mini|eSIM, links daneben ein Entwicklungsboard im Format einer SIM-Karte mit aufgelöteter eSIM
Die eSIM, , ist eine spezielle Form einer SIM-Karte, welche auf der (UICC) basiert und im Gegensatz zu herkömmlichen UICC mehrere Profile speichern kann, die zur Identifizierung des Nutzers im Mobilfunknetz dienen. Das Akronym „eSIM“ ist eine Abkürzung für . Durch die Programmierbarkeit besteht die Möglichkeit, die eSIM als Mikrochip fest in Teilnehmergeräte wie Smartphone oder IoT-Geräte einzubauen.
Um Missbrauch zu verhindern, wie die mehrfache Verwendung eines Profils zur Identifizierung in einem Mobilnetz auf mehreren Mobilgeräten, setzt die Programmierung, also die Initialisierung oder Änderungen am Profil, spezielle Bedingungen wie eine schon bestehende direkte Internetverbindung mit den Servern des Mobilfunkbetreibers voraus. Im Regelfall und bei Mobilgeräten erfolgt diese verschlüsselte Datenverbindung zwischen eSIM über die Anwendungssoftware am Mobilgerät mittels eines Over-the-Air-Update (OTA-Update).
Allgemeines Sowohl die eSIM als auch eine klassische SIM-Karte – (UICC) – basieren beide auf einem Mikrochip, welcher in Form eines Kryptoprozessors mit eigener, autonomer Software und einem Betriebssystem für Chipkarten ausgerüstet ist. Die eSIM bietet über die UICC hinausgehend die Fähigkeit, Datensätze — welche in diesem Zusammenhang als Profile bezeichnet werden und im Prinzip pro Profil einer eSIM den Datensatz einer physischen UICC darstellen — quasi zu virtualisieren und im Speicher der eSIM als ein Profil ablegen zu können. Bei einer UICC hingegen sind diese Daten wie das Software-Modul USIM fest an die physische SIM-Karte gebunden und nur durch physischen Tausch der SIM-Karte für das Mobilgerät zu verändern.
Die Firmware der eSIM stellt weiterhin sicher, dass die verschiedenen Profile, welche auch von verschiedenen Mobilnetzbetreibern, die untereinander in Konkurrenz stehen können, so gegeneinander abgeschirmt sind und gegen Manipulationen geschützt sind, dass keine ungewollte Veränderung der Profildaten möglich ist. Dieser Umstand ist für die Mobilnetzbetreiber von zentraler Bedeutung, weshalb der Speicher einer eSIM keinen frei programmierbaren Flash-Speicher darstellt. Die Geschäftsmodelle von Mobilfunkbetreibern basieren auf einer sicheren Identifizierung des Nutzers im Mobilfunknetz und diese Aufgabe wird wesentlich durch die eSIM wahrgenommen.
Der Mikrochip der eSIM ist fest im jeweiligen Mobilgerät eingebaut (d. h. auf der Leiterplatte verlötet) und nicht mehr für den Anwender tauschbar. Von dieser Einbaumethode leitet sich die Bezeichnung embedded ab.
Eine eSIM verhält sich, abgesehen von den zusätzlichen Funktionen für das Verwalten mehrerer Profile, mit dem einen und einzigen aktiven Profil nach außen hin wie eine herkömmliche (UICC).
Für die gleichzeitige Nutzung zweier Profile, zum Beispiel in einem Dual-SIM-Handy, sind zwei eSIMs oder eine Kombination aus einer eSIM und einer UICC nötig.
Varianten Mit Stand Mitte 2025 gibt es drei unterschiedliche Typen von eSIM, die durch verschiedene Marktanforderung und aus den Anwendungen heraus entstanden sind. Diese Unterschiede betreffen nur die eSIM-spezifischen Funktionen zum Laden, Verwalten und Löschen von Profilen. Chronologisch sind folgende Varianten entstanden, welche für die verschiedenen Anwendungsfälle parallel am Markt verfügbar sind:
M2M-eSIM Die ersten eSIM Mitte Ende 2015 waren die Machine-to-Machine oder M2M-eSIM, welche praktisch nur fix verbaut in speziellen Mobilfunkgeräten verwendet werden und sich daher auch die Bezeichnung embedded ableitet. Ein Beispiel dafür stellen Kfz-Notrufsysteme wie eCall dar, welche bei einem Unfall automatisch eine Unfallmeldung via Mobilnetz auslösen. Diese M2M-Anwendungen haben typischerweise keine direkte Benutzerinteraktion oder Benutzerschnittstelle, der Besitzer des Mobilgerätes ist sich unter Umständen der Mobilfunkfunktion nicht einmal bewusst. Die Konfiguration dieser M2M-eSIM erfolgt von einer zentralen Stelle aus und ohne dass der Benutzer, beispielsweise eines KFZ, darauf Einfluss nehmen kann. Typisch ist, dass die Konfiguration der eSIM von der Mobilfunkseite her durch standardisiertes Remote SIM Provisioning (RSP) ausgelöst wird. Technisch basiert die Verwaltung der eSIM auf speziellen Typen von Nachrichtenpaketen, welche im Mobilfunksystem mittels Short Message Service (SMS) im Rahmen des OTA-Updates übertragen werden. Eine direkte Internetverbindung ist für die Konfiguration nicht nötig.
M2M-eSIMs sind im Standard SGP.02 (basierend auf SMS-Kommunikation) und zuletzt SGP.32 (Stand April 2024) beschrieben, der für vernetzte Fahrzeuge und das IoT erweitert wurde.
Consumer-eSIM mini|Profilansicht einer eSIM mit dem Program EasyLPAC, einem LPA für die Konfiguration von Consumer eSIMs In den Folgejahren entstanden die sogenannten , welche einen anderen Anwendungsfall als die M2M-eSIM abdecken und primär in herkömmlichen Mobilfunkgeräten wie Smartphone oder Mobilfunk-Routern direkt vom Endanwender eingesetzt werden. Wesentlicher Unterschied zu den M2M-eSIM ist, dass die Initiative zur Konfiguration immer vom Endanwender ausgehen muss und die Konfiguration mittels spezieller Schnittstellensoftware, dem LPA (), erfolgt. Der LPA stellt bei der Konfiguration eine verschlüsselte Datenverbindung zwischen der zertifizierten Firmware der eSIM auf der einen Seite, und auf der anderen Seite einem vom jeweiligen Mobilfunkbetreiber oder Servicefirma im Internet zugänglichen und ebenfalls zertifizierten Server her. Über diese gesicherte Datenverbindung kann dann, nachdem sich die Firmware der eSIM gegenüber dem Server im Internet bzw. vice versa authentifiziert haben, die Profildaten übertragen und in die eSIM programmiert werden. Der LPA kann dabei entweder direkt auf dem jeweiligen Mobilgerät laufen, beispielsweise neuere Android-Version weisen diese Funktion in das Betriebssystem integriert auf, oder z. B. auf einem Desktop-PC mit einem SIM-Kartenlesegerät und LPA-Software erfolgen. In jedem Fall ist dabei, unabhängig vom Mobildatennetz, für die Einrichtung einer eSIM eine bereits bestehende Internetverbindung, beispielsweise über WLAN oder Ethernet, notwendig.
Consumer-eSIMs sind im Standard SGP.22 beschrieben.
IoT-eSIM Die letzte Variante von eSIM stellen die sogenannten IoT-eSIMs dar. Diese sind von der Art Konfiguration ähnlich wie der Consumer-eSIM gestaltet. Durch den Anwendungsfall, dass bei IoT-Geräten unter Umständen auch eine größere Anzahl von IoT-Geräten von einem Anwender konfiguriert und verwaltet werden muss, ist bei den IoT-eSIM die Art des LPA verändert. Der LPA läuft dabei nur zu einem Teil auf dem jeweiligen IoT-Gerät, dieser Softwareteil wird als IPA bezeichnet, der zweite Teil des LPA läuft auf einem Server im Internet und wird als eIM bezeichnet. Mittels der Benutzerschnittstelle des eIM, üblicherweise über eine Webseite realisiert, kann der Endanwender eine größere Anzahl von IoT-Geräten, die auch im Feld verteilt sein können und so eine Datenverbindung zwischen IPA und eIM besteht, zentral gesteuert konfigurieren und verwalten.
IoT-eSIMs sind im Standard SGP.32 beschrieben, der IP-basierte Kommunikationsprotokolle unterstützt und Profilwechsel erleichtert.
Initialisierung und Profilentfernung Die Initialisierung einer Consumer-eSIM, jener eSIM-Variante, mit der die meisten Benutzer in Kontakt kommen, läuft so ab, dass der Benutzer zunächst einen für ihn passenden Mobilfunkanbieter auswählt (dies können auch weltweit agierende Mobile Virtual Network Enabler (MVNE) ohne eigenes Mobilfunknetz sein) und einen passenden Mobilfunkvertrag abschließt. Statt einer physischen SIM-Karte bekommt er für die eSIM-Initialisierung einen sogenannten LPA String welcher aus zwei Teilen besteht. Die standardisierte Zeichenkette des LPA String besitzt die Form:
LPA:1$sm-dp-server.example.com$INDEX12345678901234567890
Der erste Teil, sm-dp-server.example.com aus dem Beispiel, stellt die Adresse des sogenannten SM-DP+-Servers im Internet dar, welcher vom LPA am https-Port angesprochen wird. Der zweite Teil, INDEX12345678901234567890 aus dem Beispiel, stellt den sogenannten Activation Code dar, welcher als Referenz übermittelt wird und den Bezug zum konkreten Kundenvertrag bildet. Zur leichteren Übermittlung ist es üblich den LPA String in Form eines QR-Codes und z. B. per E-Mail zu übermitteln, was die weltweite Distribution von eSIMs ermöglicht und Geschäftsfelder wie die sogenannten „Reise-eSIM“, meist limitiert auf Datentarife, eröffnet.
Nach Eingabe des LPA String in den LPA erfolgt der Aufbau einer verschlüsselten Datenverbindung in deren Rahmen sich die Firmware der eSIM gegenüber dem SM-DP+-Server im Internet als zertifizierte eSIM Hardware ausweist und umgekehrt der SM-DP+-Server als zertifizierter Lieferant für die eSIM-Profildaten. Danach erfolgt die eigentliche Übermittlung der verschlüsselten Daten, welchen von der eSIM intern abgespeichert werden. Der LPA dient dabei im Wesentlichen nur der Datendurchleitung zwischen eSIM und SM-DP+-Server im Internet. Die einige 10 Sekunden dauernde Übermittlung der verschlüsselten Daten bei der Initialisierung sollte nicht unterbrochen werden, da im Standard keine Wiederaufnahme der Übertragung nach einem Abbruch vorgesehen ist.
Nach erfolgreicher Initialisierung kann das Profil auf der eSIM-Karte mittels LPA aktiviert werden. Bei einer Profilumschaltung wird auch die komplette Konfiguration des Mobilfunkteils im Mobilgerät neu gestartet, was ungefähr dem Vorgang entspricht, wenn eine physische SIM-Karte getauscht wird.
Auf der eSIM vorhandene Profile können auch wieder entfernt werden, eine nochmalige Einrichtung mit den ursprünglichen Initialisierungsdaten ist aber nicht möglich. Ebenso kann das Übertragen eines eSIM Profils auf ein anderes Mobilfunkgerät erschwert sein, wenn die eSIM im Mobilgerät fix eingebaut ist und das Mobilgerät einen Defekt aufweist. Ist bei einem defekten Mobiltelefon die physische SIM-Karte in vielen Fällen problemlos zu entnehmen und in einem Ersatzgerät weiter verwendbar, ist dies bei einer fest eingebauten eSIM nicht möglich. Die Übertragung zu einem anderen Mobilgerät erfolgt bei eSIM wie bei einer neuen physischen SIM-Karte: Es wird ein neues eSIM-Profil erstellt und vom Netzbetreiber die bestehenden Daten wie die Rufnummer übertragen, was ein entsprechendes Mitwirken des jeweiligen Mobilfunkbetreibers voraussetzt und auch je nach Vertrag mit Zusatzkosten verbunden sein kann.
Digitale Zertifikate Die Infrastruktur, welche die Verwendung von eSIMs ermöglicht, dies umfasst neben den Profildaten und deren Verteilung, die verschiedenen Server bis hin zu der physischen Hardware des eSIM-Chips und dessen Firmware, setzt zur Absicherung gegen Manipulationen auf digitale Zertifikate nach dem Standard X.509 und auf ein Web of Trust an dessen oberster Stelle mit der Stammzertifizierungsinstanz (Root-CA) einzig die GSM Association (GSMA) steht. Dieser Umstand erschwert bzw. verhindert den Aufbau alternativer und von der GSMA unabhängiger eSIM-basierender Infrastruktur.
Sicherheitsprobleme