Ein ungew\u00f6hnlich hoher Anruf ins Ausland, ein kompromittiertes Softphone oder eine manipulierte Anrufweiterleitung: Bei VoIP entstehen Sch\u00e4den oft nicht durch einen kompletten Systemausfall, sondern durch kleine L\u00fccken mit grosser Wirkung. Die besten VoIP-Sicherheitsfunktionen sch\u00fctzen deshalb nicht nur Gespr\u00e4chsinhalte. Sie sichern Identit\u00e4ten, Rufnummern, Zug\u00e4nge und die Infrastruktur, \u00fcber die Ihr Unternehmen t\u00e4glich erreichbar ist.<\/p>\n
F\u00fcr Schweizer KMU und Organisationen mit mehreren Standorten ist dabei entscheidend, dass Sicherheit nicht zur Betriebsbremse wird. Eine Telefoniel\u00f6sung muss Mitarbeitenden das Arbeiten im B\u00fcro, im Homeoffice und in Microsoft Teams erleichtern – und gleichzeitig klare Regeln gegen Missbrauch durchsetzen. Das gelingt mit einer Kombination aus technischer Absicherung, sauberer Konfiguration und laufender Betreuung.<\/p>\n
VoIP-Telefonie basiert auf IP-Netzwerken. Damit gelten viele der gleichen Risiken wie bei anderen IT-Diensten: gestohlene Zugangsdaten, offene Verwaltungsoberfl\u00e4chen, unsichere Endger\u00e4te, Phishing und Angriffe aus dem Internet. Hinzu kommen telefoniespezifische Szenarien wie Geb\u00fchrenbetrug, automatisierte Anrufversuche oder die unerlaubte \u00dcbernahme einer Rufnummer.<\/p>\n
Verschl\u00fcsselung ist unverzichtbar, l\u00f6st aber nicht jedes Problem. Ein verschl\u00fcsseltes Gespr\u00e4ch sch\u00fctzt den Inhalt auf dem \u00dcbertragungsweg. Wenn sich jedoch ein Angreifer mit g\u00fcltigen SIP-Zugangsdaten anmeldet und kostenpflichtige Auslandsgespr\u00e4che f\u00fchrt, bleibt der Schaden real. Ebenso n\u00fctzt eine starke Firewall wenig, wenn Mitarbeitende Passw\u00f6rter teilen oder Weiterleitungen ohne Kontrolle eingerichtet werden k\u00f6nnen.<\/p>\n
Sinnvolle Sicherheit beginnt daher mit einer Frage: Welche Kommunikationswege brauchen welche Personen wirklich? Ein Empfang ben\u00f6tigt andere Berechtigungen als ein Aussendienstteam, ein Callcenter oder ein Administrator. Je klarer diese Rollen definiert sind, desto geringer ist die Angriffsfl\u00e4che.<\/p>\n
SIP steuert den Gespr\u00e4chsaufbau, w\u00e4hrend RTP die Sprache \u00fcbertr\u00e4gt. F\u00fcr beide Ebenen sollten aktuelle Verschl\u00fcsselungsverfahren eingesetzt werden: TLS f\u00fcr die SIP-Signalisierung und SRTP f\u00fcr die Sprachdaten. So lassen sich Zugangsdaten, Rufaufbau und Gespr\u00e4chsinhalte nicht einfach im Netzwerk mitlesen oder manipulieren.<\/p>\n
Das ist besonders relevant, wenn Softphones, mobile Clients oder externe Arbeitspl\u00e4tze genutzt werden. In einem sauber segmentierten Unternehmensnetz bleibt das Risiko zwar geringer als in einem \u00f6ffentlichen WLAN. Dennoch sollte Verschl\u00fcsselung nicht von der jeweiligen Verbindung abh\u00e4ngen. Sie muss Standard sein.<\/p>\n
Ein Session Border Controller, kurz SBC, ist die Sicherheits- und Steuerinstanz zwischen Ihrem internen Telefoniesystem und externen SIP-Netzen. Er pr\u00fcft Verbindungen, sch\u00fctzt vor unerw\u00fcnschtem SIP-Traffic, setzt Regeln f\u00fcr Rufnummern und Codecs durch und verhindert, dass die PBX direkt aus dem Internet erreichbar sein muss.<\/p>\n
Gerade bei SIP-Trunks, mehreren Standorten oder Microsoft-Teams-Telefonie \u00fcbernimmt ein SBC eine zentrale Rolle. Allerdings kommt es auf die Architektur an: Eine zus\u00e4tzliche Appliance bringt nur dann einen Vorteil, wenn sie professionell integriert, \u00fcberwacht und aktuell gehalten wird. Bei einer vollst\u00e4ndig betreuten Cloud-PBX kann die Schutzfunktion bereits Bestandteil des Dienstes sein. Entscheidend ist nicht die Anzahl Komponenten, sondern die klar geregelte Sicherheitsgrenze.<\/p>\n
Administrationszug\u00e4nge sind besonders sch\u00fctzenswert. Wer die Telefonanlage verwaltet, kann Rufnummern umleiten, Endger\u00e4te anmelden, Berechtigungen \u00e4ndern und Gespr\u00e4chsdaten einsehen. Ein Passwort allein reicht daf\u00fcr nicht aus. Multi-Faktor-Authentifizierung sollte f\u00fcr Administratoren und f\u00fcr externe Verwaltungszugriffe verbindlich sein.<\/p>\n
Ebenso wichtig ist ein nachvollziehbares Rollenmodell. Mitarbeitende d\u00fcrfen beispielsweise pers\u00f6nliche Voicemail-Einstellungen oder Anrufweiterleitungen selbst verwalten. \u00c4nderungen an Warteschlangen, IVR-Men\u00fcs, internationalen W\u00e4hlrechten oder SIP-Trunks geh\u00f6ren dagegen in klar definierte H\u00e4nde. Das reduziert Fehlkonfigurationen und schafft eine pr\u00fcfbare Verantwortlichkeit.<\/p>\n
Toll Fraud ist einer der h\u00e4ufigsten finanziellen Sch\u00e4den in der IP-Telefonie. Angreifer versuchen dabei, gestohlene Zugangsdaten f\u00fcr teure Mehrwert-, Auslands- oder Satellitenverbindungen zu nutzen – oft nachts, am Wochenende oder ausserhalb der \u00fcblichen Gesch\u00e4ftszeiten.<\/p>\n
Eine gute VoIP-Plattform begrenzt dieses Risiko durch W\u00e4hlregeln, L\u00e4nderfreigaben, Kostenlimits und zeitabh\u00e4ngige Sperren. Wenn Ihr Unternehmen keine Gespr\u00e4che in bestimmte Regionen f\u00fchrt, sollten diese Ziele nicht vorsorglich offen bleiben. F\u00fcr einzelne Funktionen oder Personen lassen sich Ausnahmen gezielt freigeben.<\/p>\n
Zus\u00e4tzlich braucht es eine \u00dcberwachung, die ungew\u00f6hnliche Muster erkennt: viele kurze Verbindungen, pl\u00f6tzliches Anrufvolumen, wiederholte Anmeldeversuche oder Gespr\u00e4che zu atypischen Zielen. Automatische Warnungen sind hilfreich, ersetzen aber keinen klaren Prozess. Es muss feststehen, wer bei einem Alarm reagiert, welche Sperren sofort greifen und wie die Ursache gepr\u00fcft wird.<\/p>\n
Die Telefonanlage ist nur so sicher wie das Netzwerk, an dem sie betrieben wird. VoIP-Endger\u00e4te, PBX, Switches und Administrationssysteme sollten in einem separaten VLAN betrieben werden. Dadurch bleibt ein kompromittierter B\u00fcro-PC nicht automatisch ein direkter Zugang zur Telefonieumgebung.<\/p>\n
Eine professionell konfigurierte Firewall beschr\u00e4nkt eingehende und ausgehende Verbindungen auf die tats\u00e4chlich ben\u00f6tigten Dienste. Offene SIP-Ports ins Internet sind kein Zeichen f\u00fcr Flexibilit\u00e4t, sondern meist ein unn\u00f6tiges Risiko. Remote-Mitarbeitende sollten \u00fcber abgesicherte Verbindungen oder kontrollierte Cloud-Dienste arbeiten, nicht \u00fcber improvisierte Portfreigaben.<\/p>\n
Auch IP-Telefone brauchen Pflege. Standardpassw\u00f6rter, veraltete Firmware und frei zug\u00e4ngliche Weboberfl\u00e4chen sind vermeidbare Schwachstellen. Ger\u00e4te sollten zentral provisioniert werden, nur freigegebene Firmware erhalten und bei Verlust oder Austritt eines Mitarbeitenden schnell deaktivierbar sein.<\/p>\n
Rufnummern sind ein wertvoller Teil Ihrer Unternehmensidentit\u00e4t. Eine manipulierte Weiterleitung kann dazu f\u00fchren, dass Anrufe beim falschen Empf\u00e4nger landen. Beim sogenannten Caller-ID-Spoofing wird zudem eine fremde Rufnummer als Absender angezeigt – mit Folgen f\u00fcr Vertrauen, Erreichbarkeit und Missbrauchserkennung.<\/p>\n
Deshalb sollten \u00c4nderungen an wichtigen Routing-Regeln protokolliert und bei sensiblen Rufnummern zus\u00e4tzlich freigegeben werden. F\u00fcr Portierungen braucht es einen klaren Identit\u00e4ts- und Freigabeprozess. Dasselbe gilt f\u00fcr Anpassungen an Hauptnummern, IVR-Ansagen und Notfallweiterleitungen. Komfort ist sinnvoll, aber nicht jede Person sollte jede gesch\u00e4ftskritische Einstellung mit wenigen Klicks \u00e4ndern k\u00f6nnen.<\/p>\n
Sicherheitsvorf\u00e4lle lassen sich nur untersuchen, wenn relevante Ereignisse nachvollziehbar sind. Dazu geh\u00f6ren Administrator-Anmeldungen, Konfigurations\u00e4nderungen, fehlgeschlagene Registrierungen, Rufumleitungen und auff\u00e4llige Anrufmuster. Die Protokollierung muss datenschutzkonform erfolgen und klare Aufbewahrungsfristen ber\u00fccksichtigen. Gespr\u00e4chsinhalte oder Aufzeichnungen brauchen dabei eine besonders sorgf\u00e4ltige Regelung.<\/p>\n
Monitoring hilft nicht nur bei Angriffen. Es erkennt auch Qualit\u00e4tsprobleme wie Paketverluste, hohe Latenzen oder fehlerhafte Registrierungen, bevor Mitarbeitende die Telefonie als unzuverl\u00e4ssig erleben. Erg\u00e4nzt wird das durch getestete Backups von Konfigurationen, Nebenstellen, IVR-Strukturen und Routing-Pl\u00e4nen. Eine Sicherung, die nie wiederhergestellt wurde, ist keine belastbare Notfallvorsorge.<\/p>\n
Nicht jedes Unternehmen ben\u00f6tigt dieselbe Sicherheitsarchitektur. Ein Einzelunternehmen mit wenigen Cloud-Nebenstellen hat andere Anforderungen als eine Organisation mit mehreren Standorten, CRM-Integration, Contact Center und Microsoft Teams. Zu viel Komplexit\u00e4t erh\u00f6ht Kosten und Verwaltungsaufwand. Zu wenig Kontrolle l\u00e4sst kritische L\u00fccken offen.<\/p>\n
Pragmatisch ist ein Sicherheitskonzept dann, wenn es die tats\u00e4chlichen Kommunikationswege abdeckt: Wer telefoniert \u00fcber welche Endger\u00e4te? Welche L\u00e4nder m\u00fcssen erreichbar sein? Welche Teams verwalten Einstellungen? Wo liegen Daten und Backups? Wie wird bei einem Mitarbeiteraustritt, Ger\u00e4teverlust oder verd\u00e4chtigen Anrufen gehandelt?<\/p>\n
Winet plant solche Fragen nicht losgel\u00f6st von der Telefonie. Eine Ayrix-PBX, ein SIP- oder Microsoft-Teams-Trunk, Firewall-Regeln und Standortvernetzung m\u00fcssen zusammenpassen. So entsteht keine Sammlung einzelner Sicherheitsprodukte, sondern eine Kommunikationsumgebung mit klaren Zust\u00e4ndigkeiten und planbarem Betrieb.<\/p>\n