Leitfaden zur Sicherheit in der Unternehmenstelefonie für IT-Teams

Eine Telefonanlage kann den einfachsten Zugang zu einem Unternehmen bieten, wenn sie als grundlegende Infrastruktur und nicht als verwalteter Dienst betrachtet wird. Eine kompromittierte Nebenstelle kann teure Auslandsgespräche führen, ein schwach gesichertes Administratorkonto kann Anrufprotokolle offenlegen und ein schlecht geschütztes IVR-System kann Kunden an die falsche Stelle weiterleiten. Dieser Leitfaden zur Sicherheit in der Unternehmenstelefonie konzentriert sich auf die Kontrollmaßnahmen, die diese Risiken verringern, ohne die tägliche PBX-Verwaltung zu einem Spezialistenprojekt zu machen.

Für kleine und mittelständische Unternehmen ist das Ziel ganz praktisch: Die Erreichbarkeit der Telefonie sicherstellen, Kunden- und Mitarbeiterdaten schützen und Administratoren eine klare Kontrolle darüber geben, wer Änderungen an der Anrufweiterleitung, den Benutzern, den Geräten und den Netzbetreibereinstellungen vornehmen darf. Der richtige Ansatz hängt davon ab, ob die Telefonanlage vor Ort, in der Cloud oder in einer Hybridumgebung betrieben wird, doch die grundlegenden Sicherheitsprinzipien sind dieselben.

Beginnen Sie mit den Telefonie-Risiken, die Ihr Unternehmen betreffen

Die Sicherheit im Telefoniebereich umfasst mehr als nur die Verschlüsselung eines Anrufs. Sie umfasst die Personen, die das System verwalten können, die Geräte, die sich darin registrieren, die Netzwerke, über die der Sprachverkehr geleitet wird, sowie die Regeln, die festlegen, wohin Anrufe weitergeleitet werden. Selbst eine sichere Plattform kann Probleme verursachen, wenn beispielsweise ein altes Mitarbeiterkonto aktiv bleibt oder eine Weiterleitungsregel ohne Überprüfung geändert wird.

Bei den häufigsten Vorfällen handelt es sich nicht immer um ausgeklügelte Angriffe. Ein Gebührenbetrug liegt vor, wenn sich ein Angreifer Zugang zu einer Nebenstelle, einer Amtsleitung oder einem Voicemail-Konto verschafft und kostenpflichtige Anrufe tätigt. Durch die Übernahme eines Kontos können Anrufverlauf, Aufzeichnungen, Voicemail-Nachrichten und Kundendaten offengelegt werden. Denial-of-Service-Angriffe können einen öffentlich zugänglichen SIP-Dienst überlasten, während ein Routing-Fehler eine Support-Hotline während der Geschäftszeiten blockieren kann.

Priorisieren Sie Risiken nach ihren Auswirkungen auf das Geschäft. Ein Kundenservice-Team mit hohem Eingangsvolumen sollte sich vor allem auf die Verfügbarkeit der Warteschleifen, den Schutz des IVR-Systems und eine schnelle Ausweichweiterleitung konzentrieren. Eine dezentralisierte Vertriebsorganisation benötigt möglicherweise strengere Kontrollen in Bezug auf mobile Geräte, Softphones und Anrufweiterleitung. Unternehmen, die sensible Gespräche führen, sollten zudem Verschlüsselung, Zugriff auf Aufzeichnungen und Aufbewahrungsvorschriften berücksichtigen.

Zuerst den administrativen Zugriff kontrollieren

Das PBX-Administratorkonto ist in den meisten Sprachumgebungen das wertvollste Ziel. Mit diesem Konto können Nebenstellen angelegt, Zugangsdaten zurückgesetzt, Wählpläne geändert, Amtsleitungen verbunden und Anrufe umgeleitet werden. Schützen Sie es entsprechend.

Verwenden Sie einzelne Administratorkonten anstelle eines gemeinsamen Logins. Bei gemeinsam genutzten Anmeldedaten lässt sich nur schwer nachvollziehen, wer ein IVR-Menü geändert oder internationale Anrufe freigeschaltet hat, und oft bleiben diese Daten auch lange nach einem Wechsel der Zuständigkeiten im Personalbestand unverändert. Verlangen Sie sichere, einzigartige Passwörter und eine Multi-Faktor-Authentifizierung, sofern das System dies unterstützt.

Rollenbasierte Zugriffsrechte sorgen dafür, dass die tägliche Arbeit überschaubar bleibt. Ein Helpdesk-Mitarbeiter muss möglicherweise ein Telefon zurücksetzen oder einen Namen aktualisieren, während ein Telekommunikationsmanager Zugriff auf Warteschlangen, Rufgruppen und Zeitbedingungen benötigt. Keine der beiden Rollen benötigt zwangsläufig die Berechtigung, Anmeldedaten von Netzbetreibern zu bearbeiten oder Anrufdaten zu exportieren. Gewähren Sie nur die unbedingt erforderlichen Zugriffsrechte und überprüfen Sie privilegierte Rollen in regelmäßigen Abständen sowie unmittelbar nach personellen Veränderungen.

Der Administratorzugriff sollte nach Möglichkeit auch anhand des Netzwerkstandorts eingeschränkt werden. Wenn die Verwaltungsschnittstelle nicht öffentlich zugänglich sein muss, sollten Sie sie hinter einem VPN verbergen oder nur zugelassene IP-Adressen zulassen. Bei Cloud-Bereitstellungen sollten Sie die Zugriffskontrollen des Anbieters nutzen und sicherstellen, dass Administratoren das System nicht von nicht verwalteten privaten Geräten aus verwalten.

Erweiterungen, Geräte und Bereitstellung schützen

Jede Nebenstelle ist eine Identität im Telefonsystem. Behandeln Sie das Registrierungspasswort oder das Authentifizierungstoken wie jeden anderen geschäftlichen Zugangsdatensatz. Verwenden Sie für SIP-Registrierungen einzigartige, entropiereiche Geheimnisse, vermeiden Sie vorhersehbare, auf der Nebenstellennummer basierende Passwörter und verwenden Sie Zugangsdaten niemals auf mehreren Geräten.

Die automatisierte Bereitstellung kann sowohl die Sicherheit verbessern als auch Zeit sparen. Ein kontrollierter Bereitstellungsprozess ermöglicht es Administratoren, zugelassene Tischtelefone zuzuweisen, Standardeinstellungen vorzunehmen und Geräte auszutauschen, ohne Zugangsdaten per E-Mail versenden oder jedes Endgerät manuell konfigurieren zu müssen. Die Bereitstellung per QR-Code kann beispielsweise Eingabefehler reduzieren und gleichzeitig sicherstellen, dass die Einrichtung im Rahmen eines genehmigten Arbeitsablaufs erfolgt.

Entfernen Sie bei Festnetztelefonen und Softphones nicht mehr genutzte Konten und führen Sie ein Verzeichnis der zugewiesenen Geräte. Ein Telefon, das auf dem Schreibtisch eines ehemaligen Mitarbeiters zurückgelassen wurde, ein Softphone, das noch auf einem alten Laptop angemeldet ist, oder eine ungenutzte Nebenstelle im Konferenzraum können zu einem übersehenen Angriffspunkt werden.

Für Remote-Mitarbeiter ist ein Ansatz erforderlich, der zu ihrer Umgebung passt. Ein VPN kann für manche lokale Bereitstellungen geeignet sein, während ein ordnungsgemäß gesicherter Cloud-Dienst die Notwendigkeit verringern kann, die PBX-Infrastruktur direkt dem Internet auszusetzen. Der Kompromiss liegt im operativen Bereich: Strengere Netzwerkkontrollen können den Supportaufwand erhöhen. Testen Sie daher die Sprachqualität und die Geräteregistrierung, bevor Sie die Richtlinie standardisieren.

Sicherstellung des Anrufverkehrs und des damit verbundenen Netzwerks

Der Sprachverkehr sollte im Unternehmensnetzwerk kein ungeschützter Seitenkanal sein. Verwenden Sie verschlüsselte Signalisierung und Medien, sofern dies unterstützt wird – in der Regel TLS für die Signalisierung und SRTP für Audio. Die Verschlüsselung trägt dazu bei, Anrufe vor dem Abhören zu schützen, ersetzt jedoch keine Identitätskontrollen, Firewall-Regeln oder Überwachungsmaßnahmen.

Trennen Sie den Sprachverkehr vom allgemeinen Benutzerverkehr, sofern Ihr Netzwerkdesign und Ihr Budget dies zulassen. Ein dediziertes VLAN und eine Quality-of-Service-Richtlinie können die Gesprächsqualität verbessern und gleichzeitig unnötige Verbindungen zwischen Geräten reduzieren. Dies ist besonders nützlich in Büros mit vielen nicht verwalteten Endgeräten, Gäste-WLAN oder bandbreitenintensiven Anwendungen.

Stellen Sie am Netzwerkrand nicht mehr Dienste zur Verfügung, als unbedingt erforderlich sind. Beschränken Sie den SIP-Zugriff auf bekannte Netzbetreiber, Session Border Controller, Remote-Benutzer oder genehmigte IP-Bereiche. Deaktivieren Sie nicht genutzte Dienste und Ports, dokumentieren Sie die Firewall-Regeln und überprüfen Sie diese nach größeren Änderungen. Eine Regel, die für ein vorübergehend genutztes Testtelefon erstellt wurde, bleibt oft länger bestehen als der Test selbst.

Falls Ihr Unternehmen Microsoft Teams Stellen Sie neben Festnetztelefonen, mobilen Clients und einer Telefonanlage den gesamten Anrufverlauf dar. Sicherheitslücken treten häufig beim Übergang zwischen den Plattformen auf, nicht innerhalb einer einzelnen Plattform. Stellen Sie fest, welches System für die Benutzeridentität zuständig ist, wo externe Anrufe eingehen, wer die Weiterleitung ändern kann und wie Protokolle aufbewahrt werden.

Integrieren Sie Maßnahmen zur Betrugsbekämpfung in den Wählplan

Maßnahmen zur Verhinderung von Telefonbetrug sollten bereits in die Anrufberechtigungen integriert sein und nicht erst dann ergriffen werden, wenn eine unerwartete Rechnung eintrifft. Beschränken Sie ausgehende Anrufe nach Durchwahl, Abteilung oder Standort. Ein Telefon in der Empfangshalle benötigt möglicherweise nur Ortsgespräche, während ein Assistent der Geschäftsleitung möglicherweise Zugang zu Auslandsgesprächen benötigt. Eine einheitliche Berechtigungsstufe ist zwar einfach, gewährt jedoch jeder kompromittierten Durchwahl die gleiche Ausgabenbefugnis.

Nutzen Sie Wählregeln, um Ziele zu blockieren, die für Ihr Unternehmen nicht erforderlich sind, darunter Premium-Nummern oder risikoreiche internationale Nummernbereiche. Legen Sie angemessene Obergrenzen für die Anzahl gleichzeitiger Anrufe fest und richten Sie bei Ihrem Netzbetreiber, sofern verfügbar, Warnmeldungen zu Kosten oder Nutzung ein. Besondere Aufmerksamkeit verdienen ausgehende Anrufmuster außerhalb der Geschäftszeiten, da Betrugsversuche oft dann beginnen, wenn niemand das System überwacht.

Anrufweiterleitung benötigt entsprechende Sicherheitsvorkehrungen. Dies ist zwar für die Arbeit im Homeoffice und die Erreichbarkeit außerhalb der Geschäftszeiten nützlich, doch durch uneingeschränkte Weiterleitung können Kundenanrufe an unbekannte externe Nummern weitergeleitet werden. Es sollten entsprechende Berechtigungen für die Erstellung externer Weiterleitungsregeln vorgeschrieben werden; diese Regeln sollten in der Verwaltungsoberfläche einsehbar sein und nach Personal- oder Zeitplanänderungen überprüft werden.

IVR-Systeme, Warteschleifen und Voicemail von Grund auf sicherer gestalten

Kundenorientierte Anrufabläufe sind Teil der Sicherheitsgrenze. Ein IVR-System sollte hilfreiche Auswahlmöglichkeiten bieten, ohne interne Durchwahlnummern, Dienstpläne von Mitarbeitern oder andere Informationen preiszugeben, die für Social-Engineering-Angriffe genutzt werden könnten. Halten Sie die Menüs auf dem neuesten Stand, entfernen Sie nicht mehr existierende Abteilungen und führen Sie Tests durch. Zeitbedingungen an Feiertagen und bei der Umstellung auf Sommerzeit.

Legen Sie für Warteschlangen und Rufgruppen das Ausweichverhalten fest, bevor es zu einer Störung kommt. Wenn keine Agenten verfügbar sind: Soll der Anruf an die Voicemail, an ein Überlaufteam, an einen externen Anrufbeantwortungsdienst oder an eine aufgezeichnete Ansage weitergeleitet werden? Die beste Wahl hängt vom Service-Level ab, den Ihre Kunden erwarten, doch ein bewusstes Ausweichverfahren ist sicherer als ein abgebrochener Anrufpfad.

Schützen Sie die Voicemail mit eindeutigen PINs, Sperrfunktionen (sofern verfügbar) und Richtlinien für vertrauliche Nachrichten. E-Mail-Benachrichtigungen sind zwar praktisch, doch Anhänge und Transkripte von Voicemail-Nachrichten unterliegen möglicherweise denselben Vorschriften zur Datenverarbeitung wie andere Kundendaten. Legen Sie fest, wer Zugriff auf gemeinsam genutzte Postfächer, Aufzeichnungen und Tools für Vorgesetzte hat, und legen Sie Aufbewahrungsfristen fest, die den geschäftlichen und Compliance-Anforderungen entsprechen.

Überwachen Sie Änderungen, nicht nur Ausfälle

Ein System kann online sein und dennoch kompromittiert sein. Überwachen Sie fehlgeschlagene Registrierungsversuche, wiederholte Passwortfehler, ungewöhnliche ausgehende Ziele, Änderungen an Weiterleitungsregeln, neue Administratorkonten und unerwartete Änderungen an Trunks oder Wählplänen. Warnmeldungen sollten an Personen weitergeleitet werden, die darauf reagieren können, mit einem klaren Eskalationspfad für Vorfälle außerhalb der Geschäftszeiten.

Bewahren Sie Protokolle so lange auf, dass ein Vorfall untersucht werden kann, und stellen Sie sicher, dass die Systemuhren synchronisiert sind. Aussagekräftige Protokolle liefern schnell Antworten auf grundlegende Fragen: Wer hat die Änderung vorgenommen, wann erfolgte sie, welche Nebenstelle war daran beteiligt und welche Zielnummer wurde angerufen? Anrufdetailaufzeichnungen, Prüfprotokolle, Geräteereignisse und Berichte der Netzbetreiber sind aussagekräftiger, wenn sie gemeinsam ausgewertet werden.

Regelmäßige Tests sind wichtig. Testen Sie ein deaktiviertes Benutzerkonto, überprüfen Sie, ob gesperrte Anrufe tatsächlich blockiert werden, führen Sie einen Testanruf über das Overflow-Routing durch und vergewissern Sie sich, dass die Konfiguration über Backups wiederhergestellt werden kann. Aktualisieren Sie die PBX-Software, die Telefon-Firmware und die unterstützenden Systeme nach einem festgelegten Zeitplan. Das Aufschieben jedes Updates verringert zwar kurzfristige Störungen, verlängert jedoch den Zeitraum, in dem bekannte Sicherheitslücken bestehen bleiben.

Sicherheit in die tägliche Verwaltung integrieren

Der effektivste Leitfaden für die Sicherheit in der Unternehmenstelefonie ist der, der Teil des normalen Betriebsablaufs wird. Verwenden Sie eine Checkliste für die Einarbeitung neuer Benutzer, eine Checkliste für den Austritt, mit der Durchwahlnummern und Weiterleitungsregeln entfernt werden, sowie einen Änderungsprozess für Routen, die sich auf Kundenanrufe auswirken. Diese Routinen verhindern kleine Versehen, die später zu größeren Sicherheitsrisiken führen können.

Eine zentral verwaltete, softwarebasierte Telefonanlage kann dies vereinfachen, indem sie Benutzer, Geräte, Anrufabläufe und Berechtigungen in einer einzigen Verwaltungsansicht zusammenführt. Ayrix ist auf diese praktische Steuerung ausgelegt und bietet flexible Bereitstellungsoptionen vor Ort oder in der Cloud sowie Tools, die den manuellen Konfigurationsaufwand reduzieren.

Beginnen Sie mit dem Konto, das die meisten Befugnisse hat, der Anrufroute, die für die Kunden am wichtigsten ist, und der Berechtigung für ausgehende Anrufe, deren Missbrauch die höchsten Kosten verursachen könnte. Wenn Sie diese drei Bereiche zuerst optimieren, schaffen Sie eine sicherere Grundlage für Ihre Telefonanlage und sorgen gleichzeitig dafür, dass sie im täglichen Betrieb einfach zu handhaben bleibt.