IMSI-Catcher: Funktionsweise, Rechtslage und Schutzmaßnahmen

Ein IMSI-Catcher - auch bekannt als Stingray, IMSI-Fänger oder Fake Base Station - ist ein Gerät, das sich gegenüber Mobiltelefonen als legitime Mobilfunkbasisstation ausgibt und diese zur Verbindung zwingt. Dadurch kann der Betreiber des IMSI-Catchers die International Mobile Subscriber Identity (IMSI) des Geräts identifizieren, Standorte verfolgen, Metadaten erfassen und in älteren Mobilfunkstandards auch Gespräche abfangen oder manipulieren.

Ursprünglich ausschließlich für staatliche Strafverfolgungsbehörden entwickelt, sind IMSI-Catcher heute auch als kommerzielle Produkte verfügbar und im kriminellen Umfeld nachweisbar in Verwendung.

Technische Funktionsweise

Grundprinzip: Fake Base Station

IMSI-Catcher nutzen eine fundamentale Schwachstelle im GSM-Standard (2G): Einseitige Authentifizierung. In GSM authentifiziert sich das Mobiltelefon gegenüber dem Netzwerk, nicht aber umgekehrt. Das Mobiltelefon verbindet sich schlicht mit der Basisstation, die das stärkste Signal aussendet - ohne zu prüfen, ob diese Station tatsächlich zum Mobilfunkanbieter gehört.

Ablauf eines IMSI-Catcher-Angriffs:

Signal-Dominanz: Der IMSI-Catcher sendet ein stärkeres Signal als die legitimen Basisstationen in der Umgebung aus.
Verbindungsaufbau: Das Mobiltelefon verbindet sich automatisch mit dem stärksten Signal - dem IMSI-Catcher.
Identitätsabfrage: Der IMSI-Catcher fordert das Gerät auf, seine IMSI (dauerhafter Identifikator auf der SIM) im Klartext zu übermitteln. Legitime Netze tun dies nur selten; IMSI-Catcher tun es systematisch.
Weiterleitung (optional): Der IMSI-Catcher leitet Verbindungen transparent an das echte Mobilfunknetz weiter, sodass das Opfer in der Regel keine Verbindungsunterbrechung bemerkt.
Abhören (2G): Im GSM-Netz kann der IMSI-Catcher Gespräche und SMS-Nachrichten im Klartext mitlesen, da die Verschlüsselung zwischen Gerät und Catcher deaktiviert oder gebrochen werden kann.

Einschränkungen in 3G und 4G (LTE)

In UMTS (3G) und LTE (4G) wurde gegenseitige Authentifizierung eingeführt - das Netzwerk muss sich auch gegenüber dem Gerät authentifizieren. Einfache IMSI-Catcher greifen in diesen Netzen auf einen Downgrade-Angriff zurück: Sie täuschen dem Gerät vor, kein 3G/4G-Netz verfügbar zu sein, und zwingen es zur Verbindung über das unsicherere 2G/GSM.

Fortgeschrittene kommerzielle IMSI-Catcher (einige staatliche Systeme) können auch LTE-Verbindungen abfangen, indem sie valide Authentifizierungsparameter replaying oder Man-in-the-Middle-Angriffe in LTE durchführen - dies ist technisch anspruchsvoller und teurer.

IMSI vs. IMEI

IMSI (International Mobile Subscriber Identity): Identifiziert die SIM-Karte, gespeichert auf der SIM. Wechsel der SIM ändert die IMSI.
IMEI (International Mobile Equipment Identity): Identifiziert das physische Gerät, unveränderlich in der Hardware verankert. IMSI-Catcher können auch IMEIs erfassen.

Selbst ein SIM-Wechsel schützt nicht vollständig, da die IMEI des Geräts weiterhin erfasst werden kann.

Rechtslage in Deutschland

§100i StPO - Erlaubte staatliche Nutzung

In Deutschland ist der Einsatz von IMSI-Catchern durch Strafverfolgungsbehörden (Polizei, Staatsanwaltschaft) in §100i Strafprozessordnung (StPO) geregelt. Voraussetzungen:

Verdacht einer erheblichen Straftat (Katalogstraftat nach §100a StPO)
Richtervorbehalt: Anordnung durch einen Richter erforderlich (außer bei Gefahr im Verzug)
Subsidiaritätsgrundsatz: Andere Ermittlungsmethoden müssen nicht zum Ziel führen oder erheblich erschwert sein
Verhältnismäßigkeit: Maßnahme muss verhältnismäßig zur Schwere der Tat sein
Benachrichtigungspflicht: Betroffene sind nach Abschluss der Ermittlungen grundsätzlich zu benachrichtigen

§100i erlaubt explizit die Erfassung von IMSI und IMEI zur Geräteidentifikation sowie die Standortermittlung. Das Abhören von Gesprächen ist über §100i allein nicht gestattet - dafür wäre eine gesonderte Telekommunikationsüberwachungsanordnung nach §100a StPO notwendig.

Unerlaubter Einsatz als Straftat

Der Einsatz eines IMSI-Catchers ohne staatliche Befugnis ist in Deutschland strafbar:

§202b StGB (Abfangen von Daten): Bis zu 2 Jahre Freiheitsstrafe
§202a StGB (Ausspähen von Daten): Bis zu 3 Jahre Freiheitsstrafe
§89 TKG (Abhören des Funkverkehrs): Bußgeld bis €1.000

Erkennung von IMSI-Catchern

Die zuverlässige Erkennung eines IMSI-Catchers ist technisch schwierig und für normale Nutzer kaum möglich. Folgende Hinweise können auf einen IMSI-Catcher hindeuten:

Technische Indikatoren

Forced 2G/GSM: Das Gerät wird ohne erkennbaren Grund auf 2G heruntergestuft, obwohl 4G/5G verfügbar sein sollte
Unbekannte Cell-IDs: Basisstation mit unbekannter oder ungewöhnlicher Cell-ID (LAC/TAC) erscheint im Bereich
Starker Signalabfall und -anstieg: Plötzlicher Signalabfall gefolgt von starkem Signal einer neuen Basisstation
Erhöhter Akkuverbrauch: IMSI-Catcher-bedingte häufige Netzwechsel erhöhen die Funkaktivität des Geräts

IMSI-Catcher-Detektions-Apps (eingeschränkt)

Apps wie AIMSICD (Android, Open Source) oder SnoopSnitch versuchen, verdächtige Basisstationen anhand von Netzwerkparametern zu identifizieren. Diese Apps haben jedoch deutliche Grenzen:

Keine Root-Zugriff → keine vollständigen Baseband-Informationen auf modernen Android-Versionen
Hohe False-Positive-Rate
Fortgeschrittene IMSI-Catcher können normale Netzwerkparameter imitieren

Professionelle Erkennung

Für Hochrisiko-Situationen (Journalisten, Aktivisten, Unternehmensschutz) gibt es professionelle Hardware-Detektionssysteme (z. B. GSMK CryptoPhone, Pwnie Express Produkte), die Baseband-Signale analysieren und Anomalien erkennen können.

Schutzmaßnahmen

Technische Schutzmaßnahmen

VoLTE (Voice over LTE) nutzen: VoLTE-Gespräche laufen ausschließlich über LTE-Verschlüsselung und können nicht durch einen einfachen 2G-Downgrade-Angriff abgefangen werden. Voraussetzung: Gerät und Mobilfunkanbieter müssen VoLTE unterstützen und aktivieren.

2G im Gerät deaktivieren: Auf modernen Android-Geräten und iPhones kann 2G-Konnektivität deaktiviert werden (Einstellungen → Netzwerk → Bevorzugter Netzwerktyp: LTE/4G oder 5G only). Dies verhindert den Downgrade-Angriff, hat aber Einschränkungen in Gebieten ohne 4G/5G-Abdeckung.

SUPI (5G-Nachfolger der IMSI): Im 5G-Standard wird die IMSI durch den SUPI (Subscription Permanent Identifier) ersetzt, der über eine SUCI (Subscription Concealed Identifier) verschlüsselt übertragen wird. Der öffentliche Schlüssel des Heimnetzwerks wird genutzt, sodass IMSI/SUPI im Klartext nicht mehr über die Luft übertragen werden. 5G-IMSI-Catcher der klassischen Art sind damit deutlich schwieriger umsetzbar.

Ende-zu-Ende verschlüsselte Kommunikation: Selbst wenn ein IMSI-Catcher aktiv ist, schützt Ende-zu-Ende-Verschlüsselung (Signal, Wire) den Inhalt von Nachrichten und Gesprächen. Der Angreifer erfährt dann nur Metadaten (wer mit wem kommuniziert, wann, wie lange), nicht den Gesprächsinhalt.

Airplane-Mode in sensitiven Situationen: In hochsensiblen Besprechungen kann das Deaktivieren aller Funkkommunikation (Flugmodus) oder das Verwenden von Faraday-Taschen für Mobiltelefone den Schutz erhöhen.

Organisatorische Maßnahmen

Sensibilisierung von Mitarbeitenden in Hochrisikofunktionen (Führungsebene, M&A-Teams, Rechtsabteilung)
Richtlinie für sensitive Gespräche: Mobiltelefone außerhalb des Besprechungsraums
Für kritische Kommunikation: Dedizierte Verschlüsselungstelefone oder VoIP über verschlüsselte VPN-Verbindungen

IMSI-Catcher im OSINT- und Pentest-Kontext

Im Rahmen von Red-Team-Übungen und physischen Penetrationstests können IMSI-Catcher eingesetzt werden (mit ausdrücklicher Genehmigung des Auftraggebers), um zu testen, ob:

Mitarbeitende sensible Gespräche in öffentlichen Bereichen führen
Unternehmen über geeignete Schutzmaßnahmen für mobile Kommunikation verfügen
Awareness-Schulungen zur Wirkung kommen

Jeder Einsatz ohne schriftliche Beauftragung ist - wie oben beschrieben - strafbar.