Mit einer Schere gegen Salt Typhoon: Wie T-Mobile den Angreifern den Weg abschnitt

Die entscheidende Reaktion auf einen mutmaßlichen Angriff der Gruppe Salt Typhoon bestand bei T-Mobile nicht in einem neuen Software-Patch oder einer komplizierten Firewall-Regel. Das Sicherheitsteam kappte kurzerhand das Netzwerkkabel, über das ein kompromittiertes Gerät noch mit der Außenwelt verbunden war. Zuvor hatte der US-Mobilfunkanbieter den verdächtigen Datenverkehr monatelang zurückverfolgt und das betroffene System im November 2024 isoliert. 134

Nach Angaben des Unternehmens blieb es bei einem begrenzten Eindringen. Die Angreifer seien gestoppt worden, bevor sie Kundendaten erreichten; die Untersuchungen an der isolierten Hardware liefen zu diesem Zeitpunkt weiter. 134

Wie T-Mobile den Angriff entdeckte

Der Zugang führte offenbar nicht direkt in das besonders geschützte Kernnetz von T-Mobile. Analysten stießen auf ungewöhnliche Aktivitäten an einem System, das über einen anderen Festnetzbetreiber angebunden war. Sie verfolgten den Datenverkehr über diese Verbindung zurück, bis sie auf einen kompromittierten Router oder ein ähnliches Netzwerkgerät stießen. 89

Die Suche dauerte Monate. Die Herausforderung bestand nicht nur darin, auffällige Aktivitäten zu erkennen. Das Team musste auch klären, welches Gerät tatsächlich betroffen war – und ob dessen Trennung den Zugang der Angreifer beenden würde, ohne größere Betriebsprobleme zu verursachen. Den Berichten zufolge erreichten die Eindringlinge die Netzwerkinfrastruktur am Rand des Systems, nicht aber das Kernnetz von T-Mobile. 6

Warum das Team zum Kabel griff

Nachdem die mutmaßlich kompromittierte Hardware in einem Rechenzentrum nahe der T-Mobile-Zentrale in Bellevue im US-Bundesstaat Washington gefunden worden war, machten sich Sicherheitschef Jeff Simon und drei Kollegen selbst auf den Weg. Vor Ort lokalisierten sie das Gerät und durchtrennten mit einer Schere das externe Netzwerkkabel, das es mit dem Netz verband. 812

Mit dem physischen Schnitt war diese Verbindung sofort unterbrochen. Statt sich auf einen Fernzugriff zu verlassen, der möglicherweise fehlschlagen oder eine alternative Route offenlassen könnte, isolierte das Team die Hardware zunächst vollständig. So konnte sie untersucht werden, ohne die aktive Verbindung zu den Angreifern aufrechtzuerhalten. 1215

Die spektakuläre Schere ist dabei nur das einprägsame Detail. Das eigentliche Prinzip lautet: Eindämmung geht vor Komfort, wenn nicht zweifelsfrei feststeht, dass ein verbundenes Gerät vertrauenswürdig ist. In diesem Fall war die einfache Hardware-Trennung der klarste Weg, den mutmaßlichen Zugangsweg zu schließen.

Der größere Kontext: die Salt-Typhoon-Kampagne

Der Vorfall ereignete sich während der breiteren Kampagne von Salt Typhoon. US-Behörden und Sicherheitsfachleute bringen die China zugeschriebene Cyber-Spionageoperation mit Akteuren in Verbindung, die dem chinesischen Ministerium für Staatssicherheit nahestehen sollen. Im Visier standen Telekommunikationsunternehmen und verbundene Netzinfrastrukturen. Ziel war Berichten zufolge unter anderem der Zugriff auf Kommunikationsdaten und Systeme, die mit rechtmäßigen Überwachungsmaßnahmen zusammenhängen. 7

Die Kampagne beschränkte sich nicht auf einen einzigen Anbieter. Quellen sprechen von mehr als 200 betroffenen Organisationen weltweit, darunter Telekommunikations- und Internetunternehmen. AT&T und Verizon bestätigten, dass ihre Systeme ins Visier genommen worden waren. Beide erklärten später, ihre Netze seien sicher und nicht mehr bedroht. 17

Weitere Berichte nannten unter anderem Viasat, Charter Communications und Windstream als Teil des größeren Kreises betroffener Unternehmen. Zugleich blieb das Gesamtbild zunächst unvollständig, weil Ermittler weiterhin nach weiteren Organisationen suchten. 72426

Was der Fall über Netzwerksicherheit zeigt

Verbindungen zu Drittanbietern können zum Einfallstor werden

Der Vorfall macht ein zentrales Risiko vernetzter Unternehmen sichtbar: Ein Angreifer muss nicht unbedingt die am besten geschützten Systeme eines Ziels direkt überwinden. Es kann genügen, über ein benachbartes Netzwerk, einen Router oder eine bestehende Dienstleisterverbindung zu gehen. Der nicht namentlich genannte Festnetzbetreiber im Fall von T-Mobile zeigt, warum die Überwachung nicht an der eigenen Netzwerkgrenze enden darf. Auch Übergänge zwischen Unternehmen müssen kontrolliert werden. 610

Frühe Erkennung begrenzt den Schaden

T-Mobile hatte vor allem einen zeitlichen Vorteil. Das Unternehmen entdeckte die verdächtigen Aktivitäten, bevor daraus ein großflächiger Einbruch wurde, verfolgte den Pfad zurück und kappte die Verbindung, bevor Kundendaten erreicht wurden. Das bedeutet nicht, dass kein Risiko bestand. Laut den verfügbaren Berichten konnte der Angriff jedoch eingedämmt werden, bevor die Täter einen umfassenderen Zugang aufbauen konnten. 213

Physische Isolation kann zuverlässiger sein als Fernwartung

Moderne Incident-Response-Teams arbeiten meist mit Zugangssperren, Firewall-Regeln, Endpoint-Tools und Software-Updates. Wenn jedoch ein bestimmtes physisches Gerät verdächtig ist und seine externe Verbindung gefahrlos entfernt werden kann, kann das Abziehen oder Durchtrennen des Kabels der verlässlichste erste Schritt sein.

Genau deshalb blieb T-Mobiles Schere in Erinnerung: Sie stand für eine unumkehrbare Entscheidung – erst die Verbindung stoppen, dann in Ruhe ermitteln.

Die wichtigste Lehre

Salt Typhoon zeigte, wie attraktiv Telekommunikationsinfrastruktur für staatlich unterstützte Spionage ist – und wie ein kompromittiertes Unternehmen durch gemeinsame Systeme und Netzwerkbeziehungen zum Risiko für andere werden kann. Der Fall von T-Mobile zeigt zugleich, dass eine hochentwickelte Attacke nicht zwingend eine ebenso komplizierte letzte Gegenmaßnahme braucht. Nach den vorliegenden Berichten verhinderten kontinuierliche Überwachung, sorgfältige Analyse und die entschlossene Isolation eines Geräts, dass aus einer verdächtigen Verbindung ein größerer Netzeinbruch wurde. 415

Das Durchtrennen des Kabels war nur der letzte Schritt. Entscheidend war die monatelange Suche zuvor: Erst sie machte den verdächtigen Pfad sichtbar und gab dem Team die nötige Sicherheit, die richtige Hardware vom Netz zu nehmen.