Das Absichern von Nutzerkonten via SMS war auf vielen Plattformen über Jahre äußerst beliebt: Nutzer verfügen im Allgemeinen nur über eine Mobilfunknummer, und das Empfangsgerät, ihr Smartphone, haben sie immer dabei. Allmählich traten jedoch immer häufiger die Nachteile dieser scheinbar robusten Authentifizierungsmethode an die Öffentlichkeit. Ein Bericht von Lighthouse Reports dokumentiert nun einen besonders krassen Fall: Ein Whistleblower übermittelte den Journalisten eine Datensammlung von etwa einer Million via SMS versandter Einmal-Codes. Sie stammen alle aus einem einzigen Monat und durchliefen das Netzwerk eines kleinen Telekommunikationsunternehmens, dessen Gründer ebenfalls für Überwachungsunternehmen und Geheimdienste arbeitete.


Jeder dieser Nachrichten war mit umfangreichen Metadaten verknüpft, welche sowohl den Absender als auch die Mobilfunknummer des Empfängers offenbarten. Zur richtigen Zeit in entsprechende Hände umgeleitet, konnte dieser Einmal-Code eine Hintertür in ein Nutzerkonto öffnen. Die Millionen Nachrichten liefen durch das Netzwerk einer kleinen Schweizer Firma namens Fink Telecom Services. Dieses Unternehmen spezialisiert sich darauf, Textnachrichten international zu einem möglichst günstigen Preis zu versenden. Fink Telecom Services offeriert die SMS-Übermittlung in über 100 Länder. Die Web-Plattformen treten oftmals nicht direkt mit diesem Unternehmen in Kontakt; dazwischen befindet sich mindestens eine weitere Ebene an Dienstleistern.

Unternehmer weist Vorwürfe zurück
Bloomberg konfrontierte Firmengründer Andreas Fink mit den Vorwürfen. Er dementierte, dass sein im Jahr 2016 gegründetes Unternehmen die übermittelten Inhalte analysiere oder anderweitig mit ihnen interagiere. Außerdem arbeite Fink Telecom Services mittlerweile nicht mehr im Überwachungssektor. Die Echtheit der Daten wollte er nicht bestätigen. Lighthouse berichtete bereits im Mai 2023 über Fälle, in denen das Unternehmen an gezielten Account-Übernahmen beteiligt gewesen sein soll.

Alternative: Einmalcode oder Passkey
Die grundsätzlich unverschlüsselte Übertragungsform macht es schwierig bis unmöglich, Kommunikation via SMS wirkungsvoll abzusichern. Einzelfälle haben zudem belegt, dass es recht einfach möglich ist, ein Telekom-Unternehmen zum Versand einer zweiten SIM-Karte an eine neue Adresse zu überreden. Seit Jahren existieren sicherere Authentifizierungsmöglichkeiten. In Apples 2024 eingeführten Passwort-App für macOS, iOS, iPadOS und visionOS können Anwender Einmal-Codes für Dienste wie Dropbox einrichten; ein entsprechendes Account wird auf alle per iCloud-Konto verbundenen Geräte synchronisiert. Passkeys gehen einen Schritt weiter und koppeln eine Anmeldung an biometrische Daten, etwa aus Face ID oder einem Touch ID-Sensor.