Ein ungewöhnlich hoher Anruf ins Ausland, ein kompromittiertes Softphone oder eine manipulierte Anrufweiterleitung: Bei VoIP entstehen Schäden oft nicht durch einen kompletten Systemausfall, sondern durch kleine Lücken mit grosser Wirkung. Die besten VoIP-Sicherheitsfunktionen schützen deshalb nicht nur Gesprächsinhalte. Sie sichern Identitäten, Rufnummern, Zugänge und die Infrastruktur, über die Ihr Unternehmen täglich erreichbar ist.
Für Schweizer KMU und Organisationen mit mehreren Standorten ist dabei entscheidend, dass Sicherheit nicht zur Betriebsbremse wird. Eine Telefonielösung muss Mitarbeitenden das Arbeiten im Büro, im Homeoffice und in Microsoft Teams erleichtern – und gleichzeitig klare Regeln gegen Missbrauch durchsetzen. Das gelingt mit einer Kombination aus technischer Absicherung, sauberer Konfiguration und laufender Betreuung.
Warum VoIP-Sicherheit mehr als Verschlüsselung ist
VoIP-Telefonie basiert auf IP-Netzwerken. Damit gelten viele der gleichen Risiken wie bei anderen IT-Diensten: gestohlene Zugangsdaten, offene Verwaltungsoberflächen, unsichere Endgeräte, Phishing und Angriffe aus dem Internet. Hinzu kommen telefoniespezifische Szenarien wie Gebührenbetrug, automatisierte Anrufversuche oder die unerlaubte Übernahme einer Rufnummer.
Verschlüsselung ist unverzichtbar, löst aber nicht jedes Problem. Ein verschlüsseltes Gespräch schützt den Inhalt auf dem Übertragungsweg. Wenn sich jedoch ein Angreifer mit gültigen SIP-Zugangsdaten anmeldet und kostenpflichtige Auslandsgespräche führt, bleibt der Schaden real. Ebenso nützt eine starke Firewall wenig, wenn Mitarbeitende Passwörter teilen oder Weiterleitungen ohne Kontrolle eingerichtet werden können.
Sinnvolle Sicherheit beginnt daher mit einer Frage: Welche Kommunikationswege brauchen welche Personen wirklich? Ein Empfang benötigt andere Berechtigungen als ein Aussendienstteam, ein Callcenter oder ein Administrator. Je klarer diese Rollen definiert sind, desto geringer ist die Angriffsfläche.
Die besten VoIP-Sicherheitsfunktionen für Unternehmen
Verschlüsselte Signalisierung und Medienströme
SIP steuert den Gesprächsaufbau, während RTP die Sprache überträgt. Für beide Ebenen sollten aktuelle Verschlüsselungsverfahren eingesetzt werden: TLS für die SIP-Signalisierung und SRTP für die Sprachdaten. So lassen sich Zugangsdaten, Rufaufbau und Gesprächsinhalte nicht einfach im Netzwerk mitlesen oder manipulieren.
Das ist besonders relevant, wenn Softphones, mobile Clients oder externe Arbeitsplätze genutzt werden. In einem sauber segmentierten Unternehmensnetz bleibt das Risiko zwar geringer als in einem öffentlichen WLAN. Dennoch sollte Verschlüsselung nicht von der jeweiligen Verbindung abhängen. Sie muss Standard sein.
Session Border Controller als kontrollierter Übergang
Ein Session Border Controller, kurz SBC, ist die Sicherheits- und Steuerinstanz zwischen Ihrem internen Telefoniesystem und externen SIP-Netzen. Er prüft Verbindungen, schützt vor unerwünschtem SIP-Traffic, setzt Regeln für Rufnummern und Codecs durch und verhindert, dass die PBX direkt aus dem Internet erreichbar sein muss.
Gerade bei SIP-Trunks, mehreren Standorten oder Microsoft-Teams-Telefonie übernimmt ein SBC eine zentrale Rolle. Allerdings kommt es auf die Architektur an: Eine zusätzliche Appliance bringt nur dann einen Vorteil, wenn sie professionell integriert, überwacht und aktuell gehalten wird. Bei einer vollständig betreuten Cloud-PBX kann die Schutzfunktion bereits Bestandteil des Dienstes sein. Entscheidend ist nicht die Anzahl Komponenten, sondern die klar geregelte Sicherheitsgrenze.
Multi-Faktor-Authentifizierung und Rechte nach Rollen
Administrationszugänge sind besonders schützenswert. Wer die Telefonanlage verwaltet, kann Rufnummern umleiten, Endgeräte anmelden, Berechtigungen ändern und Gesprächsdaten einsehen. Ein Passwort allein reicht dafür nicht aus. Multi-Faktor-Authentifizierung sollte für Administratoren und für externe Verwaltungszugriffe verbindlich sein.
Ebenso wichtig ist ein nachvollziehbares Rollenmodell. Mitarbeitende dürfen beispielsweise persönliche Voicemail-Einstellungen oder Anrufweiterleitungen selbst verwalten. Änderungen an Warteschlangen, IVR-Menüs, internationalen Wählrechten oder SIP-Trunks gehören dagegen in klar definierte Hände. Das reduziert Fehlkonfigurationen und schafft eine prüfbare Verantwortlichkeit.
Schutz vor Gebührenbetrug und auffälligem Anrufverhalten
Toll Fraud ist einer der häufigsten finanziellen Schäden in der IP-Telefonie. Angreifer versuchen dabei, gestohlene Zugangsdaten für teure Mehrwert-, Auslands- oder Satellitenverbindungen zu nutzen – oft nachts, am Wochenende oder ausserhalb der üblichen Geschäftszeiten.
Eine gute VoIP-Plattform begrenzt dieses Risiko durch Wählregeln, Länderfreigaben, Kostenlimits und zeitabhängige Sperren. Wenn Ihr Unternehmen keine Gespräche in bestimmte Regionen führt, sollten diese Ziele nicht vorsorglich offen bleiben. Für einzelne Funktionen oder Personen lassen sich Ausnahmen gezielt freigeben.
Zusätzlich braucht es eine Überwachung, die ungewöhnliche Muster erkennt: viele kurze Verbindungen, plötzliches Anrufvolumen, wiederholte Anmeldeversuche oder Gespräche zu atypischen Zielen. Automatische Warnungen sind hilfreich, ersetzen aber keinen klaren Prozess. Es muss feststehen, wer bei einem Alarm reagiert, welche Sperren sofort greifen und wie die Ursache geprüft wird.
Firewall, Netzwerksegmentierung und sichere Endgeräte
Die Telefonanlage ist nur so sicher wie das Netzwerk, an dem sie betrieben wird. VoIP-Endgeräte, PBX, Switches und Administrationssysteme sollten in einem separaten VLAN betrieben werden. Dadurch bleibt ein kompromittierter Büro-PC nicht automatisch ein direkter Zugang zur Telefonieumgebung.
Eine professionell konfigurierte Firewall beschränkt eingehende und ausgehende Verbindungen auf die tatsächlich benötigten Dienste. Offene SIP-Ports ins Internet sind kein Zeichen für Flexibilität, sondern meist ein unnötiges Risiko. Remote-Mitarbeitende sollten über abgesicherte Verbindungen oder kontrollierte Cloud-Dienste arbeiten, nicht über improvisierte Portfreigaben.
Auch IP-Telefone brauchen Pflege. Standardpasswörter, veraltete Firmware und frei zugängliche Weboberflächen sind vermeidbare Schwachstellen. Geräte sollten zentral provisioniert werden, nur freigegebene Firmware erhalten und bei Verlust oder Austritt eines Mitarbeitenden schnell deaktivierbar sein.
Schutz von Rufnummern, Weiterleitungen und Identitäten
Rufnummern sind ein wertvoller Teil Ihrer Unternehmensidentität. Eine manipulierte Weiterleitung kann dazu führen, dass Anrufe beim falschen Empfänger landen. Beim sogenannten Caller-ID-Spoofing wird zudem eine fremde Rufnummer als Absender angezeigt – mit Folgen für Vertrauen, Erreichbarkeit und Missbrauchserkennung.
Deshalb sollten Änderungen an wichtigen Routing-Regeln protokolliert und bei sensiblen Rufnummern zusätzlich freigegeben werden. Für Portierungen braucht es einen klaren Identitäts- und Freigabeprozess. Dasselbe gilt für Anpassungen an Hauptnummern, IVR-Ansagen und Notfallweiterleitungen. Komfort ist sinnvoll, aber nicht jede Person sollte jede geschäftskritische Einstellung mit wenigen Klicks ändern können.
Protokollierung, Monitoring und Wiederherstellung
Sicherheitsvorfälle lassen sich nur untersuchen, wenn relevante Ereignisse nachvollziehbar sind. Dazu gehören Administrator-Anmeldungen, Konfigurationsänderungen, fehlgeschlagene Registrierungen, Rufumleitungen und auffällige Anrufmuster. Die Protokollierung muss datenschutzkonform erfolgen und klare Aufbewahrungsfristen berücksichtigen. Gesprächsinhalte oder Aufzeichnungen brauchen dabei eine besonders sorgfältige Regelung.
Monitoring hilft nicht nur bei Angriffen. Es erkennt auch Qualitätsprobleme wie Paketverluste, hohe Latenzen oder fehlerhafte Registrierungen, bevor Mitarbeitende die Telefonie als unzuverlässig erleben. Ergänzt wird das durch getestete Backups von Konfigurationen, Nebenstellen, IVR-Strukturen und Routing-Plänen. Eine Sicherung, die nie wiederhergestellt wurde, ist keine belastbare Notfallvorsorge.
Sicherheit muss zur Arbeitsweise passen
Nicht jedes Unternehmen benötigt dieselbe Sicherheitsarchitektur. Ein Einzelunternehmen mit wenigen Cloud-Nebenstellen hat andere Anforderungen als eine Organisation mit mehreren Standorten, CRM-Integration, Contact Center und Microsoft Teams. Zu viel Komplexität erhöht Kosten und Verwaltungsaufwand. Zu wenig Kontrolle lässt kritische Lücken offen.
Pragmatisch ist ein Sicherheitskonzept dann, wenn es die tatsächlichen Kommunikationswege abdeckt: Wer telefoniert über welche Endgeräte? Welche Länder müssen erreichbar sein? Welche Teams verwalten Einstellungen? Wo liegen Daten und Backups? Wie wird bei einem Mitarbeiteraustritt, Geräteverlust oder verdächtigen Anrufen gehandelt?
Winet plant solche Fragen nicht losgelöst von der Telefonie. Eine Ayrix-PBX, ein SIP- oder Microsoft-Teams-Trunk, Firewall-Regeln und Standortvernetzung müssen zusammenpassen. So entsteht keine Sammlung einzelner Sicherheitsprodukte, sondern eine Kommunikationsumgebung mit klaren Zuständigkeiten und planbarem Betrieb.
Der richtige nächste Schritt: Regeln testen, bevor etwas passiert
Prüfen Sie Ihre Telefonie nicht erst nach einer auffälligen Rechnung oder einem Sicherheitsvorfall. Ein kurzer Sicherheitscheck der Admin-Zugänge, Wählrechte, Weiterleitungen, Netzwerkfreigaben und Backups zeigt meist schnell, wo Handlungsbedarf besteht. Wenn die Verantwortlichkeiten dokumentiert sind und Ihr Partner bei Fragen direkt erreichbar bleibt, wird VoIP-Sicherheit zu einer verlässlichen Grundlage für jeden Geschäftstag.
Aktuelles
Welche Telefonie bei Stromausfall funktioniert?
Unternehmenskommunikation zentral verwalten
Leitfaden zur Telefonie-Notfallplanung im Betrieb
Notfallrouting für Geschäftsanrufe richtig erstellen
Digitale Souveränität bei Telefonanlagen
