Beliebte eSIM-Anbieter leiten Daten über China – Sicherheitsbedenken bei Reise-Apps
Forschende der Northeastern University in Boston untersuchten 25 eSIM-Anbieter und stellten bei nahezu allen gravierende Mängel im Bereich Datenschutz und Routing fest.
Ihre Ergebnisse präsentierten sie auf der Sicherheitskonferenz Usenix Security 25. Besonders problematisch: Viele Dienste leiten Internetverkehr über Drittstaaten, was nicht nur technische Einschränkungen, sondern auch datenschutzrechtliche Risiken mit sich bringt.
Beispiel Holafly: Chinesische IP trotz europäischem Anbieter
Der Anbieter Holafly, offiziell mit Sitz in Irland, routet den Datenverkehr offenbar über China Mobile. Nutzer:innen erhalten dadurch eine chinesische IP-Adresse – selbst dann, wenn andere Ortungsdienste wie GPS oder WLAN deaktiviert sind. Das Smartphone geht dann fälschlich von einem Standort in China aus, was etwa zu veränderten Zugriffen auf Websites führt. Im Test war so etwa der Zugriff auf chinesische Plattformen möglich, die in den USA normalerweise gesperrt sind.
Zugriff auf sensible Daten möglich
China Mobile könnte dabei Einblick in besuchte Webseiten, aktive Browser-Sitzungen und den ungefähren Standort der Nutzer:innen erhalten. Auch bei eSIM Access registrierten die Forschenden regelmäßige Verbindungen zu einem Server in Singapur, wobei ebenfalls die reale IP-Adresse der Nutzenden übertragen wurde.
Kritik an mangelnder Kontrolle und SIM-Swaps
Die Analyse zeigt zudem grundlegende strukturelle Schwächen im eSIM-System. Die Vielzahl teils intransparenter Wiederverkäufer erschwert es, Netzpartner und Datenflüsse nachzuvollziehen. Zugleich steigt das Risiko sogenannter SIM-Swap-Angriffe, bei denen Angreifer die Kontrolle über eine Mobilfunkverbindung übernehmen können.
Empfehlungen der Forscher
Die Sicherheitsforscher fordern verpflichtende Offenlegungspflichten für eSIM-Anbieter: Diese sollen darlegen, wie sie mit Daten umgehen, mit welchen Partnern sie zusammenarbeiten und über welche Netze der Datenverkehr läuft. Auch der Wiederverkauf von eSIMs müsse klar geregelt und die Nutzung von Multi-Faktor-Authentifizierung bei der Autorisierung verpflichtend gemacht werden.
(VOL.AT)