{"id":14176,"date":"2026-11-04T03:40:25","date_gmt":"2026-11-04T02:40:25","guid":{"rendered":"https:\/\/www.winet.ch\/2026\/11\/04\/sip-verschluesselung-im-unternehmen\/"},"modified":"2026-11-04T03:40:25","modified_gmt":"2026-11-04T02:40:25","slug":"sip-verschluesselung-im-unternehmen","status":"publish","type":"post","link":"https:\/\/www.winet.ch\/en\/2026\/11\/04\/sip-verschluesselung-im-unternehmen\/","title":{"rendered":"SIP Verschl\u00fcsselung im Unternehmen umsetzen"},"content":{"rendered":"

Ein abgefangenes VoIP-Gespr\u00e4ch ist mehr als ein technisches \u00c4rgernis. Es kann Vertragsdetails, Kundendaten, interne Entscheidungen oder Zugangsinformationen offenlegen. SIP Verschl\u00fcsselung im Unternehmen<\/strong> sch\u00fctzt deshalb nicht nur die Telefonanlage, sondern einen zentralen Kommunikationskanal. Entscheidend ist, Signalisierung, Sprachdaten und die Systemgrenzen gemeinsam zu betrachten.<\/p>\n

Was bei SIP wirklich verschl\u00fcsselt werden muss<\/h2>\n

SIP ist das Protokoll, das einen Anruf aufbaut, steuert und beendet. Dar\u00fcber werden unter anderem Rufnummern, Nebenstellen, Erreichbarkeitsstatus und die Registrierung eines Telefons oder Softphones \u00fcbertragen. Die eigentliche Sprache fliesst in der Regel \u00fcber RTP, also \u00fcber einen separaten Datenstrom. Wer nur SIP absichert, sch\u00fctzt daher noch nicht automatisch den Gespr\u00e4chsinhalt.<\/p>\n

F\u00fcr eine wirksame Absicherung geh\u00f6ren zwei Verfahren zusammen: TLS verschl\u00fcsselt die SIP-Signalisierung, SRTP verschl\u00fcsselt die Sprachdaten. TLS verhindert, dass Anmeldedaten oder Verbindungsinformationen im Netz mitgelesen und ver\u00e4ndert werden. SRTP sorgt daf\u00fcr, dass der Audiostrom nicht einfach abgeh\u00f6rt oder manipuliert werden kann.<\/p>\n

Diese Trennung ist im Betrieb relevant. Ein Telefon kann per TLS sicher an der PBX registriert sein, w\u00e4hrend die Audioverbindung zu einem externen Teilnehmer falsch konfiguriert oder unverschl\u00fcsselt bleibt. Umgekehrt gen\u00fcgt SRTP allein nicht, wenn Angreifer die Signalisierung \u00fcbernehmen und Gespr\u00e4che umleiten k\u00f6nnen. Sicherheit entsteht erst, wenn beide Ebenen sauber zusammenspielen.<\/p>\n

SIP Verschl\u00fcsselung im Unternehmen beginnt mit dem richtigen Schutzmodell<\/h2>\n

Die passende Umsetzung h\u00e4ngt davon ab, wo Ihre Mitarbeitenden telefonieren und welche Systeme beteiligt sind. Ein B\u00fcro mit einer Cloud-PBX, Homeoffice-Arbeitspl\u00e4tzen und Microsoft Teams hat andere \u00dcbergabepunkte als eine lokale Telefonanlage mit mehreren Filialen und DECT-Infrastruktur.<\/p>\n

Die erste Frage lautet deshalb nicht: Unterst\u00fctzt unsere Telefonanlage Verschl\u00fcsselung? Wichtiger ist: Welche Verbindungen verlassen unser kontrolliertes Netzwerk, wer darf sich anmelden und wo liegen die Vertrauensgrenzen? Dazu z\u00e4hlen Endger\u00e4te, Softphones, mobile Apps, SIP-Trunks, Internetanschl\u00fcsse, externe Provider sowie Schnittstellen zu CRM, ERP oder Contact-Center-L\u00f6sungen.<\/p>\n

Auch bei einer verschl\u00fcsselten Verbindung bleibt das lokale Netzwerk relevant. Ein kompromittierter PC, ein falsch konfiguriertes WLAN oder ein \u00f6ffentlich erreichbares Telefonanlagen-Interface kann Angriffe erm\u00f6glichen, bevor TLS oder SRTP greifen. Verschl\u00fcsselung ist ein Baustein, kein Ersatz f\u00fcr Netzwerksegmentierung, sichere Benutzerkonten und laufende Updates.<\/p>\n

TLS und SRTP: Die technische Grundlage verst\u00e4ndlich eingeordnet<\/h2>\n

TLS nutzt Zertifikate, um Server zu identifizieren und die Signalisierung zu verschl\u00fcsseln. Das Endger\u00e4t muss dem Zertifikat der Telefonanlage oder des SBC vertrauen k\u00f6nnen. Selbstsignierte Zertifikate wirken auf den ersten Blick praktisch, f\u00fchren jedoch h\u00e4ufig zu Warnmeldungen, manuellen Ausnahmen und unn\u00f6tigem Betriebsaufwand. F\u00fcr produktive Umgebungen sind g\u00fcltige, zentral verwaltete Zertifikate die bessere Wahl.<\/p>\n

SRTP sch\u00fctzt die Sprachpakete mit kryptografischen Schl\u00fcsseln. Die Schl\u00fcsselvereinbarung kann auf verschiedenen Wegen erfolgen, etwa \u00fcber SDES innerhalb der SIP-Signalisierung oder \u00fcber DTLS-SRTP. Welches Verfahren passt, h\u00e4ngt von Endger\u00e4ten, PBX, SBC und Collaboration-Plattform ab. Die technische Kompatibilit\u00e4t sollte vor dem Rollout gepr\u00fcft werden, besonders wenn \u00e4ltere IP-Telefone, analoge Adapter oder spezialisierte T\u00fcrsprechstellen im Einsatz bleiben.<\/p>\n

SIP Digest Authentication darf dabei nicht mit Verschl\u00fcsselung verwechselt werden. Das Verfahren sch\u00fctzt Passw\u00f6rter bei der Anmeldung besser als eine ungesch\u00fctzte \u00dcbertragung, verschl\u00fcsselt jedoch weder die gesamte Signalisierung noch das Gespr\u00e4ch. Es geh\u00f6rt zur Zugriffskontrolle, ersetzt TLS und SRTP aber nicht.<\/p>\n

Der SBC sch\u00fctzt die \u00dcberg\u00e4nge nach aussen<\/h2>\n

Ein Session Border Controller, kurz SBC, ist an der Grenze zwischen internem Telefoniesystem und externen Netzen angesiedelt. Er kontrolliert SIP-Verbindungen, setzt Sicherheitsrichtlinien durch und trennt interne von externen Adressr\u00e4umen. Dadurch muss die PBX nicht direkt aus dem Internet erreichbar sein.<\/p>\n

In der Praxis \u00fcbernimmt ein SBC mehrere Aufgaben: Er terminiert TLS-Verbindungen, pr\u00fcft erlaubte Protokolle und Codecs, begrenzt ungew\u00f6hnliche Anrufversuche und kann interne Netzwerkinformationen verbergen. Zudem hilft er bei NAT, verschiedenen Provider-Anforderungen und verschl\u00fcsselten Verbindungen \u00fcber Standorte hinweg. Gerade bei SIP-Trunks ist diese Kontrollinstanz sinnvoll, weil sie Angriffsfl\u00e4che und Fehlkonfigurationen reduziert.<\/p>\n

Ein SBC allein macht eine Telefonieumgebung allerdings nicht sicher. Sind Administratorzug\u00e4nge schwach gesch\u00fctzt, Firmwarest\u00e4nde veraltet oder internationale Zielnummern ohne Limit freigegeben, bleibt Missbrauch m\u00f6glich. Die h\u00e4ufigsten finanziellen Sch\u00e4den entstehen nicht durch das Knacken von SRTP, sondern durch \u00fcbernommene Konten, offene SIP-Registrierungen oder betr\u00fcgerische Anrufmuster.<\/p>\n

Sichere Telefonie braucht klare Betriebsregeln<\/h2>\n

Technik entfaltet ihren Nutzen erst mit nachvollziehbaren Regeln. F\u00fcr die meisten Unternehmen sollten mindestens diese f\u00fcnf Punkte verbindlich gepr\u00fcft werden:<\/p>\n