imsi-catcher-falsche-mobilfunkzelle/ fr: https://startbrain.io/cyberpedia/fr/articles/imsi-catcher-fausse-antenne-relais/ en: https://startbrain.io/cyberpedia/en/articles/imsi-catcher-fake-cell-tower/ es: https://startbrain.io/cyberpedia/es/articles/imsi-catcher-falsa-antena-telefonia/ sources: - "n": 1 title: Adversary-in-the-Middle, Technique T1638 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1638/ accessed: "2026-11-03" - "n": 2 title: System Network Configuration Discovery, Technique T1422 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1422/ accessed: "2026-11-03" - "n": 3 title: Location Tracking, Technique T1430 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1430/ accessed: "2026-11-03" - "n": 4 title: SP 800-187, Guide to LTE Security | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/187/final published: "2017-12-21" accessed: "2026-11-03" - "n": 5 title: Call Control, Technique T1616 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1616/ accessed: "2026-11-03" - "n": 6 title: Mobile Communications Best Practice Guidance | CISA publisher: CISA url: https://www.cisa.gov/resources-tools/resources/mobile-communications-best-practice-guidance accessed: "2026-11-03" --- # IMSI-Catcher: die falsche Mobilfunkzelle Dieser Beitrag behandelt die falsche Mobilfunk-Basisstation, oft IMSI-Catcher genannt. Die Quellen des Dossiers verwenden diesen Begriff nicht. MITRE ATT&CK ordnet der Familie „Adversary-in-the-Middle“ einen Angreifer zu, der sich zwischen zwei vernetzte Geräte schaltet, und nennt unter seinen Mitteln außerhalb des Telefons eine „rogue base station“, also eine unbefugt betriebene Basisstation, oder einen unbefugt betriebenen WLAN-Zugangspunkt [1]. Für Beschäftigte liegt das Risiko darin: Der Datenverkehr wird abgegriffen, nachdem er das Telefon verlassen hat, auf dem Weg zu seinem Ziel [1]. Dieser Beitrag beschränkt sich auf das, was die Quellen des Dossiers belegen. Sie beschreiben das allgemeine Prinzip und die Schutzmaßnahmen, nicht die Einzelheiten jeder Geräte-Variante. ## In 30 Sekunden - Wo es passiert: in Reichweite einer falschen Basisstation, eines Geräts, das den Datenverkehr eines Telefons abgreifen kann, nachdem er das Gerät verlassen hat [1]. - Was der Angreifer will: sich zwischen das Telefon und sein Ziel schalten, um den Datenverkehr mitzuschneiden oder den Standort zu verfolgen [1][3]. - Der Reflex: Anwendungen bevorzugen, die ihren Datenverkehr verschlüsseln, was manche Formen des Abfangens ausschließen kann, und das System aktuell halten, was es erschwert, eine Anwendung als VPN-Anbieter zu registrieren [1]. Diese beiden Maßnahmen schützen nicht sicher vor einer falschen Basisstation. - Wenn Sie besonders gefährdet sind: Die CISA fordert „highly targeted“ Personen auf, die bewährten Verfahren ihres Leitfadens unverzüglich anzuwenden [6]. ## Direkte Fragen ### Was ist ein IMSI-Catcher? Die Quellen des Dossiers verwenden dieses Wort nicht. Sie sprechen von einer „rogue base station“, einer unbefugt betriebenen Basisstation [1]. MITRE beschreibt die zugehörige Angriffsfamilie: Ein Angreifer schaltet sich zwischen vernetzte Geräte, um übertragene Daten zu manipulieren oder ein Endgerät zu stören [1]. Die Quellen des Dossiers definieren die IMSI nicht, zeigen aber, dass sie für Spionagesoftware interessant ist: Die MITRE-Seite zur Erkundung der Netzwerkkonfiguration nennt Telefoniekennungen wie IMSI, IMEI und Telefonnummer [2]. ### Verbindet sich mein Telefon mit jeder beliebigen Antenne? Die Quellen des Dossiers beschreiben nicht, wie sich ein Telefon mit einer Antenne verbindet. Sie erläutern daher weder die erzwungene Umschaltung auf 2G noch die Authentifizierung zwischen Telefon und Netz. Der Leitfaden NIST SP 800-187 behandelt die Sicherheit des LTE-Netzes (4G) und die Analyse der Bedrohungen, die es betreffen [4]. Der Text der Seite erlaubt hier keine weiteren Aussagen. ### Liest eine falsche Basisstation meine Nachrichten mit? Das hängt davon ab, ob Anwendungen ihren Netzwerkverkehr verschlüsseln. MITRE schreibt, dass sensible Daten für den Angreifer unzugänglich bleiben können, wenn Anwendungen ihren Datenverkehr korrekt verschlüsseln, je nachdem, wo der Verkehr abgegriffen wird [1]. Die Seite nennt zwei Mechanismen: Application Transport Security bei Apple und Network Security Configuration unter Android [1]. ### Kann man mit einem solchen Werkzeug geortet werden? Die Ortung gehört zu den Zielen eines Angreifers auf Mobilgeräten. MITRE beschreibt vor allem die Verfolgung durch schädliche Anwendungen, die Standortberechtigungen erhalten [3]. Eine Unterechnik dieser Seite heißt „Impersonate SS7 Nodes“: Der Angreifer gibt sich als Knoten des Signalisierungsnetzes SS7 aus. Die Seite führt sie im abgerufenen Text nicht näher aus [3]. ## In der Haut des Angreifers Der Angreifer sucht eine Position als Mittelsmann. Nach MITRE dient diese Position späteren Aktionen, etwa der Manipulation übertragener Daten oder einem Denial-of-Service gegen ein Endgerät [1]. Eine falsche Mobilfunk-Basisstation erreicht sie außerhalb des Telefons, so die Beschreibung von MITRE [1]. Die Kennung der SIM-Karte ist für ihn wertvoll. Mobile Schadprogramme (FakeSpy, SpyDealer, XLoader für Android) und die Gruppe APT-C-23 gehören zu den Beispielen, die MITRE für das Erfassen dieser Kennungen aufführt [2]. Diese Fälle betreffen Anwendungen, die auf dem Telefon installiert sind, nicht eine falsche Basisstation. Auch der Standort interessiert den Angreifer. MITRE nennt den Fall FrozenCell, der einen Online-Dienst zur Geolokalisierung über Mobilfunkzellen nutzte, um seine Ziele zu verfolgen [3]. Auch hier beschreibt die Seite die Nutzung eines Online-Dienstes, nicht eine falsche Basisstation. ## Was Sie auf dem Bildschirm sehen Die Quellen des Dossiers beschreiben kein sichtbares Anzeichen, das für eine falsche Basisstation typisch wäre. Sie erwähnen weder einen Wechsel des Netzes auf 2G noch einen sich leerenden Akku noch verlorene Anrufe oder SMS. Keines dieser Symptome lässt sich daher als gesicherter Hinweis darstellen. Bei Anrufen gibt es dennoch einen Punkt, auf den man achten sollte, ohne belegten Zusammenhang mit einer falschen Basisstation. MITRE beschreibt für Android-Anwendungen einen Angreifer, der ohne Zustimmung der Nutzerin oder des Nutzers Anrufe tätigen, weiterleiten oder blockieren kann, zum Beispiel um mitzuhören oder um die Anrufe des Besitzers umzuleiten [5]. ## Unter der Haube Der MITRE-Text zum Abgreifen von Datenverkehr unterscheidet zwei Situationen. In der ersten gibt sich eine schädliche Anwendung als VPN-Client aus, um den Datenverkehr des Geräts auf Ressourcen des Angreifers umzuleiten. Das erfordert unter Android und iOS die Zustimmung der Nutzerin oder des Nutzers und unter iOS eine Sondergenehmigung von Apple [1]. In der zweiten handelt der Angreifer außerhalb des Telefons, mit einer unbefugt betriebenen Basisstation oder einem WLAN-Zugangspunkt, und greift den Datenverkehr unterwegs ab [1]. In einem lokalen Netz gibt es weitere Methoden, etwa ARP-Cache-Poisoning oder DHCP-Spoofing [1]. Bei den Kennungen hat Android den Zugriff verschärft. Seit Android 10 können nur vorinstallierte Anwendungen, Anwendungen des Netzbetreibers, die Standard-SMS-Anwendung sowie Anwendungen von Geräte- oder Profilbesitzern die Telefoniekennungen lesen, darunter die IMSI [2]. Unter iOS ist das Erfassen von Informationen zur Netzwerkkonfiguration ohne Root-Zugriff nicht möglich [2]. Die von MITRE aufgeführten Schutzmaßnahmen gegen das Abfangen sind von zwei Arten: den Netzwerkverkehr verschlüsseln und eine aktuelle Version des Systems verwenden, da neuere Versionen die Registrierung einer Anwendung als VPN-Anbieter erschweren [1]. ## Fallanalysen Die Quellen des Dossiers berichten von keinem datierten und zugeordneten IMSI-Catcher-Vorfall. Zwei datierte Dokumente dienen als Anhaltspunkte. ### Dezember 2017: der NIST-Leitfaden zur LTE-Sicherheit Das NIST veröffentlichte im Dezember 2017 die endgültige Fassung von SP 800-187, „Guide to LTE Security“ [4]. Das Dokument stellt die Funktionsweise von LTE-Netzen und ihre Sicherheitsarchitektur dar. Anschließend analysiert es die Bedrohungen und die Gegenmaßnahmen [4]. Die Seite sagt nicht, dass dieser Leitfaden falsche Basisstationen behandelt. ### März 2026: der CISA-Leitfaden zur mobilen Kommunikation Die CISA überarbeitete am 13. März 2026 ihren Leitfaden mit bewährten Verfahren für die mobile Kommunikation [6]. Er reagiert auf Spionageaktivitäten staatlich verbundener Akteure, insbesondere von Akteuren mit Verbindung zur chinesischen Regierung, die kommerzielle Telekommunikationsinfrastruktur ins Visier nehmen [6]. Er richtet sich an „highly targeted“ Personen, etwa hochrangige Vertreter aus Regierung, Militär oder Politik [6]. Die CISA fordert diese Personen auf, die bewährten Verfahren des Leitfadens unverzüglich anzuwenden [6]. Die Seite nennt keine falschen Basisstationen. ## Die Maßnahmen, auf die es ankommt Die Quellen des Dossiers stützen drei Maßnahmen. Erstens: das System aktualisieren, weil neuere Versionen die Registrierung einer Anwendung als VPN-Anbieter erschweren [1] und unter Android den Zugriff auf Telefoniekennungen einschränken [2]. Zweitens: Anwendungen bevorzugen, die ihren Datenverkehr verschlüsseln, was manche Formen des Abfangens ausschließen kann [1]. Drittens: Wenn Ihre Stelle Sie exponiert, den CISA-Leitfaden lesen und anwenden [6]. Das Abschalten von 2G ist kein Rat, den die Quellen des Dossiers zu geben erlauben. ## Quellen 1. MITRE ATT&CK, „Adversary-in-the-Middle, Technique T1638 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1638/ (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „System Network Configuration Discovery, Technique T1422 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1422/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Location Tracking, Technique T1430 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1430/ (abgerufen am 3. November 2026) 4. NIST, „SP 800-187, Guide to LTE Security | CSRC“, 21. Dezember 2017. https://csrc.nist.gov/pubs/sp/800/187/final (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Call Control, Technique T1616 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1616/ (abgerufen am 3. November 2026) 6. CISA, „Mobile Communications Best Practice Guidance | CISA“. https://www.cisa.gov/resources-tools/resources/mobile-communications-best-practice-guidance (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/imsi-catcher-falsche-mobilfunkzelle/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.