Das Abhören muss verschlüsselt sein

Die Bundesnetzagentur hat sehr strikte Vorgaben, wenn es zur ordnungsgemäßen Überwachung kommt. In den Informationen "zum Schutz des Internetprotokoll-basierten Übergabepunktes für Überwachungsmaßnahmen und Auskunftersuchen" heißt es: "Zum Schutz des IP-basierten Übergabepunktes gemäß Technischen Standard des Europäischen Standardisierungsinstituts (etsi) werden bestimmte Kryptosysteme auf der Basis des Sicherheitsstandards für das Internet (IP-sec) eingesetzt, um die Teilnetze der berechtigten Stellen (BSN) und der Verpflichteten zu einem virtuellen privaten Netzwerk (VPN) zu verbinden." Zudem muss ein zertifiziertes Kryptosystem einsetzt werden. Zumindest hier ist eine Verschlüsselung zwingend notwendig.

Aber im Telekommunikationsgesetz §109 heißt es auch, dass wer öffentliche Telekommunikationsnetze betreibt oder öffentlich zugängliche Telekommunikationsdienste erbringt, ein Sicherheitskonzept vorzulegen hat. Denn die Verletzung des Fernmeldegeheimnisses ist ein Straftatbestand. In dem entsprechenden Katalog für Sicherheitsanforderungen der Bundesnetzagentur heißt es sogar explizit: "Aufgrund ihrer wachsenden Verbreitung ist zunehmend auch der Transport von Telefoniedaten über IP-basierte Netze (z. B. der Kommunikation mittels Voice over IP [VoIP]) von der Gefahr der Verletzung des Fernmeldegeheimnisses betroffen."

Einfallstore für Kriminelle

Bei herkömmlicher Telefonie wird ein ununterbrochener und vollkommen isolierter Tunnel zwischen zwei Teilnehmern aufgebaut. Das Abhören muss also beim Telekommunikationsunternehmen oder bei einem der Teilnehmer selbst geschehen. Man-in-the-Middle-Angriffe sind durch das Anzapfen einer Leitung möglich. Bei der IP-Telefonie werden hingegen Datenpakete über ein Netzwerk verschickt.

Um es Angreifern schwerzumachen, muss dieses Netzwerk natürlich abgeschottet werden. Unseren Recherchen zufolge werden interne VoIP- und SIP-Lösungen in Unternehmen kaum verschlüsselt. Auch eine Trennung von Daten- und Telefonnetz ist unüblich. Im Gegenteil, die zunehmende Verbreitung exklusiver IP-Telefonie und der damit verbundene Wegfall von ISDN vereinfachen die Konfiguration in internen Netzen und ermöglichen eine verbesserte Interaktion zwischen PC und Telefon.

In vielen internen Netzen sind die IP-Telefone inzwischen Teil des allgemeinen Netzes und deren Datenströme können daher mit Paket-Sniffern wie Wireshark einfach mitgeschnitten werden. Mit einem entsprechenden Decoder lässt sich der Audiostrom leicht wiederherstellen. Decoder für die meisten Standardcodecs wie G.711 und seinen Nachfolger G.722 sind seit geraumer Zeit frei verfügbar und sogar als Plugins für Wireshark umgesetzt. Dazu muss ein Angreifer jedoch Zugriff zum internen Netzwerk haben - wie Foth in dem von Report München gezeigten Angriff. Es gehe ihm um die Verschlüsselung, sagte er Golem.de. Den Datenstrom habe er im internen Netzwerk abgegriffen.

Bei dem gezeigten Angriff handele es sich um einen klassischen ARP-Redirect-Angriff, bei dem sich der Angreifer im selben Subnetz aufhalten muss, bestätige uns auch Christian Ebert, der Leiter der IT-Security bei dem IT-Dienstleister QSC, das IP-Telefonielösungen anbietet. Bei ordentlich konfigurierten internen IP-Telefonnetzen seien auch solche Angriffe nicht möglich.