Telefonieren mit VoIP ist eine praktische Sache: Sprache wird über ein Mikrophon aufgenommen und von einer Software digitalisiert. Die Datei wird anschließend auf mehrere Datenpakete aufgeteilt über das Internet verschickt. Die Technologie boomt vor allem im Business-Bereich, und das aus gutem Grund. Die Telefoniekosten selbst sinken, da die Unternehmen auf das bestehende Daten-Netzwerk für die Sprachkommunikation zurückgreifen können. Darüber hinaus sind mehr Funktionen verfügbar wie beispielsweise die Verknüpfung mit Outlook, Mitarbeiter arbeiten effektiver zusammen. Die Administration des Systems ist, sehr zur Freude des IT-Chefs, einfacher.
Die Medaille hat aber eine entscheidende Kehrseite: VoIP bedeutet, Datenpakete über das Web zu schicken, welches alle Gefahren, die die vernetzte Welt zu bieten hat, in sich birgt. Deswegen verlangt VoIP dieselbe Aufmerksamkeit wie die E-Mail- und Internetsicherheit. Von Denial of Service- und Man in the Middle-Attacken über Phishing, Spam – hier Spit (Spam over Internet Telephony) genannt – und gefälschten Identifikationen bis hin zu gewöhnlichen Viren, trojanischen Pferden und Würmern: Die Liste der möglichen Gefahren ist lang – und sie wird täglich länger.
Schwachstellen lauern bei fast allen Komponenten des Netzwerks, bei der zentralen Administration (dem Switch), den Servern und der Software, denn die Applikationen verwenden Standard-Browser und die Geräte laufen unter den üblichen Betriebssystemen. Eine VoIP-Lösung arbeitet mit mindestens drei physischen Komponenten und mehreren Kommunikationsprotokollen, die alle Schwachstellen im System darstellen.
Risiken bei der Implementierung
Auch der Implementierungsprozess birgt Risiken. Bei der Einführung von VoIP spielen meist die Übertragungsrate und die Ton-Qualität eine wichtige Rolle, während die Sicherheitsaspekte im Hintergrund stehen. Die Umstellung von klassischer Telefonie auf VoIP erfolgt außerdem oft schrittweise, was die Anzahl der internen und externen Schnittstellen des Systems erhöht und die potenzielle Angriffsfläche vergrößert.
Einklinken in fremde Telefonanlagen, vertrauliche Gespräche abhören, Industriespionage durch das Vortäuschen eines autorisierten Gesprächspartners, der Klau von schützenswerten Informationen, unbemerktes Anrufumleiten – all diese Aktionen sind für Angreifer wesentlich einfacher zu bewerkstelligen als bei traditionellen Telefonsystemen. Auch der inszenierte Zusammenbruch der Dienste ist ein jederzeit denkbares Szenario.
Das Thema VoIP muss mit derselben Vorsicht und demselben Augenmerk auf Sicherheit wie die E-Mail-Kommunikation und die Benutzung des Internets gehandhabt werden. Ist man sich der Gefahr bewusst und kennt man die Ansatzpunkte der Übeltäter, ist es aber ein leichtes, vorbeugende Gegenmaßnahmen zu ergreifen. Dann ist VoIP völlig unproblematisch anzuwenden und kann seine Stärken voll ausspielen.
Etablierte Security-Anbieter sind sich des Problems schon länger bewusst. Es sind mehrere Lösungen auf dem Markt, die die im Umgang mit den alltäglichen Internet-Gefahren erprobten Tools auch für VoIP umsetzen. Besonders wirkungsvoll sind Sicherheits-Plattformen, die auf vorbeugendem Schutz aufsetzen.
SCHUTZ DER PROTOKOLLE UND DER INFRASTRUKTUR
CIO sollten vor allem darauf achten, eine Technologie zu verwenden, die vor allen potenziellen Internet-Gefahren schützt. Das beinhaltet einerseits den Schutz der Infrastruktur, die den VoIP-Endgeräten zugrunde liegt, andererseits müssen auch alle eingesetzten VoIP-Protokolle stetig überwacht werden. Die Schwachstellen in den Betriebssystemen müssen erkannt und gestopft, "Buffer Overflows“ verhindert werden. Es ist ebenfalls außerordentlich wichtig, zu jeder Zeit die Netzwerk-Bandbreite hoch und stabil zu halten.
Beim Parsing, also der "Übersetzung" in eine neue Struktur, und der Analyse der Protokolle können hoch entwickelte Lösungen Anomalien im Netzwerkverkehr erkennen und selbständig abblocken oder an den Administrator weiterleiten. Dies gilt auch für alle Varianten eines Angriffs, ohne jedes Mal auf den Update der Signatur angewiesen zu sein. Nur mit auf vorbeugenden Schutz ausgerichteten Sicherheitsplattformen ist die Abschirmung auch vor unbekannten Gefahren gewährleistet. Die innovativen Sicherheits-Pakete erkennen und schließen so die verwundbaren Stellen im Unternehmensnetzwerk bevor dieses mit der spezifisch darauf ausgelegten Bedrohung überhaupt in Berührung kommt.