Zusammenfassung

  • Bei der Mobilfunknummernportierung nimmt ein Kunde dieselbe Nummer zu einem neuen Anbieter mit. Die Ziffern bleiben, aber der operative Dienst und die Zustellung von Kommunikation wechseln.
  • ACMA stellte zwischen September und Dezember 2024 insgesamt 131 Fälle von Verstößen fest. Diese Zahl bezeichnet Vorgänge oder Instanzen, nicht 131 Opfer, eindeutige Nummern, erfolgreiche Betrugsfälle oder Verlustereignisse.
  • Die Behörde nannte gemeldete Verbraucherverluste von mindestens 175.000 A$. Sie veröffentlichte weder eine Zahl der meldenden Verbraucher noch die Aussage, jeder der 131 Vorgänge habe Geldverlust verursacht.
  • Lycamobile zahlte zwei Bußgeldbescheide über zusammen 376.200 A$: 356.400 A$ für 18 ausgewählte mutmaßliche Verstöße und 19.800 A$ für einen. Die 19 Bescheidpositionen sind nicht der vollständige Untersuchungsbestand von 131; die Zahlung war kein gerichtliches Sachurteil und keine strafrechtliche Verurteilung.
  • Eine 18-monatige gerichtlich durchsetzbare Verpflichtung verlangt unabhängige Tests, Audits, Umsetzungsantworten, Berichte, Schulung und Aufzeichnungen. Sie ist ein künftiges Sicherungsprogramm, kein Beleg für bereits vollständig abgeschlossene Abhilfe.

Analyse

Was bei einer Portierung tatsächlich wechselt

Die Portierung einer Mobilfunknummer erlaubt einem Kunden, den Anbieter zu wechseln, ohne eine neue Nummer annehmen zu müssen. Der neue, die Nummer aufnehmende Anbieter wird als „gaining provider“ oder aufnehmender Anbieter bezeichnet. Er stößt die Übergabe an, nachdem die vorgesehenen Prüfungen abgeschlossen sein sollen.

Für den berechtigten Nutzer schützt dieses Verfahren Erreichbarkeit und Wahlfreiheit. Familie, Arbeitgeber, Banken und andere Dienste können weiterhin dieselben Ziffern verwenden. Für einen Angreifer ist dieselbe Beständigkeit attraktiv: Die Außenwelt sieht keinen Nummernwechsel, obwohl Anrufe und SMS an einen anderen Dienst gelangen können.

Der aktuelle australische Portierungscode beschreibt automatisierte Schnittstellen und die Verteilung von Routinginformationen. Routing bedeutet hier, dass Netze wissen, wohin Kommunikation für eine Nummer zugestellt werden soll. Eine Portierung verändert somit eine operative Netzbeziehung und nicht bloß einen Eintrag in einem Kundenprofil.

Das macht den Fall zu einer Frage der Netzinfrastruktur. Die Identitätsprüfung gehört zur Übergabekontrolle des aufnehmenden Anbieters. Der mögliche Schaden fließt aus der veränderten Zustellung einer beständigen öffentlichen Nummer.

Die gesicherten Feststellungen

ACMA berichtete, Betrüger hätten bei Portierungsanträgen Schwächen in Lycamobiles Systemen ausgenutzt. In 131 Instanzen seien die vorgeschriebenen zusätzlichen Prüfschritte nicht erfolgt. Nach Aussage der ACMA-Vorsitzenden wurden Lücken mehr als drei Monate lang genutzt, ohne entdeckt zu werden.

Lycamobile legte im Verfahren dar, nicht identifizierte Systemfehler hätten die Umgehung der vorgeschriebenen Protokolle ermöglicht. Das Unternehmen verwies auf vorhandene Systeme und Abläufe, die es als konform ansah, und auf eine Ausnutzung durch einen externen Dritten.

ACMA wies dieses Argument zurück. Robuste Systeme müssten sicherstellen, dass das vorgeschriebene Verfahren funktioniere. Dass ein Protokoll vorgesehen oder eingerichtet war, änderte nach Auffassung der Behörde nichts daran, dass die erforderlichen Schritte in den 131 Fällen nicht stattfanden.

Beide Positionen gehören in eine genaue Darstellung. Gleichzeitig bleibt die technische Ursache öffentlich unvollständig. Weder Codefehler noch Endpunkt, Authentifizierungsfluss, Einführungsdatum, Anbieterrolle, interner Verantwortlicher oder Angriffsmethode sind genannt. Aus „nicht identifizierten Systemfehlern“ darf keine erfundene technische Rekonstruktion werden.

Was der Standard vor dem Transfer verlangt

Der australische Branchenstandard für die zusätzliche Identitätsprüfung vor einer Mobilfunkportierung ist weiterhin in Kraft. Der aufnehmende Anbieter muss vor Einleitung des Transfers mit einem zugelassenen Verfahren bestätigen, dass der Antragsteller der Nutzungsberechtigte der Nummer oder dessen bevollmächtigter Vertreter ist und den verlangten Zugang zum zugehörigen Mobilgerät besitzt. Ohne ein solches Verfahren darf der Anbieter nicht fortfahren.

„Nutzungsberechtigter“ ist genauer als „Eigentümer“. Eine Telefonnummer ist Teil eines verwalteten Nummernsystems. Der Kunde erhält das Recht, sie zu verwenden. Bei einer Portierung soll dieses reale Recht die Dienstbeziehung über den Anbieterwechsel hinweg begleiten.

Die Regel verlangt deshalb mehr als eine Seite mit Prüffragen. Das System, das den Transfer auslöst, braucht ein gültiges Ergebnis für genau diese Anfrage. Es muss erkennen, wenn ein Ergebnis fehlt, abgelaufen ist, schon verwendet wurde oder zu einer anderen Nummer gehört.

Ein Logeintrag „Prüfung durchgeführt“ und ein zweiter Eintrag „Portierung abgeschlossen“ reichen nicht, wenn ihre Verbindung unklar ist. Belastbare Evidenz zeigt, dass das eine Ereignis die Voraussetzung für das andere war.

131, 175.000 und 376.200 haben verschiedene Nenner

Die 131 sind der von ACMA beschriebene Untersuchungsbestand für September bis Dezember 2024. Sie stellen keine Zahl von Personen dar. Öffentlich ist nicht bekannt, ob 131 eindeutige Nummern betroffen waren, wie viele Versuche abgeschlossen oder rückgängig gemacht wurden und ob einzelne Nummern mehrfach vorkamen.

Mindestens 175.000 A$ sind gemeldete Verbraucherverluste. „Gemeldet“ benennt die Herkunft, „mindestens“ den Charakter als Untergrenze. Die Quellen nennen weder die Zahl der Meldenden noch eine vollständige Verlust-, Erstattungs- oder Entschädigungsrechnung.

Die Summe von 376.200 A$ stammt aus zwei administrativen Bescheiden. Der Bescheid vom 20. Oktober 2025 setzte 356.400 A$ für 18 ausgewählte mutmaßliche Verstöße zwischen dem 13. November und dem 6. Dezember 2024 fest. Der Bescheid vom 13. November 2025 setzte 19.800 A$ für einen ausgewählten mutmaßlichen Verstoß am 13. November 2024 fest.

Damit enthalten die Bescheide 19 ausgewählte Positionen. Sie listen nicht alle 131 Untersuchungsinstanzen auf. Der Gesamtbetrag darf nicht durch 131 geteilt und als Sanktion je Fall bezeichnet werden.

Die Bescheide beruhen auf der begründeten Annahme eines befugten Beamten zu mutmaßlichen Verstößen. ACMA hält seine Untersuchungsergebnisse gesondert fest. Nach der Durchsetzungsrichtlinie erledigt die Zahlung die Haftung für den behaupteten Verstoß ohne Gerichtsverfahren. Sie ist weder ein gerichtliches Sachurteil noch eine strafrechtliche Verurteilung.

Auch „gerichtlich durchsetzbare Verpflichtung“ darf nicht falsch verstanden werden. Die gesetzliche Zusage kann vor Gericht durchgesetzt werden; das bedeutet nicht, dass ein Gericht die Vorgänge von 2024 entschieden hat.

Die Kontrolle muss an den konkreten Vorgang gebunden sein

In einem Ablaufdiagramm sieht die Kette einfach aus: Antrag, zusätzliche Prüfung, Freigabe, Portierung. Ein laufender Dienst hat jedoch häufig Web-, App-, betreute und interne Wege, Wiederholungen nach Fehlern, manuelle Ausnahmen und Komponenten mit unterschiedlichen Kennungen.

Gefährlich wird es, wenn die letzte Funktion nur annimmt, eine frühere Komponente habe geprüft. Ein alternativer Ablauf kann dann den finalen Zustand erreichen, ohne dieselbe Voraussetzung zu erfüllen.

Eine verlässliche Kette beginnt mit einer eindeutigen Antragskennung. Nummer, Antragsteller, Kanal und aufnehmender Anbieter werden daran gebunden. Das zugelassene Prüfverfahren, Ergebnis, Zeit und erforderliche Geräteinformation gehören zum selben Objekt. Das Ergebnis gilt nur kurz und darf nicht für eine andere Anfrage wiederverwendet werden.

Die Portierungsfunktion akzeptiert ausschließlich einen vollständigen, passenden Zustand. Fehlende, abgelaufene, bereits verbrauchte oder widersprüchliche Evidenz führt zum sicheren Stopp. Abschluss, Abbruch, Ablehnung, Ausnahme und Rückabwicklung bleiben auf dieselbe Anfrage bezogen.

Dieses Modell beschreibt eine sinnvolle Kontrolle, nicht Lycamobiles unbekannte technische Architektur. Der öffentliche Befund trägt die Notwendigkeit des Ausführungsnachweises, aber keine Spekulation über den genauen Exploit.

Warum die unentdeckten Monate ein eigener Befund sind

Ein präventiver Check kann versagen. Deshalb braucht der Betreiber eine zweite Sicht, die nicht dieselbe Annahme teilt. Wenn Überwachung nur prüft, ob der Verifizierungsdienst erreichbar war, kann ein Weg, der ihn gar nicht aufruft, unbemerkt bleiben.

Die stärkste Abstimmung beginnt mit allen erfolgreichen Portierungen. Gibt es für jede eine gültige, exakt zugeordnete zusätzliche Prüfung? Ein erfolgreicher Transfer ohne passende Evidenz ist bereits ein Untersuchungsfall, auch wenn noch keine Beschwerde vorliegt.

Rückportierungswünsche, plötzlicher Dienstverlust, ungewöhnliche Wiederholungen, wiederverwendete Ergebnisse und Häufungen in einem Kanal sind weitere Signale. Einzeln beweisen sie keinen Betrug. Gemeinsam können sie ein Muster zeigen.

Technik, Betrugsprävention, Kundenservice und Compliance müssen ihre Signale zusammenführen. Eine Kundenbeschwerde ist wertvoll, kommt aber spät. Das Ziel ist, den Evidenzbruch vor dem berichteten Schaden zu entdecken.

Was die 18-monatige Zusage bewirken soll

Lycamobile und ACMA schlossen die Verpflichtung am 23. Dezember 2025. Ihre öffentliche Laufzeit beträgt 18 Monate. Ein unabhängiger Berater soll in den Monaten 3, 9 und 15 Sicherheits- und Penetrationstests durchführen. Bei einem Penetrationstest werden mögliche Wege durch Schutzmaßnahmen kontrolliert ausprobiert.

Die Berichte sollen Feststellungen, Ursachen entdeckter Probleme, Wirksamkeit von Richtlinien, Umfang und Grenzen sowie die Wirkung der Reaktionen behandeln. Innerhalb von zwei Monaten nach einem Bericht muss Lycamobile eine vom Board genehmigte Umsetzungsantwort erstellen.

Hinzu kommen Qualitätssicherungsprüfungen alle drei Monate, Berichte an ACMA in den Monaten 7, 13 und 18, Schulung und Aufbewahrung von Unterlagen. Dieser Rhythmus soll eine einmalige Reparatur durch wiederholte Prüfung ersetzen.

Aus einer Pflicht folgt aber noch kein bestandenes Ergebnis. Der öffentliche Quellenbestand enthält nicht sämtliche Beraterberichte, Auditresultate oder Abschlussnachweise. Die Verpflichtung beweist daher weder die vollständige heutige Abhilfe noch eine öffentlich bekannte Root Cause.

Zu unterscheiden sind geplante Prüfung, ausgeführte Prüfung, umgesetzte Empfehlung und unabhängig bestätigte Wirksamkeit. Erst die letzte Stufe sagt etwas Belastbares über den gefährlichen Zustand aus.

Auswirkungen und offene Fragen

Der rechtmäßige Nutzer kann Anrufe und Nachrichten verlieren, während andere weiterhin dieselbe Nummer verwenden. Nachgelagerte Dienste können Wiederherstellungsnachrichten oder Authentifizierungscodes an die vertrauten Ziffern senden.

ACCC und IDCARE erläutern allgemein, wie unbefugte Portierungen oder SIM-Wechsel Identitäts- und Geldschäden ermöglichen können. Diese Quellen erklären den Mechanismus, nicht den konkreten Ablauf bei einem bestimmten Lycamobile-Kunden.

Unbekannt bleiben die Zahl der Verbraucher hinter der Verlustuntergrenze, die Aufteilung der 131 Vorgänge in Versuche, Abschlüsse, Sperren und Rückabwicklungen sowie Erstattung und Entschädigung. Ebenso fehlen der vollständige technische Fehler, das erste Erkennungssignal, interne Zuständigkeiten und mögliche Lieferantenrollen.

Solche Grenzen gehören in den Bericht. Sie verhindern, dass eine plausible Kontrollforderung als vermeintlich bewiesene Tatsachenrekonstruktion erscheint.

Portabilität schützen, nicht erschweren

Die Lehre lautet nicht, Anbieterwechsel willkürlich zu blockieren. Portabilität schützt Wettbewerb und Kontinuität. Sie sollte für den rechtmäßigen Nutzer einfach bleiben.

Ein defektes Gerät, Barrierefreiheit oder widersprüchliche Kundendaten können eine unterstützte Ausnahme verlangen. Diese braucht klare Befugnis, Begründung, Ablaufdatum, zweite Evidenz und nachträgliche Kontrolle. Ein informeller Bypass wäre ein zweiter ungesicherter Weg.

Mehr Formulare ohne Bindung an die letzte Systementscheidung erzeugen nur sichtbare Reibung. Eine wirksame Kontrolle zeigt sich daran, welchen unsicheren Zustand sie tatsächlich verhindert und welchen Nachweis sie hinterlässt.

Ein umsetzbares Prüfprogramm

  1. Vor der Prüfung eine eindeutige Vorgangskennung erzeugen.
  2. Nummer, Antragsteller, Kanal und aufnehmenden Anbieter verknüpfen.
  3. Zugelassenes Verfahren und Ergebnis serverseitig speichern.
  4. Kurze Gültigkeit setzen und Wiederverwendung ausschließen.
  5. Bei fehlender, abgelaufener oder widersprüchlicher Evidenz stoppen.
  6. Ablehnungen, Abbrüche, Ausnahmen und Rückabwicklungen erfassen.
  7. Erfolgreiche Portierungen täglich mit Prüfergebnissen abstimmen.
  8. Fehlende, wiederverwendete, falsch zugeordnete und ungeordnete Beweise testen.
  9. Nach wesentlichen Änderungen Regressionstests wiederholen.
  10. Offene Abweichungen und unabhängige Retests einer benannten Führungskraft vorlegen.

Die Kennzahlen sollten den Zustand messen. „Anzahl ausgeführter Prüfungen“ ist Aktivität. „Anteil erfolgreicher Portierungen mit vollständiger gültiger Kette“ misst eher das Ergebnis. Wichtig sind auch das Alter der ältesten ungeklärten Abweichung, die Zeit bis zur Eindämmung und der Anteil unabhängig nachgetesteter Abhilfen.

Worauf jetzt zu achten ist

Erstens muss die Evidenz alle Kanäle abdecken. Ein perfekter Wert für eine Teilmenge sagt wenig, wenn interne oder betreute Wege fehlen.

Zweitens müssen unabhängige Tests negative Abläufe, Wiederverwendung, falsche Reihenfolge und Ausnahmen prüfen und ihre Grenzen offenlegen.

Drittens braucht jede Board-Antwort Verantwortlichen, Termin, Barriere, Abnahmekriterium und Retest. „Implementiert“ ist nicht gleich „wirksam“.

Viertens zählt die Erkennungszeit. Eine erfolgreiche Portierung ohne Beweiskette sollte vor der ersten Verlustmeldung auffallen.

Fünftens müssen die öffentlichen Zahlen getrennt bleiben: 131 Untersuchungsinstanzen, 19 ausgewählte Bescheidpositionen, mindestens 175.000 A$ gemeldete Verluste und 376.200 A$ in zwei bezahlten Bescheiden.

Die bleibende Lehre

Ein Portierungsregister dokumentiert eine operative Übergabe. Seine Annahme macht die Übergabe nicht automatisch rechtmäßig. Rechtmäßigkeit kommt vom bestätigten Nutzungsrecht und einer laufenden Kontrolle, die dieses Recht schützt.

Lycamobiles Fall zeigt, dass ein konfiguriertes Protokoll neben einem Weg bestehen kann, der es nicht ausführt. Der Betreiber muss Prüfung und konkreten Transfer untrennbar verbinden, unsichere Zustände stoppen, Umgehungen testen, Ergebnisse abstimmen und offene Risiken sichtbar machen.

Gute Portabilität ist für berechtigte Kunden leicht und für Angreifer schwer. Entscheidend ist die Wirklichkeit des laufenden Systems, nicht die Dicke seiner Dokumentation.

Quellen