Ist eine eSIM sicher? Die Fakten zur Sicherheit erklärt

Ja: Eine eSIM ist nicht weniger sicher als eine physische SIM-Karte, und in mehreren Punkten sogar sicherer. eSIM-Profile sind an einen einzigen zertifizierten Chip (das eUICC) gebunden, nach dem SGP.22-Standard der GSMA für die Remote-Bereitstellung. Ein Profil lässt sich daher nicht auf ein anderes Gerät kopieren, anders als bei einer entnehmbaren SIM-Karte, die jemand mit physischem Zugriff manchmal austauscht oder klont.

#Wie funktioniert eSIM-Sicherheit eigentlich?

Eine eSIM (embedded SIM) ist ein kleiner, fest verlöteter Chip im Gerät statt einer entnehmbaren Karte. Sie speichert ein oder mehrere Anbieterprofile, aktiv ist aber immer nur eines. Die GSMA, die globale Standardisierungsorganisation der Mobilfunkbranche, veröffentlicht die Sicherheitsanalyse ihrer Spezifikation zur Remote-SIM-Bereitstellung, die den SGP.22-Standard regelt: Jeder Profil-Download läuft über eine gegenseitig authentifizierte TLS-Verbindung zwischen dem eUICC-Chip des Telefons und dem SM-DP+-Server des Anbieters, mit geräteeigenen Zertifikaten, die keine Seite fälschen kann.

Der Chip selbst trägt eine eigene Zertifizierung. Das eUICC Security Assurance (eSA)-Programm der GSMA prüft eUICC-Hardware und -Software gegen Common-Criteria-Sicherheitsprofile durch unabhängige, lizenzierte Labore, dasselbe Prüfverfahren wie bei Chips für Zahlungskarten und Reisepässe, bevor ein Chip überhaupt in einem Telefon verbaut werden darf.

Eine Datenonly-eSIM wie die Japan-eSIM von co:sim wird über genau diese SGP.22-konforme Infrastruktur bereitgestellt: Der QR-Code, den man nach dem Checkout scannt, löst eine zertifikatsauthentifizierte Verbindung zwischen dem eUICC des Telefons und dem SM-DP+-Server des Anbieters aus, keine bloße Dateiübertragung. Jede co:sim-Tarifseite nennt zudem das zugrunde liegende Netz und die Installationsfrist, sodass klar ist, womit man sich vor dem Kauf verbindet.

#Ist SIM-Swap-Betrug mit einer eSIM leichter oder schwerer?

Keines der beiden Formate ändert die eigentliche Schwachstelle. Die Hinweise der FTC zu SIM-Swap-Betrug erklären, dass ein Swap passiert, wenn ein Betrüger den Mobilfunkanbieter dazu bringt, die Nummer auf ein Gerät unter seiner Kontrolle zu übertragen, ein Social-Engineering-Angriff auf die Identitätsprüfung des Anbieters, kein technischer Fehler der SIM-Hardware selbst. Eine eSIM lässt sich nicht physisch herausnehmen und anderswo wieder einsetzen, was Diebstahl aus einem verlorenen Telefon als Angriffsweg ausschließt, verhindert aber nicht, dass sich jemand am Telefon durch die Kundenbetreuung schwindelt.

Datenonly-Tarife umgehen diese Betrugsform ganz: co:sim-eSIMs haben keine Telefonnummer, sodass der Nummernportierungs-Betrug, auf dem SIM-Swap beruht, bei einer co:sim-eSIM schlicht kein Ziel findet. Wer SMS-Codes für die Zwei-Faktor-Authentifizierung der Hauptnummer nutzt, sollte eher diese Nummer schützen (eine Authenticator-App statt SMS, eine Anbieter-PIN) als sich über das SIM-Format Gedanken zu machen.

#Was passiert mit den Daten, wenn das Telefon verloren geht?

Der Verlust des Geräts ist ein größeres Risiko als der Verlust der SIM. Apples Anleitung für ein gestohlenes iPhone oder iPad empfiehlt, das Gerät sofort über "Wo ist?" als verloren zu markieren, was es mit der Aktivierungssperre verriegelt und für die Reaktivierung das Kontopasswort verlangt, und rät davon ab, es aus "Wo ist?" zu entfernen, da das die Sperre aufhebt und das Telefon wieder verkäuflich macht. Das Android-Gegenstück, Mein Gerät finden, folgt derselben Sperr- und Ortungslogik.

Keine dieser Fernlöschfunktionen deaktiviert eine SIM auf Netzebene, weder physisch noch embedded, daher bleibt die Kontaktaufnahme mit dem Anbieter zur Sperrung des Dienstes in beiden Fällen ein notwendiger Schritt. Bei einer eSIM ist genau diese anbieterseitige Sperrung der einzige Weg, sie zu deaktivieren, da keine physische Karte zum Entfernen existiert. Im co:sim-Kontodashboard lässt sich jederzeit der Status der aktiven eSIM einsehen; der Tarif selbst enthält nie eine Telefonnummer oder Zahlungsdaten, die ein Dieb direkt nutzen könnte.

#FAQ

#Kann jemand mein eSIM-Profil klonen oder auf ein anderes Telefon kopieren?

In der Praxis nicht. Ein eSIM-Profil wird einmalig über eine gegenseitig authentifizierte TLS-Sitzung heruntergeladen und nach dem SGP.22-Standard der GSMA an die spezifische eUICC-Chip-Kennung des Geräts gebunden: Es gibt keine Datei, die ein Dieb abgreifen und auf ein zweites Gerät laden könnte, anders als bei den alten SIM-Klonangriffen, die vor Jahrzehnten gegen manche schlecht abgesicherte SIM-Karten funktionierten. Die eigene Sicherheitsprüfung der GSMA bestätigt, dass die Sicherheitsziele des Protokolls auch gegen Netzwerkangreifer standhalten, ein Dritter, der den Download-Verkehr abfängt, kann daraus also keine nutzbare Kopie des Profils extrahieren. Das reale Risiko liegt eine Ebene höher, bei einem kompromittierten Anbieterkonto oder Bereitstellungsserver statt bei der eSIM selbst, dasselbe Risiko gilt ebenso für eine physische SIM. Deshalb läuft die Bereitstellung bei co:sim über diese zertifizierte Infrastruktur statt über eine simple Konfigurationsdatei per E-Mail, und deshalb nennt jede Tarifseite genau, welches Netz und welcher Anbieter hinter der jeweiligen eSIM stehen, bevor man kauft — ein konkreter Punkt, den man bei jedem Anbieter vorab prüfen sollte.

#Ist eine eSIM sicherer als eine physische SIM-Karte bei SIM-Swap-Betrug?

Sie beseitigt ein konkretes Risiko: Ein Dieb kann eine eSIM nicht herausnehmen und in einem anderen Gerät weiterverwenden, weil physisch nichts zu entnehmen ist. Aber die Hinweise der FTC zu SIM-Swap-Betrug machen deutlich, dass der Hauptangriff auf die Identitätsprüfung des Anbieters zielt, nicht auf die SIM-Hardware, sodass sowohl physisches als auch embedded Format dieser Betrugsform gleichermaßen ausgesetzt bleiben. Ein Betrüger, der einen Support-Mitarbeiter dazu bringt, die Nummer zu übertragen, kann das unabhängig davon tun, ob eine Plastikkarte oder ein eUICC-Chip verwendet wird. Datenonly-eSIMs wie die von co:sim umgehen das Problem anders: Sie haben von vornherein keine Telefonnummer, sodass der Portierungs-Betrug, auf dem SIM-Swap beruht, bei einer co:sim-eSIM nichts zu kapern findet, auch wenn das zugrunde liegende Authentifizierungsrisiko beim Anbieter weiterhin für die Hauptrufnummer gilt.

#Welchen Sicherheitsstandard müssen eSIM-Anbieter einhalten?

Der SGP.22-Standard der GSMA definiert die Architektur der Remote-SIM-Bereitstellung, die jeder Consumer-eSIM-Anbieter zum Herunterladen, Speichern und Wechseln von Anbieterprofilen nutzt, mit gegenseitig authentifizierten, verschlüsselten Sitzungen zwischen dem eUICC des Geräts und dem Bereitstellungsserver, damit sich keine Seite als die andere ausgeben kann. Der physische Chip, der diese Profile speichert, wird separat zertifiziert, nach dem eUICC Security Assurance (eSA)-Programm der GSMA, das eine Common-Criteria-basierte Prüfung durch unabhängige, GSMA-lizenzierte Labore verlangt, bevor ein eUICC in einem Telefon verbaut werden darf. Zusammen decken beide Ebenen den gesamten Prozess ab: SGP.22 sichert den Weg eines Profils vom Anbieter zum Gerät, eSA zertifiziert die Hardware, die es speichert, sobald es ankommt. Jeder eSIM-Anbieter, mit dem co:sim zusammenarbeitet, und jeder Telefonhersteller mit eSIM-Unterstützung, baut auf genau diesem zweistufigen Standard auf statt auf einer proprietären Alternative.

#Sollte man die eSIM vor dem Verkauf des Telefons entfernen?

Ja. Zuerst das Gerät vollständig in den Einstellungen zurücksetzen, was eSIM-Profile zusammen mit allen anderen Einstellungen und Konten löscht, dann separat den Anbieter kontaktieren, um den zugrunde liegenden Tarif zu kündigen oder zu übertragen, denn ein reiner Werksreset kündigt den Dienst auf Netzebene nicht immer automatisch, das Profil kann auch nach dem Löschen des Telefons weiter bereitgestellt bleiben. Apples Anleitung für verlorene oder gestohlene Geräte, eigentlich für diesen Fall gedacht, passt genauso gut zu einem freiwilligen Verkauf: prüfen, dass keine Verloren-Markierung mehr aktiv ist, sich von der Apple-ID oder dem Google-Konto abmelden, und bestätigen, dass das Gerät als vollständig gelöscht angezeigt wird, bevor man es weitergibt. Diese Reihenfolge verhindert, dass der nächste Besitzer das Anbieterprofil, die Bereitstellungshistorie oder co:sim-Kontodaten des alten Geräts sieht, und dass Nummer oder Datentarif mit dem Telefon zum neuen Besitzer wandern.

#Kündigt der Verlust des Telefons automatisch meinen eSIM-Datentarif?

Nein, der Verlust des Geräts kündigt den zugrunde liegenden Tarif nicht von selbst. Das eSIM-Profil bleibt auf dem (nun verschwundenen) eUICC-Chip bereitgestellt, bis man selbst oder der Anbieter es aktiv kündigt, genau deshalb bleibt die Kontaktaufnahme mit dem Anbieter zur Dienstsperrung nach Verlust oder Diebstahl ein notwendiger Schritt, genau wie bei einer physischen SIM. Es gibt keinen in den eSIM-Standard eingebauten Fern-"Kill-Switch", den der Besitzer eines verlorenen Geräts ohne Mitwirkung des Anbieters auslösen könnte. co:sim-Tarife sind datenonly und prepaid, ohne laufenden Vertrag oder wiederkehrende Rechnung, die zu stoppen wäre, es besteht also kein Abrechnungsrisiko durch ein verlorenes Telefon, wie es bei einer Postpaid-Sprachleitung der Fall sein kann. Man kann den Status eines Tarifs, seine Installationsfrist oder Hilfe jederzeit über das co:sim-Kontodashboard prüfen, unabhängig vom Gerät, auf dem er ursprünglich installiert wurde.

Bei der Wahl eines Datentarifs für die nächste Reise ist es ein konkretes Kriterium, ob der Anbieter diesen GSMA-Standard SGP.22 durchgängig einhält, nicht nur eine Formalie. Genau das bietet co:sim: zertifizierte Bereitstellung, QR-Code per E-Mail innerhalb weniger Sekunden nach dem Checkout, und aufladbare (reloadable) Tarife, die Daten ergänzen, ohne neu zu installieren. Eine solide Grundlage, um vor Ort nicht noch einmal darüber nachdenken zu müssen.