IP Geo-Location
IP Geo-Location beschreibt die Standortbestimmung eines Smartphones über seine IP-Adresse. Der Vektor funktioniert unabhängig davon, ob GPS deaktiviert ist, und kann dadurch auch dann noch eine grobe geografische Zuordnung liefern, wenn nur Netzwerk- oder App-Verbindungen sichtbar sind.
Die Genauigkeit hängt stark vom Netzkontext ab. Ein Gerät im Mobilfunknetz kann anders eingeordnet werden als ein Gerät in einem WLAN-Hotspot, und zusätzliche Hinweise aus Messenger- oder VoIP-Software können die Lokalisierung weiter verfeinern.
MITRE ATT&CK
T1614 – System Location Discovery
Details:
Natürlich kann es hier zu größeren Abweichungen kommen, je nachdem ob das Smartphone im Mobilfunknetz oder an einem WLAN-Hotspot angemeldet ist. Gerade solche Unterschiede beeinflussen die Genauigkeit der IP-basierten Ortung erheblich.
Skype ist ein Beispiel dafür, wie IP-bezogene Standortinformationen indirekt gewonnen werden können: Durch Reverse Engineering und wissenschaftliche Veröffentlichungen wurde eine deobfuskierte Skype55-Version bekannt, mit der sich die verwendete IP-Adresse eines Nutzers ermitteln lässt. Ergänzend können bei einem Profilaufruf oder einer Personensuche Verbindungsdaten in Debug-Protokollen auftauchen, die anschließend über freie Webdienste geolokalisiert werden können.
Erkennung:
Eine Erkennung am Smartphone ist nur eingeschränkt möglich. Für Nutzer fällt meist höchstens auf, dass ein Dienst ungewöhnlich viele Verbindungsdaten erzeugt oder dass sich ein vermeintlich lokaler Standort plötzlich nicht mehr mit der tatsächlichen Umgebung deckt.
Belastbarer ist die Erkennung auf Betreiber- oder Analyseebene, etwa durch auffällige Debug-Logs, ungewöhnliche IP-Abfragen und die Korrelation von Dienstnutzung mit Standortabfragen. Besonders verdächtig sind wiederkehrende, automatisierte Zugriffe auf Geolokationsdienste ohne normale Nutzerinteraktion.
Gegenmaßnahmen:
Am Smartphone selbst helfen vor allem restriktive App-Nutzung, deaktivierte Hintergrundkommunikation und ein bewusster Umgang mit Messenger- oder VoIP-Apps. Wer die Risikooberfläche verringern will, sollte unnötige Standort- und Netzwerkfreigaben vermeiden und Dienste nur mit dem tatsächlich benötigten Funktionsumfang verwenden.
Umsetzen können die Maßnahmen zunächst die Nutzer direkt am Gerät. Ergänzend können Betreiber, Administratoren oder App-Anbieter die Sichtbarkeit von Debug-Informationen reduzieren, Logging beschränken und IP-basierte Geolokationsabfragen nur in begrenztem Umfang zulassen. Gegen eine reine IP-Ortung gibt es auf dem Endgerät selbst jedoch keine vollständige technische Sperre.
