# SIM-Box-Betrug (Interconnect-Bypass): Wie er funktioniert und wie Betreiber ihn erkennen

> SIM-Box-Betrug leitet internationale Anrufe als lokalen Mobilfunkverkehr um und kostet die Betreiber dadurch Einnahmen aus der Rufnummernmitnahme. Wie Interconnect-Bypass funktioniert und wie man ihn erkennt.

- Kanonische URL: https://www.broadnet.me/de/blog/sim-box-interconnect-bypass-fraud
- Sprache: de
- Zuletzt aktualisiert: 2026-10-20
- Herausgeber: BroadNet (https://www.broadnet.me)

- Veröffentlicht: 2026-08-03
- Autor: BroadNet Operator Solutions

SIM-Box-Betrug – auch Interconnect-Bypass genannt – leitet ein internationales Gespräch über das Internet und wandelt es über eine Reihe von SIM-Karten für Endkunden in ein lokales Mobilfunkgespräch um. Dadurch wird die dem Zielnetzbetreiber zustehende internationale Anschlussgebühr umgangen. Der Betreiber erhält statt eines eingehenden internationalen Gesprächs nur günstigen In-Net-Verkehr und verliert somit die Abrechnungseinnahmen. Netzbetreiber erkennen diesen Betrug mithilfe von Testanrufen, CDR- und Verhaltensanalysen, Signalisierungsanomalien und maschinellem Lernen.

> Dies ist das ausführliche Bedrohungsmodell, das unseren Operator-Tools zugrunde liegt. Eine Produktübersicht finden Sie unter [SIM-Box-Erkennung](https://www.broadnet.me/operators/sim-box) und der umfassenderen Suite [Operator-Lösungen](https://www.broadnet.me/operators).

## Was eine SIM-Box eigentlich ist

Eine SIM-Box – auch GSM-Gateway genannt – ist ein Gerät, das einige bis mehrere hundert SIM-Karten aufnimmt und IP-Verkehr (VoIP) in ein aktives Mobilfunknetz einbindet. Sie präsentiert jede SIM-Karte dem Netz als normales Mobiltelefon, sodass darüber getätigte Anrufe wie normale Teilnehmeraktivitäten aussehen. Die Technologie an sich ist legitim: Unternehmen nutzen GSM-Gateways für die kostengünstigste Anrufweiterleitung innerhalb einer Telefonanlage. Betrug entsteht, wenn sie dazu verwendet wird, internationalen Verkehr als Ortsgespräche abzuwickeln. Dies ist in den meisten Märkten illegal und ein direkter Verstoß gegen die Interkonnektionsvereinbarungen der Netzbetreiber.

## Wie Betrug durch Umgehung von Verbindungsleitungen funktioniert

Für jeden grenzüberschreitenden Anruf fällt eine internationale Anschlussgebühr pro Minute an, die dem Zielnetzbetreiber vertraglich zusteht. Diese Gebühr stellt die Abrechnungseinnahmen dar, die ein Betreiber für die Beendigung des Auslandsverkehrs erzielt. Betrugsversuche zielen darauf ab, die Differenz zwischen dieser internationalen Gebühr und den nahezu kostenlosen Ortsgesprächen innerhalb des eigenen Netzes auszunutzen.

Die Funktionsweise ist simpel. Ein Betreiber, der internationale Anrufe umgeht, kauft Kontingente an Gesprächsminuten im Großhandel, leitet diese als VoIP über das öffentliche Internet an eine SIM-Box im Zielland weiter und initiiert jeden Anruf über eine lokale SIM-Karte. Der Angerufene erhält den Anruf als gewöhnlichen lokalen Mobilfunkanruf mit nationaler Rufnummernanzeige. Der legitime Mobilfunkanbieter sieht keinen eingehenden internationalen Anruf – er registriert den netzinternen Datenverkehr, berechnet ihn zu lokalen (oftmals gebündelten, nahezu Nulltarifen) Gebühren, und der Betrüger behält die Arbitrage-Gewinne ein. Je höher die internationalen Terminierungsgebühren eines Landes über den Kosten für Inlandsgespräche liegen, desto lukrativer wird das Umgehen internationaler Anrufe. Daher konzentriert es sich auf Regionen mit hohem eingehenden Datenverkehr und vielen im Ausland lebenden Mobilfunkanbietern – ein anhaltendes Problem, das zu Umsatzeinbußen für Mobilfunkanbieter im Golf-Kooperationsrat (GCC) und im gesamten Nahen Osten und Nordafrika (MENA) führt, die große Mengen internationalen Datenverkehrs abwickeln.

### Warum Betreiber doppelt verlieren

Die Umgehung von VoIP-Verbindungen führt nicht nur zu entgangenen Abrechnungseinnahmen. Wiederaufgenommene Anrufe verschlechtern auch das Nutzererlebnis: Die tatsächliche Rufnummer eines ausländischen Anrufers wird durch eine wechselnde lokale Rufnummer ersetzt, die Anrufer-ID ist somit bedeutungslos, und die Sprachqualität leidet unter der VoIP-Verbindung. Der Betreiber trägt die Reputationskosten für die schlechte Qualität internationaler Anrufe, die er nicht verursacht hat, während der Datenverkehr, für den eigentlich eine Abschlussgebühr hätte fällig werden sollen, leer ausgeht.

## Jenseits der Sprachkommunikation: Grauzonen-SMS und OTP-Abfangen

Dieselbe SIM-Kartenbank lässt sich problemlos für Messaging-Dienste umfunktionieren. Anstatt Sprachanrufe zu terminieren, terminiert die Box SMS-Nachrichten von Anwendungen an Personen (A2P) – Verifizierungscodes, Benachrichtigungen, Marketing-SMS – als ob es sich um normale Kommunikation zwischen Privatpersonen handeln würde. Der Mobilfunkanbieter berechnet dies zu P2P-Tarifen (oft nahe null), und der Aggregator streicht die A2P-Marge ein. Dies ist der SIM-Box-Zweig des Problems der intransparenten Kommunikation, und er führt zu einem ebenso erheblichen Umsatzverlust bei A2P-SMS wie die Umgehung von Sprachanrufen bei der Terminierung.

Dies birgt auch Sicherheitsrisiken. SIM-Boxen, die OTP-Verkehr verarbeiten, können zum Abfangen oder Ausspähen von Einmalpasswörtern missbraucht werden. Dieselbe Infrastruktur ermöglicht zudem Smishing in großem Umfang unter Verwendung temporärer lokaler Absenderidentitäten. Daher gehören die Erkennung von Umgehungsversuchen und die Abwehr von SMS-Betrug zusammen – die Wege, die zu Umsatzeinbußen führen, gefährden häufig auch die Abonnenten. Weitere Informationen zum Zusammenhang finden Sie unter [Anti-Fraud SMS](https://www.broadnet.me/operators/anti-fraud-sms) für Mobilfunkbetreiber.

## Legitimer Teilnehmer vs. SIM-Box-SIM: die Verhaltenssignatur

Der Kern der Erkennung besteht darin, dass eine SIM-Box, egal wie gut versteckt, sich nicht lange wie ein menschlicher Nutzer verhalten kann. Die SIM-Karte eines echten Nutzers bewegt sich, empfängt Anrufe, nutzt Daten und kontaktiert in unregelmäßigen Abständen ein kleines, wiederkehrendes soziales Netzwerk. Eine SIM-Box tut all das nicht. Diese Verhaltenslücke ist der Fingerabdruck.

| Signal | Legitimer Abonnent | SIM-Box-SIM |
|---|---|---|
| Anrufanweisung | Mischung aus eingehenden und ausgehenden Anrufen | Fast ausschließlich ausgehend |
| Tägliches Anrufvolumen | Einige bis Dutzende Anrufe | Hunderte bis Tausende von Anrufen |
| Mobilität / Übergabe | Bewegt sich über Zellen und TACs hinweg | Statisch – dieselbe Zelle rund um die Uhr |
| Reiseziele | Wiederholte Kontakte, ein soziales Netzwerk | Lange Reihe von nicht zusammenhängenden Nummern, keine Rückrufe |
| Zeit zwischen Anrufen | Unregelmäßige, menschliche Lücken | Maschinenregelmäßig, Rücken an Rücken |
| Gerät (IMEI) | Ein Mobiltelefon pro SIM-Karte | Viele SIM-Karten durchlaufen wenige Gateway-IMEIs. |
| Daten-/VAS-Nutzung | Surfen, Apps, Roaming | Wenig bis gar keine – nur Sprach-/SMS-Kommunikation |

## Wie Betreiber SIM-Box-Betrug aufdecken

Keine einzelne Methode ist für sich allein ausreichend; erfahrene Revenue-Assurance-Teams setzen mehrere Methoden parallel ein und korrelieren die Ergebnisse, bevor sie eine SIM-Karte sperren, um Fehlalarme bei echten Nutzern wie Callcentern oder M2M-Geräten zu vermeiden. Die vier wichtigsten Methoden:

1. Testanrufgenerierung (TCG). Unabhängige Testpartner tätigen Anrufe aus verschiedenen internationalen Quellen in das Netzwerk. Trifft ein als international gesendeter Anruf mit einer lokalen A-Nummer (oder unterdrückter Rufnummer) auf dem Testendgerät ein, hat die terminierende SIM-Karte die Verbindung umgangen – und die Rufnummer identifiziert direkt die fehlerhafte SIM-Karte.
2. CDR- und Verhaltensanalyse. Jede MSISDN wird anhand der Verbindungsdatensätze erfasst und die SIM-Box-Signatur gekennzeichnet: ausschließlich ausgehende Anrufe, ungewöhnlich hohes tägliches Anrufvolumen, keine eingehenden Anrufe, eine lange Reihe von nicht zusammenhängenden Zielen und maschinentypische Anrufintervalle.
3. Signalisierungs- und Netzwerkanomalien. Achten Sie auf SIM-Karten, die nie Standortaktualisierungen durchführen, dauerhaft mit einer einzigen Zelle verbunden bleiben, keine normale Mobilität aufweisen oder eine IMEI über mehrere SIM-Karten hinweg teilen – Muster, die auf der Signalisierungsebene sichtbar sind und von einer [SS7-Firewall](https://www.broadnet.me/operators/ss7-firewall) und Netzwerk-Probes aufgedeckt werden können.
4. Klassifizierung mittels maschinellen Lernens. Jede SIM-Karte wird anhand eines Vektors aus mehreren Merkmalen (Lautstärke, Richtung, Mobilität, Timing, IMEI-Wiederverwendung, Zielentropie) gruppiert und bewertet, sodass auch Betrüger, die die Lautstärke drosseln oder SIM-Karten rotieren, um Menschen zu imitieren, durch die kombinierten Mustererkennungsregeln allein nicht erkannt werden.

TCG beweist, dass eine bestimmte Route umgangen wird; CDR und ML finden die SIM-Karten flächendeckend; die Signalisierung bestätigt das Verhalten auf Netzwerkebene. Die Kombination dieser Daten liefert sowohl die Beweise, um eine SIM-Karte zu sperren, als auch die Gewissheit, eine legitime SIM-Karte nicht zu sperren.

## Verteidigung, Strafverfolgung und die MENA-Perspektive

Sobald eine SIM-Box identifiziert ist, greift die Durchsetzung der Sicherheitsmaßnahmen mehrstufig: Die betroffenen SIM-Karten werden gesperrt, die SIM-Bereitstellungskontrollen werden verschärft, um die erneute Aktivierung zu verlangsamen (Geschwindigkeitsbegrenzungen für neue Aktivierungen, KYC-Prüfung bei Massenkäufen), und die eingehenden internationalen CDRs werden mit den erwarteten Terminierungsvolumina abgeglichen, um das Datenleck zu quantifizieren. Die Erkennung muss kontinuierlich erfolgen, da Bypass-Betreiber mit dem Austausch von SIM-Karten, der Drosselung des Datenvolumens pro SIM-Karte und dem Verschieben von Boxen zwischen Funkzellen reagieren – ein Teufelskreis, der Verhaltensanalysen gegenüber statischen Regeln begünstigt.

Insbesondere in der MENA-Region und den GCC-Staaten führen hohe internationale Anrufvolumina, große Anrufkorridore für die Diaspora und vergleichsweise hohe Terminierungsraten dazu, dass die Umgehung von Rufnummern zu einem wesentlichen Faktor für die Umsatzsicherung der Betreiber wird. Regionale Basiswerte sind daher entscheidend: Lokale Anrufmuster, SIM-Karten-Bereitstellungsnormen und Roaming-Topologien unterscheiden sich so stark von globalen Durchschnittswerten, dass ein generisches Modell zu Über- oder Unterbewertungen führen kann. Genau hier, in dieser regionalen Verankerung, spielt ein speziell für die MENA-Region entwickelter Erkennungs-Stack seine Stärken aus.

> BroadNet analysiert seit 2003 den Datenverkehr von Mobilfunkbetreibern in der MENA-Region hinsichtlich Umgehung und A2P-Betrug. Dabei werden CDR-Verhaltensanalysen, Testanrufdaten, Signalisierungsprüfungen und maschinelles Lernen zur Klassifizierung von 1,000+ Betreiberverbindungen kombiniert. Weitere Informationen zu Mobilfunkbetreibern finden Sie unter [SIM-Box-Erkennung](https://www.broadnet.me/operators/sim-box) und [Anti-Fraud-SMS](https://www.broadnet.me/operators/anti-fraud-sms).

## Häufig gestellte Fragen

### Was ist eine SIM-Box?

Eine SIM-Box, auch GSM-Gateway genannt, ist ein Gerät, das mehrere SIM-Karten aufnimmt und VoIP-Verkehr in ein Mobilfunknetz einbindet, wobei jede SIM-Karte als normales Mobiltelefon erscheint. Die Technologie hat legitime Anwendungsbereiche für Telefonanlagen (PBX), doch bei Betrug empfängt sie internationale Anrufe über das Internet und leitet sie als lokale Mobilfunkanrufe weiter. Dadurch sieht der Betreiber günstigen netzinternen Verkehr anstelle von kostenpflichtigem internationalem Verkehr und verliert die Terminierungsgebühr.

### Wie funktioniert Betrug durch Umgehung von Verbindungsleitungen?

Für jeden internationalen Anruf fällt eine Gebühr pro Minute an, die dem Zielnetzbetreiber zusteht. Ein Betrüger kauft diese Gebühren im Großhandel auf, leitet sie per VoIP an eine SIM-Karte im Zielland weiter und initiiert jeden Anruf von einer lokalen SIM-Karte aus. Der Anruf wird als günstiger Inlandsverkehr mit lokaler Rufnummer beendet; der Betrüger behält die Differenz zwischen dem internationalen Tarif und den Kosten der lokalen SIM-Karte, und dem Netzbetreiber entgehen die Abrechnungseinnahmen.

### Wie decken Mobilfunkbetreiber SIM-Box-Betrug auf?

Mithilfe von vier korrelierten Methoden: Generierung von Testanrufen, bei denen internationale Anrufe mit lokaler Anrufer-ID die umgehende SIM-Karte aufdecken; CDR- und Verhaltensanalyse, die ausschließlich ausgehende, stark frequentierte SIM-Karten ohne Mobilfunknutzung identifiziert; Signalisierungsanomalien wie statische Einzelzellenverbindung und IMEI-Wiederverwendung; sowie maschinelle Lernverfahren, die jede SIM-Karte anhand eines zusammengesetzten Merkmalsvektors bewerten. Netzbetreiber kombinieren alle vier Methoden mit Roaming- und HLR-Querschnittsprüfungen, um vor der Sperrung einer SIM-Karte eine sichere Entscheidung zu treffen.

## Referenzen

- GSMA – Gruppe für Betrug und Sicherheit (FASG): Typologien von Interconnect-Bypass und SIM-Box-Betrug: [gsma.com](https://www.gsma.com/)
- GSMA – Betrugshandbuch und Leitfaden zur Umsatzsicherung für Mobilfunkbetreiber: [gsma.com](https://www.gsma.com/)
- BroadNet — Betreiber: [SIM-Box-Erkennung](https://www.broadnet.me/operators/sim-box), [Anti-Fraud-SMS](https://www.broadnet.me/operators/anti-fraud-sms) und die [SS7-Firewall](https://www.broadnet.me/operators/ss7-firewall).