Im Kampf gegen die chinesische Hackergruppe Salt Typhoon griff T-Mobile US zu einer ungewöhnlich analogen Methode: Statt den Netzwerkstecker zu ziehen, durchtrennte das Security-Team ein mutmaßlich infiltriertes Kabel mit einer Schere. Das abgeschnittene Kabelende ist heute als Trophäe am Hauptsitz in Bellevue ausgestellt.
Die chinesische Hackergruppe Salt Typhoon galt 2024 als eine der größten Bedrohungen für die US-Telekommunikationsinfrastruktur. Während Konkurrenten wie AT&T und Verizon monatelang mit den Folgen der Einbrüche kämpften, entging T-Mobile US einer großflächigen Kompromittierung – unter anderem, weil das Security-Team zu einem ungewöhnlichen Mittel griff: Es durchtrennte ein mutmaßlich infiltriertes Netzwerkkabel physisch mit einer Schere [1] [3].
Die Jagd nach den Eindringlingen
Die Kampagne von Salt Typhoon, einer nach Einschätzung von US-Behörden von der chinesischen Regierung unterstützten Hackergruppe, richtete sich gegen Hunderte von Telefonunternehmen, Internetkonzernen und Rechenzentrumsbetreibern. Ziel war es, Telefonaufzeichnungen und Informationen über hochrangige US-Regierungsvertreter zu sammeln, darunter auch damalige Präsidentschaftskandidaten [3]. Betroffen waren unter anderem AT&T, Verizon, der Satellitentelefonanbieter Viasat sowie die Netzinfrastrukturkonzerne Charter und Windstream [3].
T-Mobile US entging einer großflächigen Kompromittierung, weil das Unternehmen die Aktivitäten früh erkannte [3]. Doch die Suche gestaltete sich zäh: Laut Bloomberg verbrachten die Cybersicherheitsmitarbeiter Monate damit, nach mutmaßlichen Hackern im eigenen Netz zu suchen – zunächst ohne Erfolg [2][3].
Der Durchbruch kam, als das Team ungewöhnliches Verhalten an einem System bemerkte. Der Verdacht fiel zunächst auf einen Router von T-Mobile in einem Rechenzentrum in Kalifornien, der ein merkwürdiges Verhalten gezeigt haben soll [1]. Ein Mitarbeiter vor Ort stellte jedoch fest, dass das Gerät gar nicht eingeschaltet war [1]. CIO Jeff Simon wies den Kollegen daraufhin an, den Router „herauszureißen" und zum Hauptsitz in Bellevue (Washington) zu bringen [1].
Ein getarnter Router als Täter
Bei weiteren Untersuchungen stellte T-Mobile fest, dass die verdächtigen Aktivitäten tatsächlich von einem Router stammten, der einem anderen, namentlich nicht genannten Telekommunikationsunternehmen gehörte [1]. Dieses Gerät war im Netzwerk als jener Router getarnt, den der T-Mobile-Mitarbeiter zuvor in Kalifornien untersucht hatte [1]. Dadurch konnten die Angreifer leichter mit anderen Geräten innerhalb der Infrastruktur von T-Mobile kommunizieren [1].
Simon soll daraufhin zusammen mit drei Kollegen zu dem Rechenzentrum mit dem verdächtigen Router gefahren sein, um das Gerät für weitere Untersuchungen abzuholen [1]. TechCrunch zufolge lag das Rechenzentrum in der Nähe des Hauptsitzes in Bellevue im Bundesstaat Washington [3]. „Dort verschaffte sich ein Mitglied des T-Mobile-Teams mit seinem Ausweis Zugang zur gesicherten Anlage, fand den betroffenen Router und holte eine Schere hervor", heißt es in dem Bloomberg-Bericht [1].
Warum die Schere statt des Steckers
Statt einfach den Netzwerkstecker vom Router zu lösen, zerstörte das Team das Kabel damit physisch [1]. Simon gestand im Interview, dass T-Mobile den Router auch auf anderem Wege hätte vom Netz trennen können [1]. Manchmal sei eine „Low-Tech-Sicherheitslösung" aber schneller und zuverlässiger. „Nichts geht über das Durchtrennen des Kabels", erklärte er [1].
Die Entscheidung ist aus Sicherheitssicht nachvollziehbar: Ein physischer Schnitt unterbricht die Verbindung unmittelbar und lässt sich nicht durch Software, Fernzugriff oder eine spätere Rekonfiguration des Geräts rückgängig machen. Anders als das Ziehen eines Steckers, das bei einem kompromittierten Gerät unter Umständen nur eine vorübergehende Trennung bewirkt, ist die physische Zerstörung des Kabels endgültig.
Eine Trophäe am Hauptsitz
Das abgeschnittene Kabelende ist den Angaben zufolge heute in einem Bilderrahmen zusammen mit dem Schriftzug „Vigilant by design, secure by action" am Hauptsitz von T-Mobile US in Bellevue ausgestellt [1]. „Es ist eine kleine Trophäe und ein Andenken", erklärte CIO Jeff Simon [1].
T-Mobile US selbst wollte sich auf Anfrage von TechCrunch nicht zu dem Vorfall äußern [3]. Der Fall zeigt, wie weit die Bedrohung durch Salt Typhoon reichte – und wie pragmatisch ein Unternehmen reagieren kann, wenn digitale Abwehrmaßnahmen an ihre Grenzen stoßen. In einer Branche, in der Angreifer zunehmend auf getarnte Geräte und verschleierte Kommunikationswege setzen, bleibt die physische Trennung ein letztes, aber wirkungsvolles Mittel.