Source: Deutsche Nachrichten
eSIM entwickelt sich zunehmend zu einer zentralen Grundlage für digitales Kunden-Onboarding, mobile Unternehmensanwendungen und die Vernetzung großer IoT-Geräteflotten. Damit gewinnt auch die Frage an Bedeutung, wer die zugrunde liegende Infrastruktur kontrolliert.
Denn beim Remote SIM Provisioning geht es um weit mehr als die technische Bereitstellung von eSIM-Profilen. Es geht darum, wer Profile verwaltet, kryptografische Schlüssel und Vertrauensanker kontrolliert, Betriebsprozesse gestaltet und künftige Integrationen steuert. Für Mobilfunknetzbetreiber, MVNOs und IoT-Konnektivitätsanbieter stellt sich deshalb heute nicht mehr nur die Frage, wie sie eSIM-Dienste anbieten können. Entscheidend ist auch, wie viel Kontrolle sie über diese geschäftskritische Infrastruktur selbst behalten möchten.
Noch vor wenigen Jahren war der Betrieb einer eigenen RSP-Umgebung mit hohen Anfangsinvestitionen verbunden. Sichere Infrastrukturen, spezialisiertes Know-how und aufwendige Zertifizierungsverfahren machten den Einstieg anspruchsvoll. Diese Hürden sind inzwischen deutlich niedriger. Cloud-native Architekturen und weltweit verfügbare, GSMA-konforme Hosting-Angebote ermöglichen es heute, eigene RSP-Umgebungen aufzubauen und zu betreiben, statt ausschließlich auf vollständig ausgelagerte Dienste angewiesen zu sein.
Warum Souveränität gerade jetzt an Bedeutung gewinnt
Mit neuen Standards – insbesondere SGP.32 für IoT-Anwendungen – wird die Frage nach der Kontrolle über digitale Identitäten noch wichtiger. eSIM ist längst mehr als nur eine zusätzliche Funktion im Mobilfunk. Sie entwickelt sich zu einem zentralen Bestandteil digitaler Infrastrukturen.
Damit rücken Fragen in den Mittelpunkt, die strategische Bedeutung haben: Wer kontrolliert die Systeme zur Bereitstellung und Verwaltung von eSIM-Profilen? Wer hat Zugriff auf kryptografische Vertrauensanker? Und wer bestimmt die betrieblichen Prozesse?
Unternehmen, die eSIM-Dienste aufbauen oder erweitern möchten, müssen deshalb früh eine grundlegende Entscheidung treffen: Soll die RSP-Umgebung selbst betrieben, hybrid aufgebaut oder vollständig ausgelagert werden?
Diese Entscheidung beeinflusst die technische Architektur, die Integration in bestehende Systeme, das Sicherheitsmodell und die regionale Flexibilität – oft über viele Jahre hinweg.
Bei einem selbst kontrollierten Modell behält der Betreiber die Hoheit über die RSP-Infrastruktur. Dabei spielt es zunächst keine Rolle, ob diese im eigenen Rechenzentrum, in einer souveränen Cloud oder auf einer dedizierten Public-Cloud-Infrastruktur betrieben wird. Ein solches Modell eignet sich insbesondere für Unternehmen, die ihre eSIM-Services eng mit ihrer Digitalisierungsstrategie und bestehenden IT-Landschaft verzahnen möchten.
In der Praxis setzen viele Unternehmen auf hybride Modelle. Dabei werden eigene Komponenten mit ausgewählten externen Services kombiniert. Ein Betreiber kann beispielsweise eine eigene SM-DP+-Plattform betreiben und gleichzeitig auf extern gehostete HSM-Dienste zurückgreifen. So lassen sich Projekte schneller umsetzen und die Einstiegskomplexität reduzieren. Gleichzeitig bleibt die Möglichkeit bestehen, Schritt für Schritt mehr Verantwortung selbst zu übernehmen, wenn internes Know-how aufgebaut wird.
Drei Architekturen für unterschiedliche Anforderungen
Die GSMA ist der internationale Branchenverband der Mobilfunkindustrie und definiert unter anderem die technischen Standards für eSIM. Im Bereich Remote SIM Provisioning haben sich drei wesentliche Architekturen etabliert.
SGP.22 ist heute der vorherrschende Standard für Consumer-Geräte wie Smartphones und Tablets. Im Mittelpunkt steht die SM-DP+-Plattform. Nutzer stoßen die Aktivierung eines eSIM-Profils in der Regel selbst an, beispielsweise über einen Local Profile Assistant auf dem Endgerät.
SGP.02 wurde ursprünglich für Machine-to-Machine-Anwendungen entwickelt und ist nach wie vor insbesondere in der Automobilindustrie und in industriellen Szenarien verbreitet. Durch die komplexe Einbindung mehrerer beteiligter Systeme eignet sich der Standard jedoch nur eingeschränkt für moderne IoT-Anwendungen mit sehr großen oder heterogenen Geräteflotten.
SGP.32 schließt diese Lücke. Der Standard basiert auf bewährten SM-DP+-Komponenten und ergänzt sie um eine zusätzliche Steuerungsebene: den eIM, den eSIM IoT Remote Manager. Damit können eSIM-Profile auch in großen und heterogenen Gerätebeständen zentral und aus der Ferne verwaltet werden – einschließlich Geräten ohne Benutzeroberfläche oder ohne zuverlässige HTTPS-Verbindung.
Sicherheit muss von Anfang an mitgedacht werden
RSP-Umgebungen gehören zu den besonders sicherheitskritischen Systemen der Mobilfunkbranche. Entsprechend wichtig ist eine klar strukturierte Sicherheitsarchitektur.
In produktiven Umgebungen werden Entwicklungs-, Staging- und Produktionssysteme üblicherweise voneinander getrennt. Gleichzeitig wird das Netzwerk in verschiedene Sicherheitszonen unterteilt. Dienste, die aus dem Internet erreichbar sein müssen, befinden sich beispielsweise in einer demilitarisierten Zone (DMZ). Sie bildet eine zusätzliche Schutzschicht zwischen öffentlich erreichbaren Diensten und internen Systemen.
Die eigentlichen Provisionierungssysteme werden dagegen in besonders geschützten Netzwerkbereichen betrieben. Auch Anwendungen, Datenbanken, Administrationszugänge und kryptografische Dienste werden voneinander getrennt.
Eine zentrale Rolle spielt dabei das Hardware Security Module (HSM). Es erzeugt, speichert und verarbeitet die kryptografischen Schlüssel und weiteren Sicherheitsinformationen, die für die Provisionierung benötigt werden.
Die Frage, wo und wie ein HSM betrieben wird – im eigenen Rechenzentrum, in einer Private Cloud oder bei einem spezialisierten Hosting-Anbieter –, hat großen Einfluss auf die gesamte Sicherheitsarchitektur und auf spätere Audits. Deshalb gehört diese Entscheidung zu den grundlegenden Weichenstellungen eines RSP-Projekts.
Zertifizierung als Voraussetzung für das GSMA-Vertrauensmodell
Wer eine SM-DP+-, SM-DP- oder SM-SR-Infrastruktur betreiben möchte, benötigt eine GSMA SAS-SM-Zertifizierung, um Teil des vertrauenswürdigen GSMA-Ökosystems zu werden.
Der Zertifizierungsprozess erfolgt in mehreren Schritten. Üblicherweise beginnt er mit einem sogenannten Dry Audit in einer Staging-Umgebung und auf Basis von Testzertifikaten. Anschließend geht die Produktivumgebung in Betrieb. Innerhalb von neun Monaten nach dem Go-live folgt das sogenannte Wet Audit, bei dem reale Betriebsdaten einbezogen werden. Mit erfolgreichem Abschluss wird die vollständige Zertifizierung erreicht.
Schritt für Schritt zur eigenen RSP-Infrastruktur
Der Aufbau einer souveränen RSP-Umgebung erfolgt in der Regel nicht auf einmal. In der Praxis ist es sinnvoller, schrittweise vorzugehen.
Am Anfang steht die Frage, welche Ziele mit der eigenen Infrastruktur verfolgt werden und welches Betriebsmodell dazu passt. Darauf folgen die Planung und Vorbereitung der technischen Umgebung, die Implementierung der Plattform und schließlich die Vorbereitung auf Zertifizierung und produktiven Betrieb.
Genau hier setzt achelos an. Seit mehr als zehn Jahren beschäftigt sich achelos mit SIM-, eSIM- und RSP-Technologien und entwickelt eigene Plattformen für SM-DP+, eIM, M2M und OTA. Die Lösungen basieren auf einer cloud-nativen, Kubernetes-kompatiblen Architektur und können flexibel in unterschiedlichen Betriebsmodellen eingesetzt werden – im eigenen Rechenzentrum, in einer souveränen Cloud, in der Public Cloud oder in hybriden Umgebungen.
Darüber hinaus unterstützt achelos seine Kunden auch bei den organisatorischen und sicherheitstechnischen Aufgaben rund um den Aufbau einer RSP-Infrastruktur: von Architektur- und Zertifizierungsstrategien über den Aufbau sicherer Betriebsumgebungen und die HSM-Integration bis hin zu SAS-SM-Gap-Analysen und der Vorbereitung auf Audits.
Für Mobilfunknetzbetreiber, MVNOs und IoT-Konnektivitätsanbieter entsteht so ein schrittweiser und kontrollierbarer Weg zu einer eigenen vertrauenswürdigen RSP-Umgebung.
Ob für eine regionale Consumer-eSIM-Plattform oder für die zentrale Verwaltung großer IoT-Geräteflotten: Mehr Souveränität beim eSIM-Provisioning ist heute kein theoretisches Zukunftsszenario mehr, sondern eine realistische strategische Option.