>

Sicherheit

I. Abhörbarkeit

II. Spam

III. Datenschutz

IV. Systemsicherheit

II. Spam

1. "Spit"

Noch kein Thema in der täglichen Praxis in Deutschland, aber es gibt erste Anzeichen, dass Spam auch bei VoIP zum Problem werden könnte ("Spit"; "Spam over Internet Telephony").

Anzeige

Insbesondere in den USA werden VoIP-Kunden bereits durch Direktmarketingfirmen belästigt. Langfristig dürfte die Hauptgefahr v.a. von mit Sprachcomputern gesteuerten voll-automatisierten Anrufen ausgehen. Für den Spammer kostet ein Anruf per VoIP so gut wie nichts... mithin ist VoIP also der Traum jedes Spammers. Es gibt für VoIP-Anbieter schon erste (kommerzielle) Lösungen gegen VoIP-Spam.

2. Spam-Vermeidung

Der Anwender kann (und sollte!) zum einen darauf achten, dass seine VoIP-Kennung nicht in die falschen Hände gerät (vgl. E-Mail!); v.a. ENUM-Kennungen dürften für Spammer gegebenenfalls von hohem Wert sein, da ENUM nicht nur auf VoIP beschränkt ist, sondern auch mit anderen Diensten verbunden werden kann (z.B. E-Mail und Telefonnummern). Siehe dazu auch unter ENUM/Praxis.

Außerdem kann es langfristig Sinn machen, ähnlich wie bei der Auswahl einer E-Mail-Adresse, darauf zu achten, dass die SIP-Kennung nicht ohne weiteres erratbar bzw. automatisch generierbar ist. Typischerweise laufen beispielsweise bei kurzen E-Mail-Adressen über kurz oder lang Spam-Nachrichten auf, auch wenn die E-Mail Adresse nie veröffentlicht wurde. Die Adresse wurde schlicht nach dem Zufallsprinzip "erraten". Problematisch könnten in diesem Zusammenhang VoIP-Anbieter sein, bei denen die SIP-Kennungen in Form von fortlaufenden Nummern vergeben werden. Da müsste nicht mal mehr irgend etwas "erraten" werden.

3. Spam-Abwehr

Technisch gesehen sind mehrere Strategien gegen VoIP-Spam denkbar.

Eine Möglichkeit ist, eingehende Anrufe nur von autorisierten Anrufern zuzulassen. Dies ist allerdings auch nicht der Weisheit letzter Schluss, da es die Möglichkeit der einfachen Kontaktaufnahme per VoIP ad absurdum führt. Fraglich ist außerdem, ob die Autorisierung zentral oder individuell-lokal von jedem VoIP-Nutzer ("Peer-to-Peer") erfolgen soll. Während im ersteren Fall beispielsweise eine zentrale so genannte Whitelist verwendet werden könnte (eine Liste aller autorisierten Teilnehmer am VoIP-Datenverkehr), würde im zweiten Fall die Autorisierung durch jeden User einzeln erfolgen. Letzteres ist beispielsweise im Softphone Skype möglich. In Skype lässt sich unterscheiden zwischen Chatanfragen und Telefonanrufen. Vorsichtige Nutzer sollten Anrufe nur für solche Nutzer zulassen, mit denen sie Kontaktdetails ausgetauscht haben (siehe dazu unter Datenschutz). Der "Skype me"-Modus setzt übrigens sämtliche Datenschutzeinstellungen vorübergehend außer Kraft.

Gegen die "zentrale Lösung" spricht zum einen, dass sie dazu missbraucht werden könnte, "unliebsame User" mundtot zu machen. Zudem spielen auch Fragen der Datensicherheit und des Datenschutzes eine wichtige Rolle.

Ein anderer Ansatz wäre, Spit bereits im Backbone zu erkennen (z.B: auf Grund auffälliger Häufung von Netzkontakten aus einem bestimmten VoIP-Netz) und zu filtern, noch bevor beim Angerufenen das Telefon klingelt. Das seit Ende Oktober 2004 bestehende zentrale Vermittlungssystem für VoIP in Deutschland ("Toplink") ist beispielsweise mit einem solchen Schutzsystem gegen Spit ausgerüstet worden. Im Bereich E-Mail entspricht dies in etwa serverseitigen Spam-Blockern (allerdings mit dem gravierenden Unterschied, dass es bei VoIP anders als bei E-Mail zu einer End-to-End-Verbindung (Direktverbindung) kommt). Das generelle Risiko bei solchen System ist, dass die Filter "zu scharf" eingestellt sind und auch eigentlich berechtigte E-Mails bzw. VoIP-Anrufe ausgefiltert werden. Wichtig wäre daher, dass solche Systeme optional wären und jeder User entscheiden kann, wie mit zweifelhaften Nachrichten/Anrufen verfahren werden soll.

Weitere Methoden sind denkbar. So etwa ein Mechanismus, der Anrufe nur durchlässt, wenn der Anrufer nach Aufforderung eine spezielle Kennung eingibt. Man findet einen ähnlichen Mechanismus schon heute beispielsweise beim Registrieren auf Websites in Form von Zahlen- und Buchstaben-Grafiken ("Captcha"), die manuell eingegeben werden müssen, um eine maschinelle Registrierung zu verhindern.

Die naheliegendste Vorgehensweise - die Berücksichtigung der so genannten Caller-ID (Anruferkennung) und dem Einsatz von so genannten lokalen "Blacklists" - dürfte im Endeffekt wenig effektiv sein, da sie (wie auch E-Mail-Absender) gefälscht werden kann (Caller ID spoofing). Vergleichbares kennt man auch aus dem Bereich Telefax, wo die Absenderkennung bei unerwünschter Werbesendungen ebenfalls häufig gefälscht oder verschleiert wird.

Blacklists können aber sehr wohl relativ wirksam sein, wenn sie netzseitig greifen, was von machen VoIP-Anbietern angeboten wird. Denn normalerweise sind auch unterdrückte Rufnummern für den Netzbetreiber feststellbar.

Eine besondere Gefahr liegt auch darin, dass SIP-Konten schlimmstenfalls Ziel von Hacker-Angriffen werden könnten und dann für Spam missbraucht werden werden könnten.

Anzeige

weiter...