# Anatomie eines SMS-Firewall-Umgehungsversuchs

> Eine Schritt-für-Schritt-Anleitung, wie Betreiber grauer Routen versuchen, Firewalls zu umgehen – und wie moderne, auf maschinellem Lernen basierende Erkennungsmethoden sie trotzdem aufspüren.

- Kanonische URL: https://www.broadnet.me/de/blog/anatomy-of-an-sms-firewall-evasion
- Sprache: de
- Zuletzt aktualisiert: 2026-08-08
- Herausgeber: BroadNet (https://www.broadnet.me)

- Veröffentlicht: 2026-01-22
- Autor: BroadNet Operator Solutions

Betreiber von Graurouten liefern sich seit Jahren einen Wettlauf mit Firewall-Anbietern. Hier ist ein typisches Umgehungskonzept, das wir bei einem Betreiber im Nahen Osten und Nordafrika beobachtet haben – und wie die Firewall jeden einzelnen Schritt aufgedeckt hat.

## Schritt 1 – Rotation der Absender-ID

Ein Angreifer registriert über 50 Absenderkennungen unter 12 gefälschten Firmenidentitäten. Jede wird für ca. 10.000 Nachrichten verwendet, bevor sie deaktiviert wird. Firewalls ohne maschinelles Lernen übersehen dies vollständig; Regelmodule können nicht alle Varianten erfassen. Verhaltensbasiertes maschinelles Lernen erkennt dies innerhalb von 6 Stunden: Durchsatzmuster, Inhalts-Fingerabdruck und Empfängerüberschneidungen deuten auf korrelierte Aktivitäten über die verschiedenen Absenderkennungen hinweg hin.

## Schritt 2 – Inhaltsvariation

Angreifer schleusen zufällige Zeichen in ihre Vorlagen ein, um die Deduplizierung mittels Content-Hash zu umgehen. Die Firewall wechselt daraufhin zu MinHash + n-Gramm-Ähnlichkeit und identifiziert die zugrundeliegende Vorlage trotz des Rauschens.

## Schritt 3 – Routenrotation

Der Angreifer wechselt stündlich zwischen drei ausländischen Aggregatoren. Die Firewall korreliert anhand des Ziel-MSISDN-Musters (einer bekannten Liste von Phishing-Kunden) und blockiert die Verbindungen beim Empfänger, nicht beim Absender.

## Lektion

Regelbasierte Systeme allein reichen nicht aus. Verhaltensbasiertes maschinelles Lernen hingegen schon – vorausgesetzt, es wird mit betreiberspezifischen Daten und nicht mit generischen CPaaS-Daten trainiert. Dies ist einer der Gründe, warum die Firewall von BroadNet, die seit 2003 mit dem Datenverkehr von Betreibern in der MENA-Region trainiert wurde, einen messbaren Vorteil gegenüber globalen Firewall-Anbietern bietet, die ihre Systeme nachträglich an die Region anpassen.