Transformation in die Cloud - welche Cloud darf es sein?
Blickwinkel Netze der Zukunft

VoIP-Sicherheit: Fakten statt Vorurteile

16.06.2017

Immer wieder heißt es, IP-Telefonie sei unsicher. Spätestens seit Snowden verkündete, die NSA überwache Skype. Doch wie steht es wirklich um die VoIP-Sicherheit?
Unternehmen müssen selbst entscheiden, welches Schutzniveau ihre VoIP-Kommunikation benötigt.
Eines vorneweg: IP-Telefonie ist nicht immer dasselbe wie Internet-Telefonie. Und doch führen VoIP-Kritiker das unsichere Internet gerne als Hauptargument ins Feld – für die angeblich fehlende Informationssicherheit von Voice over IP (VoIP). Dabei lassen sich Telefonie-Dienste auch über sichere IP-Netze bereitstellen; Es muss nicht unbedingt das Internet sein. Wer sich also fragt, wie anfällig VoIP wirklich gegen Cyberangriffe ist, muss unterscheiden zwischen
  • Over-the-top-Anbietern (OTT) wie Skype und WhatsApp, die kein eigenes Netz betreiben und Telefonie-Dienste überwiegend über das öffentliche Internet anbieten, sowie
  • Telekommunikationsunternehmen, die dank ihrer eigenen Infrastruktur VoIP über sichere private Netze anbieten können.
Die Deutsche Telekom zum Beispiel transportiert die Daten für Festnetz-Telefonate über ihr eigenes Netz, also über Verbindungen im Telekom-IP-Backbone, die logisch von den Verbindungen anderer Services getrennt sind. Damit ist die IP-Telefonie im Carrier-Netz vergleichbar sicher wie im alten Telefonnetz, dem PSTN (Public Switched Telephone Network).
Die Einschränkung: Wenn einer der Gesprächspartner einen anderen Telefonanbieter hat, passieren die Daten auch dessen Netz. Wie abhörsicher das Gespräch ist, hängt also von allen beteiligten Netzen ab. Das war allerdings auch im alten Telefonnetz so. Die meisten Telefonnetzbetreiber unternehmen zudem hohe Anstrengungen, um ihre Infrastruktur zu sichern.

Schwachstelle Zugangs- und Inhouse-Netz

Grundsätzlich benötigt ein Angreifer bei Voice over IP spezifischeres Know-how für eine Attacke als im PSTN. Denn ISDN- oder Analogtelefonie sahen auf der „letzten Meile“ keine Verschlüsselung vor. Auch in den lokalen Netzen (LAN) wurde nur selten verschlüsselt. Um ein Gespräch mitzuhören, benötigte ein Angreifer nur physischen Zugriff auf das LAN oder die entsprechende Leitung, zum Beispiel im Keller eines Gebäudes. An einem SIP-Sprachanschluss hingegen kann unter bestimmten Voraussetzungen das Gespräch zwischen zwei Teilnehmern verschlüsselt übertragen werden, was das Abhören fast unmöglich macht. Zudem lassen sich zukünftig manche VoIP-Verbindungen der Telekom zwischen dem Teilnehmer und den neuen Sprachvermittlungsstellen verschlüsseln: über die sicheren Verschlüsselungsprotokolle SIP over TLS (auch SIPS, Session Initiation Protocol Secure) und SRTP (Secure Real-Time-Protocol). Voraussetzung ist allerdings, dass die eingesetzte Telekommunikationsanlage (TK-Anlage) oder der SIP-Telefonie-Client die beiden Protokolle unterstützt.
Erfordert die Umstellung auf SIP-Anschlüsse also kein großes Umdenken bei der Sicherheit? Doch: Denn bisher betrafen Angriffe auf die Telefonie-Infrastruktur eines Unternehmens nicht dessen Datennetze. Bei der IP-Telefonie nutzen Sprache und Daten jedoch dasselbe Netz: innerhalb einzelner Standorte das Local Area Network (LAN) und im Fall einer zentralen TK-Anlage auch das standortübergreifende Wide Area Network (WAN). Die Sicherheit von VoIP beeinflusst also auch die Sicherheit der Datennetze. Und umgekehrt: Ein Angreifer könnte über einen gehackten Router oder PC, der mit dem WAN verbunden ist, Telefonate von Mitarbeitern abhören. Und das aus der Ferne.

Netztrennung keine Option

Natürlich könnten Unternehmen das Sprach- und Datennetz wieder physikalisch trennen. Damit wären allerdings viele Vorteile von Voice over IP hinfällig: zum Beispiel, die Telefonie und Daten gemeinsam über die vorhandenen LAN-Kabel zu betreiben oder Telefonanlagen auf standardisierten Servern im Rechenzentrum zu nutzen.
Welche Maßnahmen sollten Unternehmen also ergreifen, um ihre Telefonie – und damit auch ihre Daten – zu sichern? Ein Patentrezept gibt es nicht. Denn jedes Unternehmen muss individuell bewerten, welches Niveau seine VoIP-Sicherheit braucht. Grundsätzlich gibt es aber zumindest zwei wichtige Weichenstellungen: den Einsatz von Session Border Controllern (SBC, VoIP-Firewall) und den Verschlüsselungsbedarf.

Schutzwall zum öffentlichen Netz

  1. Einfache Router an jedem Standort: Nur die Firewall im vorhandenen Router (Stateful Packet Inspection Firewall) – oder minimale SBC-Funktionen - sichern den Sprachdatenverkehr zwischen lokalem Firmennetz und lokalem SIP-Anschluss. Diese Sicherheitsarchitektur kann für manche Anforderungen ausreichen.
  2. Aufgerüstete Router an jedem Standort: Mehr VoIP-Sicherheit bieten aufwändigere Router mit SBC-Funktionen, die das interne und externe Netz trennen und die Verschlüsselung unterstützen. Solche Router sind aber auch entsprechend teurer.
  3. Ein zentraler Session-Border-Controller (SBC): Diese Netzwerkkomponente ist speziell für VoIP-Sicherheit ausgelegt. Sie erkennt zum Beispiel Angriffe, wehrt DDoS-Attacken ab, unterstützt die Verschlüsselung von Signalisierungs- und Sprachdaten und wandelt diese in andere Formate um (Transcodierung). Daher empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) globalen Konzernen den Einsatz eines SBC, um einen IP-Anlagenanschluss abzusichern. Mit Kosten im oft vier- bis fünfstelligen Bereich lohnt sich ein SBC aber nicht als lokaler Schutz für jeden Standort. Unternehmen sollten daher überlegen, ihre VoIP-Infrastruktur zu zentralisieren und VoIP-Verbindungen über einen zentralen, redundanten SBC an das Carriernetz zu übergeben.

Bitte Geheimsprache

Will ein Unternehmen seine IP-Telefonie verschlüsseln, fällt das deutlich leichter als bei ISDN. Denn IP-Verschlüsselung ist fester Bestandteil fast aller Betriebssysteme und kann meist auch für VoIP-Verschlüsselung genutzt werden. Daher ist die Funktion zum Beispiel bei vielen Softphones und IP-Telefonen integriert.
Unternehmen müssen sich nun fragen: Wie umfangreich wollen sie verschlüsseln? Für die interne Kommunikation heißt das: entweder nur im WAN oder auch innerhalb der Standorte im LAN. WANs bestehen meist aus sicheren VPNs auf Basis des MPLS-Protokolls, die ein Netzbetreiber bereitstellt. Die Gesprächsdaten lassen sich aber zusätzlich verschlüsseln, zum Beispiel mit SRTP und SIPS. Bei höchsten Sicherheitsanforderungen können Unternehmen zum Beispiel sogar noch eine IPSec-Verschlüsselung auf das MPLS-VPN setzen. Verschlüsselung im LAN lohnt sich zum Beispiel, wenn Unternehmen sich gegen Lauschangriffe eigener Mitarbeiter absichern möchten.
Externe Telefonate Ende-zu-Ende zu verschlüsseln, ist jedoch aufwändig. Denn dafür brauchen die Endgeräte beider Gesprächspartner dieselbe Verschlüsselungstechnologie. Für die gibt es bisher keinen ausreichend etablierten Standard. Es lohnt sich also nur bei höchstkritischen Telefonaten, etwa von Vorständen, beide Gesprächspartner mit entsprechend ausgerüsteten Smartphones zu versorgen.

Fazit

VoIP-Dienste, welche die Telekom über ihre All-IP-Infrastruktur bereitstellt, sind von anderen Kommunikationsdiensten getrennt, unabhängig vom Internet und vergleichbar sicher wie Gespräche über das alte PSTN-Telefonnetz. Wenn nicht sogar sicherer, denn im Gegensatz zu ISDN erfordert eine Hackerattacke bei VoIP mehr technisches Wissen. Aber: Angreifer können VoIP-Komponenten von Unternehmen per Fernzugriff hacken und erlangen damit auch Zugriff auf deren Datennetze. Abhilfe schaffen Session Border Controller zwischen Carriernetz und Firmennetzen und die Ende-zu-Ende-Verschlüsselung kritischer Gespräche – je nach Sicherheitsanforderung des Unternehmens.