Die IMEI-Debatte: Können Regierungen den Markt schützen, ohne neue Cybersicherheitsrisiken zu schaffen?

Jedes Smartphone besitzt einen einzigartigen digitalen Fingerabdruck. Diese Kennung kann dabei helfen, gestohlene Geräte zu sperren, Schmuggel zu bekämpfen und Zollvorschriften durchzusetzen. Doch sobald diese Kennung mit Personen, SIM-Karten, Importdaten, Reiseinformationen und Mobilfunkbetreiberdaten verknüpft wird, kann aus einem Instrument zur Marktregulierung ein potenzielles Ziel für Cyberangriffe werden.

Was ist eine IMEI und warum ist sie wichtig?

Eine IMEI (International Mobile Equipment Identity) ist die eindeutige 15-stellige Nummer, die jedem Mobilgerät zugewiesen wird. Mobilfunkbetreiber verwenden sie, um Geräte zu identifizieren und als verloren oder gestohlen gemeldete Smartphones zu sperren. Die eigentliche Debatte dreht sich jedoch darum, in welchem Umfang diese Kennungen registriert, miteinander verknüpft und genutzt werden sollten.

Viele europäische Mobilfunkbetreiber nutzen gemeinsame Sperrlisten, darunter die GSMA Device Registry, um gestohlene oder verlorene Geräte daran zu hindern, sich erneut mit Mobilfunknetzen zu verbinden. Dieser begrenztere Ansatz erfordert in der Regel nicht, dass jedes rechtmäßig genutzte Mobiltelefon einem namentlich registrierten Nutzer zugeordnet wird. Er hilft zwar, Diebstahl einzudämmen, trägt jedoch nur wenig dazu bei, nicht deklarierte Importe oder Steuerhinterziehung zu bekämpfen.

Umfassendere Systeme in der Türkei, Aserbaidschan, Pakistan, Indonesien und Nepal verknüpfen den Zugang zum Mobilfunknetz mit Importstatus, Registrierung, Einhaltung von Zollvorschriften und teilweise auch mit Identitätsnachweisen. Dadurch können Schmuggel, geklonte IMEIs und gefälschte Geräte bekämpft werden, gleichzeitig werden jedoch deutlich mehr Informationen zentral zusammengeführt und kontrolliert.

Armenien prüft derzeit die Einführung eines solchen erweiterten Modells. Am 25. Juni 2026 verabschiedete die Regierung einen Gesetzesentwurf zur Einführung einer verpflichtenden IMEI-Registrierung. Zu den erklärten Zielen gehören die Bekämpfung nicht deklarierter Importe, gefälschter Geräte, von Steuerausfällen und unlauterem Wettbewerb. Mobiltelefone, deren rechtmäßige Einfuhr oder ordnungsgemäße Registrierung nicht nachgewiesen werden kann, könnten künftig vom Zugang zu Mobilfunknetzen ausgeschlossen werden. Der von der Regierung verabschiedete Entwurf muss jedoch noch das parlamentarische Gesetzgebungsverfahren durchlaufen.

Internationale Erfahrungen zeigen sowohl Chancen als auch Risiken. Aserbaidschan meldete im Juni 2026 die Sperrung von mehr als 73.000 geklonten IMEI-Codes. Nepal liefert hingegen ein Beispiel für Probleme bei der Governance. Im März 2025 wurden zwei ehemalige Leiter der Telekommunikationsaufsichtsbehörde, ein ausländischer Staatsangehöriger sowie drei Unternehmen wegen Korruption bei der Beschaffung des Mobile Device Management Systems (MDMS) verurteilt. Dabei handelte es sich zwar nicht um einen Cyberangriff, der Fall zeigte jedoch, dass mangelnde Aufsicht ein System bereits kompromittieren kann, bevor seine technische Sicherheit überhaupt auf die Probe gestellt wird.

Welche Datenschutzrisiken entstehen durch IMEI-Register?

Die armenische Regierung erklärte, dass das geplante System lediglich die IMEI eines Geräts speichern und keine personenbezogenen Daten erfassen werde. Der veröffentlichte Gesetzesentwurf beschreibt jedoch Informationen über IMEIs, deren Nutzer, aktive SIM- oder eSIM-Nummern sowie den rechtmäßigen Umlauf von Mobiltelefonen. Außerdem erlaubt er die Verknüpfung mit Systemen von Mobilfunkbetreibern, Zollbehörden, staatlichen Einrichtungen und Grenzverwaltungssystemen.

Der Entwurf bestätigt weder, dass Namen oder Passkopien zentral gespeichert werden, noch stützt er die vereinfachte Aussage, dass ausschließlich IMEI-Nummern verarbeitet würden. Welche konkreten Datenfelder gespeichert werden, wie lange sie aufbewahrt werden, wer darauf zugreifen darf und wie der Datenaustausch erfolgt, soll erst durch nachgelagerte Vorschriften geregelt werden.

Wer betreibt und kontrolliert ein IMEI-Register?

Formell würde das Register vom Staat verwaltet, während die technische Administration an eine Organisation übertragen werden könnte, die gemeinsam von den armenischen Mobilfunkbetreibern gegründet wird. Diese nichtstaatliche Verwaltungsstelle könnte für die Systemarchitektur, Datenverarbeitung, Wartung, Sicherheit und die Anbindung an weitere Datenbanken verantwortlich sein. Darüber hinaus sieht der Entwurf vor, dass die Registerdaten künftig auch für zusätzliche digitale Dienste genutzt werden können.

Dies beweist keinen Missbrauch. Es erhöht jedoch die Notwendigkeit klar definierter Zweckbindungen, transparenter Verträge, unabhängiger Audits und eindeutiger Verantwortlichkeiten.

Cybersicherheitsrisiken eines zentralisierten IMEI-Registers

Eine einzelne IMEI enthält nur wenige Informationen. Ihr Wert verändert sich jedoch erheblich, wenn sie mit einem Nutzer, einer SIM- oder eSIM-Karte, Importdaten, Grenzkontrollen und Informationen der Mobilfunkbetreiber verknüpft wird.

Die Bedrohung geht dabei nicht ausschließlich von externen Angreifern aus. Sie umfasst auch Insider mit übermäßigen Zugriffsrechten, Dienstleister mit unnötigem Datenzugriff, unbefugte Datenabfragen, manipulierte Datensätze, unrechtmäßige Gerätesperren, eine zweckfremde Nutzung der Daten sowie Angriffe, die das Register selbst außer Betrieb setzen. Da der Zugang zum Mobilfunknetz künftig vom Register abhängen könnte, könnten fehlerhafte oder manipulierte Einträge auch rechtmäßige Nutzer betreffen. Für gewöhnliche Nutzer könnte ein fehlerhafter, manipulierte oder nicht verfügbarer Registereintrag bedeuten, dass ein rechtmäßig erworbenes Smartphone plötzlich keine Verbindung mehr zum Mobilfunknetz herstellen kann.

Auch lokale Experten für Cybersicherheit und Datenschutz haben vor unbefugtem Zugriff, Datenlecks, Missbrauch und einer zunehmenden Nachverfolgbarkeit von Nutzern gewarnt.

Fragen, die beantwortet werden müssen

Welche Informationen werden gespeichert? Wer darf auf verknüpfte Datensätze zugreifen? Wie lange werden diese Informationen aufbewahrt? Werden privilegierte Zugriffe protokolliert und überprüft? Wer untersucht den Missbrauch durch Insider oder Datenschutzverletzungen? Welches Beschwerdeverfahren schützt rechtmäßige Nutzer, wenn ihr Mobiltelefon zu Unrecht gesperrt wird?

Der Erfolg eines nationalen IMEI-Registers hängt nicht allein von seinen Zielen ab, sondern ebenso davon, wie es konzipiert, verwaltet, abgesichert und unabhängig geprüft wird.

Ein solcher Ansatz kann dazu beitragen, illegale Importe einzudämmen und rechtmäßig handelnde Unternehmen zu schützen. Die eigentliche Lehre reicht jedoch weit über ein einzelnes Land hinaus: Ein System, das zum Schutz des Marktes geschaffen wurde, darf nicht selbst zu einer neuen Quelle von Risiken für die Menschen, Daten und Netzwerke werden, denen es eigentlich dienen soll.

Quellen

Dieser Artikel stützt sich auf den veröffentlichten armenischen Gesetzesentwurf und die Mitteilung des Ministerrats, die Erläuterungen der armenischen Regierung zum Datenschutz, die Dokumentation der GSMA zu Sperrlisten für gestohlene Geräte, offizielle Registrierungsinformationen aus der Türkei, Pakistan, Indonesien und Nepal, den offiziellen Bericht Aserbaidschans über geklonte IMEIs, Interviews von CivilNet mit armenischen Experten für Cybersicherheit und Datenschutz sowie auf die Berichterstattung über den Beschaffungsfall des nepalesischen MDMS.