PBX-Cyberangriffe erklärt: Bedrohungen und Abwehrmaßnahmen

PBX-Angriffe sind kein "Old-School-Telefonhacking." Moderne PBXs sind Softwaresysteme, die auf Ihrem IP-Netzwerk laufen, oft (direkt oder indirekt) mit dem Internet verbunden, integriert mit Identität, Voicemail, Anrufweiterleitung, APIs, SIP-Trunks und manchmal Ihrem CRM/Helpdesk. Das macht sie zu einem Ziel für Betrug und zu einem Angriffspunkt.

Dies ist ein technischer Deep Dive darüber, wie PBX-Angriffe tatsächlich stattfinden, wonach Angreifer suchen, welche Telemetrie zu beobachten ist und wie man eine PBX-Umgebung absichert, ohne die Sprachqualität zu beeinträchtigen.

1) Wie moderne PBX funktioniert (und wo das Risiko liegt)

Der Großteil der heutigen Business-Sprachkommunikation erfolgt über VoIP/IP-PBX. Zwei Protokolle sind am wichtigsten:

• SIP (Session Initiation Protocol): die Signalisierungsebene (Registrierung, Anrufaufbau/-abbau, Routing-Logik).
• RTP (Real-time Transport Protocol): die Medienebene (tatsächliche Sprachpakete). SRTP ist RTP + kryptografische Schutzmaßnahmen.

Warum das wichtig ist: Sie können Medien sichern, aber trotzdem Metadaten weitergeben (wer wen angerufen hat, Durchwahlen, IPs), oder Sie können die Signalisierung sichern, aber die Stimme preisgeben, wenn RTP im Klartext ist. Eine vollständige Sicherheitsstrategie verwendet typischerweise TLS für SIP-Signalisierung + SRTP für Medien.

Die VoIP-Leitlinien des NIST (wenn auch älter) lassen sich immer noch klar auf die heutigen Risiken übertragen: VoIP übernimmt klassische IT-Bedrohungen (Passwortangriffe, Malware, Fehlkonfigurationen) sowie Einschränkungen des Echtzeitdienstes (Verfügbarkeit und Latenz), die "Sicherheit um jeden Preis" unpraktisch machen.

2) Bedrohungsmodell: Was Angreifer von Ihrer PBX wollen

A) Geld (das häufigste Motiv): Mautbetrug / IRSF

Angreifer kompromittieren Zugangsdaten oder eine exponierte Funktion und tätigen dann hochpreisige Anrufe (oft über internationale/Premium-Routen). Die Betrugsberichte der Branche weisen wiederholt darauf hin, dass PBX-Hacking ein bedeutsamer Faktor für Verluste durch Telekommunikationsbetrug ist.

B) Störung: SIP-Fluten / TDoS

Wenn Ihre Telefone ausfallen, ist Ihr Geschäft beeinträchtigt. SIP lässt sich leicht überlasten, und Sprachsysteme sind empfindlich gegenüber Ressourcenerschöpfung.

C) Intelligenz: Abhören + Anrufmetadaten

Unverschlüsseltes RTP kann erfasst und wiedergegeben werden. Selbst wenn Medien verschlüsselt sind, können Signalisierung und Protokolle offenlegen, wer mit wem und wann gesprochen hat – nützlich für Erpressung, Wettbewerbsinformationen oder gezielte Social Engineering-Angriffe.

D) Zugriff: PBX als Dreh- und Angelpunkt

PBX-Systeme befinden sich oft in „vertrauenswürdigen“ internen Netzwerken, verfügen über Admin-Oberflächen und integrieren sich in Verzeichnisse oder E-Mail-Systeme. Ein Kompromittieren einer PBX kann zu einem internen Fuß in die Tür werden, wenn die Segmentierung schwach ist.

3) PBX-Angriffsfläche: Wo Kompromittierungen beginnen

Denke in Schichten:

• SIP-Endpunkte: Tischtelefone, Softphones, mobile Clients (Registrierungsdaten, Provisionierung, Firmware).
• PBX-Verwaltungsebene: Web-Admin, SSH, APIs, Wählplan-Admin, Backups.
• Signalisierungs-Edge: SIP-Trunk-Konnektivität, NAT-Traversal, SBCs, exponierte SIP-Ports.
• Sprachfunktionen: Voicemail, DISA, Rufweiterleitung, IVR, Konferenzbrücken.
• Datenspeicher & Integrationen: CDRs, Voicemail-Speicher, Anrufaufzeichnungen, Verzeichnis-/SSO-Anbindungen, CRM.

Viele echte Kompromisse sind langweilig: offene Administrationsseiten, Standard- oder schwache Anmeldedaten und uneingeschränkte ausgehende Rufwege, die den Zugriff schnell in Geld verwandeln.

4) Häufige PBX-Angriffe — Wie sie funktionieren, was Sie sehen werden und warum sie erfolgreich sind

4.1 SIP-Registrierung Brute Force (Anmeldeinformationen Raten)

Wie es funktioniert: Angreifer scannen nach SIP-Diensten (üblicherweise UDP/TCP 5060, TLS 5061) und versuchen dann groß angelegte REGISTER-Versuche gegen bekannte Erweiterungsmuster (100–9999) unter Verwendung von Passwortverzeichnissen.

Was Sie sehen werden (Signale):

• Eine Reihe fehlgeschlagener REGISTERs von einer oder mehreren IPs
• Sequentielle Erweiterungsversuche (1000, 1001, 1002…)
• Registrierung aus neuen Regionen oder ASNs
• Registrierungen zu ungewöhnlichen Zeiten, gefolgt von ausgehenden Anrufen

Warum es erfolgreich ist:

• Schwache Anmeldedaten (Erweiterung == Passwort, wiederverwendete Passwörter)
• Keine Begrenzung der Anmeldeversuche / keine Fail2Ban-ähnliche Durchsetzung am Rand
• SIP direkt dem Internet ausgesetzt ohne SBC oder ACLs

4.2 Betrug mit Telefongebühren / Anrufaufblähung (die "Cash-Out"-Phase)

Wie es funktioniert: Nachdem der Angreifer Zugangsdaten (SIP-Benutzer, Voicemail-PIN, Admin) erhalten hat,

• tätigt er Anrufe zu kostenpflichtigen oder umsatzbeteiligten Zielen,
• richtet Weiterleitungen zu internationalen Nummern ein,
• missbraucht DISA oder Konferenzen, um Anrufe über Ihren Trunk zu initiieren.

Was Sie sehen werden:

• CDR-Spitzen (Call Detail Records) zu ungewöhnlichen Ländern/Präfixen
• Hohes Anrufvolumen nach Feierabend/Wochenenden
• Viele kurze Anrufe (Testen von Routen), dann lange kostspielige Anrufe
• Weiterleitungsregeln werden unerwartet aktiviert/geändert

Warum es erfolgreich ist:

• Keine Einschränkungen des ausgehenden Wahlplans
• Keine Anrufgrenzen pro Nebenstelle
• Keine Echtzeitwarnungen bei ungewöhnlichen Zielen oder Ausgabenraten

4.3 SIP INVITE-Fluten / Fehlgebildete Signalisierung (TDoS / DoS)

Wie es funktioniert: Der Angreifer sendet INVITEs, REGISTERs, OPTIONS oder manipulierte SIP-Nachrichten mit hoher Rate, um CPU, Speicher, SIP-Transaktionstabellen oder die Kapazität des übergeordneten Trunks zu erschöpfen.

Was Sie sehen werden:

• Hoher SIP CPS (Anrufe pro Sekunde) oder Transaktionen pro Sekunde
• Erhöhte Wiederholungen/Timeouts
• Telefone zeigen „registriert“, aber Anrufe können nicht abgeschlossen werden
• PBX-CPU-Spitzen; RTP kann in Ordnung sein, aber Signalisierung bricht zusammen

Warum es gelingt:

• Keine SBC-/SIP-bewussten Schutzmaßnahmen
• PBX für durchschnittliche Last dimensioniert, nicht für feindliche Last
• Einziger Ausfallpunkt (kein Hochverfügbarkeitssystem, kein Upstream-Filtering)

4.4 Abhören (unkodiertes RTP) + Downgrade-Fehler

Wie es funktioniert: Wenn RTP im Klartext vorliegt, kann jeder mit Netzwerkzugriff Audio erfassen. Die Verschlüsselung von SIP ohne SRTP kann die Sprache weiterhin offenlegen.

Was Sie sehen werden:

• Oft nichts Auffälliges in den PBX-Logs (es ist eine passive Erfassung)
• Manchmal ungewöhnliche ARP-Aktivitäten / Missbrauch von Mirror-Ports an anderer Stelle

Warum es erfolgreich ist:

• SRTP nicht durchgängig aktiviert
• Gemischte Endpunktfähigkeiten führen zu „Fallback auf RTP“
• Schlüsselverwaltung falsch konfiguriert (Entscheidungen zwischen SDES und DTLS-SRTP usw.)

4.5 Admin-Oberflächenkompromittierung (Web-Panel / SSH / API)

Wie es funktioniert: Angreifer finden eine exponierte Verwaltungsoberfläche und nutzen aus:

• schwache Administratoranmeldedaten,
• ungepatchte Sicherheitslücken,
• unsicheren Fernzugriff,
• Wiederverwendung von Anmeldedaten aus Sicherheitsvorfällen.

Sobald der Admin übernommen ist, folgt alles andere: Trunks, Routing, Weiterleitung, Zugriff auf Anrufaufzeichnungen, Export von Voicemails, neue Benutzer, versteckte Konfigurationen.

5) Verteidigungen, die tatsächlich standhalten (gestaffelt, praktisch und prüfbar)

5.1 Setzen Sie eine echte Sicherheitsgrenze am SIP-Rand (SBC oder Äquivalent)

Ein Session Border Controller (SBC) ist nicht nur "schön zu haben." Er wird häufig verwendet, um durchzusetzen:

• Topologieverschleierung,
• Ratenbegrenzung,
• SIP-Normalisierung,
• ACLs/Geofencing,
• Anti-Flut-Kontrollen,
• Betrugsmuster und Richtlinienumsetzung.

Minimum: Wenn Sie keinen SBC sofort einsetzen können, dann zumindest:

• Beschränken Sie die SIP-Exposition auf bekannte IP-Bereiche der Anbieter,
• Verweigern Sie standardmäßig den Zugriff für die gesamte Welt,
• Fügen Sie Geschwindigkeitsbegrenzungen und automatisches Blockieren an der Firewall hinzu.

5.2 Machen Sie Anmeldeinformationen unverhandelbar

Für jede SIP-Erweiterung / Endpunktbereitstellung:

• einzigartige, starke Passwörter (nicht die Durchwahlnummern)
• nicht genutzte Konten deaktivieren
• Registrierungsfenster nach Möglichkeit verkleinern
• Bereitstellung absichern (vorzugsweise verschlüsselte Bereitstellung, TFTP vermeiden)

5.3 Ausgehende Anrufe sperren

Betrachten Sie ausgehende Anrufe als ein Autorisierungsproblem, nicht als eine Komfortfunktion.

Funktionierende Kontrollen:

• Standardmäßig internationale/premium Routen ablehnen; nur das erlauben, was notwendig ist
• Anrufberechtigungen pro Nebenstelle / pro Abteilung
• Zeitliche Beschränkungen (internationale Anrufe nach Dienstschluss deaktiviert)
• Ausgabenlimits / Anrufanzahllimits
• Bekannte Hochrisiko-Ländercodes blockieren, es sei denn, das Geschäft erfordert sie

5.4 Signalisierung und Medien (korrekt) verschlüsseln

Ziel: SIP über TLS + SRTP für RTP-Medien.

Betriebliche Realität: Verschlüsselung ist nur so stark wie der schwächste Knoten. Stellen Sie sicher, dass Ihr Trunk-/Anbieterpfad Ihren Zielmodus unterstützt.

5.5 Segmentstimme aus Daten

Mindestens:

• Voice-VLAN getrennt vom Workstation-VLAN
• Telefon→Server-Pfade auf das Notwendige beschränken
• Admin-Oberflächen nur von einem Management-Subnetz/VPN erreichbar
• Kein direkter PBX-Admin vom offenen Internet

5.6 Überwachung, die PBX-Kompromittierung schnell erkennt

Sie möchten eine Erkennung, die PBX-Missbrauchsmustern entspricht:

SIP/Auth-Telemetrie:

• fehlgeschlagene REGISTER-Schwellenwerte (pro IP + pro Nebenstelle)
• neue Benachrichtigungen zur Registrierung nach Geostandort
• REGISTER-Stürme / Scan-Muster

Anruftelemetrie (CDRs):

• Spitzen bei internationalen Anrufen
• neue Zielvorwahlen
• Aktivität mit hohem Volumen außerhalb der Geschäftszeiten
• wiederholte kurze Anrufe (Routenprüfung), dann lange Anrufe (Betrug)

Konfigurationsänderungsüberwachung:

• Änderungen am Trunk
• Änderungen am Wahlplan
• Weiterleitung aktiviert
• Neue Administratorbenutzer
• Änderungen an der Voicemail-PIN-Richtlinie

6) Eine gehärtete PBX-Checkliste

Exposition

• PBX-Admin-Benutzeroberfläche nicht im Internet zugänglich (nur VPN/Jump-Host)
• SIP-Ports nicht für die Welt geöffnet; Trunk-/Provider-IP-Adressen auf die Positivliste setzen
• SBC bereitgestellt (oder Firewall-Regeln + Ratenbegrenzung als Zwischenlösung)

Identität & Auth

• Einzigartige starke SIP-Geheimnisse pro Nebenstelle
• Nicht verwendete Nebenstellen/Voicemail-Boxen deaktivieren
• Separate Admin-Konten; MFA dort, wo unterstützt

Konto-Kontrollen

• Standardmäßig internationale und Premium-Rufnummern blockieren
• Ausgehende Berechtigungen pro Benutzer + Limits + Zeitfenster
• Echtzeit-Benachrichtigungen bei ungewöhnlichen Zielen und Anrufvolumen

Krypto

• SIP-TLS aktiviert, wo möglich
• SRTP Ende-zu-Ende aktiviert, wo möglich
• Kein stilles Herabsetzen auf Klartext ohne explizite Richtlinie

Netzwerk

• Voice-VLAN segmentiert; strenge ACLs
• Bereitstellung gesichert; Firmware verwaltet und aktualisiert

Operative

• Patch-Rhythm definiert (PBX, Telefone, SBC)
• Backup-Verschlüsselung + Backup-Zugriffskontrollen
• Konfigurationsänderungsüberwachung aktiviert

7) Wenn Sie einen Kompromiss vermuten: Ein sauberer Ablauf für die Vorfallreaktion

1. Den Geldverlust stoppen

   • internationale/Premium-Routen sofort sperren
   • verdächtige Erweiterungen einfrieren
   • falls nötig, den Anbieter bitten, Hochrisikoziele zu blockieren

2. Zugriff eindämmen

   • blockiere störende IPs am Edge/SBC
   • SIP-Passwörter für betroffene Nebenstellen ändern
   • Admin-Zugangsdaten und API-Schlüssel ändern

3. Beweise sichern

   • CDRs, SIP-Protokolle, Admin-Audit-Logs, Trunk-Konfigurationen exportieren
   • VM/Instanz snapshotten, wenn die PBX virtualisiert ist

4. Beseitigen

   • bekannte Schwachstellen beheben
   • unautorisierte Routen/Benutzer/Weiterleitungsregeln entfernen
   • Integrität der Endpunktbereitstellung überprüfen

5. Wiederherstellen + Wiederholung verhindern

   • implementiere Wählplan-Einschränkungen + Überwachung, die du vermisst hast
   • füge Edge-Kontrollen hinzu (SBC, Whitelists, Ratenbegrenzungen)
   • führe eine Nachbesprechung durch, die auf die Hauptursache abgebildet ist

Abschluss: Die Kernwahrheit über PBX-Sicherheit

PBX-Angriffe gelingen, wenn Sprache wie "nur Telekommunikation" behandelt wird. Das ist sie nicht. Sie ist eine IP-Anwendung mit finanziellen Cash-out-Pfaden (Gebührenbetrug) und geschäftskritischen Verfügbarkeitsanforderungen (TDoS). Die erfolgreiche Strategie ist einfach und konsequent:

• Exposition verringern,
• starke Authentifizierung durchsetzen,
• ausgehende Routen einschränken,
• Signalisierung/Medien angemessen verschlüsseln,
• Netzwerke segmentieren,
• Anruf- und Authentifizierungsanomalien aggressiv überwachen.