Schützen Sie die Nummer, prüfen Sie aber auch jeden Kontozugangsweg, der sie als Identitätsnachweis behandelt.
Ein SIM-Swap überträgt die Kontrolle über Ihre Telefonnummer auf eine vom Angreifer kontrollierte SIM oder eSIM. Wenn ein Messaging-Konto SMS als ausreichenden Nachweis für Registrierung, Anmeldung oder Wiederherstellung akzeptiert, kann der Angreifer diesen Weg möglicherweise ausnutzen.
Das Ergebnis ist nicht bei jedem Messenger gleich. Eine zusätzliche Registrierungssperre, ein Passkey, ein Passwort oder ein unabhängiges Wiederherstellungsgeheimnis kann beeinflussen, was der Angreifer tun kann. Die Übernahme einer Nummer entschlüsselt auch nicht automatisch alle alten Unterhaltungen auf Ihren Geräten.
Wie die Kontrolle über eine Nummer zur Kontokontrolle wird
Die SIM-Swap-Empfehlungen der US-amerikanischen Federal Trade Commission beschreiben, wie Angreifer einen Mobilfunkanbieter dazu bringen, die Nummer eines Opfers auf einer anderen SIM zu aktivieren. Eingehende Bestätigungs-SMS und Anrufe können dann den Angreifer erreichen.
Die entscheidende Schwachstelle ist die Entscheidung des Kontos, dieser Nummer zu vertrauen. Ein Dienst könnte sie zur Erstregistrierung, für einen zusätzlichen Verifizierungsschritt oder zum Zurücksetzen eines Passworts nutzen. Dies sind unterschiedliche Befugnisse. Prüfen Sie alle, einschließlich der Ausweichoptionen, statt nur die normale Anmeldeseite zu betrachten.
Ein plötzlicher Verlust des Mobilfunkempfangs oder eine unerwartete SIM-Aktivierungsmitteilung kann ein Warnzeichen sein, obwohl Ausfälle und gewöhnliche Kontoprobleme ähnlich aussehen können. Klären Sie dies über einen bekannten offiziellen Kontaktweg mit dem Anbieter.
Identitätsvortäuschung vom Zugriff auf alte Nachrichten trennen
Ein neu registriertes, vom Angreifer kontrolliertes Gerät kann sich je nach App-Regeln möglicherweise als Sie ausgeben oder künftige Mitteilungen erhalten. Für den Zugriff auf alte Verläufe braucht es eine zusätzliche Erklärung: eine lesbare Serverkopie, Zugriff auf ein verschlüsseltes Backup und dessen Schlüssel, ein verknüpftes Gerät oder eine lokale Kopie.
| Gut | Liefert die Kontrolle über die Nummer allein es zwangsläufig? |
|---|---|
| Eingehende SMS-Bestätigungscodes | Möglicherweise, sobald die Nummer übertragen wurde |
| Kontoregistrierung oder Zurücksetzen | Nur wenn der Dienst diesen Weg ohne unabhängige Voraussetzung akzeptiert |
| Bestehende Gerätesitzungen | Nicht automatisch; die Regeln zur Sitzungsverwaltung sind wichtig |
| Alter E2EE-Chatverlauf | Nicht automatisch; der Angreifer benötigt weiterhin eine zugängliche Kopie und die erforderlichen Schlüssel |
| Künftige Nachrichten an eine neu akzeptierte Identität | Ein Risiko, das von Identitätsprüfung und Kontoverhalten abhängt |
Warnungen vor Schlüsseländerungen und das unabhängige Prüfen der Identität eines Kontakts können helfen, einen unerwarteten neuen Endpunkt zu erkennen. Sie sollten nicht ignoriert werden, nur weil die bekannte Telefonnummer gleich bleibt.
Was SRP beiträgt und was es nicht versprechen kann
SRP authentifiziert die Kenntnis eines Passworts, ohne dieses im vorgesehenen Austausch zu senden. Wenn die Anmeldung tatsächlich ein unabhängiges Passwort erfordert und kein SMS-Ausweichweg es umgeht, erfüllt der Diebstahl der Nummer allein diese Voraussetzung nicht.
SRP selbst legt weder die Telefonnummernrichtlinie noch den Rücksetzprozess oder die Supportverfahren der App fest. Es macht ein schwaches Passwort nicht stark und verhindert nicht, dass Phishing-Code auf einer bösartigen Seite eingegebenen Text liest. Auch der Verifikator auf dem Server bleibt sensibel: Abschnitt 3.3 von RFC 5054 beschreibt das Erraten von Passwörtern nach einem Verifikatordiebstahl.
Passkeys und Sicherheitsschlüssel sind weitere mögliche Wege, die Abhängigkeit von SMS zu verringern, sofern der Dienst sie unterstützt. Die Passkey-Erklärung der FIDO Alliance beschreibt Public-Key-Zugangsdaten und Phishing-Resistenz. Der tatsächliche Kontowiederherstellungsweg muss dennoch geprüft werden, unabhängig von der regulären Anmeldemethode.
Livaras dokumentierte Trennung
Livaras Sicherheitsseite beschreibt die SRP-Anmeldung getrennt vom verschlüsselten Identitätsbackup. Version 7 versiegelt Identitätsmaterial vor dem Hochladen unter einem separaten Wiederherstellungsschlüssel und stellt die Identität wieder her, nicht den Chatverlauf. Laut dem Bedrohungsmodell kann ein gestohlenes Passwort allein diese Verschlüsselungsschlüssel nicht wiederherstellen.
Diese Grenzen helfen, Authentifizierung von Entschlüsselung zu unterscheiden. Sie rechtfertigen kein Versprechen, dass jeder Weg zur Kontoübernahme geprüft wurde oder ein Vorfall beim Mobilfunkanbieter keine Auswirkungen haben kann. Prüfen Sie die aktuellen Anmelde- und Wiederherstellungsoptionen im Client; leiten Sie kein undokumentiertes Verhalten aus einem Protokollnamen ab.
Postquanten-Schlüsselvereinbarung behandelt ein anderes Problem: künftige Angriffe auf aufgezeichneten verschlüsselten Verkehr. Sie hindert einen Anbieter nicht daran, eine Telefonnummer zu übertragen, und verhindert nicht, dass ein Konto einer abgefangenen SMS vertraut.
Risiken vor einem Vorfall verringern
- Schützen Sie das Mobilfunkkonto mit einer separaten PIN oder einem Passwort sowie verfügbaren Portierungssperren.
- Bevorzugen Sie starke Authentifizierung ohne SMS, wo sie unterstützt wird, und bewahren Sie Wiederherstellungsoptionen sicher auf.
- Prüfen Sie, ob die Kontowiederherstellung unbemerkt auf die Telefonnummer zurückfällt.
- Verwenden Sie einzigartige Passwörter und schützen Sie das zur Wiederherstellung verwendete E-Mail-Konto.
- Machen Sie sich damit vertraut, wie der Messenger verknüpfte Geräte, Registrierungsänderungen und Schlüsseländerungen von Kontakten anzeigt.
Wenn Sie vermuten, dass Ihre Nummer übernommen wurde
- Kontaktieren Sie den Anbieter sofort über einen verifizierten Kanal und bitten Sie um Untersuchung und Wiederherstellung der Nummer.
- Sichern Sie betroffene Konten von einem vertrauenswürdigen Gerät aus und prüfen Sie unbekannte Sitzungen. Die Rückgewinnung der Nummer beendet nicht unbedingt eine bestehende Sitzung des Angreifers.
- Prüfen Sie Wiederherstellungseinstellungen auf Änderungen und setzen Sie kompromittierte Zugangsdaten über offizielle Abläufe zurück.
- Warnen Sie wichtige Kontakte über einen anderen vertrauenswürdigen Weg, wenn Identitätsvortäuschung möglich ist. Prüfen Sie geänderte kryptografische Identitäten erneut.
- Bewahren Sie relevante Mitteilungen und Zeitangaben für den Support oder eine Meldung auf. Senden Sie niemals einen Einmalcode, ein Passwort oder eine Wiederherstellungsphrase an jemanden, der in einer Nachricht anbietet, das Problem zu „beheben“.
Nützlicher Schutz entsteht durch ein Kontodesign, bei dem ein gestohlener Faktor nicht alle anderen Kontrollen umgehen kann, kombiniert mit einem klaren Plan zur Wiederherstellung und zum Umgang mit Sitzungen.
