RCS vs. SMS – Ist die Kommunikation der Zukunft sicherer?

Menschen neigen von Natur aus dazu, sich gegen Veränderungen zu wehren. Ob es sich um einen neuen Schreibtisch, eine neue Kaffeemischung in der Maschine oder ein neues IT-Programm handelt – wir bevorzugen in der Regel das Vertraute: Lösungen, die „einfach funktionieren“ und zu denen wir im Laufe der Zeit Vertrauen aufgebaut haben. Das ist einer der Gründe, warum SMS seit den 90er Jahren eine der bevorzugten Kommunikationsplattformen geblieben ist.

Eine Technologie zu ersetzen, die sowohl in den Köpfen von Unternehmen als auch von Verbrauchern so tief verwurzelt ist, stellt eine große Herausforderung dar. Doch RCS ist mehr als nur ein „verbessertes SMS“. Es ist eine Technologie, die sowohl für den Absender als auch für den Empfänger erhebliche Sicherheitsvorteile mit sich bringt – und in einer Zeit, in der digitales Vertrauen ein heißes Thema ist, stellt sie eine bedeutende Verbesserung dar.

Doch was macht RCS sicherer als herkömmliche SMS?

Sicherheit bei RCS-Business-Messaging

Um den Unterschied in der Sicherheit zu verstehen, wird eine Metapher aus der physischen Post verwendet:

• SMS ist wie eine Postkarte: Die Nachricht wird als Klartext über das Mobilfunknetz gesendet. Jeder, der Zugriff auf die Übertragungsstrecke hat, kann die Nachricht theoretisch abfangen und lesen. Die ursprüngliche SMS ist ohne Verschlüsselung oder Absenderüberprüfung aufgebaut. Obwohl die meisten professionellen SMS-Gateways, darunter GatewayAPI, die Datenverschlüsselung von ihrer eigenen Plattform bis zum Telekommunikationsbetreiber gewährleisten, können die Nachrichten nicht bis zum Gerät des Empfängers verschlüsselt werden. Die einzige Überprüfung des Absenders beruht auf den Filtern, die von den Gateways und Betreibern eingerichtet wurden, um Betrugsversuche zu minimieren. 
• RCS funktioniert wie ein versiegelter Brief: RCS Business Messaging nutzt Transport Layer Security (TLS). Dadurch entsteht ein verschlüsselter „Tunnel“ zwischen dem System des Unternehmens und dem Gerät des Empfängers. Alle Daten sind während der Übertragung geschützt, was das Risiko von „Man-in-the-Middle“-Angriffen verringert – einer bekannten Cyberattacke, bei der ein Hacker heimlich die Kommunikation zwischen zwei völlig ahnungslosen Parteien abfängt, weiterleitet und möglicherweise verändert.

Während private RCS-Kommunikation meist Ende-zu-Ende-verschlüsselt (E2EE) ist, stellt die Entscheidung für eine Verschlüsselung auf Transportebene bei RCS Business Messaging eine strategische Wahl dar. Sie ermöglicht eine Vielzahl von Funktionen, die nur möglich sind, wenn die Nachricht nicht vollständig Ende-zu-Ende-verschlüsselt ist.

Durch die Verwendung von Verschlüsselung während der Übertragung erhalten die Betreiber und Google die Möglichkeit, den Inhalt der Nachrichten zu scannen, um Spam und Betrug fernzuhalten. Darüber hinaus ermöglicht sie dem Netzwerk die Verarbeitung der Interaktivität, die RCS Business Messaging unterstützt, einschließlich Call-to-Action-Buttons, Chatbots und Antwortvorschlägen.

Compliance und Datenhoheit

Die Frage, wer Zugriffsrechte auf die Daten hat, ist ein entscheidender Faktor in Bezug auf Datensicherheit und spielt bei der RCS-Technologie eine große Rolle, da sich die Plattform gerade in diesem Punkt von SMS unterscheidet.

RCS Business Messaging stützt sich auf die Infrastruktur von Google über Google Jibe – die universelle Engine, die Netzbetreiber und Netzwerke grenzüberschreitend verbindet und als „Verteilungszentrum“ für die Nachrichten fungiert. Die Netzbetreiber melden sich über Google Jibe an und bieten RCS-Nachrichten an, ohne den Dienst von Grund auf neu aufbauen zu müssen. Google gab bekannt, dass RCS Business Messaging über Google Jibe alle DSGVO-Richtlinien erfüllt.

Da jedoch alle Nachrichten die Infrastruktur von Google durchlaufen müssen, unterliegen die Daten dem US-Recht (US Cloud Act), auch wenn der Großteil der Daten innerhalb der EU gespeichert und verwaltet wird. Dieses spezifische Detail hat einen großen Einfluss auf unsere EU-Konfiguration.

Bei GatewayAPI bieten wir eine dedizierte EU-Setup an, die sicherstellt, dass alle Daten bei einem Cloud-Anbieter (Hetzner) gespeichert werden, der sich physisch in der EU befindet und sich im Besitz eines Unternehmens aus der EU befindet. Da RCS-Nachrichten die globale Infrastruktur von Google durchlaufen müssen, ist es derzeit nicht möglich, dieselbe EU-Datensouveränität zu garantieren, die in unserer EU-Konfiguration für SMS und E-Mail Standard ist. Bitte beachten Sie, dass Sie RCS-Nachrichten weiterhin über die EU-Konfiguration versenden können.

Verifizierung: Ein Schutzschild gegen Betrug

Das bedeutendste Sicherheitsupdate bei RCS ist die Einführung von Verified Senders.

Während SMS-Absender-IDs relativ leicht zu fälschen sind, erfordert RCS einen umfangreichen Genehmigungsprozess, bevor eine einzige Nachricht versendet werden kann.

Wenn ein RCS-Agent über GatewayAPI erstellt wird, durchläuft das Unternehmen einen Validierungsprozess, der Folgendes umfasst:

• Unternehmensidentität: Überprüfung der Domain-Inhaberschaft und der offiziellen Handelsregisterdaten.
• Markenelemente: Strenge Überprüfung von Logos und Markenfarben, um Identitätsdiebstahl und ähnliche Profile zu verhindern.
• Lokale Betreiberstandards: Da die regulatorischen Anforderungen von Land zu Land variieren, gewährleistet dieser Prozess die Einhaltung lokaler Betreiberregeln und Dokumentationsanforderungen.

Das Ergebnis ist das blaue Verifizierungshäkchen, das den Empfängern eine visuelle Garantie dafür gibt, dass die Nachricht von einem legitimen Unternehmen stammt. Dies beseitigt die Grundlage für Phishing-Angriffe, da es für unbefugte Absender unmöglich sein sollte, diese Validierung zu erhalten.

Die Einrichtung eines RCS-Agenten erfolgt in sechs einfachen Schritten über das GatewayAPI-Dashboard, wo unsere Spezialisten bei der Anmeldung zur Seite stehen und dabei helfen, Name, Anwendungsfall, Region, visuelle Identität, Unternehmensinformationen usw. festzulegen.

Tauchen Sie in die Details ein: Verschaffen Sie sich hier einen vollständigen Überblick über den RCS-Agent und die Registrierung

RCS-Sicherheit in der Praxis

Theoretische Sicherheit ist unerlässlich, doch der wahre Wert von RCS wird erst deutlich, wenn man den praktischen Einsatz im Alltag betrachtet. Hier sind zwei Szenarien, in denen der Wechsel von SMS zu RCS dem Empfänger sofortige Sicherheit vermittelt.

• Finanztransaktionen und MFA: Wenn eine Bank eine Warnung bezüglich einer verdächtigen Transaktion versendet, beseitigt RCS die Unsicherheit, die viele Empfänger empfinden, wenn sie Links in Standard-Textnachrichten sehen. Das verifizierte Logo und die verschlüsselte Verbindung bedeuten, dass der Empfänger sicher mit integrierten Schaltflächen wie „Kauf bestätigen“ oder „Karte sperren“ direkt in der RCS-Nachricht interagieren kann.
• Logistik und Zustellung: Die Logistikbranche ist häufig Ziel von Betrugsversuchen mit gefälschten Paketbenachrichtigungen und Zollgebühren. Mit einem verifizierten RCS-Agenten ist es Versandunternehmen möglich, Benachrichtigungen zu versenden, die nahezu unmöglich zu fälschen sind. Der Empfänger muss nicht mehr an der Echtheit eines Links zweifeln und kann sich auf das offizielle Markenprofil und dessen integrierte interaktive Funktionen verlassen.

Lücken und blinde Flecken

Auch wenn RCS einen bedeutenden technologischen Fortschritt darstellt, muss man sich bewusst sein, dass keine Technologie makellos ist. Da sich RCS auf dem Weg zum neuen globalen Standard noch in der Entwicklungsphase befindet, tauchen neue blinde Flecken auf, die Absender mit Vorsicht umgehen müssen.

Das Risiko des „blinden Vertrauens“
Wenn RCS als deutlich sicherere Plattform als herkömmliche SMS vermarktet wird, besteht die Gefahr eines falschen Sicherheitsgefühls. Das blaue Häkchen und die professionelle visuelle Identität können dazu führen, dass der Empfänger der Nachricht ein unkritisches Maß an Vertrauen entwickelt und seinen gesunden Menschenverstand außer Acht lässt. Sollte es einem böswilligen Akteur gelingen, irgendwie durch die Maschen zu schlüpfen und eine Verifizierung zu erhalten, wäre die Wahrscheinlichkeit, dass der Empfänger der Nachricht dem Betrug vertraut, weitaus höher.

Ausgeklügelter Betrug in neuen Technologien
Betrüger sind Meister der Anpassung, und eine Plattform, die hohe Sicherheitsstandards verspricht, ist oft ein attraktives Ziel. Die Einführung von Rich Media eröffnet neue und komplexere Möglichkeiten, bösartige Inhalte zu verbergen. Links können hinter hochwertigen Bildern, Call-to-Action-Buttons oder strategisch platzierten Antwortvorschlägen versteckt werden. Genau deshalb sind der manuelle Verifizierungsprozess und strenge Onboarding-Kontrollen unerlässlich, um die Integrität der RCS-Medien zu wahren und den Empfänger zu schützen.

RCS – der neue Standard?

Der Übergang von SMS zu RCS ist der größte Sprung in der Geschichte der Mobilkommunikation. Auch wenn neue Technologien immer neue Risiken mit sich bringen, ist die Schlussfolgerung klar: RCS ist die sicherste Lösung sowohl für Absender als auch für Empfänger.

Durch den Ersatz der „Postkarte“ durch den „versiegelten Brief“ erreichen Unternehmen:

• Transparenz durch manuelle Überprüfung.
• Schutz durch TLS-Verschlüsselung während eines Großteils des Prozesses.
• Vertrauen, da der Empfänger immer weiß, mit wem er kommuniziert.

Allerdings bedeutet RCS derzeit einen Kompromiss hinsichtlich unserer EU-Konfiguration, da die zusätzliche Sicherheitsstufe in der EU-Konfiguration RCS derzeit nicht abdeckt, da RCS-Nachrichten auf ihrem Weg zu den Endnutzern die Systeme von Google durchlaufen müssen.

Wenn Sie Fragen zu RCS und Sicherheit haben, können Sie sich gerne über den Support-Chat an unsere Spezialisten wenden.