70 Testanrufe decken IMEI-Leak in deutschen Mobilfunknetzen auf

Deutsche Mobilfunknetze haben beim gewöhnlichen Telefonieren die eindeutige Gerätekennung jedes Handys an den Anrufer übertragen – noch bevor der Angerufene das Gespräch annahm. Das zeigen Recherchen des Bayerischen Rundfunks (BR), die am 26. August 2026 veröffentlicht wurden. Betroffen waren die 15-stellige IMEI-Nummer sowie Angaben zu Smartphone-Modell und Betriebssystemversion.

Bei mehr als 70 Testanrufen wiesen die BR-Investigativjournalisten Alexander Nabert und Maximilian Zierer nach, dass die Netze von Telekom und Telefónica (O2) in mehreren Fällen komplette IMEI-Nummern an die Anruferseite übermittelten. Bei Telekom und Vodafone wurden Smartphone-Modelle und Betriebssystemversionen offengelegt – daraus ließ sich erkennen, ob wichtige Sicherheitsupdates installiert waren, wie BR24 berichtet.

Technisch passierte der Datenabfluss beim Übergang von einem Netz ins andere über SIP-Signalisierungsmeldungen beim VoLTE-Rufaufbau – konkret im Feld „+sip.instance“ der SIP-INVITE-Nachricht. Die Daten wurden nicht bei jedem Anruf übertragen, sondern nur in bestimmten Konstellationen, etwa bei Anrufen zwischen Kunden verschiedener Netze.

Praxistest mit Kiesewetter

Um die reale Bedeutung zu zeigen, riefen BR-Reporter den CDU-Bundestagsabgeordneten Roderich Kiesewetter an – Mitglied im Auswärtigen Ausschuss und früherer Vorsitzender des Parlamentarischen Kontrollgremiums. Sie lasen die IMEI seines Smartphones aus; Kiesewetter bestätigte die Kennung und sprach von einer „eklatanten Sicherheitslücke“: „Ich halte das für eine eklatante Sicherheitslücke und es ist aufzuklären, wer für diese die Verantwortung trägt und warum diese Lücke nicht viel früher geschlossen wurde.“

Reaktionen der Netzbetreiber

Der BR hatte Telekom, Vodafone und Telefónica Ende Juni 2026 über die Schwachstelle informiert. Vodafone teilte mit, man habe die übermittelten Daten „zusätzlich eingegrenzt“; im eigenen Netz seien keine IMEI-Nummern, sondern nur Modell- und Betriebssysteminformationen offengelegt worden.

Die Telekom kündigte Mitte August an, ihr Netz anzupassen, und bestätigte später gegenüber der dpa, man habe im August Änderungen vorgenommen, damit Metadaten an der Netzgrenze entfernt werden. Telefónica (O2) erklärte, technische Maßnahmen umgesetzt zu haben, und betonte, die Ursache habe nicht in den eigenen Systemen gelegen. Der vierte Netzbetreiber 1&1 erklärte, nicht betroffen zu sein.

Verfassungsschutz und GSMA warnen

Das Bundesamt für Verfassungsschutz (BfV) wertet die Lücke als „sicherheitsrelevant“. Die Daten könnten kriminellen und staatlichen Cyberakteuren gezielte Angriffe erleichtern, etwa mit Spionagesoftware. Das BfV gehe „nahezu sicher“ davon aus, dass fremde Nachrichtendienste entsprechende Informationen nutzen.

Der internationale Mobilfunkverband GSMA bestätigte die Schwachstelle und warnte seine mehr als 1.000 Mitgliedsunternehmen in einem neunseitigen Briefing, ihre Netze zu überprüfen. Angreifer könnten mit den Daten Geräteprofile erstellen und bekannte Sicherheitslücken in Geräten und Software aufspüren. Die Bundesnetzagentur teilte mit, für den Rufaufbau auf Empfängerseite seien die Daten grundsätzlich nicht relevant und könnten entfallen.

Experten fordern Aufklärung

Jiska Classen, Professorin am Hasso-Plattner-Institut, spricht von einer gravierenden Sicherheitslücke, mit der es Angreifern prinzipiell möglich sei, massenhaft Daten von Smartphone-Nutzern zu sammeln. Karsten Nohl von SRLabs sieht vor allem Tracking-Szenarien und gezieltere Angriffe, aber keine dramatischen Security-Auswirkungen. Harrison Sand vom norwegischen Sicherheitsunternehmen Mnemonic hatte bereits im April 2026 in Norwegen eine ähnliche Lücke aufgedeckt und seine Methodik mit dem BR geteilt.

Die IMEI ist fest mit der Hardware verbunden und ändert sich auch bei SIM- oder Netzbetreiberwechsel nicht. Wer sie kennt, kann ein Gerät dauerhaft wiedererkennen und tracken. Das Bundeswehr-Magazin „Y“ illustriert ein Szenario: Werde die Kennung eines Soldaten erst in Deutschland und später auf einem Übungsplatz in Litauen erfasst, könne er in den Fokus eines Spions rücken. Das Verteidigungsministerium erklärte, Nachrichtendienste könnten mithilfe solcher Gerätekennungen Bewegungsprofile erstellen und Personen identifizieren.

Für Nutzer in Deutschland haben alle drei großen Anbieter technische Änderungen angekündigt oder umgesetzt. Ob die Schwachstelle auch in Netzen anderer Länder existiert, ist bislang ungeprüft – die GSMA-Warnung enthält weder Frist noch Sanktionsmechanismus. Die Verantwortung ist unter den Beteiligten umstritten: Telefónica weist sie von sich, während Fachmedien auf nicht korrekt implementierte Branchenstandards verweisen.