SMS-Firewall & Betreibersicherheit

Eine SMS-Firewall ist ein Netzelement, das eingehenden A2P- und P2P-Nachrichtenverkehr inspiziert, um die Umsätze und die Teilnehmer eines Mobilfunkbetreibers zu schützen. Sie sitzt im Messaging-Pfad und setzt sowohl Sicherheits- als auch Geschäftsrichtlinien gegenüber Unternehmensversendern durch.

Der kommerzielle Fall liegt auf der Hand: A2P-Messaging ist ein bedeutender Umsatzstrom für Betreiber, und Bypass über graue Routen lässt ihn versickern. Die Aufgabe der Firewall ist es, diesen Bypass zu erkennen, zu blockieren und den Verkehr zurück auf abgerechnete, offizielle Kanäle zu zwingen.

Ebenso wichtig ist der Schutz der Teilnehmer: Das Filtern von Spam, Smishing und Sender-ID-Spoofing erhält das Vertrauen in das Netz des Betreibers. GSMA-Leitlinien (die Familie IR.70/IR.71 und die FS-Sicherheitsserie) geben den Rahmen vor, welche Kontrollen eine Firewall umsetzen soll.

Graue Route/MT-Bypass ist typischerweise das größte einzelne Leck: A2P-Verkehr, der als P2P zugestellt oder auf der Signalisierungsebene injiziert wird, um Terminierungsgebühren zu umgehen. Ihn zu erkennen bedeutet, Verkehr zu identifizieren, der sich wie ein Unternehmensversender verhält, aber über einen Person-zu-Person-Weg ankommt.

Sender-ID-Spoofing und Markenimitation ermöglichen es Betrügern, Nachrichten zu versenden, die scheinbar von einer Bank oder einem bekannten Dienst stammen. Smishing — SMS-Phishing — baut darauf auf und nutzt überzeugende Sender-IDs und bösartige URLs, um Zugangsdaten zu stehlen.

SIM-Farm-Missbrauch und Spam fügen volumenbasierte Bedrohungen hinzu: hohe Streuung, wiederholte Inhalte und Geschwindigkeitsspitzen, die eine Firewall von legitimem hochvolumigem P2P unterscheiden muss. Anomalien auf der Signalisierungsebene — SRI-SM-Sondierung, gefälschte MSC-Adressen — werden mit Bezug auf die Kategorienkontrollen von GSMA FS.11 behandelt.

Der Inline-Modus (SMSC-MT-Proxy) platziert die Firewall direkt im Nachrichtenpfad, sodass sie in Echtzeit blockieren kann. Er bietet die stärkste Durchsetzung, liegt aber auf dem kritischen Pfad, weshalb hohe Verfügbarkeit und niedrige Latenz unter Last nicht verhandelbar sind.

Der Offline- oder passive Modus spiegelt den Verkehr zur Analyse, ohne zu blockieren. Er ist nützlich, um Erkennungsregeln vor der Durchsetzung als Baseline zu erfassen und zu justieren sowie um Nachweise zu erzeugen, kann aber allein keine Nachricht stoppen.

Home-Routing ist der Einsatz, der die Bypass-Lücke am entschiedensten schließt, und verdient eine eigene Lektion, da er den Signalisierungsfluss verändert.

Bei der klassischen SS7-Zustellung fragt ein sendendes Netz zunächst mit einer SRI-SM (Send Routing Info for Short Message) beim Netz des Empfängers an, um herauszufinden, wo sich der Teilnehmer befindet, und stellt die Nachricht dann direkt an diesen Ort zu. Bypass nutzt dies aus, indem MT-Nachrichten direkt injiziert werden, wodurch die Abrechnung und Kontrollen des Betreibers umgangen werden.

Home-Routing fängt die SRI-SM ab und gibt stattdessen die Adresse der Firewall zurück statt des tatsächlichen Standorts des Teilnehmers. Der gesamte MT-terminierende Verkehr wird dann durch die Firewall gezwungen, die ihn inspiziert, abrechnet und weiterleitet — und so den direkten Injektionsweg schließt.

Deshalb ist Home-Routing zentral für die Sicherung der A2P-Umsätze: Es macht die Firewall zu einer unumgänglichen Kontrollstelle für jede terminierende Nachricht, statt zu einer, die cleverer Bypass umgehen kann.

Bypass zu blockieren ist nur die halbe Wertschöpfung; die andere Hälfte besteht darin, den zurückgewonnenen Verkehr in Umsatz zu verwandeln. Sobald Verkehr über graue Routen auf offizielle Kanäle gezwungen wird, wird er abrechenbares A2P — das zentrale kommerzielle Argument für den Einsatz einer Firewall.

Solide Programme lassen neue Regeln zunächst im Schatten-/Simulationsmodus gegen Live-Verkehr laufen, damit eine Richtlinienänderung beim Go-live keine umsatzwirksamen Fehlalarme verursacht. Regeländerungen sollten versioniert, nachvollziehbar und zugriffskontrolliert sein.

Nachweise schließen den Kreis: exportierbare Berichte, Abgleich je Route zur Quantifizierung des zurückgewonnenen Leckverlusts sowie Signalisierungsspuren, die Streitfälle mit Wholesale-Partnern unterstützen. Die Betreiber-Firewall und die SS7-Firewall-Produkte von BroadNet setzen diese Kontrollen um, gestützt auf ISO-27001- und SOC-2-Type-II-Zertifizierung.