# 5G-Roaming-Sicherheit im Jahr 2026: SEPP, PRINS und die Zeit nach dem SS7/Diameter-Vertrauensabkommen

> 5G ersetzt das implizite Vertrauen in SS7- und Diameter-Verbindungen durch eine authentifizierte, verschlüsselte Roaming-Schnittstelle. Hier erfahren Sie, wie SEPP und PRINS die N32-Verbindung sichern und warum SS7/Diameter-Firewalls auch 2026 noch relevant sind.

- Kanonische URL: https://www.broadnet.me/de/blog/5g-roaming-security-sepp-prins-2026
- Sprache: de
- Zuletzt aktualisiert: 2026-10-20
- Herausgeber: BroadNet (https://www.broadnet.me)

- Veröffentlicht: 2026-07-05
- Autor: BroadNet Operator Solutions

Im 5G-Netz erfolgt die Roaming-Signalisierung über die N32-Schnittstelle zwischen zwei Security Edge Protection Proxies (SEPP), je einem in jedem Netz. Der SEPP authentifiziert den Partner, und PRINS (Protection of Inter-Network Signalling) verschlüsselt und schützt die Integrität der Nachrichten. Dies ersetzt das offene Vertrauen, das SS7 und Diameter angreifbar machte – allerdings nur, wenn beide Netze eigenständige 5G-Netze sind.

## Warum SS7 und Diameter ausnutzbar waren

SS7 und Diameter Interconnect wurden für einen kleinen Kreis vertrauenswürdiger Betreiber entwickelt. Daher wurde davon ausgegangen, dass der Absender einer Signalisierungsnachricht tatsächlich derjenige war, für den er sich ausgab. Es gab keine Authentifizierung pro Hop und keine Vertraulichkeit der Verbindung. Mit der explosionsartigen Zunahme der Anzahl verbundener Teilnehmer wurde dieses implizite Vertrauen zur Angriffsfläche für die Standortverfolgung von Abonnenten, das Abfangen von SMS und Roaming-Betrug. Signalisierungs-Firewalls und GSMA-Regelwerke wie FS.11 und FS.19 waren die nachträgliche Lösung der Branche – sie filterten die Nachrichten, die die Protokolle selbst nicht authentifizieren konnten.

## Wie das SEPP das 5G-Roaming sichert

5G wurde mit integrierter Roaming-Sicherheit konzipiert, nicht nachträglich hinzugefügt. Jedes Netzwerk stellt am Rand seines 5G-Kernnetzes einen Security Edge Protection Proxy (SEPP) bereit, über den die gesamte netzwerkübergreifende Signalisierung gemäß der 3GPP-Sicherheitsarchitektur (TS 33.501) über die N32-Schnittstelle läuft. Die beiden SEPPs führen zunächst einen N32-c-Kontroll-Handshake zur gegenseitigen Authentifizierung und Aushandlung des Schutzes durch und tauschen anschließend die eigentliche Signalisierung über N32-f aus.

Der Schutz auf N32-f erfolgt in zwei Modi. Bei direkter Verbindung der Betreiber sorgt TLS für Transportverschlüsselung und Authentifizierung. Müssen IPX-Vermittler bestimmte Felder lesen oder ändern – beispielsweise für Routing oder Mediation –, greift PRINS (Protection of Inter-Network Signalling) auf Anwendungsebene: Es verschlüsselt sensible Informationen und erlaubt nur explizit autorisierte Änderungen. So kann ein Vermittler seine Aufgaben erfüllen, ohne unbefugt Daten zu fälschen oder zu lesen. Das Ergebnis: Ein Partner wird authentifiziert und die Nachrichtenintegrität geschützt – genau das, was SS7 und Diameter fehlte.

## SS7/Durchmesser vs. 5G SEPP Roaming-Sicherheit

| Eigentum | SS7 / Durchmesser-Verbindung | 5G-Roaming über SEPP |
|---|---|---|
| Peer-Authentifizierung | Implizit, weitgehend abwesend | Gegenseitig, über N32-c-Handshake |
| Vertraulichkeit | Standardmäßig keine Verbindung. | TLS oder PRINS auf N32-f |
| Integritätsschutz | Keine inhärenten | Kryptografisch, Ende-zu-Ende-Verschlüsselung über IPX |
| Intermediärabwicklung | Volle Sichtbarkeit und Modifikation | Nur explizit erlaubte Feldänderungen (PRINS) |
| Primärverteidigung | Signalisierungs-Firewall (FS.11 / FS.19) | Integrierte Protokollsicherheit + SEPP-Richtlinie |

Der Wandel besteht darin, von der nachträglichen Integration eines Filters in ein nicht vertrauenswürdiges Protokoll hin zur Verwendung eines Protokolls zu gelangen, das von Grund auf authentifiziert und schützt. Dies funktioniert jedoch nur, wenn beide Seiten das Protokoll auch tatsächlich verwenden.

## Warum Sie auch 2026 noch SS7- und Diameter-Firewalls benötigen

Das SEPP sichert eigenständiges 5G-zu-5G-Roaming. Es ändert jedoch nichts an dem enormen Datenverkehr, der weiterhin über ältere Mobilfunkstandards abgewickelt wird, und dieser Datenverkehr wird auch in absehbarer Zeit nicht verschwinden.

- Nicht-eigenständiges 5G und die riesige installierte Basis von 4G, 3G und 2G sind für Roaming und Messaging weiterhin auf Diameter und SS7 angewiesen.
- Die Interoperabilität zwischen 5G und älteren Kernen bedeutet, dass die Signalisierung an der Grenze wieder auf Diameter/MAP heruntergerechnet wird – wodurch die alte Exposition wiederhergestellt wird.
- Roaming-Partner migrieren zu unterschiedlichen Zeitpunkten, sodass ein modernes Netzwerk weiterhin mit Partnern kommuniziert, die noch kein Upgrade durchgeführt haben.
- Die GSMA-Richtlinien behandeln SS7- und Diameter-Firewalling weiterhin als unerlässlich während eines Übergangs, der Jahre, nicht Monate, umfasst.

> Während der Umstellung verteidigen Sie zwei Welten gleichzeitig. Die SS7-Firewall und die SMS-Firewall von BroadNet schützen die bestehende Verbindung, über die weiterhin der Großteil des Roaming- und Messaging-Verkehrs abgewickelt wird. Dadurch wird sichergestellt, dass die Sicherheitslücken, die durch das SEPP im 5G-Netz geschlossen werden, nicht einfach im benachbarten 4G-Netz wieder auftreten.

## Planung des Übergangs

Behandeln Sie die Sicherheit von 5G-Roaming und die Sicherheit herkömmlicher Signalisierung als ein einziges Programm, nicht als zwei separate. Implementieren Sie SEPPs und N32-Schutz für eigenständiges Roaming, während SS7- und Diameter-Firewalls für alle anderen Anwendungen voll funktionsfähig bleiben. Achten Sie besonders auf die Schnittstelle zwischen den Protokollen, an der 5G-Nachrichten in Diameter und MAP übersetzt werden. Details zum Protokoll finden Sie in unseren Referenzen zu [Diameter-Roaming-Sicherheit (DRA/DEA)](https://www.broadnet.me/reference/diameter-roaming-security-dra-dea), [SS7-Sicherheitsbedrohungen und FS.11](https://www.broadnet.me/reference/ss7-security-threats-fs11) und [SS7 vs. SIGTRAN](https://www.broadnet.me/reference/ss7-vs-sigtran) sowie in den leicht verständlichen Antworten zu [Diameter-Signalisierungssicherheit](https://www.broadnet.me/answers/diameter-signaling-security) und [SS7-Signalisierungssicherheit](https://www.broadnet.me/answers/ss7-signaling-security).

## Häufig gestellte Fragen

### Was ist SEPP in 5G?

Der Security Edge Protection Proxy (SEPP) ist die Netzwerkfunktion am Rand eines 5G-Kernnetzes, die die gesamte Roaming-Signalisierung mit anderen Netzen übernimmt. Jede netzübergreifende Nachricht wird über die N32-Schnittstelle durch den SEPP geleitet. Er authentifiziert den Roaming-Partner gegenseitig und wendet Verschlüsselung und Integritätsschutz an. Damit ersetzt er das implizite, nicht authentifizierte Vertrauen, das SS7 und Diameter Interconnect kennzeichnete.

### Worin besteht der Unterschied zwischen TLS und PRINS auf N32?

Beide Verfahren schützen den N32-f-Signalisierungsaustausch, jedoch für unterschiedliche Topologien. TLS eignet sich für eine direkte Verbindung zwischen zwei SEPPs und bietet Verschlüsselung und Authentifizierung auf Transportebene. PRINS (Protection of Inter-Network Signalling) ist eine Sicherheitslösung auf Anwendungsebene für Pfade, die IPX-Vermittler kreuzen: Es verschlüsselt sensible Felder und erlaubt nur explizit autorisierte Änderungen, sodass ein Broker vermitteln kann, ohne geschützte Inhalte zu fälschen oder zu lesen.

### Werden SS7- und Diameter-Firewalls durch 5G überflüssig?

Nein, nicht in den nächsten Jahren. Das SEPP sichert lediglich das 5G-Standalone-Roaming ab, während der Großteil des Roaming- und Messaging-Verkehrs weiterhin über 4G Diameter und SS7 läuft. Die Interworking-Mechanismen übersetzen die 5G-Signalisierung an der Grenze wieder in diese Protokolle. Die GSMA-Richtlinien sehen SS7- und Diameter-Firewalling während des gesamten Übergangs weiterhin als unerlässlich an, weshalb die Betreiber beide Schutzmechanismen parallel betreiben.

### Was ist ein netzwerkübergreifender Signalisierungsangriff?

Es handelt sich um einen Angriff, der die Verbindungssignalisierung – SS7, Diameter oder 5G-Roaming-Nachrichten – missbraucht, um Aktionen durchzuführen, die das Netzwerk nicht zulassen sollte, wie beispielsweise die Standortverfolgung eines Teilnehmers, das Abfangen von SMS oder Anrufen oder Roaming-Betrug. Diese Angriffe nutzten die Vertrauensannahmen von SS7 und Diameter aus; das SEPP-basierte Modell von 5G ist darauf ausgelegt, diese Annahmen auf eigenständigen Roaming-Pfaden aufzuheben.

## Referenzen

- 3GPP — TS 33.501, Sicherheitsarchitektur und -verfahren für das 5G-System: [3gpp.org](https://www.3gpp.org/DynaReport/33501.htm)
- 3GPP — TS 29.573, 5G-System; Zusammenschaltung öffentlicher Mobilfunknetze (PLMN) (N32): [3gpp.org](https://www.3gpp.org/DynaReport/29573.htm)
- GSMA – Ressourcen zur 5G- und Verbindungssicherheit: [gsma.com](https://www.gsma.com/solutions-and-impact/technologies/security/)
- GSMA — Richtlinien für die Sicherheitsüberwachung von FS.11 SS7- und FS.19 Diameter-Verbindungen: [gsma.com](https://www.gsma.com/solutions-and-impact/technologies/security/)