Als VoIP zum ersten Mal eingeführt wurde, machten sich nur wenige Leute Sorgen um die Sicherheit. IT-Verantwortliche waren zu Recht mehr an der Audioqualität, der Zuverlässigkeit und den Kosten interessiert. Aber die Geschäfts- und Technologiewelt hat sich seither verändert. Angesichts der steigenden Zahl von Datensicherheitsvorfällen können es sich CTOs nicht mehr leisten, das Thema Sicherheit zu ignorieren. Ein schwerwiegender Sicherheitsverstoß kann jeden Aspekt Ihres Unternehmens beeinträchtigen, dessen Behebung Millionen von Euros kosten und eine lange Zeit in Anspruch nehmen, um sich davon zu erholen.
Cybersecurity Ventures schätzt, dass die Kosten der Cyberkriminalität bis 2021 die Marke von 6 Billionen US-Dollar und bis 2025 die Marke von 10,5 Billionen US-Dollar überschreiten werden. Während dies in erster Linie Cybersecurity-Vorfälle im Zusammenhang mit digitalen Systemen wie E-Mail und Datenmanagement umfasst, sind auch VoIP-Systeme anfällig für Cyberkriminalität. Jedes System, das das öffentliche Internet nutzt, ist anfällig für Sicherheitslücken, und Ihre Telefonleitungen sind da keine Ausnahme.
VoIP-Sicherheit
Netzwerksicherheit gehört zu Ihren Aufgaben als CTO. Wie besorgt sollten Sie also über VoIP-Sicherheit sein? VoIP-Anrufe verwenden Ihre IP-Adresse, daher kann eine Schwachstelle hier alle Ihre Daten und Systeme gefährden. Es macht nicht viel Sinn, Ihr Datennetzwerk und Ihre Server zu sichern, nur um das VoIP-System offen für Sicherheitsbedrohungen zu lassen.
Entgegen der landläufigen Meinung sind Technologieunternehmen und E-Commerce-Websites nicht die einzigen Opfer. Auch Finanz-, Bildungs- und Gesundheitsdienstleister werden häufig über ihre VoIP-Systeme angegriffen. IT-Verantwortliche müssen sich nicht um die Details kümmern, aber Sie sollten sich der Risiken bewusst sein und wissen, wie Sie diese für Ihr Unternehmen vermeiden können. Das Ziel ist es, die Kosten eines Einbruchs größer zu machen als den Wert des Einbruchs.
1- Denial-of-Service-Angriffe
Ein Denial-of-Service-Angriff liegt vor, wenn Angreifer die gesamte Bandbreite Ihrer Ressource verbrauchen und sie mit falschen Benutzeranfragen überfluten. Die Ressource wird schließlich heruntergefahren, wenn diese die Überlastung nicht mehr bewältigen kann.
Die Ressource kann alles sein – eine Website, der VoIP-Telefondienst oder ein E-Mail-Server. Es erfordert auch nicht viel Wissen oder Expertise, um dies zu bewerkstelligen. Selbst wenn Ihre Telefone nicht abgeschaltet werden, wird sich die Audioqualität verschlechtern, Anrufe werden nicht durchgestellt und Kunden werden eine schlechte Erfahrung sammeln.
Was können Sie tun, um einen Denial-of-Service-Angriff zu entschärfen? Eine Idee ist die Trennung Ihrer Daten- und Sprachkommunikation. Sie können auch Verschlüsselung verwenden und die Verwendung eines VPNs durch alle Mitarbeiter vorschreiben, um die Sicherheit zu gewährleisten. Wenn Sie die Ressourcen haben, können Sie sogar eine dedizierte Internetverbindung speziell für die VoIP-Telefonanlage nutzen. Das ist zwar teuer, aber es erlaubt Ihnen, zu verhindern, dass Probleme in einem System andere Aspekte Ihres Unternehmens beeinträchtigen.
2- Diebstahl von VoIP-Diensten
Als CTO sind Sie sich der möglichen Folgen einer Sicherheitslücke bewusst. Angreifer können vertrauliche Daten wie Kreditkarteninformationen oder Patentdokumente stehlen. Sie denken vielleicht, dass dies bei den Telefonen kein so großes Risiko ist, da es dort nichts zu stehlen gibt. Aber das gibt es tatsächlich.
Wenn Angreifer erst einmal in Ihr VoIP-Telefonsystem eingebrochen sind, können diese alles kostenlos erledigen und Sie die Rechnungen bezahlen lassen. Sie können internationale Anrufe zu Premium-Nummern tätigen, die an einem einzigen Wochenende riesige Rechnungen verursachen. Sie können Abrechnungsinformationen stehlen und sie dazu verwenden, andere teure Dienste zu bezahlen.
Der Schutz Ihrer Systeme vor Diebstahl von VoIP-Diensten erfordert mehrere Maßnahmen, darunter die Verwendung starker Passwörter, die Beschränkung des Zugriffs auf die Mitarbeiter, die diese benötigen, und die Aktualisierung Ihrer gesamten Software.
3- Malware
Wie bei jeder anderen internetbasierten Anwendung oder Dienstleistung sind auch Ihre VoIP-Telefone und -Software anfällig für Malware aller Art. Wenn Ihr Unternehmen Softphones auf mobilen Geräten und Computern verwendet, könnte es von einem Malware-Angriff betroffen sein. Hacker könnten es auf die Telefone abgesehen haben oder Ihr System könnte als Nebenwirkung eines anderen Virus/Trojaners nicht mehr funktionsfähig sein.
Glücklicherweise benötigen Sie keine speziellen Tools oder Maßnahmen, um Ihr Telefonnetz zu schützen. Vorhandene Methoden wie die Verwendung von Firewalls, die Überwachung des Datenverkehrs und Antivirensoftware sind hervorragende Möglichkeiten, die Telefone zu sichern. Sie können auch Netzwerk-Hardware kaufen, die Malware blockiert und den Zugriff auf bösartige Websites verhindert.
4- Man-in-the-Middle-Angriffe
Man-in-the-Middle-Angriffe sind anspruchsvoller und aufwändiger als die Nutzung anderer Sicherheitslücken. Hacker können sich Wochen oder sogar Monate Zeit nehmen, um ein Unternehmen und das Telefonsystem zu untersuchen, bevor sie angreifen. Dabei werden in der Regel benutzerdefinierte Tools und Websites verwendet, die echte Software imitieren. Die Angreifer verleiten Ihre Mitarbeiter oder Kunden dazu, vertrauliche Daten wie Passwörter auf der gefälschten Website einzugeben und diese Informationen zu erfassen.
Solche Angriffe sind schwieriger einzurichten, aber der Gewinn kann enorm sein. Die wirksamste Schutzmaßnahme ist die Schulung der Mitarbeiter, um Ungereimtheiten in E-Mails, Links und sozialen Medien zu erkennen. Klären Sie diese darüber auf, wann und wo es angemessen ist, sensible Daten weiterzugeben. Noch besser: Schränken Sie den Zugang zu sensiblen Daten nach Bedarf ein. Mitarbeiter können nicht versehentlich Informationen preisgeben, die sie gar nicht haben.
5- Vishing und ID-Spoofing
Vishing und ID-Spoofing gehen in der Regel Hand in Hand. Stellen Sie sich vor, einer Ihrer Service-Mitarbeiter erhält einen Anruf von Ihrer IT-Abteilung, in dem er gebeten wird, einen Link aufzurufen und sein Passwort zu aktualisieren. Der Mitarbeiter sieht sich die bekannte Telefonnummer an und beschließt, den Anweisungen zu folgen. Der Anrufer kann auch andere Daten über den Agenten haben, wie z. B. seine Mitarbeiter-ID, um den Anruf legitim erscheinen zu lassen.
Ein Manager oder Vorgesetzter kann sogar Anrufe erhalten, die vorgeben, von der Personalabteilung, der Gehaltsabrechnung oder einer Regierungsbehörde zu sein. Der Anrufer bittet sie, ausstehende Abgaben zu begleichen oder Mitarbeiterunterlagen für eine Prüfung zu schicken usw. Vishing kann schwer zu bekämpfen sein, da ID-Spoofing nicht viel Ausrüstung benötigt, um in Gang zu kommen. Die Angreifer verwenden Nummern und Dienste außerhalb Ihres Landes, sodass Sie die Herkunft nicht zurückverfolgen können.
Was Sie tun können, ist, Telefonanfragen zu verifizieren und sicherzustellen, dass eingehende Anfragen gültig sind, ähnlich wie bei Spam-Filtern. Schulen Sie die Mitarbeiter in den Unternehmensrichtlinien, in denen festgelegt sein sollte, dass die Mitarbeiter nicht am Telefon nach sensiblen Informationen gefragt werden. Trainieren Sie Frontline-Agenten darin, nach einer Kontaktnummer zu fragen und dann als zusätzliche Sicherheitsebene zurückzurufen.
Was Sie tun können, ist, Telefonanfragen zu verifizieren und sicherzustellen, dass eingehende Anfragen gültig sind, ähnlich wie bei Spam-Filtern. Schulen Sie die Mitarbeiter in den Unternehmensrichtlinien, in denen festgelegt sein sollte, dass die Mitarbeiter nicht am Telefon nach sensiblen Informationen gefragt werden. Trainieren Sie Frontline-Agenten darin, nach einer Kontaktnummer zu fragen und dann als zusätzliche Sicherheitsebene zurückzurufen.
Was können Sie tun, um das Abhören Ihres Telefonnetzes zu verhindern? Sie können zum Beispiel sicherzustellen, dass Anrufe End-to-End verschlüsselt sind. Das bedeutet, dass selbst wenn ein Hacker Anrufe aufzeichnet oder in das System einbricht, er diese nicht entziffern kann. Wenn Sie auf der Suche nach einem VoIP-Dienstanbieter sind, vergewissern Sie sich, dass dieser Verschlüsselung anbietet, bevor Sie sich für den Dienst anmelden.
7- Anrufmanipulationen
Anrufmanipulationen passieren, wenn ein Hacker Probleme mit Ihrem Telefonsystem verursachen will. Er sendet große Datenpakete über das Netzwerk und verlangsamt so die Abläufe. Dies führt zu unterbrochenen Anrufen und einer verschlechterten Audioqualität. Kriminelle können auch:
- Passwörter ändern und legitime Benutzer aussperren
- Bearbeiten von Berechtigungslisten, damit Mitarbeiter die Telefone nicht benutzen können
- Anrufe auf externe Nummern umleiten
- Notwendige Funktionen deaktivieren oder Premiumdienste hinzufügen
IT-Verantwortliche halten Anrufmanipulationen oft für ein kleines Ärgernis, aber dies kann zu ernsthaften Konsequenzen führen. Grundsätzliche Sicherheitsmaßnahmen – wie häufiges Wechseln von Passwörtern, die Verwendung langer und sicherer Passwörter sowie die genaue Überwachung der Telefonanlage – können Ihnen helfen, die Folgen schnell zu erkennen und abzumildern.
8- Audio-Spam
Jeder ist mit E-Mail-Spam vertraut. Diese verstopfen die Posteingänge von Unternehmen und enthalten oft bösartige Links, Viren und unerwünschte Aufforderungen. Spam über IP-Telefonie (genannt SPIT) ist ähnlich. Hacker senden aufgezeichnete Nachrichten an Ihre Telefonnummern. Sie werden allgemein als lästig empfunden, können aber Ihr System lahmlegen, so dass legitime Benutzer nicht darauf zugreifen können. Ähnlich wie E-Mail-Spam kann SPIT auch Malware, Viren und betrügerische Links begleiten.
Sie können Audio-Spam vielleicht nicht komplett verhindern, aber Sie können Firewalls einsetzen, um sicherzustellen, dass weniger Nachrichten über das Netzwerk laufen. Schulungen und Sensibilisierungsprogramme sollten dieses Sicherheitsrisiko ebenfalls hervorheben, damit die Mitarbeiter wissen, worauf sie achten müssen.
VoIP-Risiken vermindern
Sie haben vielleicht schon ein gemeinsames Thema bemerkt. Die häufigste Quelle von VoIP-Sicherheitsrisiken sind menschliche Agenten. Genauso sind Ihre Mitarbeiter die effektivste Möglichkeit, Sicherheitslücken zu erkennen und zu verhindern. Allgemeine Best Practices zur Gewährleistung der Datensicherheit tragen ebenfalls wesentlich zum Schutz Ihrer Telefonsysteme bei. Einige Möglichkeiten zum Schutz Ihrer digitalen Systeme sind:
- Ausbildung, Bewusstsein und Training. Stellen Sie sicher, dass Ihre Mitarbeiter wissen, wie sie Sicherheitsrisiken erkennen und diese an das zuständige Team melden können.
- Aktualisieren Sie Ihre IT-Richtlinien, wenn neue Sicherheitsrisiken erkannt werden. Nehmen Sie häufig Änderungen vor, besonders wenn Sie sehen, dass etwas nicht richtig funktioniert.
- Stellen Sie sicher, dass Ihre Hard- und Software auf dem neuesten Stand ist und mit den notwendigen Sicherheitstools geschützt ist. Veraltete Software ist der Grund für viele Sicherheitsvorfälle.
- Überwachen Sie Ihre Systeme auf ungewöhnliche Aktivitäten, z. B. hohen Datenverkehr an Wochenenden, verdächtige Datenströme über Ländergrenzen hinweg und neue Benutzer, die sich anmelden. Je schneller Sie den Verstoß finden, desto besser können Sie die Folgen eindämmen.
