SS7-Lücke im mTAN-Verfahren: Hacker plündern Bankkonten von O2-Kunden

Das unheilvolle Rezept ist nicht unbedingt kompliziert, funktioniert aber trotzdem zuverlässig: Per Phishing-Mails Informationen abgreifen, eine lange bekannte Sicherheitslücke im UMTS-Netz ausnutzen und am Ende viel Geld stehlen. Nach diesem Muster sind Kriminelle vorgegangen und haben auch in Deutschland viele Bankkunden geplündert. Betroffen waren dabei Kunden des Münchener Providers O2, die SS7-Sicherheitslücke könnte aber auch in anderen Netzen noch existieren oder erst kürzlich geschlossen worden sein.

Gegenüber der Süddeutschen Zeitung, die den Fall aufgedeckt hat, berichteten mehrere Personen von solchen erfolgreichen Angriffen. Dabei wurde Geld von Bankkunden auf andere Konten umgeleitet. Um welche Summen es geht, ist nicht bekannt. Der Provider O2 Telefonica hat die Vorfälle gegenüber der Zeitung bestätigt. Das ist besonders bitter, da die Netzbetreiber die SS7-Lücke in ihren Netzen spätestens seit Ende 2014 kennen und offenbar jetzt erst flächendeckend geschlossen haben.

Die Banken sind bereits alarmiert. Sie hatten sich auf die Sicherheit des mTAN-Verfahrens verlassen, was sich nun als Fehler herausstellt. Andere Systeme, die etwa für das Online-Banking einen kleinen TAN-Generator nutzen, der physisch mit der EC-Karte zusammen gebracht werden muss, um eine Transaktionsnummer zu erzeugen, sind sicherer als die Auslagerung auf das Handy.

Erst Daten per Phishing abgreifen, dann SMS umleiten

Um einen Angriff auf ein Bankkonto starten zu können, brauchen die Angreifer allerdings alle Daten, die für eine Überweisung notwendig sind, als Kontonummer, Passwort und die Handynummer des Online-Banking-Nutzers. Diese sammeln Betrüger mit Phishing-Mails, die teils auf den ersten Blick kaum von echten Mails einer Bank zu unterscheiden sind und den Nutzer auf eine gefälschte Website führen.

Dann kommt SS7 ins Spiel. Die Abkürzung steht für Signalling System #7. Über diese Sub-Netz-Ebene tauschen sich Mobilfunkunternehmen weltweit aus, schicken Nachrichten und Anrufer in fremde Netze und übergeben Telefonate von einer Zelle in die nächste. Während man noch vor einigen Jahren davon ausging, dass es in diesem Bereich, der auch die Handyortung ermöglicht, keine Angriffe gibt, kann man mittlerweile bei dubiosen Händlern Zugänge für knapp 1.000 Euro kaufen. Damit ist dem Unheil Tür und Tor geöffnet. Die Angreifer richten für die erbeutete Handynummer eine SMS-Umleitung ein, fangen die Nachricht mit der mTAN so ab und können Überweisungen tätigen.

So eine Umleitung ist mittlerweile bei O2 nicht mehr möglich, allerdings tatsächlich erst seit kurzer Zeit. Der Provider sagte gegenüber der Zeitung: 

"Ein krimineller Angriff aus dem Netz eines ausländischen Providers hat Mitte Januar dazu geführt, dass eingehende SMS für vereinzelte Rufnummern in Deutschland unbefugt umgeleitet wurden."

Man habe die Polizei informiert und den Provider nun gesperrt. Der Schutzmechanismus gegen die Rufumleitung: Solche Einstellungen können nur noch von Vodafone, Telekom und O2 selbst für die eigenen Kunden vorgenommen werden, nicht mehr von Providern für Nutzer außerhalb des eigenen Netzes.

"Es ist enttäuschend"

Karsten Nohl, Kryptospezialist bei Security Research Labs in Berlin, der die Sicherheitslücke 2014 entdeckt hatte, zeigt sich vom Vorgehen der Netzbetreiber wenig begeistert: "Die ganze Industrie will dieses Problem lösen. Aber es ist enttäuschend, dass es so viele Jahre gedauert hat und erst ein finanzieller Schaden entstehen musste, bevor etwas unternommen wurde."

Quelle: Süddeutsche Zeitung