Die IP-basierte Kommunikation ist in Sachen Security sensibler als herkömmliche Telefonie. Der Beitrag zeigt, auf welche Angriffsformen Voice-over-IP und Unified-Communications besonders empfindliche reagieren und wie sich Abhilfe schaffen lässt.

Das Prinzip von Unified-Communications (UC) scheint denkbar einfach: Ein konvergentes Netz führt alle Kommunikationskanäle zusammen und bündelt Daten-, Sprach- und Videoanwendungen.

Das Spektrum von UC reicht von E-Mail und Voice-Messaging über Telefonie, Fax und mobile Endgeräte bis hin zu Multimedia-Konferenzen. Die unternehmensübergreifende Zusammenarbeit wird damit – auch international – Realität.

Kostenersparnis, Zeitgewinn und die Produktivitätssteigerung der Mitarbeiter sind die positiven Effekte, die Unternehmen Wettbewerbsvorteile versprechen. Viele UC-Anwendungen sind allerdings erst dann wirklich nutzbar, wenn Geschäftsprozesse, Warenwirtschaft und zentrale Unternehmensdaten damit verknüpft sind. Daraus resultiert ein besonders hoher Anspruch an die IT-Sicherheit.

Sicherheit beim Umstieg auf Unified-Communications oft vernachlässigt

Doch die meisten Unternehmen unterschätzen bei der Migration zu Unified-Communications die notwendigen Sicherheitsvorkehrungen. Sie setzen sich damit vielfältigen Gefahren aus.

Im Gegensatz zum Telefonieren über das Festnetz bietet der ungeschützte Transport von Sprach- und Videodaten über Unternehmensnetze mehrere Angriffspunkte. Letztlich sind Voice-over-IP und Streaming-Anwendungen Netzwerkdienste, die den gleichen Risiken unterliegen, wie andere IP-basierte Applikationen, beispielsweise E-Mail-Dienste.

Die Folge: Datenpakete sind unter Umständen leicht zu manipulieren, abzuhören oder zu entwenden. Deshalb sind bei der Planung einer UC-Lösung sämtliche Sicherheitsaspekte zu berücksichtigen, die auch für die übrige ITK-Infrastruktur gelten.

Alte Gefahren auf neuen Gebieten

Die Liste möglicher Szenarien für den Missbrauch von Daten und Netzen ist lang: Angefangen bei der Rufnummernfälschung und lästigem »SPIT« (»Spam over Internet Telephony«) über die Manipulation von Videodaten und das Erschleichen von Telefonaten auf Kosten anderer bis hin zu Denial-of-Service-Attacken auf die gesamte Kommunikationsinfrastruktur eines Unternehmens.

Zwar benötigen potenzielle Angreifer dafür einen Zugriff auf das Unternehmensnetz, doch das ist in vielen Fällen schnell erledigt: Ein unzureichend geschütztes WLAN, ein Trojaner, den ein Mitarbeiter dann doch versehentlich öffnet, ein gehackter Unternehmensserver als Sprungbrett für weitere Angriffe, Social-Engineering – die Zahl der Möglichkeiten ist vielfältig.

In den meisten Fällen sind jedoch demotivierte oder allzu neugierige Mitarbeiter im Unternehmen selbst Ursache für den unerwünschten Netzzugriff und darauf folgende Attacken (siehe dazu die Berichterstattung auf Network Computing zum Netzwerkverwalter der Stadtverwaltung von San Francisco).

1. Voice-over-IP-Systeme gegen Angriffe sichern
2. Angriffswerkzeuge aus dem Internet
3. ARP-Poisoning
4. Gegenmaßnahme: Verschlüsselte Variante von RTP einsetzen