Dieser Rat deckt sich mit den Empfehlungen von Scheucher und Christiansen. HMP-Manager Christiansen unterstützt diese Empfehlung zwar, mag aber den Herstellern keine Generalabsolution erteilen: Gerade ältere Anlagen würden im Verbund mit CTI oder Unified Messaging Schwachstellen offenbaren, die bei den Multiservice-Modellen der jüngeren Generationen teilweise behoben wurden. In das gleiche Horn stößt Scheucher von Secunet: „Die proprietäre TK-Technik erschwert die Etablierung von durchgängigen Sicherheitskonzepten, auch wenn sie gegenüber gewöhnlichen Hackern einen gewissen Schutz offeriert. Die passende Administrationssoftware ist nämlich nicht an jeder Ecke im Internet zu finden und entsprechendes Spezialwissen nicht so weit verbreitet“. Professionelle Datenspione würden dennoch entsprechende Quellen kennen.

Für Scheucher ist aber letztlich die TK-Anlage als Angriffspunkt nur ein Aspekt der Bedrohung. Ebenso wichtig sei, was über die Anlage abgewickelt werde. „Und hier finden wir bei Sicherheitsüberprüfungen in Relation zu allen TK-Geräten ein bis 1,5 Prozent Datenendgeräte im internen Netz - also Modems und ISDN-Karten, die über die TK-Anlage als Sprungbrett direkt von außen angesprochen werden können“, moniert der Sicherheitsspezialist aus seiner Secunet-Praxis. Wer nun glaubt, dass es sich hierbei nur um vergessene Altlasten aus der Vor-Internet-Zeit handelt, befindet sich auf dem Holzweg. Vielmehr werden die Geräte in den Rechenzentren als Wartungszugang für Server, Speichersysteme etc. betrieben „und sind selbst bei Neuanschaffungen noch zu finden“, so Scheucher. Er rät den Anwendern, auf die Hersteller von RZ-Equipment, die nach wie vor am Wartungszugang via Dial-up festhalten, Druck auszuüben. Unter

Sicherheitsaspekten sei eine Verbindung über VPNs eindeutig zu bevorzugen.

VPNs für die Wartung

Bis sich der Wartungsansatz via VPN auf breiter Front durchsetzt - der Secunet-Experte rechnet hier mit rund fünf Jahren - empfiehlt er, die Wartungsgeräte nicht mit einer einfachen Durchwahlnummer an die TK-Anlage anzuschließen. Wie die Remote-Access-Zugänge für die Heimarbeiter sollten diese auch in einen zentralen Pool aufgenommen werden, in dem die Accounts etwa über einen Authentifizierungs-Server geprüft und Einmal-Passwörter mit Hilfe von Hardware-Tokens generiert werden.

Ferner legt der Berater den Unternehmensleitungen nahe, eine Security Policy aufzustellen, in der auch die Benutzung entsprechender Wartungszugänge restriktiv geregelt ist. Ebenso empfiehlt sich laut HMP-Bereichsleiter Christiansen neben Intrusion-Detection-Systemen wieder die Verwendung der altbekannten Monitoring-Systeme der TK-Anlage. Halfen sie vor der Liberalisierung des TK-Marktes und dem damit einhergehenden Verfall der Gesprächsgebühren hauptsächlich bei der Kostenkontrolle, so könnten sie heute dazu dienen, verdächtige Aktivitäten und Einwahlversuche zu erkennen.