Cloud-Telefonie und Sicherheit: Risiken kennen, richtig schützen

Eine Cloud-Telefonanlage ist nicht unsicherer als eine Anlage im eigenen Haus, wenn Anbieter und Kunde ihre Aufgaben erledigen. Die größten Risiken sind gestohlene Zugangsdaten mit teuren Auslandsgesprächen als Folge, unverschlüsselte Verbindungen, schlecht geschützte Admin-Zugänge und Anrufer, die sich mit gefälschter Nummer als Chef oder Bank ausgeben. Verschlüsselung, starke Passwörter, Mehrfaktor-Anmeldung und Gesprächslimits decken das meiste ab.

Gebührenbetrug: das teuerste Risiko

Beim Gebührenbetrug verschaffen sich Angreifer Zugang zu einem Telefonie-Konto und führen darüber teure Verbindungen, etwa zu Sonderrufnummern im Ausland. Das passiert gern nachts oder am Wochenende, wenn niemand hinschaut. Die Rechnung kann innerhalb weniger Stunden beträchtlich werden.

Einfallstore sind meist schwache oder voreingestellte Passwörter von Telefonen und SIP-Konten, offen erreichbare Anlagen vor Ort oder abgegriffene Zugangsdaten. Schutz bieten:

• Lange, zufällige Passwörter für jedes SIP-Konto, die niemand von Hand eintippen muss, weil die Telefone automatisch eingerichtet werden
• Sperren für Auslands- und Sonderrufnummern, die niemand im Betrieb braucht
• Ausgabe- oder Gesprächslimits und Warnmeldungen bei ungewöhnlichem Verbrauch
• Konten sofort deaktivieren, wenn Mitarbeitende das Unternehmen verlassen

Abhören: Verschlüsselung von Signalisierung und Sprache

Telefonate über das Internet lassen sich grundsätzlich mitschneiden, wenn sie unverschlüsselt übertragen werden. Moderne Cloud-Anlagen verschlüsseln deshalb zwei Ebenen: den Verbindungsaufbau, also wer wen anruft (SIPS bzw. SIP über TLS), und die Sprache selbst (SRTP).

Fragen Sie Ihren Anbieter, ob beides standardmäßig aktiv ist – und ob es für alle Endgeräte gilt, auch für Tischtelefone und die App. Ein Gespräch, das das Netz des Anbieters verlässt und ins klassische Telefonnetz übergeht, ist ab diesem Punkt nicht mehr Ende-zu-Ende verschlüsselt. Für die Strecke zwischen Ihrem Büro und dem Rechenzentrum macht Verschlüsselung aber den entscheidenden Unterschied.

Admin-Zugang und Benutzerkonten

Wer Zugriff auf das Verwaltungsportal einer Telefonanlage hat, kann Rufumleitungen ändern, Mailboxen abhören oder Gespräche auf fremde Nummern umleiten. Dieser Zugang ist deshalb so schützenswert wie das E-Mail-Postfach der Geschäftsführung:

• Anmeldung mit Mehrfaktor-Authentifizierung, sofern der Anbieter sie anbietet
• persönliche Admin-Konten statt eines gemeinsamen Logins
• nur so viele Administratoren wie nötig
• Änderungen an Umleitungen und Rufnummern nachvollziehbar protokollieren

Auch Benutzerkonten in der App verdienen Aufmerksamkeit. Ein verlorenes Smartphone mit eingerichteter Telefonie-App sollte sich aus der Ferne abmelden lassen.

Endgeräte und Netzwerk im Büro

Tischtelefone sind kleine Computer mit eigener Weboberfläche. Bleibt dort das Werkspasswort aktiv, kann jeder im Netz die Einstellungen auslesen oder ändern. Gute Praxis ist:

• Telefone über die Anlage automatisch einrichten lassen (Provisionierung) statt von Hand
• Firmware aktuell halten
• Telefone in einem eigenen Netzwerksegment betreiben, getrennt von PCs und Gästen
• Die Firewall so konfigurieren, dass nur die nötigen Verbindungen zum Anbieter erlaubt sind

Wer eine Anlage vor Ort betreibt, sollte sie nie ungeschützt aus dem Internet erreichbar machen. Hier sitzt typischerweise ein Session Border Controller oder eine entsprechend konfigurierte Firewall dazwischen.

Gefälschte Rufnummern und Betrug am Telefon

Die angezeigte Rufnummer eines Anrufers lässt sich fälschen. Betrüger nutzen das, um sich als Bank, Behörde, IT-Dienstleister oder als eigene Geschäftsführung auszugeben. Mit KI-Stimmen werden solche Anrufe zusätzlich überzeugender.

Technik hilft hier nur begrenzt; entscheidend sind klare Regeln im Team:

• Keine Zahlungen, Passwörter oder Zugangsdaten auf telefonische Anweisung hin – auch nicht, wenn der Chef zu sprechen scheint
• Bei ungewöhnlichen Bitten auflegen und über eine bekannte Nummer zurückrufen
• Fernwartung nur mit Dienstleistern, die man selbst angerufen hat

Wie Sie Ihr Team für solche Maschen sensibilisieren, beschreibt der Ratgeber Phishing erkennen.

Datenschutz und Verfügbarkeit

Sicherheit umfasst auch die Frage, wo Daten liegen und ob die Anlage erreichbar bleibt. Prüfen Sie vertraglich: Wo stehen die Server, gibt es einen Vertrag zur Auftragsverarbeitung nach DSGVO, wie lange werden Verbindungsdaten und Aufzeichnungen gespeichert? Für die Verfügbarkeit zählen Redundanz beim Anbieter und Ihr eigener Plan für einen Ausfall der Internetleitung – etwa eine automatische Umleitung auf Mobiltelefone.

Wenn Mitarbeitende gehen: Konten und Umleitungen

Ein unterschätzter Sicherheitsaspekt ist der Personalwechsel. Verlässt jemand das Unternehmen, bleiben oft Dinge zurück, an die niemand denkt: eine App auf dem privaten Smartphone, eine Rufumleitung auf eine private Handynummer, eine Mailbox mit Kundennachrichten.

Nehmen Sie Telefonie deshalb fest in Ihre Austrittscheckliste auf:

• Benutzerkonto in der Anlage sperren oder einer Nachfolge zuweisen
• Rufumleitungen auf externe Nummern prüfen und entfernen
• Anmeldungen in Apps und auf Geräten beenden
• Durchwahl umleiten, damit Kundenanrufe nicht ins Leere laufen
• Mailbox-Inhalte sichten und übergeben

In einer Cloud-Anlage sind diese Schritte in wenigen Minuten im Portal erledigt – vorausgesetzt, jemand denkt daran.