TK-Systeme
Voice-over-IP - aber mit Sicherheit
Bei der Einrichtung von Voice-over-IP-Lösungen werden Sicherheitsfragen vielerorts noch immer stiefmütterlich behandelt. Auch die öffentliche Diskussion zum Thema Datenschutz hat bislang kein Umdenken bewirkt. Doch die Fahrlässigkeit kann sich rächen. Sind sensible Informationen erst einmal manipuliert oder interne Telefonnetze gekapert, wird es schwierig, den wirtschaftlichen Schaden zu begrenzen. Dabei gibt es durchaus zuverlässigen Schutz - vorausgesetzt, der Anwender ist bereit, ein wenig in Sicherheitsmaßnahmen zu investieren.
Voice-over-IP ist auf dem Vormarsch. Vor allem kleine und mittelständische Unternehmen nutzen immer häufiger die finanziellen und organisatorischen Vorteile der internetbasierten Telefonie. Dass dabei aber auch Gefahren drohen, musste vor einigen Monaten ein Betrieb im rheinland-pfälzischen Grünstadt erfahren: Hacker hatten sich unbemerkt Zugriff auf das Firmen-Telefonnetz verschafft und außerhalb der Geschäftszeiten teure Auslandstelefonate geführt. Der Schaden belief sich auf 11.000 Euro.
Das angeführte Beispiel mag extrem sein, doch es unterstreicht eine Herausforderung, die sich ausnahmslos für jeden Nutzer der IP-Telefonie stellt: Während die klassische Telefonie dank einer geschlossenen Punkt-zu-Punkt-Verbindung schon von Haus aus ein hohes Maß an Sicherheit garantiert, muss diese Sicherheit bei Voice-over-IP erst hergestellt werden. Denn die Verbindungs- und Gesprächsdaten IP-basierter Telefonate gelangen nicht etwa auf geschützten Leitungsbahnen, sondern über das offene IP-Netz vom Sender zum Empfänger. Trifft man hier keine Sicherheitsvorkehrungen, ist die VoIP-Kommunikation ebenso anfällig für Angriffe Dritter wie ungeschützte Webseiten und E-Mail-Verbindungen.
Ungesicherte VoIP-Kommunikation weit verbreitet
Für diese Problematik scheinen allerdings bislang nur wenige VoIP-Anwender sensibilisiert, was angesichts der breiten öffentlichen Diskussion zum Thema Datenschutz kaum noch nachvollziehbar ist. Wie unbedacht oft agiert wird, zeigt exemplarisch der Umgang mit SIP (Session Initiation Protocol), dem heute meistverbreiteten Protokoll für den Aufbau von Voice-over-IP-Verbindungen. In seiner Standardversion sieht dieses Protokoll keine Verschlüsselung der Verbindungsdaten vor. Es kann jedoch durch Einbettung des Verschlüsselungsprotokolls SSL (Secure Sockets Layer), heute offiziell als TLS (Transport Layer Security) bezeichnet, zu SIPS (Session Initiation Protocol Secure) erweitert werden. Die Mehrzahl der Anwender verzichtet allerdings bisher auf diese Option und nutzt SIP ohne ergänzende Verschlüsselung – sei es aus Desinteresse an Sicherheitsfragen, sei es, weil sie den Aufwand für die Einbettung eines ergänzenden Verschlüsselungsprotokolls scheuen.
Dass sich solch eine Fahrlässigkeit schnell rächen kann, verdeutlicht nicht alleine das Beispiel aus Grünstadt. Denn die Gefahren, die bei ungesicherter IP-Telefonie drohen, beschränken sich bei weitem nicht auf die Kaperung eines firmeninternen Telefonnetzes. Vielmehr muss man beim Verzicht auf Verschlüsselungsmaßnahmen auch damit rechnen, dass Telefonate abgehört oder mitgeschnitten werden und so sensible Informationen in falsche Hände gelangen. Professionelle Hacker nutzen hierfür so genannte Sniffer-Programme, die sich legal aus dem Internet herunterladen lassen. Diese Programme sind kostenfrei verfügbar und zumindest für Profis so einfach zu bedienen, dass das Abhören und Mitschneiden kein großes Problem mehr darstellt. Wer solche Tools nutzt, kann sich Zugriff auf Endgeräte und Voicemail-Boxen verschaffen und erhält zudem umfangreiche Informationen über die Identität der Gesprächsteilnehmer, den aktuellen Gesprächsstatus sowie den Zeitpunkt und die Dauer der jeweiligen Telefonate.
Die Möglichkeit, über Sniffer-Programme auf unverschlüsselte Gesprächsdaten zuzugreifen, birgt darüber hinaus noch eine weitere Gefahr. Denn ist ein Hacker über Sicherheitslücken im VoIP-System erst einmal in das Netzwerk eines Unternehmens gelangt, kann er diese Lücken für weitreichende Datendiebstähle und Manipulationen nutzen. Das gilt besonders, wenn auf der Basis von Voice-over-IP umfassende UCC-Lösungen realisiert worden sind. Die erforderlichen Kenntnisse vorausgesetzt, kann der Hacker dann E-Mails abfangen oder manipulieren und aus firmeninternen Datenbanken geschäftlich hochsensible Informationen abgreifen. Werden dabei Ergebnisse aus der Entwicklungsabteilung entwendet, geht der finanzielle Schaden schnell in die Millionen.
- Voice-over-IP - aber mit Sicherheit
- Bedrohung realer als oftmals angenommen
- Kommentar von Auerswald: Integrierte Verschlüsselung als Königsweg
Lesen Sie mehr zum Thema
