Die 5G-Technologie „Network Slicing“ bringt sowohl Herausforderungen als auch Chancen für die Einhaltung der Vorschriften zur rechtmäßigen Überwachung mit sich. Network Slicing ist eine der charakteristischen Funktionen der 5G-Standalone-Architektur (SA). Durch die Schaffung logisch isolierter Netzwerkpartitionen auf einer gemeinsam genutzten physischen Infrastruktur können Betreiber die Konnektivitätsmerkmale – Latenz, Bandbreite, Zuverlässigkeit und Sicherheit – auf die spezifischen Anforderungen verschiedener Dienste, Anwendungen oder Kundengruppen zuschneiden. Für die rechtmäßige Überwachung bringt Network Slicing sowohl erhebliche Komplikationen als auch – paradoxerweise – potenzielle Vereinfachungen mit sich. Das Verständnis darüber, wie sich Network Slicing auf die Zielauswahl, Durchführung und Umsetzung der Überwachung auswirkt, ist für jeden Netzbetreiber, der ein 5G-SA-Netzwerk einführt oder plant, von entscheidender Bedeutung.
Dieser Artikel befasst sich mit den Schnittstellen zwischen Netzwerk-Slicing und der rechtmäßigen Überwachung und behandelt dabei die technische Architektur, die Herausforderungen bei der Identifizierung von Zielpersonen und der Durchführung der Überwachung, die potenziellen Vorteile, die Slicing für Überwachungsmaßnahmen bieten kann, sowie die praktischen Maßnahmen, die Netzbetreiber ergreifen sollten, um die Einhaltung der Vorschriften in einer Slicing-Umgebung sicherzustellen.
Wie sich 5G-Network-Slicing auf LI auswirkt
In einem 5G-SA-Netzwerk ist ein Network Slice ein logisch isoliertes End-to-End-Netzwerk, das bestimmte Konfigurationen von Funkzugangs-, Transport- und Kernnetzressourcen umfasst. Jedes Slice wird durch einen S-NSSAI-Wert (Single Network Slice Selection Assistance Information) identifiziert und ist darauf ausgelegt, bestimmte Dienstanforderungen zu erfüllen. So könnte beispielsweise ein Slice für ultraverlässliche Kommunikation mit geringer Latenz (URLLC) zur Unterstützung autonomer Fahrzeuge optimiert sein, während ein anderer für massive maschinelle Kommunikation (mMTC) zur Unterstützung von IoT-Sensornetzwerken konfiguriert sein könnte und ein dritter Enhanced Mobile Broadband (eMBB) für Consumer-Smartphones bereitstellen könnte.
Aus Sicht des Kernnetzes kann jedes Slice über eigene, dedizierte Instanzen bestimmter Netzwerkfunktionen verfügen – wie beispielsweise SMF, UPF und PCF – oder sich Netzwerkfunktionsinstanzen mit anderen Slices teilen. Der Grad der Isolation zwischen den Slices ist konfigurierbar und hängt von der Bereitstellungsstrategie des Betreibers sowie den Anforderungen des jeweiligen Slices ab. Diese Flexibilität ist ein wesentlicher Vorteil des Slicing, führt jedoch auch zu einer erhöhten Komplexität bei Funktionen, die über Slice-Grenzen hinweg arbeiten müssen, darunter auch die rechtmäßige Überwachung.
Ein einzelner Teilnehmer kann Dienste über mehrere Slices hinweg gleichzeitig nutzen. Bei einem Smartphone-Nutzer könnte der Sprachverkehr über ein Slice geleitet werden, das Video-Streaming über ein anderes und sein IoT-Begleitgerät über ein drittes verbunden sein. Jedes Slice kann über einen eigenen UPF, eine eigene PDU-Sitzung und eine eigene IP-Adressierung verfügen. Der Datenverkehr des Teilnehmers wird auf der Grundlage der Network Slice Selection Function (NSSF) und der Informationen zum Slice-Abonnement des Teilnehmers auf diese Slices verteilt.
Komplikationen bei der LI-Zielausrichtung
Network Slicing erschwert die LI-Zielerfassung in mehrfacher Hinsicht. Die grundlegendste Schwierigkeit besteht darin, dass sich der Datenverkehr eines Ziels auf mehrere Slices verteilen kann, die jeweils potenziell von unterschiedlichen UPF-Instanzen bedient werden. Ein einzelner Abhörbefehl muss dazu führen, dass die gesamte Kommunikation des Ziels erfasst wird, unabhängig davon, durch welchen Slices sie verläuft. Dies erfordert, dass das LI-System alle vom Ziel genutzten Slices identifiziert und in jedem relevanten Slices Abhörpunkte einrichtet.
Die Zielidentifizierung in einer in Slices unterteilten Umgebung ist komplexer als in einem nicht in Slices unterteilten Netzwerk. Ein und derselbe Teilnehmer kann je nachdem, welches Slice einen bestimmten Kommunikationsfluss bedient, mit unterschiedlichen Sitzungskontexten, unterschiedlichen IP-Adressen und unterschiedlichen QoS-Eigenschaften auftreten. Das LI-System muss in der Lage sein, diese unterschiedlichen Kontexte anhand der Teilnehmeridentitätsinformationen aus dem AMF und des Slice-Abonnementprofils des Teilnehmers wieder einem einzigen Ziel zuzuordnen.
Die Dynamik der Slices-Zuweisung sorgt für zusätzliche Komplexität. Slices können dynamisch erstellt, geändert und beendet werden, und der Datenverkehr eines Ziels kann sich je nach Änderung der Serviceanforderungen zwischen den Slices verschieben. Das LI-System muss diese Änderungen in Echtzeit verfolgen und die Abfangkonfigurationen entsprechend anpassen. Eine statische Abhörkonfiguration, die zum Zeitpunkt der Aktivierung korrekt war, kann unvollständig werden, wenn sich die Slice-Zuweisungen des Ziels während des Abhörzeitraums ändern.
Eine weitere Komplikation ergibt sich aus der Möglichkeit, dass verschiedene Slices von unterschiedlichen Akteuren betrieben werden. In einigen Geschäftsmodellen kann ein Unternehmen oder ein vertikaler Branchenpartner einen eigenen Slice auf der Infrastruktur des Netzbetreibers betreiben, möglicherweise mit eigenen Netzfunktionen und eigenem Betriebsmanagement. Die Frage, wer für die rechtmäßige Überwachung innerhalb eines solchen Slices verantwortlich ist – der Infrastrukturbetreiber, der Slice-Nutzer oder beide –, ist eine regulatorische und vertragliche Frage, die in den meisten Rechtsordnungen noch nicht vollständig geklärt ist.
Wie das Aufteilen die LI vereinfachen kann
Trotz dieser Komplikationen kann Network Slicing auch potenzielle Vorteile für die rechtmäßige Überwachung bieten. Die logische Isolierung der Slices bedeutet, dass der Datenverkehr innerhalb eines Slices bereits vom Datenverkehr in anderen Slices getrennt ist. Wenn die Kommunikation der Zielperson auf ein bestimmtes Slice beschränkt ist, kann sich die Überwachung auf dieses Slice konzentrieren, wodurch sich das Volumen des Datenverkehrs, der nicht die Zielperson betrifft und vom Überwachungssystem verarbeitet und gefiltert werden muss, potenziell verringert.
Durch „Slicing“ lässt sich zudem eine detailliertere Überwachung ermöglichen. Anstatt den gesamten Datenverkehr eines Ziels abzufangen – was in einer modernen Smartphone-Umgebung erhebliche Mengen an Hintergrunddaten, Software-Updates und anderem irrelevanten Datenverkehr umfassen kann –, könnte „Slicing“ es potenziell ermöglichen, die Überwachung auf bestimmte Dienstarten oder Kommunikationsflüsse zu konzentrieren. Diese Feinsteuerung könnte die Verarbeitungslast für das LI-System und den Analyseaufwand für die Strafverfolgungsbehörden verringern, auch wenn die rechtlichen und verfahrensrechtlichen Rahmenbedingungen für eine solche selektive Überwachung noch nicht vollständig ausgearbeitet sind.
Aus Sicherheitssicht kann die Isolierung zwischen den Slices zusätzlichen Schutz für die LI-Funktion bieten. Durch die Bereitstellung von LI-Komponenten in einem dedizierten, sicheren Slice – oder durch die Sicherstellung, dass der LI-Datenverkehr zwischen Netzwerkfunktionen und der Vermittlungsplattform über einen separaten, isolierten Transportpfad geleitet wird – können Betreiber die Vertraulichkeit und Integrität des Überwachungsprozesses verbessern.
3GPP-Standards für LI in Sliced-Netzwerken
Die in TS 33.127 und TS 33.128 definierte 3GPP-LI-Architektur für 5G befasst sich ausdrücklich mit dem Thema „Network Slicing“. Die Standards verlangen, dass das LI-System in der Lage ist, die Kommunikation eines Ziels über alle von diesem Ziel genutzten Slices hinweg abzufangen. Die X1-Schnittstelle muss die Angabe von Slice-bezogenen Parametern unterstützen, und die X2- und X3-Schnittstellen müssen in der Lage sein, IRI und CC von Abhörpunkten innerhalb eines beliebigen Slices zu übermitteln.
Die Standards legen fest, dass der AMF, der die Registrierung und das Mobilitätsmanagement des Ziels übernimmt, ein zentraler Abfangpunkt für Slice-bezogene IRIs ist. Wenn sich ein Ziel im Netzwerk registriert und einem oder mehreren Slices zugewiesen wird, generiert der AMF IRI-Ereignisse, die die Slice-Informationen enthalten. Das LI-System nutzt diese Informationen, um die Abfangung an den entsprechenden UPFs innerhalb jedes zugewiesenen Slices zu konfigurieren.
Auch die NSSF und die im UDM gespeicherten Abonnementdaten spielen im LI-Prozess eine Rolle. Die NSSF legt fest, welche Slices einem Teilnehmer zur Verfügung stehen, und das UDM enthält die Informationen zum Slice-Abonnement des Teilnehmers. Das LI-System muss möglicherweise mit diesen Funktionen interagieren, um die Informationen zu erhalten, die für die Konfiguration einer umfassenden Überwachung über alle relevanten Slices hinweg erforderlich sind.
Praktische Auswirkungen für die Betreiber
Netzbetreiber, die 5G-SA-Netze mit Slicing-Fähigkeiten bereitstellen, sollten die LI-Anforderungen bereits in den frühesten Phasen der Slicing-Planung und -Bereitstellung berücksichtigen. Es werden mehrere praktische Maßnahmen empfohlen. Stellen Sie zunächst sicher, dass Ihr LI-System die Slicing-Architektur kennt und Interception-Punkte innerhalb jedes Slices dynamisch erkennen und konfigurieren kann. Dies erfordert eine Integration zwischen dem LI-System und den Slicing-Management-Funktionen, einschließlich des NSSF und der Netzwerk-Slicing-Management-Funktion (NSMF).
Zweitens ist zu überprüfen, ob die in jedem Slice eingesetzten UPFs die X3-Schnittstelle für die Bereitstellung von Inhalten an die LI-Mediationsfunktion unterstützen. Verwendet ein Slice einen UPF, der X3 nicht unterstützt, entsteht für den Betreiber eine Lücke in der Überwachungsfähigkeit hinsichtlich des Datenverkehrs, der diesen Slice durchläuft. Dies ist eine Beschaffungsanforderung, die in allen Spezifikationen der UPF-Anbieter enthalten sein sollte.
Drittens sollten Verfahren für den Umgang mit Abhöranordnungen entwickelt werden, die sich über mehrere Slices erstrecken. Das LI-Betriebsteam muss wissen, wie Abhörmaßnahmen so konfiguriert werden, dass sie alle Slice-Zuweisungen eines Ziels abdecken, und wie die Konfigurationen angepasst werden müssen, wenn sich die Slice-Zuweisungen ändern. Eine Automatisierung dieses Prozesses wird dringend empfohlen, da eine manuelle Konfiguration über mehrere Slices hinweg fehleranfällig und zeitaufwendig ist.
Viertens sollten die Governance- und vertraglichen Aspekte von LI in gemeinsam genutzten oder vom Unternehmen betriebenen Slices geregelt werden. Wenn Dritte Slices auf Ihrer Infrastruktur betreiben, müssen die Zuständigkeiten für die rechtmäßige Überwachung in den kommerziellen Vereinbarungen klar definiert sein und mit den regulatorischen Anforderungen der jeweiligen Rechtsordnung im Einklang stehen.
Schlussfolgerung
Das Network Slicing im 5G-SA-Modus bringt sowohl Herausforderungen als auch Chancen für die rechtmäßige Überwachung mit sich. Die Verteilung des Datenverkehrs einer Zielperson auf mehrere Slices, die Dynamik der Slice-Zuweisung und die Möglichkeit des Slice-Betriebs durch Dritte erschweren den Überwachungsprozess. Gleichzeitig können die logische Isolation und die Granularität des Slicing neue Ansätze für eine gezielte und effiziente Überwachung bieten. Für Netzbetreiber ist es entscheidend, die Anforderungen an die rechtmäßige Überwachung bereits bei der Slicing-Planung proaktiv zu berücksichtigen, sicherzustellen, dass ihre Überwachungssysteme „slice-aware“ und dynamisch anpassungsfähig sind, sowie klare Regeln für die Zuständigkeiten bei der Überwachung in Multi-Tenant-Slicing-Umgebungen festzulegen. Auf diese Weise können Netzbetreiber ihre Compliance-Verpflichtungen erfüllen und gleichzeitig das volle Potenzial des 5G-Network-Slicing ausschöpfen.
Mit Blick auf die Zukunft wird die Weiterentwicklung des Network Slicing hin zu dynamischeren, absichtsbasierten Modellen die Komplexität des LI in Slicing-Umgebungen weiter erhöhen. Zukünftige Netzwerke könnten Slices aufweisen, die bei Bedarf erstellt und aufgelöst werden, wobei Ressourcen in Echtzeit entsprechend dem Dienstbedarf zugewiesen und freigegeben werden. Das LI-System muss sich parallel zu diesen Funktionen weiterentwickeln und eine umfassende Überwachungsabdeckung gewährleisten, selbst wenn sich die zugrunde liegende Netzwerktopologie ständig ändert. Netzbetreiber, die heute in flexible, standardkonforme LI-Lösungen investieren, werden besser darauf vorbereitet sein, sich an diese zukünftigen Entwicklungen anzupassen und eine lückenlose Compliance zu gewährleisten, während ihre 5G-Netze ausgereift werden.
Mit zunehmender Reife der 5G-Netzwerk-Slicing-Implementierungen werden sich auch die Herausforderungen im Bereich der Überwachung weiterentwickeln. Netzbetreiber sollten ihre 5G-LI-Architektur für Netzwerk-Slicing unter Berücksichtigung der zukünftigen Skalierbarkeit konzipieren.
Verwandte Artikel
Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:
- X1/X2/X3-Schnittstellen in 5G: Die 3GPP LI-Architektur wird erklärt
- eSIM und rechtmäßiges Abhören: Was die RSP-Architektur für die Einhaltung der Vorschriften bedeutet
- Verschlüsseltes DNS (DoH/DoT) und seine Auswirkungen auf legale Abhörmöglichkeiten
Externe Ressourcen
Die folgenden externen Quellen bieten zusätzlichen Kontext und offizielle Dokumentation:
