VoIP und Sicherheit bei Geschäftstelefonen
🔒 Sicherheit behandelt die Tools, Protokolle und Methoden, mit denen Sie Ihre geschäftliche Telefonanlage vor Angriffen, Abhörversuchen und Betrug schützen können. Dieser Abschnitt enthält 14 Begriffe, von Verschlüsselungsstandards wie TLS und SRTP bis hin zu gängigen Bedrohungen wie Gebührenbetrug und Brute-Force-Angriffen.
Auf dieser Seite: TLS · SRTP · SRTP/SDES · SRTP/DTLS · VoIP-Betrug/Gebührenbetrug · Brute-Force-Angriff · SIP-Scanning/Port-Scanning · Registrierungs-Hijacking · Abhören/Anrufabfang · DoS-/DDoS-Angriff · Fail2Ban · Digest-Authentifizierung · Zertifikat/TLS-Zertifikat · VPN für VoIP · ACL
Verwandte Abschnitte
Das Signalisierungsprotokoll, das VoIP-Anrufe ermöglicht
So ist Ihre Telefonanlage an das Telefonnetz angeschlossen
Grundlagen zu Firewalls, NAT, Ports und VPN
DSGVO, Einwilligungsnachweis und Datenstandort
TLS (Transport Layer Security)
Ein kryptografisches Protokoll, das den Signalisierungsteil eines VoIP-Anrufs verschlüsselt. TLS schützt SIP-Nachrichten (Anrufaufbau, Registrierung, Anrufer-ID) während der Übertragung zwischen Ihrem Telefon und dem Server. Ohne TLS werden diese Nachrichten im Klartext gesendet und können von jedem im Netzwerk gelesen werden. Die meisten Cloud-PBX-Anbieter verwenden TLS standardmäßig. Es handelt sich um dieselbe Technologie, die auch HTTPS-Websites schützt.
Siehe auch: SRTP · Zertifikat/TLS-Zertifikat · SIP-Protokoll
SRTP (Secure Real-Time Transport Protocol)
Ein Protokoll, das den Audio- (Sprach-)Teil eines VoIP-Anrufs verschlüsselt. Während TLS die Signalisierung schützt, sichert SRTP das eigentliche Gespräch. Ohne SRTP könnte jemand, der Ihren Netzwerkverkehr abfängt, Ihre Anrufe mithören. SRTP erweitert Standard-RTP-Audiostreams um Verschlüsselung und Nachrichtenauthentifizierung. Es wird von modernen SIP-Telefonen und Cloud-PBX-Systemen weitgehend unterstützt.
Siehe auch: TLS · RTP · SRTP/SDES
SRTP/SDES (Session Description Protocol Security Descriptions)
Ein Verfahren zum Schlüsselaustausch für SRTP. Bei SDES sind die Verschlüsselungsschlüssel direkt in den SIP-Signalisierungsnachrichten (dem SDP-Body) enthalten. Dies ist der einfachere und gängigere Ansatz. Allerdings bedeutet dies, dass die Schlüssel nur so sicher sind wie der Signalisierungskanal. Wird TLS nicht verwendet, werden die Schlüssel im Klartext übertragen. Aus diesem Grund sollte SDES immer mit TLS kombiniert werden.
Siehe auch: SRTP · SRTP/DTLS · TLS
SRTP/DTLS (Datagram Transport Layer Security)
Ein alternatives Verfahren zum Schlüsselaustausch für SRTP. Anstatt Schlüssel in die SIP-Signalisierung einzubetten, handelt DTLS Verschlüsselungsschlüssel direkt zwischen den beiden Endpunkten über den Medienkanal (Audiokanal) aus. Das bedeutet, dass die Schlüssel niemals in den Signalisierungsnachrichten erscheinen. DTLS gilt als sicherer als SDES, da die Audioverschlüsselung nicht davon abhängt, dass die Signalisierung verschlüsselt ist. Es wird in WebRTC verwendet.
Siehe auch: SRTP · SRTP/SDES · WebRTC
VoIP-Betrug / Ferngesprächsbetrug
Die unbefugte Nutzung Ihrer Telefonanlage zur Tätigung teurer Anrufe, in der Regel zu Premium- oder Auslandsnummern. Angreifer dringen in eine Telefonanlage (PBX) ein (häufig über schwache Passwörter oder ungeschützte SIP-Ports) und leiten innerhalb kurzer Zeit Tausende von Anrufen weiter. Der Geschäftsinhaber erhält eine enorme Telefonrechnung. Betrug durch unberechtigte Anrufe kostet die globale Telekommunikationsbranche jedes Jahr Milliarden Euro. Starke Passwörter, IP-Beschränkungen und Obergrenzen für Gesprächskosten sind die wichtigsten Abwehrmaßnahmen.
Siehe auch: Brute-Force-Angriff · Registrierungsentführung · ITSP
Brute-Force-Angriff
Ein automatisierter Angriff, bei dem Tausende von Kombinationen aus Benutzernamen und Passwörtern ausprobiert werden, um gültige SIP-Anmeldedaten zu erraten. Angreifer verwenden Software, die in rascher Folge SIP-REGISTER-Anfragen mit unterschiedlichen Passwörtern versendet. Gelingt ihnen dies, können sie Ihr Konto kapern und auf Ihre Kosten Anrufe tätigen. Zu den Schutzmaßnahmen zählen sichere Passwörter, Fail2Ban und die Begrenzung der Anmeldeversuche.
Siehe auch: Fail2Ban · VoIP-Betrug/Gebührenbetrug · Digest-Authentifizierung
SIP-Scan / Port-Scan
Der Vorgang, bei dem IP-Adressen und Ports systematisch abgefragt werden, um aktive SIP-Server oder -Telefone zu finden. Angreifer nutzen automatisierte Tools, um das Internet nach Geräten zu durchsuchen, die auf SIP-Ports (in der Regel 5060 und 5061) auf eingehende Verbindungen warten. Sobald sie ein Ziel gefunden haben, versuchen sie es mit Brute-Force-Angriffen oder nutzen bekannte Sicherheitslücken aus. Das Ändern des Standard-SIP-Ports und der Einsatz von Firewalls können das Risiko verringern.
Siehe auch: Brute-Force-Angriff · ACL · SIP
Registrierungsmissbrauch
Ein Angriff, bei dem jemand Ihre SIP-Registrierung übernimmt, indem er eine neue REGISTER-Nachricht mit Ihren Anmeldedaten an den Server sendet. Der Server aktualisiert die Kontaktadresse so, dass sie auf das Gerät des Angreifers verweist. Danach werden für Sie bestimmte eingehende Anrufe stattdessen an den Angreifer weitergeleitet. Dies kann zum Abhören oder für Betrugszwecke genutzt werden. TLS und eine starke Authentifizierung tragen dazu bei, dies zu verhindern.
Siehe auch: TLS · Digest-Authentifizierung · REGISTRIEREN
Abhören / Anrufe abfangen
Heimliches Abhören von VoIP-Anrufen durch Erfassung des Netzwerkverkehrs. Sind Anrufe nicht verschlüsselt (kein TLS für die Signalisierung, kein SRTP für die Audioübertragung), kann jeder, der Zugriff auf dasselbe Netzwerksegment hat, Gespräche aufzeichnen und wiedergeben. Dies ist insbesondere in öffentlichen WLAN-Netzen oder gemeinsam genutzten Netzwerken ein großes Risiko. Durch die Aktivierung von TLS und SRTP wird diese Gefahr beseitigt.
Siehe auch: TLS · SRTP · VPN für VoIP
DoS-/DDoS-Angriff
Ein Denial-of-Service-Angriff (DoS) oder ein Distributed-Denial-of-Service-Angriff (DDoS) überflutet Ihren VoIP-Server mit enormen Datenmengen, sodass er keine echten Anrufe mehr verarbeiten kann. DDoS-Angriffe kommen aus vielen Quellen gleichzeitig, was ihre Abwehr erschwert. Die Folge sind unterbrochene Anrufe, schlechte Audioqualität oder ein vollständiger Ausfall der Telefonanlage. Anbieter von Cloud-PBX-Lösungen verfügen in der Regel über integrierte Maßnahmen zur Abwehr von DDoS-Angriffen.
Siehe auch: QoS · ACL
Fail2Ban
Ein Open-Source-Sicherheitstool, das Protokolldateien auf wiederholte fehlgeschlagene Anmeldeversuche überwacht und die IP-Adresse des Angreifers automatisch sperrt. Im VoIP-Bereich überwacht Fail2Ban die SIP-Registrierungsprotokolle. Nach einer festgelegten Anzahl fehlgeschlagener Versuche (z. B. 5 innerhalb von 60 Sekunden) fügt es eine Firewall-Regel hinzu, um diese IP-Adresse zu sperren. Es ist einer der effektivsten und einfachsten Schutzmechanismen gegen Brute-Force-Angriffe.
Siehe auch: Brute-Force-Angriff · ACL
Digest-Authentifizierung
Das Standard-SIP-Verfahren zur Überprüfung von Benutzernamen und Passwörtern. Wenn Ihr Telefon oder Ihre Telefonanlage eine SIP-Anfrage sendet, antwortet der Server mit einer Challenge (einer 401- oder 407-Antwort). Ihr Gerät sendet die Anfrage daraufhin erneut, diesmal mit einer gehashten Version des Passworts. Das Passwort selbst wird niemals im Klartext über das Netzwerk übertragen. Dies ist sicherer als die Basisauthentifizierung, jedoch weniger sicher als TLS-basierte Verfahren.
Siehe auch: Authentifizierung anhand von Anmeldedaten · Brute-Force-Angriff
Zertifikat / TLS-Zertifikat
Eine digitale Datei, die die Identität eines Servers (oder manchmal auch eines Clients) nachweist. Wenn Ihr Telefon über TLS eine Verbindung zu einem Cloud-PBX-Server herstellt, legt der Server sein Zertifikat vor. Ihr Telefon überprüft, ob das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde und noch gültig ist. Dadurch werden Man-in-the-Middle-Angriffe verhindert, bei denen sich ein Angreifer als Server ausgibt.
Siehe auch: TLS · SIP über TLS
VPN für VoIP
Verwendung eines virtuellen privaten Netzwerks (VPN), um einen verschlüsselten Tunnel für den gesamten VoIP-Datenverkehr zwischen Ihrem Büro und dem Cloud-PBX-Anbieter zu erstellen. Ein VPN schützt sowohl die Signalisierung als auch die Audioübertragung, selbst wenn TLS und SRTP nicht konfiguriert sind. Dies ist besonders nützlich für Remote-Mitarbeiter oder Zweigstellen, die sich über das öffentliche Internet verbinden. Der Nachteil ist, dass VPNs zu einer erhöhten Latenz führen können, was sich auf die Gesprächsqualität auswirken kann.
Siehe auch: TLS · SRTP · Abhören/Anrufabfang
ACL (Zugriffskontrollliste)
Eine Reihe von Firewall-Regeln, die festlegen, welchen IP-Adressen der Zugriff auf Ihr VoIP-System gestattet oder verweigert wird. ACLs werden verwendet, um den SIP- und RTP-Datenverkehr auf bekannte, vertrauenswürdige IP-Adressen zu beschränken (z. B. die IP-Adresse Ihres Büros oder die Server Ihres Anbieters). Dadurch wird verhindert, dass unbefugte Geräte überhaupt Zugang zu Ihrer Telefonanlage erhalten. ACLs bilden eine grundlegende Ebene der VoIP-Sicherheit.
Siehe auch: IP-Authentifizierung · Fail2Ban · SIP-Scan/Port-Scan
Entdecken Sie den Rest des Leitfadens
Der Vergleich ist ein Teil von pbx.lu. Auf den übrigen Seiten der Website wird erläutert, welche Funktionen die einzelnen Features bieten, wie sich Cloud-PBX für bestimmte Branchen eignet und welche Fachbegriffe hinter der Technologie stehen.
Erfahren Sie, welche Funktionen die einzelnen Cloud-PBX-Funktionen bieten und warum sie für Ihr Unternehmen wichtig sind. 14 Leitfäden zu den Funktionen.
👥 Anbieter
Hier finden Sie eine Liste von Cloud-PBX-Anbietern in Luxemburg sowie weiteren Anbietern, die international tätig sind.
Erfahren Sie, wie Cloud-PBX in 12 Branchen funktioniert – von Anwaltskanzleien bis hin zu Einzelhandelsketten.
43 Fragen zu Einrichtung, Preisen, Nummernmitnahme, Hardware und Sicherheit.
📅 Sind Sie bereit, Cloud-PBX für Ihr Unternehmen zu entdecken? Vereinbaren Sie ein kurzes Gespräch mit einem Berater. Wir bieten Cloud-PBX-Lösungen für Unternehmen in Luxemburg, Belgien, Frankreich und Deutschland an.