VoIP-Sicherheit: Schützen Sie Ihre geschäftlichen Anrufe

Eine Geschäftstelefonanlage kann mehr als nur Gesprächsinhalte preisgeben, wenn sie nicht sorgfältig verwaltet wird. Ein gestohlenes Passwort für die Voicemail, ein ungeschütztes Tischtelefon oder ein Konto mit unnötigen Administratorrechten können Angreifern einen Zugang zu Kundendaten, Anrufprotokollen und kostspieligen betrügerischen Anrufen verschaffen. VoIP-Sicherheit ist daher kein optionales technisches Zusatzmodul. Es trägt dazu bei, dass Ihr Unternehmen erreichbar und glaubwürdig bleibt und die Kontrolle behält.

Für kleine und mittelständische Unternehmen besteht das Ziel nicht darin, ein komplexes Sicherheitsprogramm rund um die Telefonanlage aufzubauen. Vielmehr geht es darum, an den Schnittstellen zwischen Anrufen, Benutzern, Geräten und Verwaltung die richtigen Kontrollmaßnahmen anzuwenden. Ganz gleich, ob Sie Ihre Telefonie in der Cloud, vor Ort oder über Microsoft Teams betreiben – die Grundlagen sind praxisorientiert und überschaubar.

Was muss die VoIP-Sicherheit schützen?

Voice-over-IP wandelt Anrufe in Datenverkehr um. Dadurch ist eine moderne Telefonanlage flexibler als herkömmliche Telefonhardware: Mitarbeiter können Anrufe in Teams, über eine mobile App oder am Tischtelefon entgegennehmen; Führungskräfte können über eine Weboberfläche das IVR-System aktualisieren oder Anrufe weiterleiten; und verteilte Teams können von verschiedenen Standorten aus dieselben Durchwahlen nutzen.

Der Nachteil dabei ist, dass das Telefonsystem Benutzerkonten, Netzwerkzugänge, Software-Updates und Zugriffsrechte schützen muss. Ein sinnvoller VoIP-Sicherheitsplan konzentriert sich auf vier Bereiche: Wer hat Zugriff auf das System, wie wird der Anrufverkehr geleitet, welche Geräte dürfen eine Verbindung herstellen und was geschieht, wenn Aktivitäten ungewöhnlich erscheinen?.

Die Risiken beschränken sich nicht darauf, dass jemand ein Gespräch mithört. Zu den häufigsten Vorfällen zählen Gebührenbetrug, bei dem ein Angreifer teure Auslands- oder Premium-Anrufe tätigt; die Übernahme von Konten durch wiederverwendete Passwörter; Phishing, das sich gegen Teams- oder PBX-Administratoren richtet; sowie Denial-of-Service-Angriffe, die verhindern, dass legitime Anrufe Ihr Unternehmen erreichen. Eine falsch konfigurierte Anrufweiterleitung kann zudem dazu führen, dass vertrauliche Gespräche an die falsche Nummer weitergeleitet werden, ohne dass ein Angreifer in das System eindringen muss.

Beginnen Sie mit Identitäten, Rollen und strengen Anmeldekontrollen

Die meisten Vorfälle im Zusammenhang mit Telefonanlagen gehen auf Zugangsdaten oder übermäßige Zugriffsrechte zurück. Jede Person, die Anrufabläufe, Rufnummern, Benutzer, Aufzeichnungen oder die Abrechnung verwaltet, sollte über ein eigenes Konto verfügen. Gemeinsame Administrator-Logins mögen zwar praktisch erscheinen, erschweren es jedoch, nachzuvollziehen, wer eine Weiterleitungsregel geändert hat, oder den Zugriff zu entziehen, wenn ein Mitarbeiter das Unternehmen verlässt.

Verwenden Sie eine Multi-Faktor-Authentifizierung für Administratorkonten und für alle Benutzerportale, die Zugriff auf Voicemail, Anrufprotokolle, Weiterleitungseinstellungen oder Kontaktdaten gewähren. Ein Passwort allein bietet nur schwachen Schutz, insbesondere wenn Mitarbeiter dasselbe Passwort für verschiedene Dienste verwenden. Verlangen Sie lange, einzigartige Passwörter und setzen Sie einen Passwort-Manager ein, anstatt von den Mitarbeitern zu erwarten, dass sie sich immer kompliziertere Kombinationen merken.

Der rollenbasierte Zugriff ist ebenso wichtig. Ein Empfangsmitarbeiter muss möglicherweise die Öffnungszeiten und die IVR-Ansage ändern, während ein Vorgesetzter Dashboards zur Warteschlangenübersicht und Tools zur Anrufüberwachung benötigt. Keine der beiden Rollen benötigt zwangsläufig die Berechtigung, Administratoren anzulegen, Trunk-Einstellungen zu ändern, alle Anrufprotokolle zu exportieren oder Abrechnungskontrollen anzupassen. Gewähren Sie jeder Person den für ihre Tätigkeit erforderlichen Mindestzugriff und überprüfen Sie diesen regelmäßig.

Dies ist insbesondere dann von Bedeutung, wenn Teams und die Geschäftstelefonie miteinander verbunden sind. Die Zuständigkeit für Teams bedeutet nicht automatisch, dass jemand auch externe Anrufe, Warteschlangen oder die systemweite Konfiguration der Telefonanlage verwalten sollte. Trennen Sie die Rollen für die Zusammenarbeit und die Telefonieverwaltung nach Möglichkeit voneinander.

Behandeln Sie das Offboarding als eine Aufgabe des Telefonsystems

Wenn jemand die Position wechselt oder das Unternehmen verlässt, sperren Sie unverzüglich seine telefonbezogenen Zugriffsrechte. Löschen Sie die Registrierungen für mobile Apps, den Zugriff auf das Webportal, die Anmeldedaten für das Softphone sowie die Zugriffsrechte auf gemeinsam genutzte Voicemail-Postfächer oder Anrufaufzeichnungen. Überprüfen Sie außerdem Anrufweiterleitungsregeln sowie Gruppenmitgliedschaften. Eine veraltete Nebenstelle, über die Anrufe weiterhin an einen ehemaligen Mitarbeiter weitergeleitet werden, stellt sowohl ein Sicherheits- als auch ein Kundendienstproblem dar.

Anrufe verschlüsseln und den Netzwerkpfad schützen

Die Verschlüsselung schützt die Signalisierung und die Medien während der Übertragung. Einfach ausgedrückt: Die Signalisierung umfasst die Informationen, die einen Anruf aufbauen und steuern, während die Medien den Ton selbst darstellen. Ihr Anbieter oder Ihre PBX-Plattform sollte verschlüsselte Signalisierung und verschlüsselten Sprachverkehr unterstützen, damit Anrufe im Netzwerk nicht ohne Weiteres abgefangen werden können.

Verschlüsselung ist am wertvollsten, wenn sie mit einem soliden Netzwerkdesign kombiniert wird. Trennen Sie den Sprachverkehr vom Gäste-WLAN und von nicht verwalteten Geräten. Ein dediziertes Sprach-VLAN ist oft für Büros mit Tischtelefonen sinnvoll, während Remote-Benutzer sich über einen geschützten Internetzugang und verwaltete Anwendungen verbinden sollten. Das genaue Design hängt von Ihrer Umgebung ab, aber das Prinzip ist einfach: Der Laptop eines Besuchers sollte nicht denselben Netzwerkzugriff haben wie Ihre Telefoninfrastruktur.

Machen Sie die Verwaltungsseiten Ihrer Telefonanlage oder SIP-Dienste nicht allgemein im öffentlichen Internet zugänglich, es sei denn, es besteht ein klarer betrieblicher Bedarf und es sind geeignete Schutzmaßnahmen vorhanden. Beschränken Sie den Zugriff nach Möglichkeit auf bestimmte Netzwerke oder über VPN, verwenden Sie speziell für Ihre Telefonanlage konfigurierte Firewalls und deaktivieren Sie Dienste, die Sie nicht nutzen. Das Öffnen aller Ports zur Behebung eines Problems mit einseitiger Audioübertragung kann zwar vorübergehend dazu führen, dass Anrufe funktionieren, verursacht jedoch später ein größeres Problem.

Arbeiten im Homeoffice erfordert Ausgewogenheit. Mitarbeiter müssen Anrufe von zu Hause und unterwegs entgegennehmen, doch nicht verwaltete Heimrouter und öffentliches WLAN bergen Risiken. Setzen Sie auf sichere Mobil- und Desktop-Clients, aktuelle Betriebssysteme, verschlüsselte Verbindungen und klare Regeln, die die Verwaltung der Telefonanlage über gemeinsam genutzte Geräte untersagen. Für Verwaltungsaufgaben mit hohen Berechtigungen lohnt sich in der Regel der zusätzliche Aufwand für ein VPN oder eine vertrauenswürdige Zugriffsmethode.

Sichern Sie jedes Smartphone, jede App und jede Integration

Ein Tischtelefon ist ein Netzwerkendpunkt und nicht nur ein Mobilteil. Ändern Sie Standardpasswörter, verwenden Sie unterstützte Firmware und deaktivieren Sie nicht genutzte Webschnittstellen oder Dienste. Verwenden Sie nach Möglichkeit sichere, automatisierte Bereitstellung anstatt Anmeldedaten manuell in die Geräte einzugeben. Die Bereitstellung über QR-Codes und die zentralisierte Geräteverwaltung reduzieren Tippfehler und verhindern, dass sensible Einstellungen per E-Mail oder in Tabellenkalkulationen weitergegeben werden.

Führen Sie ein Verzeichnis aller Endgeräte, mit denen Anrufe getätigt oder empfangen werden können. Dazu gehören Tischtelefone, Konferenzgeräte, Softphone-Apps, mobile Clients, Telefone in Gemeinschaftsbereichen und analoge Adapter. Wenn ein Gerät verloren geht, ersetzt wird oder nicht mehr genutzt wird, löschen Sie dessen Registrierung aus der Telefonanlage.

Integrationen verdienen die gleiche Aufmerksamkeit. Microsoft 365, CRM-Systeme, Kalender-Tools, Aufzeichnungsplattformen und Analysedienste können alle anrufbezogene Daten erhalten. Prüfen Sie, welche Daten jede Verbindung auslesen oder ändern kann, wem sie gehört und ob sie noch benötigt wird. Eine Integration, die während eines kurzfristigen Projekts nützlich war, sollte nicht dauerhaft Zugriff behalten.

Ayrix unterstützt die zentralisierte Verwaltung von Anrufabläufen, Benutzern und der Gerätebereitstellung, was diese Überprüfungen vereinfachen kann, verglichen mit der Verwaltung separater Telefonsysteme und Konfigurationsdateien an verschiedenen Standorten. Die Zentralisierung ist hilfreich, bedeutet aber auch, dass der Schutz der Administratoren und die Rollenvergabe ernst genommen werden müssen.

Betrug eindämmen, bevor er zur Rechnung wird

Gebührenbetrug ist eines der offensichtlichsten finanziellen Risiken in der Geschäftstelefonie. Angreifer suchen nach kompromittierten Nebenstellen, schwachen Voicemail-PINs, offengelegten SIP-Zugangsdaten und zu freizügigen Wählregeln. Oft tätigen sie Anrufe außerhalb der Geschäftszeiten und wählen teure Ziele an, bevor jemand etwas bemerkt.

Erlauben Sie zunächst nur die Wählmuster, die Ihr Unternehmen tatsächlich benötigt. Wenn niemand Premium-Nummern anrufen soll, sperren Sie diese. Wenn internationale Anrufe auf das Finanzteam oder einige wenige Kundenbetreuer beschränkt sind, aktivieren Sie diese Funktion nur für diese Nutzer. Das mag einschränkend wirken, aber ein kleiner Genehmigungsvorgang ist weitaus kostengünstiger als eine unerwartete Rechnung des Netzbetreibers.

Geben Sie die Ausgaben an und Benachrichtigungen zum Anrufaufkommen sofern Ihr Anbieter oder Ihre Plattform diese Funktionen unterstützt. Achten Sie auf wiederholte Kurzanrufe, Anrufe in den Nachtstunden, teure Zielnummern, fehlgeschlagene Registrierungsversuche und plötzliche Änderungen der Anrufweiterleitung. Eine gute Warnmeldung muss keinen Betrug nachweisen. Sie muss lediglich genügend Zeit geben, um den Sachverhalt zu untersuchen, bevor sich das Problem verschlimmert.

Auch die Voicemail erfordert Aufmerksamkeit. Ändern Sie die Standard-PINs, raten Sie von leicht zu erratenden Codes ab und beschränken Sie den Zugriff auf die Voicemail-Verwaltung. Falls Ihr System die Weiterleitung von Voicemail-Nachrichten per E-Mail unterstützt, stellen Sie sicher, dass die Nachrichten gemäß den Datenschutzrichtlinien Ihres Unternehmens versendet und gespeichert werden – insbesondere, wenn Anrufer Kontodaten, medizinische Informationen oder zahlungsbezogene Angaben preisgeben.

Einfache Gewohnheiten zur Überwachung und Reaktion entwickeln

Die Sicherheit lässt sich leichter gewährleisten, wenn die Überprüfungen Teil der normalen Verwaltung sind. Überprüfen Sie mindestens vierteljährlich die Administratorkonten, Weiterleitungsregeln, Wählberechtigungen und angeschlossenen Geräte. Führen Sie diese Überprüfungen nach Personalwechseln, Umzügen, einer neuen Integration oder einer wesentlichen Änderung Ihres Anrufablaufs bereits früher durch.

Die Protokollierung ist unerlässlich, wenn etwas schiefgeht. Führen Sie Aufzeichnungen über administrative Änderungen, Anmeldeversuche, Verbindungsdetails, Geräteregistrierungen und Konfigurationsaktualisierungen. Legen Sie im Voraus fest, wer Benachrichtigungen erhält und wer befugt ist, eine Nebenstelle zu deaktivieren, ein Ziel zu sperren oder den Netzbetreiber zu kontaktieren. Bei Betrugsfällen oder Ausfällen kostet Unsicherheit Zeit.

Sie sollten auch die operative Seite der Sicherheit testen. Kann das Team wichtige Anrufe weiterhin entgegennehmen, wenn die Internetverbindung in der Zentrale ausfällt? Kann ein Administrator eine Warteschlange schnell auf Mobiltelefone umleiten? Sind die Standorte für Notrufe für Nutzer, die von verschiedenen Standorten aus arbeiten, korrekt angegeben? Verfügbarkeit und Sicherheit sind in der Geschäftstelefonie eng miteinander verbunden.

Sicherheit zum festen Bestandteil des täglichen Anrufmanagements machen

Die beste VoIP-Sicherheitskonfiguration ist nicht die mit der längsten Checkliste. Es ist die, die Ihr Team konsequent umsetzen kann. Verwenden Sie individuelle Konten, beschränken Sie die Zugriffsrechte auf das Nötigste, verschlüsseln Sie den Datenverkehr, aktualisieren Sie die Geräte, schränken Sie kostspielige Anrufe ein und überprüfen Sie Änderungen, bevor sie zu Überraschungen führen.

Wenn Ihr Unternehmen neue Teams-Nutzer, Remote-Mitarbeiter, Warteschleifen, mobile Anrufe und neue Standorte hinzufügt, sollten Sie diese Einstellungen erneut überprüfen, anstatt davon auszugehen, dass die ursprüngliche Konfiguration weiterhin passt. Eine Telefonanlage sollte es einfach machen, Kunden an die richtige Person weiterzuleiten. Es sollte ebenso einfach sein, zu erkennen, wer Zugriff hat, was diese Personen ändern können und wann ein Anrufmuster Ihre Aufmerksamkeit erfordert.