Telefonbetrug bei IP-Telefonanlagen: Was er ist und wie Sie Ihr Unternehmen schützen

Was Telefonbetrug ist und warum er IP-Telefonanlagen ins Visier nimmt

Beim Telefonbetrug (englisch toll fraud) nutzt ein Dritter Ihre Leitung oder Ihre Telefonanlage, um Anrufe zu tätigen, die am Ende Sie bezahlen. Eine IP-Telefonanlage, auch PBX (private Nebenstellenanlage) genannt, ob in der Cloud oder vor Ort, arbeitet über das Internet mit dem Protokoll SIP (Session Initiation Protocol), also der „Sprache“, mit der sich Telefone anmelden und Anrufe aufbauen. Das macht sie flexibel und günstig, aber auch sichtbar für jeden, der nach schlecht konfigurierten Systemen sucht.

Das ist kein kleines Problem. Die Communications Fraud Control Association (CFCA), der internationale Verband, der Betrug in der Telekommunikation misst, schätzte in ihrer globalen Umfrage von 2025, dass die Branche jährlich rund 41,82 Milliarden US-Dollar durch Betrug verliert, etwa 2,46 % ihres Umsatzes. Derselbe Bericht zeigt, dass Betrug mit internationalem Verkehr weiterhin ein aktives Problem ist, das sich auf bestimmte Regionen konzentriert.

Die häufigsten Betrugsarten

• IRSF (International Revenue Share Fraud, Betrug mit internationaler Umsatzbeteiligung): Der Täter beschafft sich teure internationale Rufnummern, meist in einem anderen Land als dem des Opfers, und erhält einen Teil dessen, was pro Minute abgerechnet wird. Dann erzeugt er Tausende Anrufe zu diesen Nummern über eine fremde Telefonanlage. Europol und Trend Micro beschreiben in ihrem Bericht von 2019, wie das Hacken von Telefonanlagen in IRSF mündet.
• Wangiri: ein japanisches Wort, das etwa „einmal klingeln lassen und auflegen“ bedeutet. Ein automatisches System lässt Ihr Mobiltelefon ein einziges Mal von einer internationalen Nummer klingeln; rufen Sie zurück, zahlen Sie einen hohen Tarif, der teilweise an den Betrüger geht. Die FTC (US-amerikanische Handelsbehörde Federal Trade Commission) fasst es in einem einfachen Rat zusammen: Wenn Sie einen Anruf mit nur einem Klingeln von einer unbekannten Nummer erhalten, rufen Sie nicht zurück.
• Kompromittierte Nebenstellen und Sprachboxen: Nebenstellen mit Passwörtern wie „1234“ oder Sprachboxen mit Werks-PIN, über die man nach außen wählen kann. Ist der Eindringling einmal drin, nutzt er Ihre Anlage als Sprungbrett.
• Diebstahl von SIP-Zugangsdaten: Automatische Programme probieren Millionen Kombinationen aus Benutzername und Passwort, bis sie eine gültige finden. Damit meldet der Angreifer sein eigenes „Telefon“ in Ihrem Konto an und telefoniert, als wäre er ein Mitarbeiter.

Warum es fast immer nachts und am Wochenende passiert

Der Europol-Bericht von 2019 sagt es ganz offen: Wer Telefonanlagen angreift, tut dies meist außerhalb der Geschäftszeiten, damit der Angriff länger dauert und mehr Geld einbringt. Ein Freitagabend oder ein langes Feiertagswochenende verschafft ihnen viele Stunden, in denen niemand die Anlage prüft oder auf einen Alarm reagiert. Deshalb konzentrieren sich die Verluste auf diese Zeitfenster, und deshalb müssen Ihre Kontrollen von selbst funktionieren, ohne dass jemand zuschauen muss.

Wie es auf der Rechnung aussieht

Betrug kündigt sich nicht an: Er taucht schlagartig auf. Typisch ist ein internationaler Verbrauch, der ein Vielfaches des Normalen beträgt, konzentriert auf wenige Stunden und in Länder, zu denen Ihr Unternehmen keine Beziehung hat. Im Einzelverbindungsnachweis, bekannt als CDR (Call Detail Record), sehen Sie viele gleichzeitige Anrufe von ähnlicher Dauer zu ungewöhnlichen Vorwahlen, zu Zeiten, in denen das Büro geschlossen war, und oft von derselben Nebenstelle oder demselben Trunk aus.

Ein Beispiel: Ein Logistikunternehmen mit 25 Nebenstellen schließt freitags um 18 Uhr. Am Montag öffnet die Buchhaltung das Portal des Anbieters und findet einen internationalen Verbrauch, der mehreren Monaten Telefonkosten entspricht. Bei der Prüfung des CDR stellt sich heraus, dass seit Samstag früh eine Nebenstelle, die ein bereits ausgeschiedener Praktikant genutzt hatte, Hunderte Anrufe zu Zielen auf einem anderen Kontinent getätigt hat, mit bis zu zehn Anrufen gleichzeitig. Das Passwort dieser Nebenstelle war identisch mit der Nebenstellennummer. Niemand hatte sie abgemeldet, die Anlage hatte kein Ausgabenlimit und internationale Anrufe waren für alle Benutzer freigeschaltet.

Warnsignale, auf die Sie achten sollten

• Ausgehende Anrufe in Länder, mit denen Sie keine Geschäfte machen.
• Aktivität zu Zeiten, in denen niemand im Büro ist.
• Spitzen gleichzeitiger Anrufe, die die Zahl Ihrer aktiven Mitarbeiter übersteigen.
• Nebenstellen, die sich von IP-Adressen (der „Adresse“ eines Geräts im Internet) aus anderen Ländern anmelden.
• Viele fehlgeschlagene Anmeldeversuche in den Protokollen der Anlage: Jemand probiert Passwörter aus.
• Beschwerden von Benutzern, weil „die Leitung besetzt ist“, obwohl sie gar nicht telefonieren.

So schützen Sie Ihre Telefonanlage Schritt für Schritt

1. Starke und einzigartige Passwörter: Jede Nebenstelle, jede Sprachbox und jeder Trunk braucht ein langes, zufälliges Passwort. Verwenden Sie nie die Nebenstellennummer oder Werkspasswörter. Europol warnt, dass viele angegriffene Anlagen nur durch ein Standard- oder schwaches Passwort geschützt waren.
2. Sperren Sie Ziele, die Sie nicht nutzen: Wenn Sie nur nach Kolumbien, Ecuador und Peru telefonieren, sperren Sie den Rest der Welt. Schalten Sie internationale Ziele nur für diejenigen frei, die sie brauchen, nie standardmäßig.
3. Ausgabenlimits und Begrenzung gleichzeitiger Anrufe: Bitten Sie Ihren Anbieter um eine tägliche oder monatliche Obergrenze für internationalen Verbrauch und eine maximale Anzahl Kanäle pro Nebenstelle und pro Trunk. Dringt jemand ein, bleibt der Schaden begrenzt.
4. Zeitpläne: Beschränken Sie internationale Anrufe außerhalb der Arbeitszeit, außer für Benutzer, die sie wirklich benötigen.
5. Automatische Alarme: Richten Sie Benachrichtigungen per E-Mail oder Nachricht ein, wenn Verbrauch, Anzahl der Anrufe oder Ziele vom Normalen abweichen.
6. Firewall und fail2ban: Eine Firewall sollte den Zugriff auf die Anlage nur aus autorisierten Netzen erlauben. Fail2ban ist ein Werkzeug, das IP-Adressen automatisch sperrt, die mehrmals hintereinander ein falsches Passwort eingeben. Die Dokumentation von Asterisk, einer der meistgenutzten Software für IP-Telefonanlagen, empfiehlt außerdem, über Zugriffslisten einzuschränken, wer sich verbinden darf, und die Verwaltungsoberflächen mit einem VPN (virtuelles privates Netzwerk) zu schützen.
7. Trennen Sie eingehende und ausgehende Anrufe: Dieselbe Dokumentation betont, dass Anrufe, die von außen eingehen, niemals kostenpflichtige Anrufdienste nutzen dürfen. Das ist ein häufiger Konfigurationsfehler.
8. Updates: Halten Sie die Software der Anlage, der Telefone und der Router aktuell; viele Sicherheitslücken nutzen bereits behobene Fehler aus.
9. Überprüfen Sie Trunks und Benutzer: Trunks sind die Verbindungen Ihrer Anlage zum Netzbetreiber. Prüfen Sie jedes Quartal, welche Trunks, Nebenstellen und Sprachboxen existieren, und löschen Sie die nicht mehr genutzten, wie die des Praktikanten im Beispiel.

Wenn Ihre Anlage in der Cloud läuft, sollten mehrere dieser Schutzebenen bereits enthalten sein. Bei 19 80 TIC Cloud betreibt unser Ingenieurteam eine eigene IP-Telefonieplattform, daher wissen wir aus erster Hand, wie viel Limits und Alarme im Alltag ausmachen. Sehen Sie sich an, wie unsere Cloud-Telefonanlage funktioniert, oder prüfen Sie die Optionen für internationale Telefonie, um nur die Ziele freizuschalten, die Sie brauchen.

Was tun, wenn es bereits passiert ist

1. Unterbrechen Sie den Verkehr sofort: Sperren Sie internationale Anrufe und deaktivieren Sie die kompromittierte Nebenstelle oder den betroffenen Trunk.
2. Rufen Sie Ihren Anbieter an: Bitten Sie ihn, die betroffenen Ziele auf seiner Seite zu sperren und Ihnen den CDR des Zeitraums zu übermitteln. Jede Stunde zählt.
3. Ändern Sie alle Passwörter: nicht nur das betroffene. Wenn ein Angreifer einmal eingedrungen ist, könnte er weitere Türen offen gelassen haben.
4. Sichern Sie die Beweise: Protokolle der Anlage, CDR, E-Mails und Screenshots. Sie dienen Ihnen für die Anzeige und für etwaige Reklamationen.
5. Erstatten Sie Anzeige: In Kolumbien können Sie sich an das Centro Cibernético Policial der Policía Nacional oder an die Fiscalía wenden; in Ecuador und Peru an die Abteilungen für Computerkriminalität der dortigen Behörden.
6. Beheben Sie die Ursache: Bevor Sie den Dienst wieder freigeben, setzen Sie die Maßnahmen aus dem vorherigen Abschnitt um, damit es sich nicht wiederholt.

Wenn Sie möchten, dass wir die Konfiguration Ihrer Anlage überprüfen, schreiben Sie uns über die Kontaktseite.