Bei einem SIM-Swap-Angriff übernimmt ein Angreifer die Telefonnummer des Opfers durch einen SIM-Kartentausch oder eine unbefugte Übertragung. Hängen Anmeldung oder Kontowiederherstellung allein vom Empfang einer SMS ab, kann diese Kontrolle den Zugang zum Konto eröffnen. Doch nicht jeder Messenger reagiert gleich: Ein zusätzliches Passwort, autorisierte Geräte, Registrierungssperren und Wiederherstellungsregeln können einen Unterschied machen.
Betrachten Sie die Übernahme der Nummer, die Übernahme des Kontos und das Lesen alter Nachrichten als drei getrennte Ergebnisse. Ohne Kenntnis der Dienstarchitektur darf keines als zwangsläufige Folge eines anderen gelten.
Was beweist ein SMS-Code?
Ein SMS-Code zeigt in der Regel, dass der Anmeldevorgang Zugriff auf die betreffende Nummer hat. Er beweist nicht unbedingt, dass weiterhin dieselbe Person die Nummer kontrolliert. Der FTC-Leitfaden zu SIM Swap erklärt, warum ein Angreifer mit Kontrolle über die Nummer Bestätigungscodes erhalten kann.
Diese Schwäche macht nicht jede Mehrfaktor-Authentifizierung nutzlos. Ein stärkerer Faktor kann, sofern der Dienst ihn unterstützt, die Abhängigkeit vom Telefonnetz verringern. Prüfen Sie auch die Wiederherstellung: Lässt sich die stärkste Anmeldemethode durch eine reine SMS-Wiederherstellung umgehen, bleibt dieser Weg relevant.
Welchen Unterschied macht SRP?
SRP ist ein passwortbasiertes Verfahren zur Schlüsselvereinbarung und Authentifizierung, bei dem das Passwort selbst im normalen Austausch nicht gesendet werden muss. Der Server speichert sogenannte Verifier-Daten. Das unterscheidet sich von einer Anmeldung allein per SMS-Code, aber der Name SRP bestimmt für sich genommen weder die Registrierungs- noch die Wiederherstellungsregeln eines Kontos.
Auch der Verifier darf nicht als harmlos gelten. Der Sicherheitsabschnitt von RFC 5054 erklärt, dass ein gestohlener Verifier einen Wörterbuchangriff zum Erraten des Passworts ermöglichen kann. Passwortstärke, Begrenzung von Anmeldeversuchen, Parameter und korrekte Implementierung bleiben wichtig. Dieser RFC beschreibt ein Beispiel für SRP in TLS, keine Prüfung der Livara-Implementierung.
Sind nach einer Kontoübernahme alle Chats lesbar?
| Situation | Entscheidende Frage |
|---|---|
| Der Angreifer besitzt nur die Nummer | Ist Anmeldung oder Wiederherstellung allein per SMS erlaubt? |
| Der Angreifer hat sich im Konto angemeldet | Erhält ein neues Gerät Zugriff auf bisherige Schlüssel und den Verlauf? |
| Der Angreifer sendet eine neue Nachricht | Sehen und prüfen Kontakte die Änderung der Identität oder des Geräts? |
| Der Angreifer besitzt die Wiederherstellungsphrase | Welche Sicherungen und Schlüssel lassen sich damit entsperren? |
| Der Angreifer besitzt das entsperrte Gerät | Welche Inhalte und aktiven Sitzungen sind zugänglich? |
Ende-zu-Ende-Verschlüsselung schützt den Übertragungsweg der Nachrichteninhalte; sie ersetzt weder Anmelderegeln noch das Vertrauen in die Identität des Kontakts.
Die Grenzen von Livaras Aussage
Livaras Sicherheitsseite beschreibt die Anmeldung mit Benutzername und SRP sowie die getrennte Wiederherstellung von Identitätsmaterial. Daraus darf kein Versprechen der Immunität gegen jede Form von Kontodiebstahl werden. Phishing, Schadsoftware, schwache Passwörter und offengelegte Wiederherstellungsphrasen bleiben Teil der Bewertung.
Dasselbe Dokument erklärt, dass v7 die kryptografische Identität wiederherstellt, nicht den Chatverlauf. Das Bedrohungsmodell hilft, Kontozugriff, Schlüsselzugriff und physischen Gerätezugriff auseinanderzuhalten.
Praktische Maßnahmen zur Risikominderung
- Vergeben Sie für Ihr Mobilfunkkonto ein eigenes Passwort oder eine PIN und fragen Sie nach Beschränkungen für Rufnummernübertragungen. Das mindert das Risiko, macht unbefugte Übertragungen aber nicht unmöglich.
- Aktivieren Sie bei unterstützten Diensten einen geeigneten Authentifizierungsfaktor ohne SMS und verwahren Sie Wiederherstellungscodes sicher.
- Verwenden Sie einzigartige Passwörter; ein gemeinsam verwendetes Passwort kann einen Vorfall bei einem Dienst auf mehrere Konten ausweiten.
- Fällt der SIM-Dienst plötzlich aus oder erhalten Sie eine unerwartete Änderungsmitteilung, wenden Sie sich über einen bekannten offiziellen Kontaktweg an den Anbieter; nicht jeder Ausfall ist ein Angriff.
- Prüfen Sie nach Rückgewinnung der Nummer Anmeldungen und Änderungen verbundener Konten und widerrufen Sie unbekannte Zugriffe nach den Anweisungen des jeweiligen Dienstes.
Das beste Kriterium ist nicht der Name eines Anmeldeverfahrens, sondern was ein Angreifer durch Kontrolle über Nummer, Passwort oder Gerät genau erhält und welche unabhängige Hürde verbleibt.
