20070304k Infodas VoIP IP-Telfonie Risikomanagement

Die IP-Telefonie (VoIP) bietet Unternehmen völlig neue Möglichkeiten zur kostengünstigen Kommunikation. Die Integration von Daten- und Sprachnachrichten in einem gemeinsamen Kanal birgt aber auch eine ganze Reihe von Risiken. Dabei trifft man auch auf einige alte Bekannte: Spams heißen jetzt z. B. SPIT und verstopfen nicht E-Mail-Postfächer sondern die Mailboxen der VoIP-Telefone. Mittels Spoofing können Betrüger kostenlos über fremde Server telefonieren und mittels Phishing beliebige Gesprächsinhalte abhören. VoIP erbt als IT-Anwendung all die Probleme, die in Unternehmen seit Jahren die IT unsicher machen. Dazu gehören auch fehlende Zugangskontrollen und nicht sensibilisierte Mitarbeiter. Nur mit Hilfe eines umfassenden Risikomanagements lassen sich diese Gefahren in ihrer Gesamtheit erkennen und kontrollieren. Und VoIP wird so zu einer nicht nur nützlichen, sondern auch zur sicheren Technologie ...

in realistischer Fall: Ein Unternehmen hatte seit wenigen Wochen seine alte ISDN-Telefonanlage durch eine hochmoderne VoIP-Anlage ersetzt. Man erhoffte sich zahlreiche Vorteile durch diesen Schritt: Neben Kosteneinsparungen und der Vereinfachung der Infrastruktur war einer der Hauptgründe die bessere Einbindung von Außendienstmitarbeitern und Home-Office-Nutzern. Und schließlich konnte mit Hilfe der neuen Anlage auch endlich ein kleines firmeninternes Callcenter eingerichtet werden, um die wachsenden Kundenanfragen besser und schneller zu betreuen.

Doch schon bald gab es die ersten Probleme: Mitarbeiter beklagten, dass der Speicherplatz ihrer Voice-Mailboxen ständig durch automatische Werbeanrufe belegt sei, die ersten Rechnungen wiesen jede Menge nicht zuzuordnender Anrufe auf und eine kleinere Störung des IT-Netzwerkes hatte den Ausfall der kompletten Telefonanlage zur Folge. Das Call Center konnte für knapp eine Stunde keine Kundenanrufe entgegen nehmen und Mitarbeiter nicht nach draußen telefonieren.

Tatsächlich birgt die Einrichtung einer VoIP-Anlage neben zahlreichen Vorteilen auch viele Risiken – von massenhaften Werbeanrufen bis hin zu kriminellen Abhörangriffen. Wie aber kann ein Unternehmen sich vor solchen Gefahren schützen? Und lohnt sich angesichts der Risiken die Anschaffung einer VoIP-Anlage überhaupt?

»Die Verunsicherung hinsichtlich der Sicherheitsrisiken von VoIP ist groß«, erklärt Frank Reiländer, Leiter Business Unit IT-Security der Infodas GmbH, eines deutschen Spezialisten für IT Security Management. »Unternehmen befürchten zu Recht, dass sie gravierende Schäden erleiden, durch den Diebstahl von schützenswerten Informationen und auch Gebührenbetrug. Entscheidend bei der Abwehr dieser Risiken ist jedoch, zu erkennen, dass VoIP keine essenziell neuen Sicherheitsrisiken mit sich bringt.« Das hat zwei Gründe: Erstens liegt dem VoIP-Telefonsystem ein IP-Netz zugrunde, wie es bereits seit Jahren in den Unternehmen etwa für die E-Mail-Kommunikation genutzt wird. Zweitens sind wesentliche IT-Risikofaktoren gar nicht technischer, sondern organisatorischer Natur: von der fehlenden Feuertür bis zur Sicherheitslücke »Mitarbeiter«.

Zu Punkt Eins: Die Risiken von VoIP lassen sich bewältigen, da VoIP letztlich nur eine weitere IT-Applikation ist und damit den gleichen Risiken ausgesetzt, wie sie bereits seit Jahren aus der IT-Welt bekannt sind. Was die Spam-Flut bei E-Mails ist, ist der so genannte SPIT-Angriff (Spam over Internet Telephony) beim VoIP: Das massenhafte Aussenden von Werbebotschaften per Sprachnachricht. Und das mit weitreichenden Konsequenzen: Die Verfügbarkeit von Mitarbeitern, Voice-Mailboxen und im Extremfall des Servers wird durch die ständigen Anrufe eingeschränkt. Auch betrügerische Angriffe, wie das sogenannte IP-Spoofing, werden für das Telefonsystem zur Gefahr. Mit gefälschten IP-Adressen geben sich dabei Betrüger gegenüber dem System als autorisierte Nutzer aus, um auf diese Weise Sicherheitsmaßnahmen auszutricksen. Gebührenbetrug oder illegales Anmelden eines IP-Telefons an einem VoIP-Server sind dadurch möglich. Ein weiteres Angriffsszenario sind sogenannte Denial-of-Service-Attacken. Dabei legen Angreifer das komplette Daten- und Sprachnetz lahm, indem Unmengen von Anfragen oder von speziellen Datenpaketen gesendet werden.

Eine der größten Gefahren bei der VoIP-Technologie sehen Unternehmen darin, dass die Gespräche von Dritten abgehört werden können. Laut einer aktuellen Studie des Verbandes der EDV-Software- und Beratungsunternehmen (VDEB) befürchten dies über die Hälfte der befragten Unternehmen. Da die Sprachpakete beim VoIP normalerweise unverschlüsselt sind, ist die Sorge durchaus berechtigt. Es ist für Dritte ohne weiteres möglich, Gespräche zu belauschen oder sogar aufzuzeichnen. Eine ebenfalls bereits aus der IT-Welt bekannte Methode ist dabei das Pharming: Dabei werden Gespräche unbemerkt über einen Fremdserver geleitet, um sie abzuhören oder z.B. VoIP-Passwörter abzufangen. Und schließlich besteht durch das Herunterladen von Programmen auch für VoIP Gefahr durch Spyware, Viren, Würmer und andere Malware.

Wie bei allen IT-Anwendungen, ist es auch beim VoIP möglich, sich durch Verschlüsselungen und weitere Sicherheitsvorkehrungen, vor den genannten Gefahren zu schützen. Dabei muss allerdings darauf geachtet werden, dass alle Einzelkomponenten des VoIP-Systems mit einbezogen sind. Es reicht nicht, wenn der VoIP-Server durch die besonders sichere Firewall und gute Zugangskontrollen geschützt ist, für die Endgeräte aber keine Authentifizierung vorgesehen ist. Auch die weiteren Komponenten des Systems, wie Router, Gateways, sowie Proxy und Redirect Server, müssen in die Maßnahmen einbezogen sein.

· Daten und Sprache zumindest logisch voneinander trennen, um Denial-of-Service-, Abhörangriffe etc., zu erschweren.

· Starke Zugangskontroll- und Authentifizierungssysteme für alle VoIP-Komponenten installieren.

· Technische Lösungen implementieren, um Denial-of-Service- und andere Formen von IP-Attacken zu verhindern (z. B. Anti-Spoofing-Filter).

· Jeder User sollte sich für IP-Telefonie mit einem Benutzer-Kennwort einloggen. Somit stellen Sie wie bei der PC-Nutzung sicher, dass nur autorisierte Nutzer/Anwender über das Unternehmensnetzwerk telefonieren. Zudem bietet der Login einen Spoofing-Schutz.

· Softphones wo möglich vermeiden, da diese besonders anfällig für Angriffe durch Malware sind.

· Patches erneuern: Aktualisieren Sie neu verfügbare Patches zum Schutz des VoIP-Systems immer sofort.

· Das System bestmöglich durch Anti-Viren-Programme oder eine lokale Firewall absichern.

Um sich vor SPIT zu schützen sollte zusätzlich darauf geachtet werden, dass die VoIP-Kennung – ähnlich wie dies bei E-Mail-Adressen der Fall ist – nicht in die falschen Hände gerät. Außerdem kann es langfristig Sinn machen, ähnlich wie bei der Auswahl einer E-Mail-Adresse, darauf zu achten, dass die SIP-Kennung nicht ohne weiteres erratbar bzw. automatisch generierbar ist.

Technische Maßnahmen allein reichen bei der Bekämpfung von IT-Risiken allerdings nicht aus. Die Einführung von Passwörtern schützt z. B. nur dann vor dem Missbrauch durch Dritte, wenn die Verschlüsselung auch von den Mitarbeitern genutzt wird. Das führt zu Punkt zwei – den organisatorischen Risikofaktoren: Neben Viren und Würmern stellen Mitarbeiter seit jeher eines der Hauptrisiken für die IT-Sicherheit in Unternehmen dar. Frank Reiländer kennt die Gefahren aus seiner Praxis als ISO 27001/IT-Grundschutz-Auditor des BSI (Bundesamt für Informationstechnik): »Passwörter werden oftmals für andere einsehbar notiert, Geräte nicht gesperrt, sodass Sicherheitslücken ganz bewusst auf Kosten des Unternehmens ausgenutzt werden können.« Mit einem VoIP-System erweitert sich diese Gefahr auf zusätzliche Anwendungen: Das ungesperrte Telefongerät eröffnet Dritten Einblick in Ruflisten, Voicemails und Telefonbücher. Einem Angreifer ist es außerdem möglich, ein VoIP-Endgerät so zu manipulieren, dass die mögliche Sprachverschlüsselung deaktiviert wird und die unverschlüsselten Gespräche über einen Rechner des Angreifers geleitet werden.

Auch die Infrastruktur eines Unternehmens stellt eine gravierende Sicherheitslücke dar. Denn Manipulationen können durch den direkten Zugang zur IT noch wirksamer ausgeführt werden als über externe Zugriffe. Gerade hier aber gibt es in vielen Unternehmen enorme Defizite. »Wer den Weg zu seiner zentralen IT-Infrastruktur bereits am Empfang durch große Hinweisschilder jedem Fremden kenntlich macht und Zugangstüren dann auch noch offen stehen lässt, darf sich nicht wundern, wenn Server durch Dritte manipuliert oder Daten geklaut werden«, erklärt Reiländer. Durch Manipulation des VoIP-Servers kann ein Angreifer z. B. das Telefonsystem außer Betrieb setzen, einen unberechtigten Telefonanschluss oder eine Rufumleitung einrichten.

Entscheidend für die Sicherheit von VoIP ist daher die Einbindung sowohl technischer als auch organisatorischer Maßnahmen und zwar bezogen auf alle Komponenten des Systems. »Den besten Schutz«, so Reiländer, »gewährleistet ein Sicherheitsmanagement, das die Gefahren in ihrer Gesamtheit erkennt. Nur so können Risiken, egal ob durch neue oder bestehende Anwendungen, kontrolliert werden.«

Einen solchen Gesamtschutz bietet das Bundesamt für Informationstechnik (BSI) Unternehmen seit Jahren mit dem IT-Grundschutz-Verfahren an. Das Grundschutz-Verfahren berücksichtigt neben der Netzwerksicherheit auch grundlegende organisatorische Aspekte, wie Mitarbeiterschulungen und die Infrastruktur. Seit 2006 ist auch der Baustein VoIP-System integriert. Mittels einer ganzheitlichen Sicherheitsanalyse können Unternehmen die Gefahren für die IT gezielt aufdecken, um sie dann besser zu kontrollieren. Der Einführung einer hochmodernen VoIP-Telefonanlage steht dann nichts mehr im Weg.

VoIP-Glossar

MediaGateway: Ermöglichen die Verbindung vom IP-Netz zu einem herkömmlichen Festnetzanschluss. Gateways sind zum einen mit dem Computernetzwerk als auch mit dem normalen Telefonnetz verbunden und leiten die Anfragen in beide Richtungen weiter.

IP-Telefon: Eigenständige Telefongeräte, mit Hardwarekomponenten, die direkt an das IP-Netzwerk angeschlossen werden.

SIP: SIP steht für »Session Initiation Protocol« und ist ein Protokoll, über das eine Kommunikationssitzung mittels IP aufgebaut werden kann. Weitere Protokolle sind das veraltete H.323 oder das herstellerspezifische Protokoll von Skype.

Softphones: Auf dem Computer installierte Anwendungsprogramme, deren Funktionalität der eines IP-Telefons entsprechen.

Voice-Mail: Sprachspeicherdienst, der Sprache elektronisch speichert. Die Abfrage ist dann per Mailbox oder Email möglich und kann auch als Anhang versendet werden.

Copyright © 2003-2012 ap Verlag GmbH