Cyberpediavon Brain
DEENFR

IMSI-Catcher: die falsche Mobilfunkzelle

Eine falsche Mobilfunk-Basisstation kann sich zwischen Ihr Telefon und das Netz schalten. Was die Quellen zu diesem Risiko sagen und was Sie tun können.

In 30 Sekunden

Wo es passiert
In Reichweite einer falschen Basisstation, eines Geräts, das den Datenverkehr eines Telefons abgreifen kann, nachdem er das Gerät verlassen hat1.
Was der Angreifer will
Sich zwischen das Telefon und sein Ziel schalten, um den Datenverkehr mitzuschneiden oder den Standort zu verfolgen13.
Der Reflex
Anwendungen bevorzugen, die ihren Datenverkehr verschlüsseln, was manche Formen des Abfangens ausschließen kann, und das System aktuell halten, was es erschwert, eine Anwendung als VPN-Anbieter zu registrieren1. Diese beiden Maßnahmen schützen nicht sicher vor einer falschen Basisstation.
Wenn Sie besonders gefährdet sind
Die CISA fordert „highly targeted“ Personen auf, die bewährten Verfahren ihres Leitfadens unverzüglich anzuwenden6.

Worum es geht

Dieser Beitrag behandelt die falsche Mobilfunk-Basisstation, oft IMSI-Catcher genannt. Die Quellen des Dossiers verwenden diesen Begriff nicht. MITRE ATT&CK ordnet der Familie „Adversary-in-the-Middle“ einen Angreifer zu, der sich zwischen zwei vernetzte Geräte schaltet, und nennt unter seinen Mitteln außerhalb des Telefons eine „rogue base station“, also eine unbefugt betriebene Basisstation, oder einen unbefugt betriebenen WLAN-Zugangspunkt1.

Für Beschäftigte liegt das Risiko darin: Der Datenverkehr wird abgegriffen, nachdem er das Telefon verlassen hat, auf dem Weg zu seinem Ziel1. Dieser Beitrag beschränkt sich auf das, was die Quellen des Dossiers belegen. Sie beschreiben das allgemeine Prinzip und die Schutzmaßnahmen, nicht die Einzelheiten jeder Geräte-Variante.

Direkte Fragen

Was ist ein IMSI-Catcher?

Die Quellen des Dossiers verwenden dieses Wort nicht. Sie sprechen von einer „rogue base station“, einer unbefugt betriebenen Basisstation1. MITRE beschreibt die zugehörige Angriffsfamilie: Ein Angreifer schaltet sich zwischen vernetzte Geräte, um übertragene Daten zu manipulieren oder ein Endgerät zu stören1. Die Quellen des Dossiers definieren die IMSI nicht, zeigen aber, dass sie für Spionagesoftware interessant ist: Die MITRE-Seite zur Erkundung der Netzwerkkonfiguration nennt Telefoniekennungen wie IMSI, IMEI und Telefonnummer2.

Verbindet sich mein Telefon mit jeder beliebigen Antenne?

Die Quellen des Dossiers beschreiben nicht, wie sich ein Telefon mit einer Antenne verbindet. Sie erläutern daher weder die erzwungene Umschaltung auf 2G noch die Authentifizierung zwischen Telefon und Netz. Der Leitfaden NIST SP 800-187 behandelt die Sicherheit des LTE-Netzes (4G) und die Analyse der Bedrohungen, die es betreffen4. Der Text der Seite erlaubt hier keine weiteren Aussagen.

Liest eine falsche Basisstation meine Nachrichten mit?

Das hängt davon ab, ob Anwendungen ihren Netzwerkverkehr verschlüsseln. MITRE schreibt, dass sensible Daten für den Angreifer unzugänglich bleiben können, wenn Anwendungen ihren Datenverkehr korrekt verschlüsseln, je nachdem, wo der Verkehr abgegriffen wird1. Die Seite nennt zwei Mechanismen: Application Transport Security bei Apple und Network Security Configuration unter Android1.

Kann man mit einem solchen Werkzeug geortet werden?

Die Ortung gehört zu den Zielen eines Angreifers auf Mobilgeräten. MITRE beschreibt vor allem die Verfolgung durch schädliche Anwendungen, die Standortberechtigungen erhalten3. Eine Unterechnik dieser Seite heißt „Impersonate SS7 Nodes“: Der Angreifer gibt sich als Knoten des Signalisierungsnetzes SS7 aus. Die Seite führt sie im abgerufenen Text nicht näher aus3.

1In der Haut des Angreifers1 min

Der Angreifer sucht eine Position als Mittelsmann. Nach MITRE dient diese Position späteren Aktionen, etwa der Manipulation übertragener Daten oder einem Denial-of-Service gegen ein Endgerät1. Eine falsche Mobilfunk-Basisstation erreicht sie außerhalb des Telefons, so die Beschreibung von MITRE1.

Die Kennung der SIM-Karte ist für ihn wertvoll. Mobile Schadprogramme (FakeSpy, SpyDealer, XLoader für Android) und die Gruppe APT-C-23 gehören zu den Beispielen, die MITRE für das Erfassen dieser Kennungen aufführt2. Diese Fälle betreffen Anwendungen, die auf dem Telefon installiert sind, nicht eine falsche Basisstation.

Auch der Standort interessiert den Angreifer. MITRE nennt den Fall FrozenCell, der einen Online-Dienst zur Geolokalisierung über Mobilfunkzellen nutzte, um seine Ziele zu verfolgen3. Auch hier beschreibt die Seite die Nutzung eines Online-Dienstes, nicht eine falsche Basisstation.

2Was Sie auf dem Bildschirm sehen1 min

Die Quellen des Dossiers beschreiben kein sichtbares Anzeichen, das für eine falsche Basisstation typisch wäre. Sie erwähnen weder einen Wechsel des Netzes auf 2G noch einen sich leerenden Akku noch verlorene Anrufe oder SMS. Keines dieser Symptome lässt sich daher als gesicherter Hinweis darstellen.

Bei Anrufen gibt es dennoch einen Punkt, auf den man achten sollte, ohne belegten Zusammenhang mit einer falschen Basisstation. MITRE beschreibt für Android-Anwendungen einen Angreifer, der ohne Zustimmung der Nutzerin oder des Nutzers Anrufe tätigen, weiterleiten oder blockieren kann, zum Beispiel um mitzuhören oder um die Anrufe des Besitzers umzuleiten5.

3Unter der HaubeIT-Teams1 min

Der MITRE-Text zum Abgreifen von Datenverkehr unterscheidet zwei Situationen. In der ersten gibt sich eine schädliche Anwendung als VPN-Client aus, um den Datenverkehr des Geräts auf Ressourcen des Angreifers umzuleiten. Das erfordert unter Android und iOS die Zustimmung der Nutzerin oder des Nutzers und unter iOS eine Sondergenehmigung von Apple1. In der zweiten handelt der Angreifer außerhalb des Telefons, mit einer unbefugt betriebenen Basisstation oder einem WLAN-Zugangspunkt, und greift den Datenverkehr unterwegs ab1. In einem lokalen Netz gibt es weitere Methoden, etwa ARP-Cache-Poisoning oder DHCP-Spoofing1.

Bei den Kennungen hat Android den Zugriff verschärft. Seit Android 10 können nur vorinstallierte Anwendungen, Anwendungen des Netzbetreibers, die Standard-SMS-Anwendung sowie Anwendungen von Geräte- oder Profilbesitzern die Telefoniekennungen lesen, darunter die IMSI2. Unter iOS ist das Erfassen von Informationen zur Netzwerkkonfiguration ohne Root-Zugriff nicht möglich2.

Die von MITRE aufgeführten Schutzmaßnahmen gegen das Abfangen sind von zwei Arten: den Netzwerkverkehr verschlüsseln und eine aktuelle Version des Systems verwenden, da neuere Versionen die Registrierung einer Anwendung als VPN-Anbieter erschweren1.

4FallanalysenReale Fälle1 min

Die Quellen des Dossiers berichten von keinem datierten und zugeordneten IMSI-Catcher-Vorfall. Zwei datierte Dokumente dienen als Anhaltspunkte.

Dezember 2017: der NIST-Leitfaden zur LTE-Sicherheit

Das NIST veröffentlichte im Dezember 2017 die endgültige Fassung von SP 800-187, „Guide to LTE Security“4. Das Dokument stellt die Funktionsweise von LTE-Netzen und ihre Sicherheitsarchitektur dar. Anschließend analysiert es die Bedrohungen und die Gegenmaßnahmen4. Die Seite sagt nicht, dass dieser Leitfaden falsche Basisstationen behandelt.

März 2026: der CISA-Leitfaden zur mobilen Kommunikation

Die CISA überarbeitete am 13. März 2026 ihren Leitfaden mit bewährten Verfahren für die mobile Kommunikation6. Er reagiert auf Spionageaktivitäten staatlich verbundener Akteure, insbesondere von Akteuren mit Verbindung zur chinesischen Regierung, die kommerzielle Telekommunikationsinfrastruktur ins Visier nehmen6. Er richtet sich an „highly targeted“ Personen, etwa hochrangige Vertreter aus Regierung, Militär oder Politik6. Die CISA fordert diese Personen auf, die bewährten Verfahren des Leitfadens unverzüglich anzuwenden6. Die Seite nennt keine falschen Basisstationen.

5Die Maßnahmen, auf die es ankommt1 min

Die Quellen des Dossiers stützen drei Maßnahmen. Erstens: das System aktualisieren, weil neuere Versionen die Registrierung einer Anwendung als VPN-Anbieter erschweren1 und unter Android den Zugriff auf Telefoniekennungen einschränken2. Zweitens: Anwendungen bevorzugen, die ihren Datenverkehr verschlüsseln, was manche Formen des Abfangens ausschließen kann1. Drittens: Wenn Ihre Stelle Sie exponiert, den CISA-Leitfaden lesen und anwenden6. Das Abschalten von 2G ist kein Rat, den die Quellen des Dossiers zu geben erlauben.

Merkblatt

Kennung
CP-083
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Geräte absichern (secure_devices)
Brain-Reflex
cr-050
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
6 Quellen geprüft am 3. November 2026
Quellen6 Quellen
  1. MITRE ATT&CK, „Adversary-in-the-Middle, Technique T1638 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1638/ (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „System Network Configuration Discovery, Technique T1422 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1422/ (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Location Tracking, Technique T1430 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1430/ (abgerufen am 3. November 2026)
  4. NIST, „SP 800-187, Guide to LTE Security | CSRC“, 21. Dezember 2017. https://csrc.nist.gov/pubs/sp/800/187/final (abgerufen am 3. November 2026)
  5. MITRE ATT&CK, „Call Control, Technique T1616 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1616/ (abgerufen am 3. November 2026)
  6. CISA, „Mobile Communications Best Practice Guidance | CISA“. https://www.cisa.gov/resources-tools/resources/mobile-communications-best-practice-guidance (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „IMSI-Catcher: die falsche Mobilfunkzelle“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/imsi-catcher-falsche-mobilfunkzelle/

BibTeX 
@misc{brain_cp083_de_2026,
  author = {Brain},
  title = {IMSI-Catcher: die falsche Mobilfunkzelle},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/imsi-catcher-falsche-mobilfunkzelle/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0