Eine Telefonanlage kann den einfachsten Zugang zu einem Unternehmen bieten, wenn sie als grundlegende Infrastruktur und nicht als verwalteter Dienst betrachtet wird. Eine kompromittierte Nebenstelle kann teure Auslandsgespr\u00e4che f\u00fchren, ein schwach gesichertes Administratorkonto kann Anrufprotokolle offenlegen und ein schlecht gesch\u00fctztes IVR-System kann Kunden an die falsche Stelle weiterleiten. Dieser Leitfaden zur Sicherheit in der Unternehmenstelefonie konzentriert sich auf die Kontrollma\u00dfnahmen, die diese Risiken verringern, ohne die t\u00e4gliche PBX-Verwaltung zu einem Spezialistenprojekt zu machen.<\/p>\n
F\u00fcr kleine und mittelst\u00e4ndische Unternehmen ist das Ziel ganz praktisch: Die Erreichbarkeit der Telefonie sicherstellen, Kunden- und Mitarbeiterdaten sch\u00fctzen und Administratoren eine klare Kontrolle dar\u00fcber geben, wer \u00c4nderungen an der Anrufweiterleitung, den Benutzern, den Ger\u00e4ten und den Netzbetreibereinstellungen vornehmen darf. Der richtige Ansatz h\u00e4ngt davon ab, ob die Telefonanlage vor Ort, in der Cloud oder in einer Hybridumgebung betrieben wird, doch die grundlegenden Sicherheitsprinzipien sind dieselben.<\/p>\n
Die Sicherheit im Telefoniebereich umfasst mehr als nur die Verschl\u00fcsselung eines Anrufs. Sie umfasst die Personen, die das System verwalten k\u00f6nnen, die Ger\u00e4te, die sich darin registrieren, die Netzwerke, \u00fcber die der Sprachverkehr geleitet wird, sowie die Regeln, die festlegen, wohin Anrufe weitergeleitet werden. Selbst eine sichere Plattform kann Probleme verursachen, wenn beispielsweise ein altes Mitarbeiterkonto aktiv bleibt oder eine Weiterleitungsregel ohne \u00dcberpr\u00fcfung ge\u00e4ndert wird.<\/p>\n
Bei den h\u00e4ufigsten Vorf\u00e4llen handelt es sich nicht immer um ausgekl\u00fcgelte Angriffe. Ein Geb\u00fchrenbetrug liegt vor, wenn sich ein Angreifer Zugang zu einer Nebenstelle, einer Amtsleitung oder einem Voicemail-Konto verschafft und kostenpflichtige Anrufe t\u00e4tigt. Durch die \u00dcbernahme eines Kontos k\u00f6nnen Anrufverlauf, Aufzeichnungen, Voicemail-Nachrichten und Kundendaten offengelegt werden. Denial-of-Service-Angriffe k\u00f6nnen einen \u00f6ffentlich zug\u00e4nglichen SIP-Dienst \u00fcberlasten, w\u00e4hrend ein Routing-Fehler eine Support-Hotline w\u00e4hrend der Gesch\u00e4ftszeiten blockieren kann.<\/p>\n
Priorisieren Sie Risiken nach ihren Auswirkungen auf das Gesch\u00e4ft. Ein Kundenservice-Team mit hohem Eingangsvolumen sollte sich vor allem auf die Verf\u00fcgbarkeit der Warteschleifen, den Schutz des IVR-Systems und eine schnelle Ausweichweiterleitung konzentrieren. Eine dezentralisierte Vertriebsorganisation ben\u00f6tigt m\u00f6glicherweise strengere Kontrollen in Bezug auf mobile Ger\u00e4te, Softphones und Anrufweiterleitung. Unternehmen, die sensible Gespr\u00e4che f\u00fchren, sollten zudem Verschl\u00fcsselung, Zugriff auf Aufzeichnungen und Aufbewahrungsvorschriften ber\u00fccksichtigen.<\/p>\n
Das PBX-Administratorkonto ist in den meisten Sprachumgebungen das wertvollste Ziel. Mit diesem Konto k\u00f6nnen Nebenstellen angelegt, Zugangsdaten zur\u00fcckgesetzt, W\u00e4hlpl\u00e4ne ge\u00e4ndert, Amtsleitungen verbunden und Anrufe umgeleitet werden. Sch\u00fctzen Sie es entsprechend.<\/p>\n
Verwenden Sie einzelne Administratorkonten anstelle eines gemeinsamen Logins. Bei gemeinsam genutzten Anmeldedaten l\u00e4sst sich nur schwer nachvollziehen, wer ein IVR-Men\u00fc ge\u00e4ndert oder internationale Anrufe freigeschaltet hat, und oft bleiben diese Daten auch lange nach einem Wechsel der Zust\u00e4ndigkeiten im Personalbestand unver\u00e4ndert. Verlangen Sie sichere, einzigartige Passw\u00f6rter und eine Multi-Faktor-Authentifizierung, sofern das System dies unterst\u00fctzt.<\/p>\n
Rollenbasierte Zugriffsrechte sorgen daf\u00fcr, dass die t\u00e4gliche Arbeit \u00fcberschaubar bleibt. Ein Helpdesk-Mitarbeiter muss m\u00f6glicherweise ein Telefon zur\u00fccksetzen oder einen Namen aktualisieren, w\u00e4hrend ein Telekommunikationsmanager Zugriff auf Warteschlangen, Rufgruppen und Zeitbedingungen ben\u00f6tigt. Keine der beiden Rollen ben\u00f6tigt zwangsl\u00e4ufig die Berechtigung, Anmeldedaten von Netzbetreibern zu bearbeiten oder Anrufdaten zu exportieren. Gew\u00e4hren Sie nur die unbedingt erforderlichen Zugriffsrechte und \u00fcberpr\u00fcfen Sie privilegierte Rollen in regelm\u00e4\u00dfigen Abst\u00e4nden sowie unmittelbar nach personellen Ver\u00e4nderungen.<\/p>\n
Der Administratorzugriff sollte nach M\u00f6glichkeit auch anhand des Netzwerkstandorts eingeschr\u00e4nkt werden. Wenn die Verwaltungsschnittstelle nicht \u00f6ffentlich zug\u00e4nglich sein muss, sollten Sie sie hinter einem VPN verbergen oder nur zugelassene IP-Adressen zulassen. Bei Cloud-Bereitstellungen sollten Sie die Zugriffskontrollen des Anbieters nutzen und sicherstellen, dass Administratoren das System nicht von nicht verwalteten privaten Ger\u00e4ten aus verwalten.<\/p>\n
Jede Nebenstelle ist eine Identit\u00e4t im Telefonsystem. Behandeln Sie das Registrierungspasswort oder das Authentifizierungstoken wie jeden anderen gesch\u00e4ftlichen Zugangsdatensatz. Verwenden Sie f\u00fcr SIP-Registrierungen einzigartige, entropiereiche Geheimnisse, vermeiden Sie vorhersehbare, auf der Nebenstellennummer basierende Passw\u00f6rter und verwenden Sie Zugangsdaten niemals auf mehreren Ger\u00e4ten.<\/p>\n
Die automatisierte Bereitstellung kann sowohl die Sicherheit verbessern als auch Zeit sparen. Ein kontrollierter Bereitstellungsprozess erm\u00f6glicht es Administratoren, zugelassene Tischtelefone zuzuweisen, Standardeinstellungen vorzunehmen und Ger\u00e4te auszutauschen, ohne Zugangsdaten per E-Mail versenden oder jedes Endger\u00e4t manuell konfigurieren zu m\u00fcssen. Die Bereitstellung per QR-Code kann beispielsweise Eingabefehler reduzieren und gleichzeitig sicherstellen, dass die Einrichtung im Rahmen eines genehmigten Arbeitsablaufs erfolgt.<\/p>\n
Entfernen Sie bei Festnetztelefonen und Softphones nicht mehr genutzte Konten und f\u00fchren Sie ein Verzeichnis der zugewiesenen Ger\u00e4te. Ein Telefon, das auf dem Schreibtisch eines ehemaligen Mitarbeiters zur\u00fcckgelassen wurde, ein Softphone, das noch auf einem alten Laptop angemeldet ist, oder eine ungenutzte Nebenstelle im Konferenzraum k\u00f6nnen zu einem \u00fcbersehenen Angriffspunkt werden.<\/p>\n
F\u00fcr Remote-Mitarbeiter ist ein Ansatz erforderlich, der zu ihrer Umgebung passt. Ein VPN kann f\u00fcr manche lokale Bereitstellungen geeignet sein, w\u00e4hrend ein ordnungsgem\u00e4\u00df gesicherter Cloud-Dienst die Notwendigkeit verringern kann, die PBX-Infrastruktur direkt dem Internet auszusetzen. Der Kompromiss liegt im operativen Bereich: Strengere Netzwerkkontrollen k\u00f6nnen den Supportaufwand erh\u00f6hen. Testen Sie daher die Sprachqualit\u00e4t und die Ger\u00e4teregistrierung, bevor Sie die Richtlinie standardisieren.<\/p>\n
Der Sprachverkehr sollte im Unternehmensnetzwerk kein ungesch\u00fctzter Seitenkanal sein. Verwenden Sie verschl\u00fcsselte Signalisierung und Medien, sofern dies unterst\u00fctzt wird \u2013 in der Regel TLS f\u00fcr die Signalisierung und SRTP f\u00fcr Audio. Die Verschl\u00fcsselung tr\u00e4gt dazu bei, Anrufe vor dem Abh\u00f6ren zu sch\u00fctzen, ersetzt jedoch keine Identit\u00e4tskontrollen, Firewall-Regeln oder \u00dcberwachungsma\u00dfnahmen.<\/p>\n
Trennen Sie den Sprachverkehr vom allgemeinen Benutzerverkehr, sofern Ihr Netzwerkdesign und Ihr Budget dies zulassen. Ein dediziertes VLAN und eine Quality-of-Service-Richtlinie k\u00f6nnen die Gespr\u00e4chsqualit\u00e4t verbessern und gleichzeitig unn\u00f6tige Verbindungen zwischen Ger\u00e4ten reduzieren. Dies ist besonders n\u00fctzlich in B\u00fcros mit vielen nicht verwalteten Endger\u00e4ten, G\u00e4ste-WLAN oder bandbreitenintensiven Anwendungen.<\/p>\n
Stellen Sie am Netzwerkrand nicht mehr Dienste zur Verf\u00fcgung, als unbedingt erforderlich sind. Beschr\u00e4nken Sie den SIP-Zugriff auf bekannte Netzbetreiber, Session Border Controller, Remote-Benutzer oder genehmigte IP-Bereiche. Deaktivieren Sie nicht genutzte Dienste und Ports, dokumentieren Sie die Firewall-Regeln und \u00fcberpr\u00fcfen Sie diese nach gr\u00f6\u00dferen \u00c4nderungen. Eine Regel, die f\u00fcr ein vor\u00fcbergehend genutztes Testtelefon erstellt wurde, bleibt oft l\u00e4nger bestehen als der Test selbst.<\/p>\n
Falls Ihr Unternehmen Microsoft Teams<\/a> Stellen Sie neben Festnetztelefonen, mobilen Clients und einer Telefonanlage den gesamten Anrufverlauf dar. Sicherheitsl\u00fccken treten h\u00e4ufig beim \u00dcbergang zwischen den Plattformen auf, nicht innerhalb einer einzelnen Plattform. Stellen Sie fest, welches System f\u00fcr die Benutzeridentit\u00e4t zust\u00e4ndig ist, wo externe Anrufe eingehen, wer die Weiterleitung \u00e4ndern kann und wie Protokolle aufbewahrt werden.<\/p>\n Ma\u00dfnahmen zur Verhinderung von Telefonbetrug sollten bereits in die Anrufberechtigungen integriert sein und nicht erst dann ergriffen werden, wenn eine unerwartete Rechnung eintrifft. Beschr\u00e4nken Sie ausgehende Anrufe nach Durchwahl, Abteilung oder Standort. Ein Telefon in der Empfangshalle ben\u00f6tigt m\u00f6glicherweise nur Ortsgespr\u00e4che, w\u00e4hrend ein Assistent der Gesch\u00e4ftsleitung m\u00f6glicherweise Zugang zu Auslandsgespr\u00e4chen ben\u00f6tigt. Eine einheitliche Berechtigungsstufe ist zwar einfach, gew\u00e4hrt jedoch jeder kompromittierten Durchwahl die gleiche Ausgabenbefugnis.<\/p>\n Nutzen Sie W\u00e4hlregeln, um Ziele zu blockieren, die f\u00fcr Ihr Unternehmen nicht erforderlich sind, darunter Premium-Nummern oder risikoreiche internationale Nummernbereiche. Legen Sie angemessene Obergrenzen f\u00fcr die Anzahl gleichzeitiger Anrufe fest und richten Sie bei Ihrem Netzbetreiber, sofern verf\u00fcgbar, Warnmeldungen zu Kosten oder Nutzung ein. Besondere Aufmerksamkeit verdienen ausgehende Anrufmuster au\u00dferhalb der Gesch\u00e4ftszeiten, da Betrugsversuche oft dann beginnen, wenn niemand das System \u00fcberwacht.<\/p>\nIntegrieren Sie Ma\u00dfnahmen zur Betrugsbek\u00e4mpfung in den W\u00e4hlplan<\/h2>\n