Startseite > Office & Kommunikation > IP-Telefonanlagen - (k)ein Einfallstor für Hacker

Tipps zur ITK-Absicherung

IP-Telefonanlagen - (k)ein Einfallstor für Hacker

10. Juni 2014, 16:51 Uhr | Heike Cantzler, Head of Corporate Communication, Snom Technology

Spätestens seit den Enthüllungen um das abgehörte Handy der Kanzlerin ist jedem bewusst, wie verwundbar moderne Kommunikation sein kann. Dabei sind es nicht mehr nur die Gesprächsinhalte selbst, die belauscht werden. IP-basierte Kommunikation liefert Angriffspunkte, um alle anderen Formen digitaler Kommunikation wie SMS oder E-Mails abzuschöpfen und ist darüber hinaus ein Sprungbrett für den Angriff auf das zugrundeliegende Netzwerk.

Analoge Telefonate oder Gespräche über ISDN abzuhören, ist ein Kinderspiel: Der Täter braucht nur ein Mal Zugang zur TAE-Dose, der ISDN-Anlage oder einem Telefon, um Gespräche mitlauschen zu können. Es reicht aus, einen Telefonhörer zu tauschen, und das Telefon ist zu einer Wanze umfunktioniert, mit der auch alle Gespräche im Raum mitgehört werden können. Bei ISDN-Leitungen wiederum wird ein digitaler Datenstrom übertragen. Es muss lediglich der gewünschte Übertragungskanal im Menü des Geräts eingestellt werden, und schon hört man die Gespräche einfach mit. Doch solche Lausch-Aktionen bleiben immer ausschließlich auf den Sprachverkehr beschränkt.

Während Eindringlinge bei der analogen und ISDN-Telefonie also schlimmstenfalls Gespräche abhören können, eröffnen Voice-over-IP (VoIP) neue Missbrauchsmöglichkeiten: Über das Einfallstor VoIP-Endgerät können sich Hacker Zugriff auf das gesamte Netzwerk eines Unternehmens verschaffen, und damit auch auf alle dort übertragenen und gespeicherten Daten. Denn im Gegensatz zur analogen Telefonie, GSM oder ISDN werden die Gespräche über dasselbe Medium übertragen wie der restliche Datenverkehr.

IT-Sicherheitsstrategie umfassend anlegen

Das heißt: Prinzipiell sollte jeder darauf achten, dass die vorhandenen IT-Installationen sicher sind – Privatpersonen, Stichwort Onlinebanking, besonders aber Unternehmen mit schützenswerten hochinnovativen Produktideen oder Großbanken mit Zugriff auf Milliardensummen und unzählige Kundendaten. Angegriffen und abgehört werden ausnahmslos alle, das lehren die neu-esten Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik (BSI). Der Unterschied ist jedoch der Aufwand, der betrieben wird, um die Daten von Privatpersonen auf der einen und Banken oder Regierungseinrichtungen auf der anderen Seite zu knacken. Dementsprechend unterscheiden sich auch die Maßnahmen, mit denen die Betroffenen ihre Infrastruktur schützen sollten.

Da die Telefoniedaten im Unternehmen einerseits über dasselbe Netzwerk übertragen werden wie der gesamte übrige Datenverkehr, andererseits für externe Telefonate aber auch eine Verbindung in das Internet bestehen muss, eröffnet IP-Telefonie Angreifern einen Angriffsweg auf die Unternehmens-IT. In der Regel sind IP-Telefone besser geschützt als so mancher PC. Sind die IP-Endgeräte oder die IP-Telefonanlage aber schlecht gesichert, ermöglichen sie den Zugriff auf das gesamte Netzwerk. Unternehmen sollten deshalb bereits bei der Auswahl ihrer IP-Lösung – egal, ob dabei die PBX im eigenen Haus steht oder in der Cloud gehostet wird – darauf achten, dass der Hersteller Sicherheitsstrukturen und regelmäßige Sicherheitsupdates für seine Geräte bietet.

Doch das beste Sicherheitskonzept nutzt nichts, wenn Anwender die vorhandenen Möglichkeiten nicht nutzen. Gelingt es einem Angreifer, in das System einzudringen, kann er mit den Telefonen so ziemlich alles machen, was er will, etwa das Mikrofon des Telefons einschalten und damit sämtliche Gespräche im Raum mithören. Dagegen kann man sich schon allein durch das Befolgen aller Sicherheits- und Konfigurationsanweisungen schützen, indem unter anderem Passwörter vergeben und der lokale Webserver deaktiviert werden. Deshalb ist der erste Schritt zu mehr Sicherheit in der IP-Telefonie das standardmäßige Einrichten von Passwörtern in der IP-Anlage, den Telefonen und sonstigen verbundenen Geräten. Grundsätzlich sollten Administratoren alle verfügbaren Mechanismen, wie etwa auch Porteinschränkungen oder die Zuteilung von Zufallsports per Telefonat, auf Endgeräten und PBX nutzen. Denn jedes System ist nur so sicher, wie es konfiguriert wurde.