ine Signalisierungs-Firewall prüft den SS7- und Diameter-Verbindungsverkehr und blockiert Nachrichten ohne legitimen Zweck – unberechtigte Standortabfragen, SMS-Abfangversuche und Roaming-Betrug. Sie wendet kategorienbasierte Filterung gemäß GSMA FS.11 (SS7) und FS.19 (Diameter) an. Firewalls stoppen die meisten externen Angriffe, doch raffinierte und staatlich geförderte Akteure bleiben bestehen, weshalb ein mehrschichtiger Sicherheitsansatz erforderlich ist.
Warum die Verbindungssignalisierung ein Sicherheitsproblem darstellt
SS7 und Diameter sind die Steuerungsprotokolle, die es Netzwerken ermöglichen, Anrufe weiterzuleiten, SMS zuzustellen und Roaming zu unterstützen. Sie wurden für einen kleinen Kreis vertrauenswürdiger Betreiber entwickelt und gehen daher weitgehend davon aus, dass der Absender vertrauenswürdig ist. In einer Welt mit Tausenden von Verbindungspartnern und weiterverkauften Zugängen ist diese Annahme nicht mehr gegeben. Ein Angreifer mit Signalisierungszugriff kann das Netzwerk abfragen und manipulieren, als wäre er ein legitimer Roaming-Partner.
Das Bedrohungsmodell
- Standortverfolgung – Missbrauch von Abfragen wie anyTimeInterrogation oder ProvideSubscriberInfo, um den Standort eines Teilnehmers ohne Roaming-Rechtfertigung zu ermitteln.
- SMS-Abfangen – Verwendung von SS7 MAP-Operationen (z. B. Manipulation des Nachrichten-Routings), um die SMS eines Teilnehmers, einschließlich OTPs, an einen vom Angreifer kontrollierten Punkt umzuleiten.
- Teilnehmeraufklärung – unautorisierte SendRoutingInfoForSM (SRI-SM)-Anfragen sammeln IMSI- und Serving-Network-Daten, um gezielte Angriffe vorzubereiten.
- Roaming-Interconnect-Betrug – MT-ForwardSM-Injection und damit verbundener Missbrauch, der die Kontrollmechanismen des Heimnetzwerks und jegliche A2P-Vereinbarung umgeht.
- Verweigerung und Störung – fehlerhafte oder Hochgeschwindigkeitssignale werden verwendet, um den Dienst für ausgewählte Abonnenten zu beeinträchtigen.
Der gemeinsame Nenner ist, dass all diese Vorgänge auf legitimen Protokolloperationen basieren. Es gibt keine einzelne „Angriffsnachricht“, die blockiert werden könnte – dieselbe Operation ist harmlos, wenn sie von einem legitimen Roaming-Partner stammt, und bösartig, wenn ein Angreifer keinen Grund hat, sie zu senden. Genau das macht die Signalsicherheit zu einem Filter- und Kontextproblem und nicht zu einer einfachen Zulassungs-/Sperrliste.
Die Regelsätze: FS.11, FS.19 und die zugehörigen Spezifikationen
Eine leistungsfähige Signalisierungs-Firewall erfindet ihre Kategorien nicht selbst – sie setzt die von der GSMA definierten Richtlinien um. Diese Dokumente legen fest, welche Operationen überwacht, welche von welchen Quellen blockiert und wie Verbindungsnachrichten nach Risiko kategorisiert werden.
| Dokumentieren | Umfang | Was es definiert |
|---|---|---|
| GSMA FS.11 | SS7-Verbindung | SS7-Sicherheitsüberwachung und Firewall-Richtlinien; Nachrichtenkategorien und Kontrollen |
| GSMA FS.19 | Durchmesserverbindung | Leitfaden zur Sicherheit von Diameter (4G/LTE)-Verbindungen |
| GSMA IR.70 / IR.71 | SMS / Verbindung | SMS-Interworking und bewährte Verfahren |
| 3GPP TS 23.840 | Kernnetzwerk | Technische Referenz, die dem SMS-Routing-Verhalten zugrunde liegt |
In FS.11 werden SS7-MAP-Nachrichten kategorisiert, je nachdem, ob sie von einem Interconnect-Partner empfangen werden sollen, ob sie nur für das Heimnetzwerk des Teilnehmers gelten oder ob sie nur gültig sind, wenn sich der Teilnehmer tatsächlich im anfragenden Netzwerk im Roaming befindet. Die Firewall setzt diese Kategorien durch, legt Geschwindigkeitsbegrenzungen pro Partner fest und führt Querverweise durch – beispielsweise wird eine MT-ForwardSM-Nachricht für einen Teilnehmer abgelehnt, von dem das Netzwerk weiß, dass er sich nicht im angegebenen besuchten Netzwerk im Roaming befindet.
Was eine Signalisierungs-Firewall verhindert – und was nicht.
Eine implementierte und konfigurierte Signalisierungs-Firewall blockiert den Großteil externer SS7- und Diameter-Angriffe: Standortabfragen, Aufklärung, Abfangversuche und Roaming-Betrug, die den größten Teil der Bedrohung ausmachen. Dies bedeutet eine erhebliche Reduzierung des Risikos für Abonnenten und Umsätze.
Es handelt sich nicht um eine absolute Garantie. Raffinierte und gut ausgestattete Akteure – darunter auch staatliche Organisationen – finden immer wieder Wege: neuartige Nachrichtenkombinationen, Missbrauch scheinbar legitimer Roaming-Status oder Zugriff über das kompromittierte Netzwerk eines vertrauenswürdigen Partners. Deshalb wird Signalisierungssicherheit als mehrschichtige Verteidigung konzipiert, nicht als einzelnes Gerät: Firewall plus Überwachung plus Anomalieerkennung plus Partner-Governance – so aufgebaut, dass ein Umgehungsversuch auf einer Ebene auch auf einer anderen erkannt wird.
Die SS7-Firewall von BroadNet implementiert FS.11- und FS.19-Kategorien mit partnerspezifischen Geschwindigkeitsbegrenzungen und Roaming-Status-Querschnittsprüfungen und speist Signalisierungsereignisse in Signalisierungs- und CDR-Analysen ein, sodass Anomalien, die einer statischen Regel entgehen, dennoch in der Überwachung sichtbar werden.
Wie die Betreiber es einsetzen
Ein typischer Rollout beginnt im reinen Überwachungsmodus, um das normale Verbindungsverhalten ohne Datenverlust zu ermitteln. Anschließend wird auf aktives Blockieren umgeschaltet, sobald Kategorien und Geschwindigkeitsschwellenwerte an die tatsächliche Partnerstruktur des Betreibers angepasst sind. Die Überwachungsergebnisse sind an sich schon wertvoll – viele Betreiber entdecken Verbindungspartner, die Operationen senden, für die sie keinen legitimen Grund hatten. Eine kurze Erläuterung der Konzepte finden Sie in unseren Antworten zu SS7-Signalisierungssicherheit und Diameter-Signalisierungssicherheit.
Häufig gestellte Fragen
Worin besteht der Unterschied zwischen SS7- und Diameter-Sicherheit?
SS7 ist das ältere Signalisierungsprotokoll für 2G/3G-Netze; Diameter ist das entsprechende Protokoll für 4G/LTE. Beide Protokolle übertragen Verbindungs- und Roaming-Signalisierungen, die für Ortung, Abhören und Betrug missbraucht werden können. GSMA FS.11 enthält die Sicherheitsrichtlinien für SS7, FS.19 deckt Diameter ab. Daher ist für einen umfassenden Schutz eine Firewall auf beiden Ebenen erforderlich, nicht nur auf einer.
Kann eine Signalisierungs-Firewall alle SS7-Angriffe stoppen?
Nein. Eine gut konfigurierte Firewall blockiert die überwiegende Mehrheit der externen SS7- und Diameter-Angriffe – Standortverfolgung, Aufklärung, Abhörversuche und Roaming-Betrug. Raffinierte Akteure und staatliche Stellen können jedoch weiterhin neue Wege finden. Daher ist Signalsicherheit eine mehrschichtige Verteidigung: Firewall, Überwachung, Anomalieerkennung und Partner-Governance – allesamt miteinander verbunden.
Was sind GSMA FS.11 und FS.19?
Es handelt sich um GSMA-Sicherheitsrichtlinien für die Verbindungssignalisierung. FS.11 umfasst die Sicherheitsüberwachung und Firewall-Richtlinien für SS7-Verbindungen und definiert Nachrichtenkategorien und -kontrollen. FS.19 behandelt die Sicherheit von Diameter-Verbindungen für 4G/LTE. Eine Signalisierungs-Firewall implementiert diese Kategorien, anstatt sie neu zu erfinden, und unterstützt Spezifikationen wie IR.70/IR.71 und 3GPP TS 23.840.
Wie ermöglicht die SS7-Signalisierung Angreifern das Abfangen von SMS?
Durch den Missbrauch legitimer MAP-Operationen zur Beeinflussung des Nachrichten-Routings eines Teilnehmers kann ein Angreifer mit Signalisierungszugriff eingehende SMS – einschließlich Einmalpasswörter – an einen von ihm kontrollierten Punkt umleiten. Die Firewall schützt davor mit kategorienbasierter Filterung und Roaming-Status-Abgleich, der Operationen von Partnern ohne gültigen Sendegrund ablehnt.