Mittlerweile bestehen in Unternehmen erweiterte Anforderungen an die Telekommunikation: Offene Systeme, Wireless Communications, Echtzeit-Applikationen, mehr Mobilität und Geschwindigkeit – sind Trends, die das Zusammenwachsen der Sprach- und Datennetze erfordern. In der IP-Kommunikation verwenden Daten und Sprache ein gemeinsames Netz auf Basis des Internet-Protokolls (IP). Sprache wird hier zu einer Echtzeit-IP-Applikation (VoIP), vergleichbar mit einer extrem leistungsfähigen IT-Applikation. Damit ist sie aber auch ähnlichen Sicherheitsrisiken ausgesetzt, wie sie aus der IT-Welt bekannt sind.

Dementsprechend wichtig ist seit der Einführung dieser Technologie auch die Entwicklung von effektiven Sicherheitskonzepten. Die gute Nachricht dabei ist: Technisch existieren bereits alle benötigten Maßnahmen, um VoIP in Unternehmen höchst sicher und verfügbar zu betreiben. Diese Lösungen sind zumeist auch zu einem relativ günstigen Preis erhältlich.

Mögliche Risiken durch VoIP
Bislang gibt es zwar erst wenige direkte Angriffe auf VoIP-Systeme, mit der gestiegenen Verbreitung zieht diese Technik aber auch Kriminelle an. Angriffe können prinzipiell auf allen Ebenen der VoIP-Infrastruktur stattfinden (wie Server, Endgeräte, Protokolle). Die wesentlichen Risikofelder sind:

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
SPIT (Spam over Internet Telephony)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Bei dieser Art von VoIP-Spam werden die geringen Kosten von VoIP-Verbindungen für eine aggressive Form des automatisierten Telefonmarketings ausgenützt. Ähnlich wie bei Spam im E-Mail-Verkehr können dabei ungewünschte Sprachnachrichten auf mehrere tausend Anschlüsse pro Minute gestreut werden und bei Unternehmen die Verfügbarkeit der Mitarbeiter und – im Extremfall – auch der Server einschränken. In der erweiterten Form von SPIT könnten auch Sprachdaten in bestehende Gespräche hinein übertragen werden und plötzlich Botschaften abspielen.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Spoofing
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Hierbei werden in der IP-Telefonie mittels Software falsche Identitäten vorgetäuscht und z.B. die Anruferidentität manipuliert, die dem angerufenen Benutzer angezeigt wird. Auf diese Weise können gefälschte Anrufe durchgeführt werden. Gelingt es einem Angreifer, seine Identität gegenüber dem VoIP-System zu fälschen, so könnte er des Weiteren auch Services auf Kosten Dritter in Anspruch zu nehmen.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Abhören
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

VoIP wandelt Sprachsignale in Datenpakete, die über Datennetze verschickt werden. Das bringt die Gefahr mit sich, dass diese Pakete abgehört, aufgezeichnet oder manipuliert werden können. Dies ist vor allem möglich, wenn IP-Kommunikation unverschlüsselt über öffentliche Netze, wie das Internet, stattfindet.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
DoS-Angriff (Denial of Service attack)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Dies bezeichnet einen Angriff auf einen Host (Server) mit dem Ziel, einen oder mehrere seiner Dienste durch Überlastung arbeitsunfähig zu machen. In der Regel werden dabei die Server-Ressourcen wie Speicher, Rechenleistung oder Netzbandbreite in extrem hohem Maße durch den Angreifer genutzt und damit blockiert. Bei VoIP-Systemen kann dies die Verfügbarkeit der Telefonie-Dienste sowie deren Sprachqualität gefährden.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Spyware, Viren, Würmer & Malware
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

VoIP-Systeme und Endgeräte können zunehmend einfach durch Downloads von Programmen ergänzt werden. Ähnlich wie bei Computern entstehen hierbei durch schadhafte Programme potenzielle Risiken, wie das Ausspionieren sensibler Daten oder eine unerwünschte Beeinflussung der TK- und IT-Infrastruktur.

Wirkungsvoller Schutz ist möglich

IP-Kommunikation muss, wie jede andere IT-Applikation, gegen mögliche Angriffe geschützt werden. Hierzu gehört vor allem die Notwendigkeit, Benutzer eindeutig zu identifizieren und ihre Zugangsberechtigung zu prüfen, ebenso wie die Verschlüsselung der Sprachdaten über Internet/Intranet und drahtloser Verbindungen. Der Datenverkehr über VPN (Virtual Private Networks, wie das Firmennetz) kann wirkungsvoll mit Hilfe des IPsec-Protokolls verschlüsselt werden. Des Weiteren existieren VoIP-Firewalls und Intrusion Prevention-Systeme.

Die Sicherheitsanforderungen von Unternehmen sind so spezifisch, wie die Unternehmen selbst. Es ist daher nicht sinnvoll, einzelne gefährdete Objekte mit punktuellen Lösungen abzusichern. Vielmehr ist bei der Einführung von VoIP eine vorausschauende, ganzheitliche Sicherheitsstrategie erforderlich. weitere Infos