VoIP-Security überfordert Admins

Mit VoIP lassen sich die Arbeitsprozesse schneller und effektiver machen, was zu einer erheblichen Kosteneinsparung führen kann. Setzt man die Anlage richtig auf, so kann je nach Unternehmensgröße sogar ein zweistelliger Prozentsatz bei produktiven Kosten eingespart werden. Aber die Sicherheit wird angesichts dieser Zahlen oft außer Acht gelassen. Experten sprechen davon, dass die Einführung die gesamte Sicherheitsarchitektur einer Firma ad absurdum führen kann. Der Verweis vieler Hersteller auf die Firewall erscheint angesichts dessen wie Hohn. Und bei der Gruppe der möglichen Nutzer hält sich die Angst vor dem Neuen mit einer gefährlichen Sorglosigkeit die Waage.

Manfred Fink vom Beratungsunternehmen Fink Consulting, geißelt die Branche vor allem für ihre Blindheit gegenüber den Gefahren. Er spricht davon, dass das Security-Bewusstsein der TK-Branche um zehn Jahre hinter den technischen Möglichkeiten der IT liege. Daher habe die Branche mit der Einführung von VoIP sicherheitstechnisch Nachholbedarf. Auch die Hersteller seien zu kritisieren, weil sie die Anwender auf mögliche Gefahren, die in der Technik der Systeme begründet sind, nicht ausreichend hinweisen. “Außerdem ist vielfach unbekannt, dass sie in die Anlagen technische Hintertüren einbauen, durch die sie im Notfall für Neukonfigurationen oder staatliche Abhörmaßnahmen leichter Zugang zum System erhalten – aber ein böswilliger Angreifer eben auch”, so Fink.  “Anwender, die sich dessen nicht bewusst sind, sind gefährdet.”

Einbruch leichtgemacht

Frank Lutz, bei Fink Consulting für technische Beratung zuständig, führt aus: “Bis auf wenige Ausnahmen übertragen die heutigen Produkte – Software und Hardware – die Sprachpakete im Netzwerk unverschlüsselt. Mittels im Internet frei erhältlicher Tools, beispielsweise Ethereal, lassen sich diese Pakete mitschneiden und anschließend in ein Audio-Format wandeln.” Selbst die Pakete zur Steuerung der Verbindung werden unverschlüsselt übertragen, sagt er, und können auf die gleiche Weise abgehört werden. Das sei einfach durch das Einbringen eines Hubs irgendwo im Datenstrom zu bewerkstelligen – “und der Lauschangriff kann beginnen”.

Für Manfred Fink ist dabei die Frage des Abhörens bei VoIP eine ganz entscheidende. “Gerade Firmen, die eine traditionelle Unternehmenskultur streng nach dem Legalitätsprinzip haben, können sich schwer vorstellen, dass Industriespionage im Ausland, aber auch hierzulande, eine reale Gefahr ist. Sie schützen sich nicht und gefährden ihr Geschäft”, sagt er. Technisch sieht er zwar viele Möglichkeiten, VoIP sicher zu machen – “aber die Anwender müssen diese Technik auch einsetzen und vor allem pflegen”. Er beschreibt, dass mit einem Ethereal-Sniffer auch ein halbwegs computerbegabter 14-Jähriger mit einem Laptop sein Taschengeld mit dem Verkauf von Firmengeheimnissen aufbessern könne. Gemanagte Switches erlaubten “mit ein paar Klicks” den Aufbau eines Monitoring-Ports, der für unlautere Zwecke benutzt werden kann.

Vor Geheimdiensten und Behörden ist sowieso kein Unternehmen sicher.Allein im Jahr 2004 gab es nach Angaben der Security-Firma Vitec 30.000 Abhöranordnungen deutscher Sicherheitsbehörden – und das sind nur die offen gelegten Zahlen des Staates. Also ist auch die Verschlüsselung – wenn auch mit den besten Absichten für Strafverfolgung – nicht so wasserdicht, wie die Hersteller allgemein behaupten.

Risiko tragen – Kosten scheuen

Doch abseits davon, so Fink, hätten die Hersteller das Problem VoIP-Sicherheit im Geschäftsalltag inzwischen erkannt. Sie arbeiteten an Lösungen, “die man sich auch leisten kann”. Schließlich würden die finanziellen Vorteile des VoIP-Einsatzes durch horrende Sicherheitskosten oft kaputt gemacht. Er empfiehlt interessierten Firmen dringend, diese Faktoren vorher in die Rechnung mit einzubeziehen. Fink zieht folgenden Vergleich: “Wenn ein neues Auto 20.000 Euro kostet, aber wichtige Zusatzfunktionen nicht im Lieferumfang enthalten sind und ein Airbag beispielsweise 30.000 Euro zusätzlich ausmacht, würde jeder intelligente Mensch auf den Airbag verzichten – so ähnlich ist es heute noch mit VoIP-Security.”  Wenn mehr Kunden Security-Technik verlangen würden, meint er, würden die Preise schneller sinken. “Die Hersteller werden so lange nicht motiviert, bis die Anwender Druck machen.”

Die Berater rechnen Mitte 2006 mit einer breiten Verfügbarkeit. Und sie haben auch einschlägige Erfahrungen mit dem Verantwortungsbewusstein der Hersteller gegenüber den Kunden. Frank Lutz hat eine interessante Beobachtung gemacht: “Aktiv wird in meinen Augen derzeit noch keine Aufklärung betrieben. Wenn die Hersteller aber auf das Thema angesprochen werden, sind plötzlich entsprechende Präsentationen vorhanden.”

Man kann nur bekämpfen, was man kennt

Welche Szenarien dabei im Mittelpunkt stehen sollten, weiß das Industriegremium ‘Voice over IP Security Alliance’ (Voipsa). Es zählt  Spam über Internet-Telefonie oder kurz ‘Spit’ zu den häufigsten Gefahren. Ganz oben auf der Liste steht auch ‘Spoofing’, also das Vortäuschen falscher Identitäten für mögliche Phishing-Zwecke. ‘Malformed Messages’ (defekte oder korrumpierte Nachrichten) erfordern technische Eingriffe auf Sprachdatenebene und können Denial-of-Service-Attacken auslösen. ‘Registration Hijacking’ ermöglicht dort, wo starke Authentifizierung fehlt, die massenweise Umleitung von Rufnummern oder Denial of Service. ‘Cancel’ bezeichnet die böswillige Beendigung einer Suchanfrage oder eines Rufaufbaus, was zu Unerreichbarkeit führen kann. Auch das vielfach verwendete Session Initiation Protocol (SIP) erlaubt laut Voipsa Angriffe auf Protokollebene. Ferner, so warnen die Fachleute, werde jede neue Angriffsform, die auf IP basiert und im Datennetz bekannt wird, auch sofort auf VoIP übertragbar sein und erfordere die Aufmerksamkeit der Admins. Und die fehlt scheinbar von Anfang an.