Bonn, 22.06.2023

SIM-Swapping und Authentifizierung

Es gibt immer wieder sog. SIM-Swapping-Fälle, in denen sich eine fremde Person in betrügerischer Weise die Kontrolle über eine Mobilfunknummern einer anderen Personen verschafft. Besonders brenzlig wird es, wenn die Opfer diese Mobilfunknummer über smsTAN-Verfahren als Zugangsfaktor für andere Online-Dienste nutzen. Bereits dieses Beispiel zeigt: Es ist wichtig, dass risikobehaftete Geschäftsprozesse der Telekommunikationsunternehmen nur nach einer sicheren Authentifizierung des Nutzers erfolgen. Ein neues Arbeitspapier des BfDI gibt Hinweise, welche Parameter hierfür zu bedenken sind.

SIM-Swapping ist besonders gefährlich, wenn die Opfer ihre Mobilfunknummer über smsTAN-Verfahren als Zugangsfaktor für verschiedene Online-Dienste verwenden. Denn diese können dann ebenfalls von den Kriminellen übernommen werden. Der Betug funktioniert z. B. mit gestohlenen Zugangsdaten für den Online-Account bei einem Telefonanbieter. Mit diesen Daten lässt sich der Betrüger eine Ersatz-SIM-Karte ausstellen. Noch einfacher funktioniert dies mit der eSIM, bei der nicht einmal mehr eine SIM-Karte per Post zugesandt werden muss.

Der BfDI als zuständige datenschutzrechtliche Aufsichtsbehörde für die Anbieter von Telekommunikationsdiensten wirkt bereits seit einiger Zeit darauf hin, den Schutz der personenbezogenen Daten bei den Prozessen im Callcenter weiter zu verbessern, um Missbrauchsfälle wie beispielsweise das SIM-Swapping zu erschweren. Entscheidend sind hier angemessene Schutzmechanismen für die Authentifikation, sei es im Callcenter, aber auch beim Online-Account des Mobilfunkanbieters oder im Handy-Shop.

In einem Arbeitspapier zu Authentifikation >>>> im Telekommunikationsbereich und Risikofeldern hat der BfDI aus den ihm im Rahmen seiner Aufsichtstätigkeit bekannt gewordenen Praxisfällen eine Zusammenstellung von typischen Risiken im TK-Bereich vorgenommen und mit Blick auf Grundprinzipien für eine Authentifikation sortiert.

(Quelle: BfDI – Der Bundesbeauftragte für den Datenschutz)