Was ein Betrug an der Telefonanlage kostet
Der Missbrauch einer Telefonanlage ist nicht neu; man spricht auch von Phreaking. Ein Praxisblatt, das im Rahmen der Unternehmensworkshops der französischen Regulierungsbehörde für Telekommunikation Arcep veröffentlicht wurde, beschreibt die häufigste Form: die Umleitung der Leitungen auf Ziele außerhalb des Landes, zu Mehrwertnummern, durch automatisch ausgelöste Anrufe. Der Betrüger verdient an diesen Nummern.
Dasselbe Blatt nennt den Fall eines französischen Departementsrats, der im November 2015 eine Rechnung über 43.000 € für betrügerische Anrufe nach Afrika erhielt. Die Größenordnung genügt, um zu verstehen, worum es geht: Die Rechnung geht an das Unternehmen, dessen Leitung genutzt wurde, manchmal mehrere Wochen nach den Vorfällen.
Das Blatt stellt außerdem fest, dass Telefonanlagen, ob PABX oder IP-Telefonanlage, bevorzugte Ziele sind, weil ihre Absicherung oft weniger konsequent verfolgt wird als die der IT-Server. Eine vor Jahren installierte Telefonanlage, deren Passwörter niemand geändert hat, ist genau das, was ein Betrüger sucht.
Was exponiert ist
Eine IP-Telefonie muss Verbindungen aus dem Internet annehmen: Nur so kann ein Mitarbeiter unterwegs mit der App seines Smartphones telefonieren. Drei Zugangspunkte bündeln das Risiko.
- Die Konten, die sich aus dem Internet registrieren. Jedes Telefon, jedes Softphone und jede App verbindet sich mit einer Kennung und einem Geheimnis mit der Telefonanlage. Ist dieses Geheimnis kurz, ein Standardwert oder mehrfach verwendet, kann es erraten oder massenhaft durchprobiert werden.
- Die Passwörter für Administration und Voicemail. Bleiben sie auf dem Installationswert, öffnen sie den Zugang zu den Einstellungen, darunter Umleitungen nach außen. Das Blatt der Arcep fordert, alle Passwörter gleich bei der Installation und danach regelmäßig zu ändern.
- Zu offene Anrufregeln. Ein Empfangstelefon, das jedes Land zu jeder Uhrzeit anrufen kann, macht aus einem gestohlenen Konto eine offene Leitung in die ganze Welt.
Die Anbindung an den Netzbetreiber, der SIP-Trunk, ist ein vierter Punkt. Seine Zugangsdaten geben Zugriff auf den Ausgang zum öffentlichen Netz. Sie dürfen niemals an einer anderen Stelle als in der Telefonanlage verwendet werden.
Das Risiko verringern
Wirksame Kontrollen gibt es nur wenige. Das Blatt der Arcep betont Passwörter, Nutzungsrichtlinie, Updates und Überwachung. Übertragen auf eine IP-Telefonie ergibt das Folgendes.
- Lange und eindeutige Geheimnisse für jedes Telefonkonto, geändert bei der Installation und danach bei jedem Ausscheiden oder Verdacht. Die Voicemail-PINs bleiben nicht auf ihrem Standardwert.
- Anrufrechte je Profil. Ein Anschluss, der keine internationalen Anrufe benötigt, hat keinen Zugriff darauf. Mehrwertnummern sind standardmäßig gesperrt. Umleitungen nach außen werden nur den Personen freigegeben, die sie benötigen.
- Zeitfenster. Anrufe zu teuren Zielen können auf die Geschäftszeiten beschränkt werden, wenn jemand eine Auffälligkeit bemerken kann.
- Die Verschlüsselung zwischen Endgeräten und Plattform, TLS für die Signalisierung und SRTP für die Sprache. Sie verhindert das Mitlesen von Zugangsdaten und Gesprächen auf dem Weg, zum Beispiel in einem öffentlichen WLAN.
- Die Updates der Telefonanlage, der Endgeräte und der Apps, im Betriebsvertrag geregelt.
- Eine nicht öffentliche Administrationsoberfläche, nur von bekannten Adressen oder Konten aus erreichbar, mit Zwei-Faktor-Authentifizierung, sofern verfügbar.
Diese Maßnahmen werden auf Ebene der Organisation gemeinsam mit dem Betreiber der Telefonanlage festgelegt. Sie erfordern von den Benutzern keine besonderen technischen Kenntnisse.
Die Anzeichen eines missbrauchten Kontos
Ein missbrauchtes Konto zeigt sich zuerst in der Nutzung, selten in den Sicherheitsprotokollen. Die zu beobachtenden Signale:
- ein ungewöhnliches Volumen ausgehender Anrufe für einen Anschluss oder für die gesamte Telefonanlage;
- Ziele, die nie zuvor angerufen wurden, insbesondere im Ausland oder Mehrwertnummern;
- Anrufe in schneller Folge, kurz und wiederholt;
- Aktivität zu Zeiten, in denen das Büro geschlossen ist, nachts oder am Wochenende;
- ein Endgerät, das sich aus einem ungewöhnlichen Land oder Netz verbindet;
- eine Anrufumleitung nach außen, die niemand beantragt hat.
Diese Anzeichen lassen sich in der Anrufhistorie ablesen, sofern jemand hineinschaut. Deshalb empfiehlt das Blatt der Arcep auch, beim Netzbetreiber nachzufragen, ob er die Verkehrsströme analysiert und Verbindungen zu ungewöhnlichen Zielen unterbricht, insbesondere außerhalb der Geschäftszeiten. Eine automatische Erkennung ungewöhnlicher Nutzung beim Betreiber oder Netzbetreiber ist zuverlässiger als eine manuelle Durchsicht.
Was beim ersten Anzeichen zu tun ist
Vorrang hat, die Kosten zu stoppen, dann zu verstehen.
- Sperren Sie das betroffene Konto oder die betreffenden Ziele, ohne das Ende der Analyse abzuwarten.
- Ändern Sie die Geheimnisse des Kontos und aller Konten, die dasselbe Passwort nutzten.
- Gehen Sie die Anrufhistorie durch, um den Beginn des Missbrauchs zu datieren und die angerufenen Nummern aufzulisten.
- Informieren Sie den Netzbetreiber, der die Telefonanlage anbindet, um die Ziele zu sperren und die abgerechneten Anrufe zu dokumentieren.
- Prüfen Sie die Umleitungen und die geänderten Einstellungen und geben Sie die erforderlichen Rechte schrittweise wieder frei.
Eine Strafanzeige kann sinnvoll sein, insbesondere um anschließend über die Rechnung zu verhandeln. Ihr Rechtsberater sagt Ihnen, ob sie in Ihrem Fall angebracht ist.
Dieser Ratgeber beschreibt Kontrollen, keine Angriffstechniken. Die detaillierten Betriebsparameter werden mit dem Betreiber Ihrer Telefonanlage eingestellt.
Beispiel: eine am Wochenende geschlossene Kanzlei
Ein hypothetischer Fall. Am Montagmorgen erhält die Leiterin einer Kanzlei mit acht Personen eine Warnung ihres Dienstleisters: Das Telefon im Besprechungsraum hat am Sonntag zwischen 2 und 5 Uhr morgens Dutzende kurzer Anrufe in dasselbe Land getätigt. Das Konto war nach wenigen Minuten automatisch deaktiviert worden.
Die Kanzlei ändert das Geheimnis des Telefons, stellt fest, dass sie nie internationale Anrufe benötigt hat, und entzieht dieses Recht. Der Betrug hat einige Gesprächsminuten gekostet statt eines ganzen Wochenendes.
Häufige Fragen
Ist eine gehostete Telefonanlage weniger exponiert als eine IP-Telefonanlage vor Ort?
Sie wird vom Betreiber überwacht und aktualisiert, sodass es keine vergessene Telefonanlage gibt. Konten und Anrufregeln müssen dennoch eingestellt werden. Siehe VoIP, SIP, IP-Telefonanlage und UCaaS.
Wer bezahlt die betrügerischen Anrufe?
Die Rechnung geht an den Inhaber der Leitung. Eine etwaige Aufteilung hängt von den Verträgen mit dem Netzbetreiber und dem Betreiber ab: Lesen Sie sie vor einem Vorfall.
Genügt die Verschlüsselung gegen Betrug?
Nein. Sie schützt den Übertragungsweg. Ein Konto mit schwachem Passwort bleibt für einen Dritten nutzbar, auch über eine verschlüsselte Verbindung.
Sind Aufzeichnungen ebenfalls ein Risiko?
Ja, wenn zu viele Personen darauf zugreifen können. Siehe Wer die Aufzeichnungen in Klytic Tel anhören darf.
Wo Klytic ansetzt
Mit Klytic Tel hat jede Organisation ihren eigenen Telefonieserver: Ein missbrauchtes Konto bei einem anderen Kunden gibt keinen Zugriff auf Ihren. Klytic betreibt diesen Server, verfolgt seine Updates und überwacht ihn, ob er in der Klytic-Cloud gehostet oder bei Ihnen installiert ist.
Die Kommunikation zwischen den Endgeräten oder Apps und der Plattform ist mit SRTP und TLS verschlüsselt. Die von Klytic angebotenen Festnetz-Anruftarife umfassen einen Betrugsschutz durch Erkennung ungewöhnlicher Nutzung. Das ist eine Kontrolle des Betreibers, kein Dashboard, das Sie selbst aufbauen müssen.
Die genaue Exposition hängt von der Anbindung ab. Wenn Sie Ihren Netzbetreiber behalten, ist ein Teil der Überwachung des Ausgangs zum öffentlichen Netz auch seine Sache: Fragen Sie ihn, was er vorsieht. Anrufrechte je Profil und Zeitfenster werden bei der Inbetriebnahme mit Klytic festgelegt. Der Support antwortet telefonisch auf Französisch und per E-Mail über ein Ticketsystem in allen Sprachen.
Klytic ist kein SecNumCloud-qualifiziertes Angebot, und kein Dienst beseitigt das Betrugsrisiko vollständig.
Quellen
Abgerufen im Oktober 2026.
- Arcep, Praxisblatt „La fraude téléphonique : une menace pour les entreprises“ (Telefonbetrug: eine Bedrohung für Unternehmen), aus den Unternehmensworkshops (Aktualisierung vom 2. Mai 2016): Umleitung von Leitungen zu Mehrwertnummern im Ausland, Beispiel einer Rechnung über 43.000 €, Empfehlungen zu Passwörtern, Nutzungsrichtlinie, Updates und Analyse der Verkehrsströme durch den Netzbetreiber. arcep.fr
- IETF, RFC 3261, „SIP: Session Initiation Protocol“: SIP ist das Signalisierungsprotokoll der Anwendungsschicht, das Sitzungen, darunter Anrufe, aufbaut, ändert und beendet. rfc-editor.org
- Klytic, Seite Klytic Tel: dedizierter Server, SRTP- und TLS-Verschlüsselung, Betrugsschutz durch Erkennung ungewöhnlicher Nutzung bei den Festnetztarifen. klytic.com
- Klytic, Sicherheit & Backup: permanente Überwachung, vom Klytic-Team verfolgte Sicherheitsupdates. klytic.com
