# SMS-Firewalls und SS7-Betrug – wogegen sich die Betreiber tatsächlich verteidigen

> SIM-Box-Terminierung, SMS-Spoofing und SS7-Layer-Angriffe führen zu Umsatzeinbußen im A2P-Bereich und gefährden Abonnenten. Ein detaillierter Blick auf das Bedrohungsmodell und die Kontrollmöglichkeiten.

- Kanonische URL: https://www.broadnet.me/de/blog/sms-firewall-ss7-fraud-protection-operators
- Sprache: de
- Zuletzt aktualisiert: 2026-10-01
- Herausgeber: BroadNet (https://www.broadnet.me)

- Veröffentlicht: 2026-04-15
- Autor: BroadNet Operator Solutions

Wenn uns Mobilfunkanbieter mit der Planung einer SMS-Firewall beauftragen, dreht sich das Gespräch oft zunächst um Umsatz und endet mit Sicherheit – denn beides ist untrennbar miteinander verbunden. Dieselben intransparenten Routen, die A2P-Umsätze schmälern, werden auch für Smishing, OTP-Abfang und Betrug mit gefälschten Absendern genutzt. Eine Firewall dient daher gleichzeitig der Umsatzsicherung und dem Schutz der Abonnenten. Im Folgenden wird das Bedrohungsmodell erläutert, das sie abdecken muss.

## Bedrohung 1 – A2P-Terminierung der SIM-Box

Ein Aggregator kauft SIM-Karten von Endkunden, steckt sie in ein GSM-Gateway und wickelt A2P-Verkehr wie gewöhnliche SMS ab. Der Mobilfunkanbieter sieht den P2P-Verkehr, berechnet ihn zu P2P-Tarifen (oft nahe null), und der Aggregator streicht die A2P-Marge ein. Die Erkennung basiert auf Verhaltensanalysen: Echte Nutzer versenden nicht Tausende nahezu identischer Nachrichten pro Stunde von derselben Mobilfunknummer, senden nicht ausschließlich ausgehende Nachrichten ohne eingehende und weisen keine maschinentypischen, regelmäßigen Nachrichtenabstände auf.

## Bedrohung 2 – SMS-Absender-Spoofing

Auf der SS7-MAP-Schicht kann die Absenderadresse einer SMS auf eine beliebige Zeichenkette gesetzt werden. Dies ist der Mechanismus hinter Smishing-Angriffen, bei denen gefälschte Nachrichten im selben Chatverlauf wie legitime Banknachrichten erscheinen. Die Abwehrmaßnahme besteht in der Durchsetzung der Absender-IDs: Es wird registriert, welche Absender-IDs auf welchen Routen autorisiert sind. Nicht registrierte oder über die falsche Route eingehende SMS werden blockiert oder unter Quarantäne gestellt.

## Bedrohung 3 – Missbrauch von SS7-Verbindungen

- Unautorisierte SendRoutingInfoForSM (SRI-SM)-Anfragen zum Sammeln von IMSI- und Serving-MSC-Daten des Teilnehmers – Aufklärung für gezielte Angriffe.
- MT-ForwardSM-Einspeisung von Interconnect-Partnern, die das Home-SMSC und jegliche A2P-Vereinbarung vollständig umgeht.
- Standortverfolgungsanfragen (anyTimeInterrogation, ProvideSubscriberInfo), die keinen legitimen Roaming-Zweck seitens des anfragenden Netzwerks haben.

Diese Probleme werden auf der Signalisierungsschicht mit einer SS7-Firewall gelöst: kategoriebasierte MAP-Nachrichtenfilterung, Geschwindigkeitsbegrenzungen pro Verbindung und Querverweise (z. B. Ablehnung einer MT-ForwardSM-Nachricht für einen Teilnehmer, von dem das Netzwerk weiß, dass er sich nicht im angegebenen besuchten Netz befindet). Die GSMA-Standards FS.11 und FS.19 kodifizieren die empfohlenen Kategorien; eine leistungsfähige SS7-Firewall implementiert diese, anstatt sie neu zu erfinden.

## Warum Regeln allein nicht mehr ausreichen

Reine Regelsysteme versagen gegenüber Angreifern, die sich anpassen – etwa durch wechselnde Absender-IDs, unterschiedliche Nachrichteninhalte oder stündlich wechselnde Verbindungspartner. Moderne Firewalls kombinieren deterministische Regeln (Registry, Kategorie, Routenreputation) mit verhaltensbasiertem maschinellem Lernen, das Durchsatzmuster, Inhaltsähnlichkeit und Empfängerüberschneidungen über verschiedene Absender-IDs und Routen hinweg korreliert. Die Regeln erfassen bekannte Angriffe, das maschinelle Lernen adaptive. Beide Ebenen sind notwendig.

> Die Firewall von BroadNet wurde seit 2003 mit Datenverkehr von Betreibern in der MENA-Region trainiert. Regionspezifische Trainingsdaten sind wichtig – Betrugsmuster, Konventionen zur Sender-ID und Roaming-Topologien in der Golfregion unterscheiden sich so stark von globalen Durchschnittswerten, dass ein generisches Modell unzureichende Ergebnisse liefert.

## Wie eine Bereitstellung aussieht

Ein typisches Projekt läuft zwei bis vier Wochen lang im reinen Überwachungsmodus, um den Datenverkehr zu erfassen und Schwellenwerte anzupassen, ohne etwas zu blockieren. Anschließend wird auf aktive Durchsetzung umgeschaltet. Die Ergebnisse im ersten Jahr folgen einem einheitlichen Muster: Grey-Route-A2P wird wieder auf abgerechnete Routen geholt, die von Abonnenten gemeldeten Smishing-Angriffe gehen deutlich zurück, und – was Betreiber nicht immer erwarten – es entsteht ein wesentlich klareres Bild davon, wer tatsächlich welche Daten über das Netzwerk sendet.