Verschlüsselung: TLS und SRTP
Die Basis jeder sicheren Cloud-Telefonie sind zwei Verschlüsselungsprotokolle, die unterschiedliche Aufgaben haben. TLS, Transport Layer Security, verschlüsselt die Signalisierung – also die Steuerdaten, mit denen Gespräche aufgebaut und beendet werden und über die Rufnummern und Anmeldedaten laufen. SRTP, Secure Real-time Transport Protocol, verschlüsselt die eigentlichen Sprachdaten, also den Inhalt des Gesprächs. Nur wenn beide aktiv sind, ist ein Telefonat Ende-zu-Ende geschützt: Ohne TLS ließen sich Verbindungsdaten manipulieren, ohne SRTP die Gesprächsinhalte mitschneiden. Seriöse Anbieter liefern beide Protokolle standardmäßig aus; sie sollten beim Abschluss ausdrücklich zugesichert sein. Bei der Anlage vor Ort muss die Verschlüsselung dagegen aktiv konfiguriert werden – und genau dort liegt die häufigste Schwachstelle, weil ältere Systeme aus Kompatibilitätsgründen unverschlüsselt laufen. Für Unternehmen gilt die einfache Regel: Alles, was über das öffentliche Internet geht, gehört verschlüsselt, und ein Anbieter, der TLS und SRTP nicht standardmäßig anbietet, ist für den geschäftlichen Einsatz nicht geeignet. Die Verschlüsselung kostet heute keine spürbare Qualität mehr und ist damit eine Selbstverständlichkeit.
Passwörter und Zugangsschutz
Die meisten Angriffe auf Telefonanlagen laufen nicht über ausgefeilte Exploits, sondern über schwache Zugangsdaten. Ein Standardpasswort oder ein Passwort, das für mehrere Dienste genutzt wird, reicht Angreifern, um sich in das Webportal oder die Endgeräte einzuloggen. Deshalb gelten dieselben Regeln wie überall in der IT: starke, eindeutige Passwörter für jeden Account, am besten in einem Passwortmanager verwaltet, und Zwei-Faktor-Authentifizierung für alle administrativen Zugänge. Das Webportal der Telefonanlage ist das Kronjuwel – wer dort hineinkommt, kann Rufnummern umleiten, internationale Anrufe freischalten und Einstellungen ändern. Auch die Endgeräte brauchen Schutz: IP-Telefone haben eigene Zugangsdaten, die bei der Einrichtung geändert werden müssen, denn die werkseitigen Zugänge sind öffentlich bekannt. Ein weiterer wichtiger Punkt ist die Zugriffskontrolle: Nicht jeder Mitarbeiter braucht Administratorrechte, und ausgeschiedene Mitarbeiter müssen sofort gesperrt werden. Wer diese Grundregeln befolgt, verschließt die Tür, durch die die allermeisten Angriffe erfolgen – denn Angreifer suchen den einfachsten Weg, und das ist fast immer ein schwaches Passwort.
Toll Fraud: Die teuerste Betrugsmasche
Toll Fraud ist der Fachbegriff für den Missbrauch einer Telefonanlage, um auf Kosten des Betreibers teure Anrufe zu führen. Der Ablauf ist immer ähnlich: Angreifer verschaffen sich Zugang zu einer Nebenstelle oder dem Webportal und programmieren die Anlage so, dass sie nachts massenhaft Anrufe auf teure internationale Premiumnummern aufbaut. Die Anrufe laufen dann über teure Sonderrufnummern im Ausland, deren Betreiber mit den Angreifern zusammenarbeiten, und die Kosten landen beim ahnungslosen Betreiber. Die Schäden sind enorm: Ein einzelnes Wochenende kann einen Schaden von 5.000 bis 50.000 Euro verursachen, in Extremfällen mehr, weil die Anrufe unbemerkt in Serie laufen. Der Schutz besteht aus mehreren Schichten: internationale Ziele und Sonderrufnummern sperren, wenn sie im Geschäft nicht gebraucht werden; Limits für die Anzahl gleichzeitiger ausgehender Anrufe setzen; ein Monitoring einrichten, das bei ungewöhnlichem Anrufverhalten alarmiert; und die Zugangsdaten so absichern, dass der Angriff gar nicht erst gelingt. Viele Anbieter bieten automatische Betrugserkennung an, die ungewöhnliche Muster erkennt und die Anlage sperrt. Wer diese Schichten umsetzt, macht den Angriff für Kriminelle unattraktiv – sie suchen sich dann das nächste ungeschützte Opfer.
DSGVO: Daten, AVV und Löschfristen
Telefonie verarbeitet personenbezogene Daten – Rufnummern, Gesprächszeiten, unter Umständen Aufzeichnungen und Transkriptionen. Damit gilt die DSGVO, und der Betrieb bleibt als Verantwortlicher auch dann in der Pflicht, wenn die Technik beim Anbieter läuft. Drei Dinge sind dabei zentral. Erstens der Auftragsverarbeitungsvertrag, kurz AVV: Er regelt rechtsverbindlich, wie der Anbieter die Daten verarbeitet, und ist bei einem Cloud-Dienst Pflicht – ein Anbieter, der keinen AVV vorlegt, scheidet aus. Zweitens der Serverstandort: Daten in Deutschland oder der EU sind Standard und erleichtern die Einhaltung, während Übermittlungen in Drittländer besondere Begründungen verlangen. Drittens die Aufbewahrungs- und Löschfristen: Es muss klar geregelt sein, wie lange Anrufprotokolle gespeichert werden und wann Aufzeichnungen automatisch gelöscht werden. Wer Anrufe aufzeichnet, braucht zudem eine Rechtsgrundlage und muss die Gesprächspartner informieren. Ein guter Anbieter liefert AVV, Serverstandort und Löschfristen dokumentiert auf Nachfrage – genau das ist der Punkt, an dem sich seriöse von unseriösen Angeboten unterscheidet. Wer diese drei Punkte klärt, betreibt Cloud-Telefonie datenschutzkonform.
Monitoring und Reaktion im Ernstfall
Absicherung endet nicht mit der Einrichtung, sondern beginnt dort erst richtig. Ein Monitoring, das das Anrufverhalten beobachtet, ist die wichtigste laufende Maßnahme: Es meldet ungewöhnliche Muster wie Anrufe mitten in der Nacht, sprunghaft steigende Gesprächszahlen oder Verbindungen in auffällige Länder. Je früher solche Auffälligkeiten auffallen, desto kleiner bleibt der Schaden – ein am selben Tag entdeckter Angriff kostet deutlich weniger als einer, der über ein Wochenende läuft. Dazu gehört ein klarer Notfallplan: Wer sperrt im Verdachtsfall die Anlage oder einzelne Nebenstelle, wie werden Zugangsdaten zurückgesetzt, und wie dokumentiert man den Vorfall für die Abrechnung und mögliche Anzeigen? Bei Cloud-Anbietern ist ein Teil davon automatisiert, aber der Betrieb sollte wissen, wie er im Verdachtsfall reagiert, statt im Schadensfall erst den Support zu suchen. Regelmäßige Kontrollen runden das Bild ab: Zugangsdaten prüfen, ausgeschiedene Mitarbeiter entfernen und die Sicherheitseinstellungen einmal im Quartal durchgehen. Sicherheit ist damit kein einmaliges Projekt, sondern eine Routine – und genau diese Routine ist es, die aus einer absicherbaren Technik eine tatsächlich abgesicherte macht.
Checkliste: So sichern Sie Ihre Telefonie ab
Eine kurze Checkliste fasst die Maßnahmen zusammen. Erstens: TLS und SRTP sind aktiviert und vom Anbieter zugesichert. Zweitens: Alle administrativen Zugänge nutzen starke, eindeutige Passwörter und Zwei-Faktor-Authentifizierung, und die Werkspasswörter der Endgeräte sind geändert. Drittens: Internationale Ziele und Sonderrufnummern sind gesperrt, wo sie nicht gebraucht werden, und Limits für ausgehende Anrufe sind gesetzt. Viertens: Ein Monitoring überwacht das Anrufverhalten und alarmiert bei Auffälligkeiten. Fünftens: Der Auftragsverarbeitungsvertrag liegt vor, der Serverstandort ist Deutschland oder die EU, und Löschfristen sind definiert. Sechstens: Der Betrieb hat einen Notfallplan für den Verdachtsfall und weiß, wie Anlage und Nebenstellen gesperrt werden. Wer diese sechs Punkte abhakt, hat die Telefonie auf einem Sicherheitsniveau, das die allermeisten Angriffe abwehrt. Für Betriebe, die darüber hinaus gehen wollen, lohnt ein Blick auf Anbieter, die Sicherheit und DSGVO-Konformität bereits als Teil des Produkts liefern – etwa foncall.ai, das mit deutschen Servern, AVV und KI-Transparenz nach Artikel 50 des AI Act von vornherein auf der sicheren Seite startet.
Erreichbar, wenn es zählt
foncall.ai nimmt deine Anrufe rund um die Uhr an – ab 49 €/Monat.
Jetzt kostenlos testen