Toll Fraud bei VoIP-Telefonanlagen: SIP-Trunks für KMU absichern

Viele KMU sind in den letzten Jahren von ISDN auf VoIP-Telefonanlagen umgestiegen – oft mit Fokus auf Kosten und Flexibilität, seltener mit Blick auf die Sicherheit der neuen Technik. Genau das rächt sich: Über kompromittierte SIP-Trunks verursachen Angreifer per Toll Fraud binnen weniger Stunden Telefonrechnungen im vierstelligen Bereich – meist bemerkt erst, wenn die Rechnung des Providers eintrifft. Für ostdeutsche KMU mit eigener Telefonanlage ist das ein reales, aber gut vermeidbares Risiko.

Was Toll Fraud eigentlich ist

Toll Fraud (auch “Gebührenbetrug”) bezeichnet den Missbrauch einer fremden Telefonanlage, um kostenpflichtige Anrufe auf Kosten des Opfers zu tätigen. Angreifer verschaffen sich Zugriff auf eine VoIP-Telefonanlage oder den zugehörigen SIP-Trunk und leiten darüber automatisiert Anrufe zu teuren Sonderrufnummern im Ausland um – oft nachts oder am Wochenende, wenn niemand im Betrieb die Anlage überwacht. Ein Teil der Einnahmen aus diesen Sonderrufnummern fließt direkt an die Betreiber, die mit den Angreifern kooperieren oder selbst dahinterstecken.

Das Muster ist seit Jahren bekannt, trifft aber weiterhin regelmäßig kleine und mittlere Unternehmen – gerade weil VoIP-Telefonanlagen im Gegensatz zu Firewalls oder Servern selten regelmäßig gewartet und überwacht werden. Eine falsch konfigurierte FreePBX- oder Asterisk-Installation mit offenem SIP-Port im Internet ist für automatisierte Scanner ein leichtes Ziel.

Wie Angreifer typischerweise vorgehen

• Brute-Force auf SIP-Accounts: Automatisierte Tools probieren tausende Kombinationen aus Nebenstellen-Nummern und schwachen Passwörtern durch, bis ein Account funktioniert.
• Offene SIP-Ports ohne Zugriffsbeschränkung: Wenn Port 5060 (SIP) oder der RTP-Portbereich ungefiltert aus dem Internet erreichbar ist, genügt ein Portscan, um die Anlage zu finden.
• Kompromittierte Zugangsdaten: Standard-Admin-Passwörter oder wiederverwendete Zugangsdaten aus anderen Datenlecks öffnen direkten Zugriff auf die Anlagenverwaltung.
• Missbrauch von Voicemail- und IVR-Funktionen: Manche Angriffe nutzen Rückruffunktionen oder Konferenzräume, um darüber Anrufe zu Sonderrufnummern auszulösen.

Warum das für KMU besonders teuer wird

Anders als bei den meisten IT-Sicherheitsvorfällen entsteht der Schaden bei Toll Fraud nicht durch Datenverlust, sondern direkt und unmittelbar auf der Telefonrechnung. Ein einzelner kompromittierter SIP-Account kann über ein verlängertes Wochenende tausende Minuten zu Sonderrufnummern verursachen, bevor am Montag überhaupt jemand die Anlage prüft. Provider stellen diese Kosten in aller Regel dem Anschlussinhaber in Rechnung – die Beweislast, dass es sich um Betrug und nicht um reguläre Nutzung handelt, liegt beim Unternehmen.

Hinzu kommt: Während eines aktiven Angriffs ist die Telefonanlage oft überlastet, sodass reguläre Anrufe – etwa von Kunden – nicht mehr durchkommen. Der wirtschaftliche Schaden ist damit nicht nur die Telefonrechnung, sondern auch verpasste Geschäftskommunikation.

SIP-Trunk und VoIP-Telefonanlage richtig absichern

Die gute Nachricht: Toll Fraud lässt sich mit überschaubarem Aufwand weitgehend verhindern, wenn die Grundlagen sitzen.

1. SIP-Zugänge nicht offen ins Internet stellen

Der SIP-Trunk sollte, wo immer möglich, nur über eine feste IP-Adresse des Providers oder über ein VPN erreichbar sein – nicht offen für jede IP-Adresse im Internet. Wer WireGuard bereits für andere Zwecke im Unternehmen nutzt, kann darüber auch entfernte Telefone und Nebenstellen sicher anbinden, statt SIP-Trunking ungeschützt zu exponieren.

2. Starke, individuelle Passwörter für jeden SIP-Account

Jede Nebenstelle braucht ein eigenes, ausreichend langes Passwort – keine Standardwerte, keine durchnummerierten Varianten wie “1001/1001”. Ein Passwortmanager im Unternehmen erleichtert die Verwaltung solcher Zugangsdaten auch für die Telefonanlage.

3. Fail2Ban und Rate-Limiting einrichten

Auf FreePBX- und Asterisk-Systemen lässt sich Fail2Ban so konfigurieren, dass IP-Adressen nach wenigen fehlgeschlagenen Anmeldeversuchen automatisch gesperrt werden. Das stoppt automatisierte Brute-Force-Versuche, bevor sie erfolgreich sind.

4. Anrufziele und Kostenlimits einschränken

Internationale Rufnummern und bekannte Betrugs-Vorwahlen (Premium-Rufnummern, bestimmte Auslandsziele ohne Geschäftsbezug) lassen sich im Wahlplan der Telefonanlage komplett sperren. Zusätzlich bieten viele SIP-Provider Tages- oder Wochenlimits für Anrufkosten an – ein Sicherheitsnetz, falls doch etwas durchrutscht.

5. Anrufaktivität überwachen

Ein einfaches Monitoring, das ungewöhnliche Anrufmuster meldet – etwa viele Anrufe zu einem einzigen Auslandsziel mitten in der Nacht – erkennt einen laufenden Angriff oft innerhalb weniger Minuten statt erst mit der nächsten Rechnung.

6. Software aktuell halten

FreePBX, Asterisk und andere PBX-Software erhalten regelmäßig Sicherheitsupdates. Wer diese verzögert einspielt, betreibt eine Anlage mit bekannten, öffentlich dokumentierten Schwachstellen – ein Zustand, der bei Servern längst als inakzeptabel gilt, bei Telefonanlagen aber häufig übersehen wird.

Sie suchen Unterstützung in Dresden?

Rexoma betreut IT-Infrastruktur für KMU in Dresden, Sachsen und darüber hinaus – von der OPNsense-Firewall über WireGuard-VPN bis zur FreePBX-Telefonanlage. Wenn Sie prüfen möchten, ob Ihr SIP-Trunk und Ihre VoIP-Telefonanlage ausreichend abgesichert sind, sprechen Sie uns an. Wir übernehmen die Konfiguration, Härtung und laufende Betreuung, damit Toll Fraud gar nicht erst zur Gefahr wird.

Häufige Fragen zu SIP-Trunk-Sicherheit und Toll Fraud

Woran erkenne ich, dass meine Telefonanlage von Toll Fraud betroffen ist? Typische Anzeichen sind ungewöhnlich hohe Telefonrechnungen, viele Anrufe zu unbekannten Auslandszielen außerhalb der Geschäftszeiten oder eine spürbar überlastete Telefonanlage ohne erkennbaren Grund.

Haftet mein Unternehmen für die Kosten, wenn die Anlage gehackt wurde? In der Regel ja – die meisten Provider stellen die entstandenen Kosten dem Anschlussinhaber in Rechnung, unabhängig davon, ob es sich um Betrug handelt. Manche Verträge oder Cyber-Versicherungen decken solche Fälle teilweise ab, das sollte vorab geprüft werden.

Reicht ein starkes Passwort für die Admin-Oberfläche der Telefonanlage aus? Nein. Auch jeder einzelne SIP-Account (jede Nebenstelle) braucht ein eigenes, starkes Passwort – ein kompromittierter Account genügt Angreifern bereits für Toll Fraud.

Ist Toll Fraud nur bei selbst gehosteten Anlagen wie FreePBX ein Thema? Nein, grundsätzlich kann jede VoIP-Telefonanlage betroffen sein. Selbst gehostete Systeme erfordern jedoch mehr Eigenverantwortung bei Konfiguration und Absicherung als vollständig verwaltete Cloud-Telefonanlagen.

Wie schnell sollte ich nach einem Verdacht auf Toll Fraud reagieren? Sofort. Betroffene SIP-Accounts sperren, den Provider informieren und – falls möglich – den Wahlplan für internationale Ziele temporär komplett deaktivieren, bis die Ursache gefunden und behoben ist.