Zusammenfassung

  • ARIN schloss Suggestion 2022.29 am 24. August 2026. Die begrenzt unterstützten Mobilnummern außerhalb der Serviceregion hätten einen kostspieligen Angriffsweg erzeugt; neue externe Mobilfunkcodes sollen für SMS nicht freigeschaltet werden.
  • Die laufende Kontrolle ist eine gepflegte Zielliste und keine reine Regionsgrenze: Einige Gebiete innerhalb der ARIN-Region sind nicht unterstützt, Trinidad und Tobago bleibt dagegen als externe Ausnahme aufgeführt.
  • Angriffsmethode, Umfang und Kosten sind nicht veröffentlicht. Nötig ist ein datenschutzverträglicher, versionierter Nachweis für Listenänderungen und Alternativen, nicht die Offenlegung von Telefonnummern oder Abwehrschwellen.

Eine Zugangsfrage wurde zur Kostenfrage

Als Andy Beverly im November 2022 Suggestion 2022.29 einreichte, ging es um eine naheliegende Hürde: Administratoren mit einer Mobilnummer außerhalb der ARIN-Region konnten SMS nicht als zweiten Faktor wählen. ARIN hielt den Vorschlag während einer Konsultation und der Entwicklung weiterer Verfahren offen.

Die Schlussantwort vom August 2026 verwendet einen anderen Maßstab. Aus der Erfahrung mit den wenigen bereits zugelassenen externen Nummern sei ein kostspieliger Angriffsvektor hervorgegangen. Wegen der realen Kosten und anderer Authentisierungsoptionen plant ARIN keine neuen SMS-Mobilfunkcodes außerhalb der Region.

Das belegt eine Sicherheitsentscheidung im Produkt. Es ist kein Vorfallsbericht. Weder Technik noch Zielländer, Anbieter, Nachrichtenzahl, Rechnung oder kompromittiertes Konto werden genannt. Wer dem Vorgang dennoch einen technischen Angriffsnamen gibt, ersetzt eine offene Frage durch eine erfundene Diagnose.

Der belegbare Mechanismus liegt vor der eigentlichen Authentisierung. ARIN Online entscheidet, ob es ein Ziel annimmt und einen Code dorthin zu senden versucht. Die Länderliste begrenzt damit die Kosten- und Missbrauchsexposition des Dienstes. Für die Nutzer entscheidet sie, ob ein vertrauter Kanal angeboten wird.

Eine Ländervorwahl ist kein Identitätsnachweis. Sie belegt weder den Standort noch die Person am Telefon oder deren Befugnis für die mit dem Konto verknüpften Ressourcen. Passwort, Einmalcode und das Autoritätsmodell des Kontos leisten diese Arbeit. Die Liste öffnet nur den SMS-Pfad.

Drei Grenzen statt einer Regionslinie

ARINs aktueller SMS-MFA-Leitfaden führt Staaten und geografische Gebiete einzeln auf. Kanada, die Vereinigten Staaten, Puerto Rico und viele karibische Gebiete werden unterstützt. Saint-Barthélemy, die United States Minor Outlying Islands und mehrere entlegene Gebiete werden abgelehnt. Trinidad und Tobago steht in einem eigenen Abschnitt als unterstütztes Land außerhalb der ARIN-Region.

Die operative Grenze enthält also interne Lücken und eine externe Ausnahme. Regionszugehörigkeit garantiert kein SMS. Die Lage außerhalb der Region bedeutet nicht, dass ARIN im August jede bestehende Ausnahme gelöscht hat. Die Erklärung betrifft neue Codes; sie meldet keine Entfernung von Trinidad und Tobago.

Auch eine positive Listenzeile garantiert keine Zustellung. Laut MFA-FAQ kann der Mobilfunkanbieter die Nachrichten selbst in einem unterstützten Land nicht weiterleiten. Die Annahme der Nummer, die Zustellung durch die Telekommunikationskette und die erfolgreiche Eingabe im berechtigten Login sind verschiedene Zustände.

Diese Trennung verhindert, dass ein technischer Filter zur pauschalen Sicherheitsbewertung von Ländern oder Menschen wird. ARIN beschreibt eine Erfahrung mit begrenzten Ausnahmen, keine Rangliste sicherer und unsicherer Regionen.

Die 13 Prozent waren keine Bedarfsquote

In der Konsultation vom Januar 2023 erklärte ARIN, 13 Prozent der Webnutzerkonten enthielten Telefonnummern außerhalb der Serviceregion. Die Zahl beschrieb Profildaten zu einem bestimmten Zeitpunkt. Sie sagte nicht, wie viele Nutzer SMS benötigten oder keine Authenticator-App einsetzen konnten.

Die Ergebnisse vom März nannten gemischte Rückmeldungen. Mehrere externe Kunden fragten nach SMS; Mitarbeiter leiteten sie erfolgreich zu zeitbasierten Einmalpasswörtern um. ARIN kannte damals keinen Fall, in dem fehlendes SMS die 2FA-Einrichtung verhinderte, und wollte die Frage neu prüfen, falls Kunden keine Alternative nutzen könnten.

Diese Aussage war auf ARINs Wissen im Jahr 2023 begrenzt. Sie ist keine Garantie für alle heutigen Nutzer. Umgekehrt misst der 2026 genannte Angriffskostenfaktor weder den Erfolg alternativer Einrichtungen noch Supportfälle, Aussperrungen oder Wiederherstellung. Die öffentliche Akte nennt zwei Seiten des Abwägens, verbindet sie aber nicht mit gemeinsamen Messwerten.

Die Auswahl ist inzwischen breiter. ARIN verlangt 2FA seit Februar 2023. Das Release vom Mai 2026 ergänzte standardisierte Passkeys; der aktuelle Leitfaden beschreibt Hardware- und Softwarevarianten. Hinzu kommen 16 einmal verwendbare Wiederherstellungscodes. Das sind reale Alternativen, aber keine Statistik über ihren Erfolg.

Einen Entscheidungsnachweis veröffentlichen, nicht die Abwehrlogik

Nachvollziehbarkeit verlangt keine Telefonnummern, Angriffssignaturen, laufenden Grenzwerte, Lieferanten oder Rechnungen. Bei jeder wesentlichen Änderung könnte ARIN einen kurzen versionierten Nachweis zur Zielliste veröffentlichen.

Er sollte Geltungsdatum, Code oder Gebiet und den Vorgang nennen: Aufnahme, Entfernung, vorübergehende Sperre oder fortgesetzter Erweiterungsstopp. Der Grund kann als sichere Kategorie erscheinen, etwa fehlende Zustellbarkeit, anhaltende Missbrauchskosten, vertragliche Lieferantenbegrenzung oder überprüfte Produktentscheidung. Wo eine datenschutzgerechte Aggregation möglich ist, könnten Größenklassen für abgelehnte Einrichtungen, Wechsel auf andere Verfahren und Supportnachfrage hinzukommen.

Ebenso wichtig ist ein Korrekturweg. Ein Ziel kann falsch eingeordnet sein oder später technisch erreichbar werden. „Unterstützt“ sollte bedeuten, dass ARIN die Einrichtung zulässt, nicht dass ein Carrier die Zustellung garantiert. „Nicht unterstützt“ schließt einen Kanal; es entzieht dem Nutzer keine Legitimität.

Ein solcher Nachweis hält die gemeinsame Regel schmal. ARIN kann Missbrauch weiter bekämpfen, ohne dem Angreifer die Verteidigung zu erklären. Kunden sehen dennoch, wann der Zugangspfad verändert wurde, warum dies in groben Zügen geschah und welche Alternative vorbereitet sein muss.

Quellen