SAN DIEGO / LONDON (IT BOLTWISE) – Forscher haben eine Schwachstelle in E-Mail-zu-SMS-Schnittstellen großer Anbieter nachgewiesen, die über Jahre unbemerkt blieb. Angreifer konnten gefälschte SMS-Nachrichten in legitime Unterhaltungsketten einordnen und sich dabei als vertrauenswürdige Absender wie Banken oder Behörden ausgeben. Die Veröffentlichung führte zu Patches bei mehreren Mobilfunk- und Messaging-Ökosystemen – während ein Netzbetreiber den Dienst zur Risikominimierung sogar abschaltet. Für Unternehmen und Nutzer ist das vor allem deshalb kritisch, weil Banken- und Behördenthematik in der Praxis häufig über SMS verifiziert wird.
Wer SMS als „letztes Stück Sicherheit“ betrachtet, stößt gerade auf einen unbequemen Realitätscheck. Eine Studie der University of California in San Diego zeigt, wie sich Schwachstellen in E-Mail-zu-SMS-Wegen nutzen lassen, um gefälschte Nachrichten in bestehende, als legitim erkannte Konversationen auf dem Smartphone des Opfers einzuschleusen. Damit wird nicht nur das Absenderbild verfälscht, sondern auch die Nutzerlogik: Wer die Unterhaltung bereits kennt, vertraut dem angezeigten Kontext. Entscheidend ist der Timing-Mechanismus, denn die Angriffe wirken wie normale Zustellungen, nur eben mit manipulierter Identität.
Technisch knüpft das Problem an eine ungewöhnliche „Brücke“ zwischen Internetprotokollen und Mobilfunknetzen an: Die Übersetzung von E-Mails in SMS-Nachrichten erfolgt bei Netzbetreibern nicht als einheitlicher, durchgängig abgesicherter Standard, sondern über unterschiedliche Implementierungen und Integrationsschichten. Genau diese Inhomogenität lässt sich ausnutzen, um Sicherheitsannahmen zu umgehen. Die Studie „Lost in Translation“ beschreibt, dass gefälschte Inhalte korrekt kategorisiert und neben echten Nachrichten des vermeintlichen Absenders angezeigt werden konnten – ein klassischer Fall davon, dass Format- und Zustelllogik Sicherheitseigenschaften indirekt „mitentscheiden“.
In der historischen Einordnung wird es besonders brisant: Laut der Untersuchung existierten die grundlegenden Fehler über ein Jahrzehnt. Für iOS wird ein Problem bereits ab 2012 genannt, für Android ein vergleichbares Muster ab 2016. Das deutet weniger auf einen einzelnen Programmierfehler hin, sondern auf ein über Jahre gewachsenes Set aus Schnittstellen-Details, Übergaberegeln und Annahmen darüber, wie Identität im Messaging repräsentiert wird. Solche Schwachstellen sind schwer zu entdecken, weil sie selten „Rohdaten“ zerstören, sondern die Präsentation im Gerät und den Kontext der Unterhaltung beeinflussen.
Auf der Marktseite reagierten mehrere große Anbieter und Ökosysteme. In der Studie werden unter anderem Verizon, T-Mobile, AT&T und Google Fi genannt, außerdem kleinere Player wie Mint Mobile. Nach der Benachrichtigung setzten einige Unternehmen vergleichsweise schnell Patches um: T-Mobile landete Berichten zufolge schon innerhalb eines Tages, Verizon benötigte laut der Meldung etwa fünf Tage für die Behebung. Gleichzeitig veröffentlichten Apple und Google Updates für iMessage und Google Messages, um ein unbefugtes Eindringen in Nachrichtenverläufe zu verhindern. Der Wettbewerb zeigt dabei eine typische Musterreaktion: Sobald Manipulation der Identitätsanzeige konkret nachweisbar ist, müssen sowohl Netz- als auch Client-seitige Prüfungen nachgezogen werden.
Dass der Angriff über E-Mail-zu-SMS-Funktionalität läuft, ist für die Risikoabschätzung ein wichtiger Punkt. Viele Unternehmen sehen SMS heute vor allem als Kommunikations- und Verifikationskanal, etwa für Konto-Wiederherstellung oder Transaktionsfreigaben. Wenn Angreifer Nachrichten in bestehende, vertrauenswürdig wirkende Threads einbetten, steigt die Wahrscheinlichkeit, dass Nutzer soziale Engineering-Angriffe schwerer erkennen. Branchenbeobachter werten den Schritt als Kehrtwende im Umgang mit „veralteten“ Nachrichtenfunktionen, die lange Zeit als Nebenprodukt galten, aber in der Praxis Identitäts- und Finanzbetrug befördern können. Experten weisen zudem darauf hin, dass genau solche Übersetzungsprozesse häufig versteckte Angriffsoberflächen erzeugen, weil mehrere Systeme in einer Kette zusammenarbeiten.
Verizon geht dabei besonders weit: Der Netzbetreiber kündigte an, den E-Mail-zu-SMS-Dienst komplett einzustellen und die Schnittstellen bis März 2027 abzuschalten. Das ist aus Sicherheitssicht konsistent, denn Patches auf einer Schnittstelle lösen nicht automatisch alle Varianten, die durch neue Clients, geänderte Gateways oder gelebte Betriebsparameter entstehen. Gleichzeitig signalisiert die Entscheidung, dass der Branchenfokus sich verlagert: Nicht nur „Fehler fixen“, sondern auch Angriffsflächen reduzieren. Im Vergleich zu reinen Client-Updates setzt Verizon damit stärker auf Systemverhalten – eine Haltung, die bei Regulatorik- und Compliance-getriebenen Branchen oft auf mehr Rückenwind stößt.
Für die Regulierung und den Datenschutz lässt sich daraus ein klarer Handlungsbedarf ableiten. SMS ist zwar technisch eher kurzlebig und wirkt in der Wahrnehmung „weniger datenintensiv“ als Cloud-Kommunikation, doch die Inhalte und Metadaten sind in der Praxis hochrelevant: Sie werden zur Authentisierung genutzt, enthalten teils personenbezogene Informationen und sind im Betrugsfall schwer rückgängig zu machen. In diesem Kontext steigt die Bedeutung von Security-by-Design und von nachvollziehbaren Kontrollmechanismen entlang der gesamten Kette von Gateway bis Client. Für Unternehmen heißt das: Prozesse zur Incident-Response und Patch-Planung müssen Schnittstellenketten einschließen, nicht nur reine App-Updates.
Auch wenn die Meldung auf SMS-Spoofing fokussiert, ordnet sie sich in eine breitere Bedrohungslage ein. Anfang Juni 2026 berichteten Sicherheits- und Threat-Intelligence-Teams von einer Zunahme von Erpressungskampagnen der Gruppe UNC3753, die unter anderem auf Vishing (Sprach-Phishing) und physische Einbrüche mit manipulierten USB-Sticks setzt. Parallel wurde ein Vorfall aus dem Meta-Umfeld genannt, bei dem ein KI-gestütztes Support-Tool ausgenutzt worden sein soll, um rund 20.000 Instagram-Konten zu kompromittieren. Das Muster dahinter ist nicht nur „mehr Angriffe“, sondern mehr Pfadvielfalt: Cyberkriminelle kombinieren Social Engineering, Missbrauch von Vertrauenssignalen und technische Schwachstellen, um Widerstand und Wiederherstellung zu erschweren.
Für die Zukunft lässt sich daraus eine konkrete Erwartung ableiten: Unternehmen werden stärker darauf achten, wo sie SMS als Vertrauensanker einsetzen. Eine nachhaltige Strategie besteht aus mehreren Schichten, etwa aus modernisierten Authentisierungsmethoden, strikteren Prüfungen bei Nachrichten- und Gateway-Integrationen sowie konsequentem Geräte- und Client-Patching. Entwickler profitieren dabei, weil die Schwachstelle zeigt, wie wichtig konsistente Sicherheitsverträge zwischen Systemkomponenten sind: Übersetzer, Gateways und Messaging-Clients müssen identitätsbezogene Annahmen gemeinsam absichern. Wenn Anbieter wie Verizon Schnittstellen schrittweise abschalten, dürfte der Druck steigen, alte Übergänge schneller zu ersetzen – und künftige Angriffe werden sich vermehrt auf die verbleibenden „dunklen“ Integrationsstellen verlagern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SMS-Spoofing über E-Mail-zu-SMS-Schnittstellen: jahrzehntealte Lücke zeigt Karten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SMS-Spoofing über E-Mail-zu-SMS-Schnittstellen: jahrzehntealte Lücke zeigt Karten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SMS-Spoofing über E-Mail-zu-SMS-Schnittstellen: jahrzehntealte Lücke zeigt Karten« bei Google Deutschland suchen, bei Bing oder Google News!