Kann ich mir mit einer eSIM einen Virus einhandeln?

Folgendes Szenario: Man reist in ein Land außerhalb der EU, in dem es kein kostenloses Roaming gibt. Um möglichst günstig und einfach online bleiben zu können, organisiert man sich eine eSIM bei irgendeinem Anbieter im Internet.

Man bekommt einen QR-Code zugesandt, den man mit seinem Smartphone scannen soll, um den Tarif zu aktivieren. Nun wird man kurz stutzig und fragt sich, ob das alles vertrauenswürdig ist: Könnte sich etwa hinter dem QR-Code irgendeine Malware versteckt, die sich man sich möglicherweise aufs Handy holt.

Schließlich ist der eSIM-Anbieter oft irgendein unbekanntes Unternehmen, das gutgläubige Kund*innen mit besonders niedrigen Preisen anlockt. Kann man sich quasi mit einem QR-Code für eine eSIM einen Handy-Virus einhandeln?

➤ Mehr lesen: So surft man mit einer eSIM günstig im Ausland

Keine Sorge: eSIMs sind sicher

Nein - eigentlich kann man sich mit einer eSIM keinen schädlichen Code aufs Smartphone holen, erklärt ein Mobilfunkexperte von A1 gegenüber der futurezone. Der Aktivierungsprozess einer eSIM ist nämlich entsprechend abgesichert, sodass es praktisch unmöglich ist, manipulierte Profile auf Handys einzuschleusen.

Scannt man einen QR-Code mit dem SIM-Manager des Smartphones, werden erstmal nur jene QR-Codes akzeptiert, die tatsächlich auf eine eSIM verweisen. Herkömmliche QR-Code-Links verweigert der SIM-Manager von vornherein und bricht den Aktivierungsprozess ab.

Aktivierungsprozess ist abgesichert

Handelt es sich tatsächlich um einen eSIM-Code, versucht das Handy eine Kommunikation zu einem Server aufzubauen, auf dem das eSIM-Profil liegt. Diese Verbindung verlangt nach offiziellen GSMA-Zertifikaten, damit hier nichts Unerwünschtes passieren kann.

Liegt kein gültiges GSMA-Zertifikat vor, bricht der SIM-Manager des Smartphones die Verbindung ab, sodass keine schadhaften Profile geladen werden können. Liegt ein gültiges Zertifikat vor, ist somit sichergestellt, dass es sich um ein vertrauenswürdiges eSIM-Profil handelt.

Das Aktivierungsprocedere bei eSIM-Karten ist also absolut sicher gestaltet. Am ehesten liegt die Schwachstelle beim QR-Code allgemein, weil dieser - wie jeder Link - einen Verweis auf eine Website oder einen Server darstellt.

➤ Mehr lesen: Wie kann ich einen QR-Code ohne zweites Gerät scannen?

Aber auch hier braucht man sich bei QR-Codes für eSIMs keine Sorgen machen. Scannt man nämlich einen solchen eSIM-Code nur mit der Kamera (nicht mit dem SIM-Manager), dann zeigt bereits die Kamera an, dass es sich um einen Mobilfunktarif handelt.

Scannt man einen herkömmlichen QR-Code, der zu einer Website verweist, wird die URL-Adresse der Internetseite ebenso von der Kamera angezeigt. In beiden Fällen hat man also die Möglichkeit, zu kontrollieren, wohin man weitergeleitet wird.

➤ Mehr lesen: 4 Möglichkeiten, im Ausland günstig am Handy online zu sein

Die ausführliche, technische Erklärung

Und nun zur etwas technischeren Erklärung: "Der QR-Code für eSIMs ist nämlich komplett abgekapselt und ein eigener definierter String." Dieser String als Text dargestellt sieht immer in etwa so aus:

LPA:1$URL.DES.SMDP.SERVERS$unqueIDdesvomserverzulandendenprofils

Nur wenn der String mit "LPA:1$" beginnt, geht das Smartphone davon aus, dass es sich um eine eSIM handelt, erklärt der A1-Experte: "Erst wenn ein solcher Code erkannt wird, baut das Gerät eine Kommunikation mit dem im QR-Code hinterlegten SMDP+ auf."

➤ Mehr lesen: 5 Tipps, wie ihr Roaming-Kostenfallen entgeht

Dieser Subscription Manager ist jener Server, auf dem die eSIM-Profile liegen und heruntergeladen werden. "Diese Kommunikation ist mit GSMA-Zertifikaten abgesichert", so der A1-Techniker. Käme hier ein nicht-zertifizierter Server von Dritten daher, würde die Kommunikation umgehend abgebrochen werden, sodass kein manipuliertes Profil geladen werden kann.

Diese so genannten "SAS Accredited Sites", also jene Server, bei denen die eSIM-Profile liegen, können hier eingesehen werden. Nur wer die Kontrolle über diese Server hat, könnte theoretisch ein manipuliertes eSIM-Profil erstellen. "Dieser Server sind allerdings entsprechend geschützt", versichert der Mobilfunkexperte von A1.