Systems: BSI mahnt zu mehr Sicherheitsbewusstsein bei VoIP

Studie zeigt Nachteile IP-basierter Telefonsysteme

Eine anlässlich der Systems veröffentlichte Studie des Bundesamtes für Sicherheit in der Informationstechnik (BSI) beschäftigt sich mit der Sicherheit von VoIP-Diensten. Eine unbedarfte Einführung von VoIP berge erhebliche Bedrohungspotentiale in sich, heißt es in dem veröffentlichten Papier VoIPSec. Obwohl bisher noch keine spektakulären Angriffe bekannt geworden seinen, sei es nur eine Frage der Zeit, bis Probleme auftauchen würden.

„Die Studie definiert Sicherheit durch drei Säulen: Verfügbarkeit, Integrität und Vertraulichkeit. Hierbei ist die Verfügbarkeit die größte Herausforderung für VoIP-Lösungen“, erklärte Karl-Heinz Garbe, einer der Studienautoren. „Bei herkömmlichen Telekommunikations(TK)-Anlagen liegt die Verfügbarkeit bei 99,999 Prozent. „Dies bedeutet eine Downtime von 5 Minuten jährlich. Bei VoIP-Anlagen ist mit einer Verlässlichkeit von 97-98 Prozent zu rechen.“ Damit liegt die Downtime schon bei sieben bis zehn Tagen jährlich. Das Problem bei VoIP-Anlagen ist, dass „sie die meisten Schwachstellen von herkömmlichen TK-Anlagen behalten und noch die Probleme von Datennetzen dazu bekommen“, so Garbe. Diese zu minimieren, etwa durch doppelte Leitungsführung, ist mit zusätzlichen Kosten verbunden.

„Mit der Verbreitung neuer Systeme erhöht sich auch das Risiko für Angriffe. Bei der Systemauswahl sollten die realisierten Sicherheitsmaßnahmen im Fokus stehen und nicht nur die Systemfunktionalität“, sagte Udo Helmbrecht, Präsident des BSI. Mit der Implementierung von VoIP-Diensten würden derzeit vor allem Kosteneinsparungen angestrebt. Das gehe zumeist zu Lasten der Sicherheit. Geeignete Gegenmaßnahmen sind heute technisch und organisatorisch umsetzbar, jedoch mit finanziellem Aufwand verbunden, der die Kostenersparnis mindern kann, so die Autoren. Problematisch sei, dass nur ein Bruchteil der aktuell auf dem Markt befindlichen Systeme die notwendigen Sicherheitsmaßnahmen in erforderlichem Umfang unterstützen.

Weit verbreitet seien Abhörtools, wie Vomit für SIP, das ein Mitschneiden der Gespräche ermöglicht, und H.323 Plug-Ins für den Ethernet-Sniffer Etherreal, der Ziel- und Quelladresse eruiert. Außerdem rät das BSI zur Vorsicht bei nicht ordentlich implementierten Sicherheitsmaßnahmen von Endgeräte-Herstellern. Als Beispiel werden IP-Telefone genannt, die zwar eine Verschlüsselung durch SRTP (Secure Real Time Protocol) unterstützen, den Schlüssel jedoch in Folge im Klartext übertragen.

Vor der Anschaffung eines IP-basierten Telefonsystems, ist die Erstellung eines Sicherheitskonzeptes unerlässlich, rät Garbe. „Der Unternehmer muss sich bewusst werden, welche Anforderungen er an das System stellt, wie hoch die Vertraulichkeit der Telefonate ist und wie umfangreich der jeweilige Schutzbedarf ist.“ Auf Basis des individuellen Konzeptes sei die Planung gut umzusetzen. Zentrale Empfehlung der Studie ist eine Trennung von IP-Sprach- und IP-Datennetz, wie die Autoren anhand einiger Beispiele darstellen

Themenseiten: Telekommunikation, VoIP

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

3 Kommentare zu Systems: BSI mahnt zu mehr Sicherheitsbewusstsein bei VoIP

Kommentar hinzufügen
  • Am 26. Oktober 2005 um 8:53 von 3st

    Redaktions-Hausaufgabe
    Und für alle, die diese Studie auch interessiert, hier das nachgeliefert, was eigentlich mit in den Artikel gehört, die Quelle:
    http://www.bsi.de/literat/studien/VoIP/index.htm

    • Am 26. Oktober 2005 um 15:43 von Hansen

      AW: Redaktions-Hausaufgabe
      Herzlichen Dank an 3st, verbunden mit der Hoffnung, die Redaktion möge den Tadel beherzigen.

    • Am 9. November 2005 um 10:54 von Alex

      AW: AW: Redaktions-Hausaufgabe
      Meinen Vorrednern kann ich mich nur anschließen. Warum tut sich die Redaktion so schwer, entsprechende Links an Meldungen zu hängen? Das erwarte ich einfach!

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *