(openPR) Seit dem Ende von ISDN läuft die Telefonie über dasselbe Netz wie alle anderen Firmendaten. Der IT-Service Düsseldorf rät kleinen und mittleren Betrieben deshalb zum Session Border Controller.
Die Umstellung auf IP-Telefonie gilt in vielen Betrieben als abgeschlossenes Projekt. Die alte Anlage ist raus, die neue läuft, die Gesprächsqualität stimmt. Was dabei häufig übersehen wird: Mit dem Wechsel von ISDN auf Voice over IP hat sich nicht nur die Technik verändert, sondern auch das Risikoprofil. Sprachdaten wandern seither durch dasselbe Netzwerk wie alle übrigen Unternehmensdaten und sind damit grundsätzlich angreifbar. Der IT-Service Düsseldorf von Duesseldorfer.IT - https://duesseldorfer.it weist auf diese Lücke hin und rät zum Einsatz eines Session Border Controllers, kurz SBC.
Neue Technik, neue Angriffsfläche
Solange Telefonate über eine ISDN-Leitung liefen, war die Sprachkommunikation physikalisch vom Datennetz getrennt. Wer die Telefonanlage angreifen wollte, brauchte Zugang zur Leitung. Mit VoIP entfällt diese Trennung. Die Telefonanlage ist ein Serverdienst, der über das Internet erreichbar sein muss, damit externe Gespräche zustande kommen. Genau diese Erreichbarkeit macht sie zu einem lohnenden Ziel.
Bekannt sind in der Branche vor allem drei Muster. Erstens der Gebührenbetrug: Angreifer verschaffen sich Zugang zu einem SIP-Konto und telefonieren auf Kosten des Unternehmens ins Ausland, oft nachts und am Wochenende, wenn es niemandem auffällt. Zweitens Überlastungsangriffe, bei denen die Anlage mit Verbindungsanfragen geflutet wird, bis die Erreichbarkeit zusammenbricht. Drittens das Mitschneiden von Gesprächen, wenn der Datenverkehr unverschlüsselt durch fremde Netze läuft. In allen drei Fällen entsteht der Schaden nicht am Telefon, sondern im Netzwerk dahinter.
Was ein Session Border Controller tatsächlich tut
Ein Session Border Controller sitzt an der Grenze zwischen zwei Netzen, typischerweise zwischen dem internen Firmennetz und dem Anschluss des SIP-Anbieters. Er überwacht jede neu aufgebaute Verbindung und prüft, ob die übertragenen Daten zum verwendeten Protokoll passen. Bei VoIP ist das SIP. Alles, was nicht diesem Muster entspricht, wird verworfen.
Sobald ein Telefonat aufgebaut wird, registriert der SBC die Sitzung und begleitet sie, solange sie besteht. Für die Dauer des Gesprächs wirkt er wie eine Firewall, die ausschließlich für diesen Datenverkehr zuständig ist. Das interne Netzwerk bleibt dabei gegen Bedrohungen aus dem externen Netz abgeschirmt. Die Anlage selbst ist von außen nicht direkt sichtbar, weil der SBC als vorgelagerte Instanz auftritt.
Nach Einschätzung des Systemhauses wird die Absicherung bei der Modernisierung der Telefonanlage häufig übergangen. Die Anlage läuft, also gilt das Thema als erledigt. Eine offene SIP-Schnittstelle ins Internet bleibt jedoch dauerhaft erreichbar, und Zugriffsversuche darauf laufen im Hintergrund ab, ohne dass sie im Tagesbetrieb auffallen.
Warum die vorhandene Firewall nicht ausreicht
Ein verbreiteter Irrtum lautet, die bestehende Firewall decke das Thema mit ab. In der Praxis stößt sie bei VoIP schnell an Grenzen. SIP baut die eigentliche Sprachverbindung über wechselnde Ports auf, die erst im Verlauf der Signalisierung ausgehandelt werden. Eine klassische Firewall kennt diese Zusammenhänge nicht und muss entweder große Portbereiche öffnen oder blockiert Gespräche, die eigentlich legitim sind. Das Ergebnis sind entweder Sicherheitslücken oder abgebrochene Telefonate.
Der SBC versteht die Logik hinter dem Protokoll. Er weiß, welche Verbindung zu welchem Gespräch gehört, öffnet nur den benötigten Weg und schließt ihn wieder, sobald aufgelegt wird. Nebenbei löst er ein zweites Problem, das viele Umstiegsprojekte begleitet: die Vermittlung zwischen unterschiedlichen Auslegungen des SIP-Standards. Anbieter und Anlagenhersteller interpretieren einzelne Details verschieden, was zu einseitiger Sprachübertragung oder abbrechenden Gesprächen führen kann. Der SBC gleicht diese Unterschiede aus und sorgt so nicht nur für mehr Sicherheit, sondern auch für stabilere Verbindungen.
Hardware oder Software
Die Technik ist in zwei Ausprägungen verfügbar. Als dediziertes Hardware-Gerät wird der SBC zwischen Router und Telefonanlage gesetzt und arbeitet unabhängig von der übrigen Infrastruktur. Als reine Softwarelösung läuft er auf vorhandener Server- oder Virtualisierungsumgebung.
Welche Variante sinnvoll ist, hängt vom Einzelfall ab. Für Standorte mit hohem Gesprächsaufkommen und dem Wunsch nach klarer Trennung der Systeme spricht einiges für eine Appliance. Wer ohnehin virtualisiert arbeitet oder mehrere Standorte anbinden will, fährt mit der Softwarelösung häufig flexibler. Der IT-Service Düsseldorf empfiehlt, diese Entscheidung nicht isoliert zu treffen, sondern gemeinsam mit der Frage, wie die Telefonie insgesamt aufgebaut sein soll.
Teil eines größeren Bildes
Duesseldorfer.IT setzt bei Telefonanlagen auf die Software von 3CX, ergänzt um IP-Telefone von snom. Sollen vorhandene Telefone oder Faxgeräte weiter genutzt werden, kommen Gateways von beronet zum Einsatz. Der SIP-Anschluss selbst wird beim Anbieter mit dem passenden Tarif gebucht. Der Session Border Controller fügt sich als Sicherheitsbaustein in diese Architektur ein.
Sinnvoll ist er nach Einschätzung des Systemhauses vor allem dann, wenn ein Unternehmen mehrere Standorte verbindet, Mitarbeitende im Homeoffice über die Firmenanlage telefonieren oder eine größere Zahl von Nebenstellen betreibt. In diesen Konstellationen wächst die Zahl der Verbindungen nach außen, und mit ihr die Angriffsfläche.
Über die Einrichtung hinaus bietet Duesseldorfer.IT den laufenden Betrieb als Managed Service an. Dazu gehören Aktualisierungen, die Kontrolle der Konfiguration und die Auswertung auffälliger Verbindungsversuche. Unterstützung erfolgt per Fernwartung oder direkt vor Ort. Betreut werden Kunden in Düsseldorf sowie im Umland von Duisburg über Neuss, Ratingen und Meerbusch bis nach Solingen und Wuppertal.
Sicherheit in der Telefonie versteht Duesseldorfer.IT dabei nicht als einmalige Anschaffung, sondern als Zustand, der über die Laufzeit gehalten werden muss. Im Beratungsgespräch steht deshalb weniger die Auswahl eines Geräts im Vordergrund als die Frage, wer den Betrieb dauerhaft verantwortet.
