Warum kann ein Anruf über das Internet abgehört werden?
Wenn Ihr Unternehmen IP-Telefonie nutzt (auch VoIP genannt, Voice over Internet Protocol, also Sprache über das Internetprotokoll), wird jedes Gespräch in Tausende Datenpakete zerlegt, die durch das Netz reisen – genau wie eine E-Mail oder eine Webseite. Das ist der große Vorteil: Sie brauchen keine Telefonverkabelung, können Nebenstellen in jeder Stadt haben und zahlen deutlich weniger.
Das Problem: Standardmäßig reisen viele dieser Pakete im Klartext, also völlig ungeschützt. Wer es schafft, sich an irgendeiner Stelle des Weges zu positionieren (ein öffentliches WLAN, ein kompromittiertes Gerät in Ihrem Büro, eine falsch konfigurierte Verbindung), könnte sehen, mit wem Sie sprechen, und im schlimmsten Fall den Ton des Gesprächs rekonstruieren. Das National Institute of Standards and Technology der USA (NIST) warnte bereits in seinem Leitfaden SP 800-58 zur VoIP-Sicherheit davor: Sprache über Datennetze erbt die Risiken dieser Netze und braucht eigene Schutzmaßnahmen.
Die gute Nachricht: Es gibt offene, seit Jahren bewährte Standards, um diese Tür zu schließen. Man muss sie nur aktivieren und richtig konfigurieren.
Zwei Dinge, die geschützt werden müssen: der Umschlag und der Brief
Ein Anruf über das Internet besteht aus zwei Teilen, und jeder wird auf andere Weise geschützt. Denken Sie an einen Brief, den Sie per Post verschicken:
- Der Umschlag ist die Signalisierung: wer anruft, wen, wann der Anruf beginnt und wann er endet. In der IP-Telefonie übernimmt das das Protokoll SIP (Session Initiation Protocol, Protokoll zum Sitzungsaufbau), das von der IETF (der Organisation, die die Internetstandards entwickelt) im RFC 3261 definiert wurde.
- Der Brief ist die Sprache: der Ton dessen, was Sie und Ihr Kunde sagen. Dieser Ton wird über ein anderes Protokoll namens RTP (Real-time Transport Protocol, Echtzeit-Transportprotokoll) übertragen.
Wenn Sie nur den Umschlag schützen, könnte jemand trotzdem den Brief lesen. Wenn Sie nur den Brief schützen, weiß man, wem Sie schreiben und wann. Deshalb verschlüsselt ein wirklich sicherer Anruf beides.
SIP über TLS: der versiegelte Umschlag
TLS (Transport Layer Security, Sicherheit der Transportschicht) ist dieselbe Technologie, die Ihr Online-Banking schützt, wenn Sie das Schloss im Browser sehen. Laut IETF soll sie verhindern, dass Dritte Nachrichten abhören, verändern oder fälschen. Die aktuelle Version ist TLS 1.3, veröffentlicht im RFC 8446 und kürzlich im RFC 9846 überarbeitet; die vorherige Version, TLS 1.2, wurde im RFC 5246 beschrieben.
Wenn die SIP-Signalisierung innerhalb von TLS übertragen wird, ist das so, als würde man den Umschlag in einen Tresor legen, den nur Absender und Empfänger öffnen können. Außerdem nutzt TLS digitale Zertifikate, damit jede Seite überprüfen kann, dass sie mit dem richtigen Server spricht und nicht mit einem Betrüger. Der RFC 3261 selbst sieht dies mit dem SIPS-Schema vor, das auf dem Weg zur Zieldomain einen mit TLS verschlüsselten Transport vorschreibt.
SRTP: die Stimme in einer Sprache, die nur die beiden Endpunkte verstehen
SRTP (Secure Real-time Transport Protocol, die sichere Version von RTP) ist im RFC 3711 definiert. Es leistet drei wichtige Dinge für die Sprachübertragung:
- Vertraulichkeit: Es verschlüsselt den Ton, standardmäßig mit dem AES-Algorithmus, sodass jemand, der die Pakete abfängt, nur sinnloses Rauschen erhält.
- Nachrichtenauthentifizierung: Es lässt erkennen, ob jemand ein Paket unterwegs verändert hat.
- Schutz vor Wiederholung: Es weist Pakete zurück, die ein Angreifer erneut zu senden versucht, um den Anruf zu stören.
Ein entscheidendes Detail: SRTP verteilt die Schlüssel nicht selbst; das übernehmen externe Mechanismen, die während der Signalisierung vereinbart werden. Deshalb funktionieren SRTP und TLS am besten zusammen: Ist der Umschlag offen, könnten die Schlüssel für die Sprache offengelegt werden.
Die häufigsten Angriffe auf die IP-Telefonie
Man muss kein Experte sein, um die Risiken zu verstehen. Der RFC 3261 und der Leitfaden des NIST beschreiben unter anderem diese Szenarien:
- Abhören (Abfangen): Jemand zeichnet den unverschlüsselten Sprachverkehr auf und rekonstruiert das Gespräch.
- Identitätsvortäuschung: Ein Dritter gibt sich als legitimer Server oder als anderer Nutzer aus oder fälscht die angezeigte Rufnummer, um Ihr Team zu täuschen.
- Diebstahl von SIP-Zugangsdaten und Übernahme der Registrierung: Erlangt ein Angreifer Benutzername und Passwort einer Nebenstelle, kann er sich an ihrer Stelle registrieren, ihre Anrufe empfangen oder Ihre Leitung für Anrufe nutzen, die Sie anschließend bezahlen.
- Abbruch oder Manipulation von Anrufen: Mit gefälschten Signalisierungsnachrichten kann versucht werden, laufende Anrufe zu beenden oder ihren Inhalt zu verändern.
- Denial of Service: Ihr System mit Nachrichten oder Anrufen überfluten, bis es keine Kapazität mehr hat. Die US-Behörde für Cybersicherheit (CISA) widmet dem telefonischen Denial of Service (TDoS), bei dem Wellen automatisierter Anrufe die Leitungen überlasten, eigene Leitfäden.
Ein Beispiel: eine Nebenstelle mit schwachem Passwort
Stellen Sie sich ein Vertriebsunternehmen in Medellín mit 40 Nebenstellen an einer Cloud-Telefonanlage vor. Um die Installation zu beschleunigen, erhielten alle Nebenstellen ein kurzes Passwort, das der Nebenstellennummer ähnelt, und der Server akzeptiert Verbindungen aus jedem Land.
An einem Freitagabend probiert jemand automatisiert Kombinationen aus, errät das Passwort einer Nebenstelle und registriert sie von einem anderen Ort aus. Am Wochenende nutzt er diese Leitung für internationale Anrufe. Am Montag entdeckt das Unternehmen den Verbrauch und stellt außerdem fest, dass die Geschäftsanrufe dieser Nebenstelle umgeleitet worden sein könnten.
Was hätte das verhindert? Lange, einzigartige Passwörter, eine Firewall, die nur Verbindungen aus den Ländern und Netzen zulässt, in denen das Unternehmen tätig ist, automatische Sperrung nach mehreren Fehlversuchen, Verbrauchslimits und Warnungen bei ungewöhnlichem Verkehr. Keine dieser Maßnahmen ist teuer; teuer ist es, sie nicht zu haben.
Bewährte Praktiken zum Schutz der Anrufe Ihres Unternehmens
- Verschlüsseln Sie, was Sie können: SIP über TLS für die Signalisierung und SRTP für die Sprache, auf Telefonen, Softphones und Trunks.
- Starke, einzigartige Passwörter: jede Nebenstelle mit einem eigenen langen Passwort, niemals das Werkspasswort oder eines, das auf der Nummer basiert. Wenn Ihre Plattform es erlaubt, aktivieren Sie die Mehr-Faktor-Authentifizierung in den Verwaltungsportalen, wie es das MinTIC für Unternehmenswerkzeuge empfiehlt.
- Firewall und Zugriffskontrolle: Öffnen Sie nur die notwendigen Ports und begrenzen Sie, aus welchen Netzen Verbindungen möglich sind. Das NIST empfiehlt VoIP-fähige Firewalls oder Session Border Controller (SBC, Session Border Controller).
- Aktuelle Updates: Spielen Sie die Sicherheitspatches für Telefonanlage, Telefone und Server ein, sobald der Hersteller sie veröffentlicht.
- Trennen Sie das Sprachnetz: Das NIST empfiehlt, Sprache und Daten in logisch getrennten Netzen zu halten (zum Beispiel mit VLANs, virtuellen Netzen auf derselben Verkabelung), damit ein infizierter Computer keinen direkten Zugriff auf die Telefone hat.
- Geschützte Fernverwaltung: Greifen Sie auf die Verwaltung nur über verschlüsselte Kanäle wie VPN (virtuelles privates Netzwerk) oder SSH zu.
- Ständige Überwachung: Prüfen Sie Protokolle, fehlgeschlagene Anmeldeversuche und auffällige Anrufmuster, und legen Sie Warnungen und Kostenobergrenzen fest.
Was Sie Ihren Telefonieanbieter fragen sollten
Bevor Sie einen Dienst für Cloud-PBX oder Mobilfunk für Unternehmen abschließen (oder verlängern), stellen Sie diese Fragen und verlangen Sie konkrete Antworten:
- Unterstützen Sie SIP über TLS und SRTP auf Nebenstellen und Trunks? Sind diese standardmäßig aktiviert?
- Welche TLS-Version verwenden Sie und wie verwalten Sie die Zertifikate?
- Wie schützen Sie die SIP-Zugangsdaten und was passiert nach mehreren Fehlversuchen?
- Kann ich nach Land, Netz oder IP-Adresse einschränken, von wo aus sich meine Nebenstellen registrieren?
- Haben Sie eine permanente Überwachung, Betrugswarnungen und konfigurierbare Verbrauchslimits?
- Wie oft aktualisieren Sie Ihre Plattform und wie kommunizieren Sie Vorfälle?
- Wer betreibt die Infrastruktur: ein eigenes Team oder ein Dritter, dessen Dienst weiterverkauft wird?
Wenn der Anbieter zögert oder mit Allgemeinplätzen antwortet, ist das ein Zeichen, weiterzusuchen. Es lohnt sich auch, den regulatorischen Rahmen der Branche in unserem Bereich zu Vorschriften zu prüfen.
Auch Open Source spricht die Sprache der Sicherheit
Ein großer Teil der weltweiten IP-Telefonie läuft auf Open-Source-Software, und die meistgenutzten Werkzeuge unterstützen diese Standards. Kamailio, ein bei Betreibern sehr verbreiteter SIP-Server, enthält ein TLS-Modul, das TLS 1.3 unterstützt. Asterisk dokumentiert Schritt für Schritt, wie man TLS für die Signalisierung und SRTP für die Sprache kombiniert. FreeSWITCH bietet ebenfalls die Konfiguration von SIP über TLS und sichere Medien mit SRTP.
Dass die Software es unterstützt, heißt nicht, dass es aktiviert ist: Den Unterschied macht das Team, das sie konfiguriert, aktualisiert und jeden Tag überwacht. Bei 19 80 TIC Cloud betreibt unser Ingenieurteam seine eigene IP-Telefonieplattform, sodass diese Sicherheitsentscheidungen intern getroffen und überprüft werden.
