Zusammenfassung

  • Die Australian Communications and Media Authority, ACMA, stellte fest, dass Optus zwischen dem 23. September und dem 23. Oktober 2024 bei 44 Coles-Mobile-Portierungen der aufnehmende Anbieter war und ohne Abschluss eines zulässigen zusätzlichen Identitätsverfahrens fortfuhr.
  • Laut ACMA nutzten Betrüger eine Schwachstelle in einem System eines Drittanbieters, übernahmen mindestens vier Mobilfunkdienste und griffen auf Bankkonten zu. Der gemeldete Gesamtschaden betrug 39.000 australische Dollar.
  • Das Portierungsregister muss den Wechsel einer eindeutigen Nummer korrekt festhalten. Es kann aber eine Anweisung nicht legitimieren, wenn die Berechtigung des Antragstellers nicht nachgewiesen wurde.

Was bei einer Portierung wirklich wechselt

Aus Kundensicht bleibt die Rufnummer gleich. Kontakte wählen weiterhin dieselben Ziffern, obwohl der Mobilfunkvertrag bei einem neuen Anbieter liegt. Im Netz ändert sich jedoch die Zuständigkeit.

Der aufnehmende Anbieter stößt die Übertragung an. Der bisherige Anbieter gibt die Nummer im gemeinsamen Verfahren frei. Portierungssysteme und Routing-Informationen müssen anschließend auf das neue Netz zeigen. Für eine Nummer darf es nur einen eindeutigen aktiven Dienstkontext geben.

Damit wechselt praktische Kontrolle. Wer den neuen Dienst bedient, kann Anrufe und SMS empfangen. Banken, E-Mail-Dienste und andere Plattformen verwenden SMS teilweise für Warnungen oder Kontowiederherstellung. Eine falsch übertragene Nummer kann deshalb außerhalb des Telekommunikationsdienstes Schaden ermöglichen.

Die Nummer sollte trotzdem nicht als persönliches Eigentum beschrieben werden. Der australische Standard spricht vom Inhaber des Nutzungsrechts. Der Kunde besitzt eine geschützte Berechtigung, während die Nummer Teil eines öffentlichen, eindeutig verwalteten Nummernsystems bleibt.

Vor dem Start muss der aufnehmende Anbieter bestätigen, dass der Antragsteller dieser Nutzungsrechtsinhaber oder ein Bevollmächtigter ist. Außerdem muss unmittelbarer Zugriff auf ein zur Nummer gehörendes Mobilgerät bestehen. Kontodaten zu kennen und das Gerät zu kontrollieren sind zwei unterschiedliche Belege.

Die Feststellungen zu den 44 Portierungen

Der Abschlussbericht nennt Optus als aufnehmenden Telekommunikationsanbieter für Coles Mobile bei 44 untersuchten Portierungen. Der relevante Zeitraum reichte vom 23. September bis 23. Oktober 2024.

ACMA stellte 44 Verstöße gegen Absatz 8(2) des Standards von 2020 fest. Dieser verlangt ein zulässiges zusätzliches Identitätsverfahren. Hinzu kamen 44 Verstöße gegen Absatz 8(5), der die Portierung ohne ein solches Verfahren untersagt. Daraus folgten Verstöße gegen Absatz 128(1) des Telecommunications Act 1997.

Laut Bericht wurde an jede der 44 Nummern ein eindeutiger Bestätigungscode per SMS versendet. Trotzdem wurde bei den über das Onlineformular eingereichten Portierungen keines der vorgeschriebenen Verfahren abgeschlossen.

Das ist mehr als eine technische Feinheit. „Code gesendet“ dokumentiert eine Aktivität. „Nutzungsberechtigung bestätigt“ ist ein Ergebnis. Ein System darf die erste Aussage nicht automatisch als zweite behandeln.

Sicherheitsrelevante Teile des Berichts sind geschwärzt. Die öffentliche Fassung nennt den Drittanbieter nicht und beschreibt keinen nutzbaren Angriffsweg. Fehlende Details dürfen nicht erfunden werden.

Die Pressemitteilung nennt die bekannten Auswirkungen. Betrüger umgingen einen Teil der Prüfung, kontrollierten mindestens vier Mobilfunkdienste und griffen auf Bankkonten zu. Die gemeldeten Verluste summierten sich auf 39.000 australische Dollar.

Die Zahlen haben verschiedene Bezugsgrößen. 44 bezeichnet die Portierungen, die ohne konformes Verfahren weiterliefen und im Bericht als unautorisiert bezeichnet werden. „Mindestens vier“ ist die veröffentlichte Untergrenze der von Betrügern kontrollierten Dienste. 39.000 Dollar ist die gemeldete Gesamtsumme. Daraus werden nicht 44 einzelne Geschädigte mit jeweils einem Verlust.

Ein versendeter Code ist noch kein Berechtigungsnachweis

Einmalcodes können einen starken Kontrollschritt bilden. Entscheidend ist die vollständige Kette. Wohin wurde der Code gesendet? Ist das Ergebnis an dieselbe Nummer, Sitzung und Transaktion gebunden? Läuft es ab? Kann es erneut verwendet werden? Kann eine externe Komponente Erfolg melden, obwohl ein Schritt fehlt?

Der öffentliche Bericht beantwortet die technischen Detailfragen nicht. Die betriebliche Schlussfolgerung bleibt: Das Versenden der Codes genügte nicht, um den Abschluss des vorgeschriebenen Verfahrens zu belegen.

Ein sicherer Ablauf beginnt als unverifiziert. Eine zugelassene Methode wird gewählt. Der Nachweis wird geprüft und an Antragsteller, Nummer, Transaktion und Zeitfenster gebunden. Erst danach darf die Portierung starten.

Fehler, Zeitüberschreitung, Ausfall oder unklare Antwort müssen den Ablauf geschlossen halten. Eine sichere Alternativmethode kann die Erreichbarkeit verbessern; ein stilles Herabsetzen des Standards nicht.

Nachgelagerte Systeme benötigen nicht sämtliche Identitätsdokumente. Sie brauchen einen integritätsgeschützten Minimalnachweis aus Methode, Version, eindeutiger Referenz, Gültigkeit und Transaktionsbindung. So können persönliche Details geschützt bleiben.

Das Register ist Buchhalter, nicht Quelle menschlicher Legitimität

Ein gemeinsames Portierungsregister ist unverzichtbar. Ohne eindeutige Daten könnten zwei Netze dieselbe Nummer beanspruchen oder Verbindungen gingen ins Leere. Genauigkeit und Übergabeaufzeichnung sichern Kontinuität.

Ein Register kann jedoch auch eine unberechtigte Anweisung korrekt verbuchen. Versagt die Identitätsbarriere, können Portierung und Routing technisch sauber zum neuen Anbieter wechseln. Alle Datenbanken sind konsistent, obwohl der rechtmäßige Nutzer seinen Dienst verloren hat.

Das Register hält die Übertragung fest; es erzeugt nicht eigenständig die Berechtigung. Der letzte Datensatz zeigt, wo die Nummer läuft, aber nicht, warum der Antragsteller den Wechsel auslösen durfte.

Die Realitätsebene umfasst Antragsteller, Gerät, Prüfentscheidung, Portierungstransaktion und aktives Routing. Eine Prüfung muss zeigen können, welcher Nachweis welche Transaktion erlaubte und wann der Betriebszustand wechselte.

Sensible Identitätsunterlagen müssen nicht in jedes Netzsystem kopiert werden. Ein geschützter Prüfdienst bewahrt Details auf; nachgelagerte Komponenten erhalten eine minimale, nachvollziehbare Entscheidung. Das verbindet Datenschutz mit Rechenschaft.

Ein Drittanbieter übernimmt nicht die Pflicht des Netzbetreibers

Telekommunikationsunternehmen beziehen Dokumentenprüfung, Nachrichtenversand oder Betrugssignale von Spezialisten. Das kann sinnvoll sein. Riskant wird es, wenn ein kurzes externes „erfolgreich“ ohne festgelegte Bedeutung zur Freigabe wird.

Im Bericht war Optus der aufnehmende Anbieter. Ein Dritter konnte einen Teil der Prüfung liefern. Die Pflicht, ohne vorgeschriebenen Nachweis keine Portierung zu starten, blieb beim Anbieter.

Der Integrationsvertrag muss festlegen, was die Antwort bestätigt, an welche Eingaben sie gebunden ist, wie lange sie gilt und ob Wiederverwendung ausgeschlossen ist. Nichtverfügbarkeit darf nie als Erlaubnis behandelt werden.

Jede neue Version benötigt Negativtests: fehlendes Feld, abgelaufener Code, doppelte Antwort, abweichende Nummer, Verzögerung und Ausfall. Ein funktionierender Normalfall beweist nicht, dass Fehler sicher schließen.

Die Überwachung sollte Musteränderungen erkennen. Plötzlich steigende Erfolgsquoten, das Verschwinden erwartbarer Ablehnungen oder viele Versuche in einem Kanal können auf Umgehung hinweisen. Der betroffene Weg muss separat abschaltbar sein.

Prüffähige Schutzmaßnahmen

Jede gestartete Portierung braucht genau einen gültigen, gebundenen Nachweis. Fehlt er, liegt ein Vorfall vor, auch wenn noch keine Beschwerde eingegangen ist.

Codeversand, Eingabe, Validierung und Portierungsfreigabe müssen getrennte Zustände sein. Nachweise laufen kurzfristig ab, gelten einmalig und gehören zur konkreten Sitzung und Nummer.

Anträge, Herausforderungen, Erfolge, Fehler, Abläufe, manuelle Prüfungen und tatsächlich gestartete Portierungen werden nach Kanal und Version gezählt. Abweichungen führen zum Stopp und zur Klärung.

Änderungen externer Dienste durchlaufen Vertrags- und Missbrauchstests. Nicht nur viele Fehler, sondern auch ungewöhnlich perfekter Erfolg ist ein Signal.

Ein begrenzter Notausschalter soll die betroffene Methode sperren, ohne sichere Alternativen zu zerstören. Für verdächtige Übertragungen ist ein abgestimmtes Rückholverfahren mit klarer Autorität und Beweissicherung nötig.

Wo möglich, erfolgt die Benachrichtigung über einen unabhängigen Kanal. Nur den neuen Dienst zu informieren kann die Warnung an den Angreifer liefern.

Nach dem Vorfall muss dieselbe Vertrauensannahme in anderen Kanälen gesucht werden. Einen einzelnen Fehler zu beheben genügt nicht, wenn weitere Systeme einen externen Status ohne Bedeutungsnachweis akzeptieren.

Strafe und Grenzen der öffentlichen Evidenz

Optus zahlte 826.320 australische Dollar. ACMA bezeichnete dies als die höchste Geldbuße, die ihr in diesem Fall zur Verfügung stand.

Die Summe misst nicht den gesamten Schaden. 39.000 Dollar sind gemeldete finanzielle Verluste, nicht der Aufwand für die Wiederherstellung von Nummer, Bankkonten und digitaler Identität. Sie lassen sich auch nicht einzelnen Personen zuordnen.

ACMA beschrieb das Problem als einmalig und schnell behoben. Der öffentliche Bericht nennt aber nicht sämtliche technischen Änderungen. Eine nicht sichtbare Sanierung kann von außen nicht zertifiziert werden.

Die Quellen belegen weder Vorsatz bei Optus noch finanzielle Schäden bei allen 44 Portierungen noch die Identität des Drittanbieters. Die belegte Aussage reicht: Das Pflichtverfahren wurde nicht abgeschlossen, und die Übertragung ging dennoch weiter.

Quellen