# Wie funktioniert die Signalisierungssicherheit von Diameter? > Die Signalisierungssicherheit von Diameter umfasst die Betreiberkontrollen – einen Diameter Edge Agent (DEA) und eine Signalisierungs-Firewall, die GSMA FS.19-Regeln anwendet –, die die nicht-eigenständige Diameter-Steuerungsebene von 4G/LTE und 5G vor Standortverfolgung, Datendiebstahl und Betrug schützen. Sie filtert S6a/S6d- und Roaming-Diameter-Nachrichten am Netzwerkrand, sodass nur legitime Interoperator-Signalisierung das HSS erreicht. - Kanonische URL: https://www.broadnet.me/de/answers/diameter-signaling-security - Sprache: de - Zuletzt geprüft: 2026-07-22 - Herausgeber: BroadNet (https://www.broadnet.me) ## Wie die Signalisierungssicherheit von Diameter funktioniert Diameter ist das AAA-Signalisierungsprotokoll, das SS7 MAP im 4G-Kernnetz abgelöst hat. MME und HSS tauschen S6a/S6d-Nachrichten aus, um Teilnehmer zu verbinden, Dienste zu autorisieren und SMS weiterzuleiten. Ein Diameter Edge Agent befindet sich am Roaming-Interconnect (der Grenze zwischen S6a, S9 und S6d). Jede eingehende Nachricht wird anhand der GSMA FS.19-Regeln, der Reputation des Ursprungsnetzwerks und der Plausibilität geprüft – stammt die Update-Location-Nachricht aus einem Netzwerk, in dem sich der Teilnehmer tatsächlich im Roaming befinden könnte? – und anschließend weitergeleitet, mit Ratenbegrenzung versehen oder verworfen. Jede Entscheidung wird protokolliert. Siehe /answers/diameter-s6a-explained und /answers/what-is-hss. ## Die Bedrohungen, die es abwehrt Gefälschte Update-Location-Request-Nachrichten (ULR), die das Routing eines Teilnehmers manipulieren, um Anrufe und SMS abzufangen; Missbrauch von Insert-Subscriber-Data und Cancel-Location, der ein Profil verändert oder einen Denial-of-Service-Angriff erzwingt; und die Offenlegung des Standorts über die SLh/SLg-Standortschnittstellen. Dies sind die Diameter-Äquivalente der SS7-MAP-Angriffe auf GSMA-FS.11-Adressen. Siehe /answers/ss7-signaling-security und /answers/ss7-map-send-routing-info-for-sm. ## GSMA FS.19 und der Diameter Edge Agent GSMA FS.19 (Diameter Interconnect Security) ist das Referenzdokument: Es definiert ein Kategorienmodell für Diameter-Nachrichten zwischen Netzbetreibern und legt fest, welche Nachrichten je nach Realm blockiert, deren Übertragungsrate begrenzt oder zugelassen werden sollen. Der Diameter Edge Agent ist das Grenzelement, das diese Vorgaben durchsetzt – der Topologie-verbergende Filterpunkt am LTE-Roaming-Rand, das genaue Analogon zur STP-plus-Firewall auf der SS7-Seite. Siehe /answers/gsma-fs07-fs11-signaling-firewall. ## Diameter- vs. SS7-Signalsicherheit SS7/MAP-Sicherheit schützt die Steuerungsebene von 2G/3G; Diameter-Sicherheit schützt die Steuerungsebene von 4G/LTE. Da die meisten Netze einen hybriden 2G/3G/4G-Kern betreiben und SMS für viele Endgeräte weiterhin auf SS7 zurückgreift, versucht ein Angreifer, der auf einer Ebene blockiert wird, einfach die andere. Daher müssen die beiden Firewalls mit einer gemeinsamen Richtlinie und gemeinsamer Teilnehmerreputation arbeiten. Im Standalone-5G-Netz übernimmt die SEPP über HTTP/2 diese Aufgabe. Siehe /answers/what-is-ss7 und /answers/what-is-sigtran. ## Vorteile für den Betreiber Schutz der Teilnehmer vor Tracking und Abhören, GSMA- und Regulierungskonformität, ein manipulationssicherer Diameter-Prüfpfad sowie die Möglichkeit, Diameter mit SS7- und A2P-Verkehr zu korrelieren, um Betrug über verschiedene Netzwerkebenen hinweg aufzudecken. BroadNet kombiniert die Diameter- und SS7-Signalisierungs-Firewall mit SMS-Firewall und CDR-Intelligenz für eine einheitliche Richtlinienansicht im gesamten Netzwerk. Siehe /operators/ss7-firewall und /platforms/signaling-cdr. ## Einschränkungen und betriebliche Gegebenheiten Eine Diameter-Firewall ist nur so gut wie ihre Kategorieregeln und ihre Reputation im Realm – zu strenge Blockierung beeinträchtigt legitime Roaming-Partner, zu geringe Einstellungen ermöglichen Angriffe. Sie kann die verschlüsselte dienstbasierte Signalisierung eines eigenständigen 5G-Kernnetzes nicht einsehen, da dieses eigene SEPP- und TLS-Kontrollen benötigt. Außerdem muss sie mit der SS7-Firewall synchronisiert werden, um Sicherheitslücken in Hybrid-Kernnetzen zu vermeiden. Siehe /answers/ss7-signaling-security. ## Ist Diameter sicherer als SS7? Nur geringfügig und nicht beabsichtigt. Diameter unterstützt IPsec/TLS und Realm-basiertes Screening, was SS7 fehlte. Frühe LTE-Roaming-Versionen wurden jedoch ohne diese Funktionen ausgeliefert, sodass Diameter-Verbindungen in der Praxis dieselbe Schwäche des „Trust-the-Peer“-Prinzips wie SS7 aufwiesen – weshalb GSMA FS.19 existiert. Praktisch bedeutet das: Beide Ebenen sind ohne Überwachung nicht sicher; beide benötigen eine Signalisierungs-Firewall. BroadNet sichert beide Ebenen in über 60 Betreibernetzen. Siehe /operators/ss7-firewall. ## Verwandte Seiten - [Alle Antworten](https://www.broadnet.me/de/answers) - [Glossar](https://www.broadnet.me/de/answers) - [Diameter S6a — das 4G-Äquivalent von MAP](https://www.broadnet.me/de/answers/diameter-s6a-explained) - [Wie funktioniert die Sicherheit der SS7- und Diameter-Signalisierung?](https://www.broadnet.me/de/answers/ss7-signaling-security) - [GSMA FS.07 und FS.11 – die SS7-Signalisierungs-Firewall-Standards](https://www.broadnet.me/de/answers/gsma-fs07-fs11-signaling-firewall) - [Was ist ein HSS (Home Subscriber Server)?](https://www.broadnet.me/de/answers/what-is-hss) - [SIGTRAN – SS7 über IP erklärt](https://www.broadnet.me/de/answers/what-is-sigtran) - [Wie funktioniert SIGTRAN (SS7 über IP)?](https://www.broadnet.me/de/answers/sigtran-explained) - [SS7 Firewall](https://www.broadnet.me/de/operators/ss7-firewall) - [SMS Firewall (operators)](https://www.broadnet.me/de/operators/sms-firewall) - [Signaling & CDR Intelligence](https://www.broadnet.me/de/platforms/signaling-cdr) - [SMSC gateway](https://www.broadnet.me/de/operators/smsc-gateway) - [Operators overview](https://www.broadnet.me/de/operators)