Die stille Invasion: Hunderte PBX-Systeme unter Kontrolle von Angreifern

Stellen Sie sich vor, jemand würde in die Telefonanlage eines Unternehmens eindringen – unbemerkt, ungestört und mit vollständiger Kontrolle. Genau das passiert derzeit hundertfach im Internet. Sicherheitsforscher haben eine massive Kompromittierungswelle bei FreePBX-Installationen entdeckt, und das Beunruhigende ist nicht nur die Anzahl der betroffenen Systeme, sondern die Tatsache, dass viele Betreiber davon gar nichts wissen.

FreePBX ist eine Open-Source-Software für Telefonanlagen. Für Unternehmen jeder Größe ist sie attraktiv, weil sie kostenlos ist und große Flexibilität bietet. Kleine Firmen, Handwerksbetriebe, Arztpraxen – überall findet sich FreePBX in den Servern. Die Software verwaltet Anrufe, verbindet Mitarbeiter, leitet Kundengespräche weiter. Sie ist also eigentlich ziemlich zentral für den täglichen Geschäftsbetrieb, auch wenn kaum jemand darüber nachdenkt. Das ist auch das Problem: Während manche IT-Chefs ihre Systeme akribisch überwachen, geraten solche Telefonanlagen oft in Vergessenheit. Sie laufen ja, und solange Anrufe ankommen, scheint alles in Ordnung zu sein.

Die aktuelle Situation unterscheidet sich fundamental von üblichen Sicherheitslücken. Hier handelt es sich nicht um eine brandneue Schwachstelle, die Hacker zufällig entdeckt haben. Stattdessen nutzen Angreifer bekannte Sicherheitsmängel aus – Lücken, die Entwickler teils bereits gepatcht haben, bei denen aber viele Betreiber das Update einfach nicht eingespielt haben. Das ist wie die Haustür zu sperren, während der Schlüssel noch steckt: Die Lösung ist da, wird aber nicht angewendet.

Was passiert, wenn jemand eine FreePBX-Anlage kappt? Das ist nicht harmlos. Angreifer können die komplette Telefonanlage kontrollieren. Sie können Anrufe abhören, Gespräche aufzeichnen, die Konfiguration ändern, oder schlimmer noch: Sie können das System als Drehscheibe für weitere Attacken im Netzwerk des Unternehmens nutzen. Manche Hacker missbrauchen solche Anlagen auch für internationale Telefonbetrügereien oder vermitteln kostenpflichtige Nummern durch die kompromittierte Anlage – die Kosten landen dann beim tatsächlichen Betreiber. Eine solche Manipulation kann schnell vierstellige Euro-Beträge pro Tag kosten.

Besonders tückisch ist die Invisibilität dieser Angriffe. Die Telefone funktionieren weiter. Mitarbeiter merken nichts. Und genau das macht diese Kampagne so erfolgreich. Die Hacker brauchen nicht schnell zu handeln oder Alarm zu schlagen. Sie sitzen in den Systemen, warten, beobachten und nutzen die Zeit für ihre Ziele. Manche dieser Infiltrationen laufen wahrscheinlich schon seit Monaten unentdeckt.

Die Frage ist nun: Wie konnte es so weit kommen? Das Antwort liegt in einer Kombination aus älteren Sicherheitslücken und klassischer menschlicher Vernachlässigung. FreePBX-Systeme sind oft nicht korrekt konfiguriert. Viele laufen mit Standardpasswörtern, sind nicht hinter Firewalls versteckt oder werden nicht regelmäßig aktualisiert. Wer eine Telefonanlage aufgesetzt hat, kümmert sich oft nicht um Updates – das ist nicht das Geschäft des Inhabers, und der IT-Spezialist ist vielleicht gar nicht zuständig.

Für normale Benutzer bedeutet das konkret: Wenn Sie bei einem Unternehmen arbeiten oder mit einem solchen zu tun haben, könnte jemand unbemerkt Ihre Telefongespräche belauschen. Ihre Daten, die Sie am Telefon durchgeben, könnten abgefangen werden. Firmengeheimnisse, die in Telefonkonferenzen besprochen werden, landen möglicherweise bei Konkurrenten. Das ist nicht theoretisch. Das passiert gerade.

Für Unternehmer ist die Lage beängstigend: Wer weiß schon genau, ob die alte Telefonanlage noch original-sicher läuft? Die Sicherheitsforscher haben hunderte infizierte Instanzen identifiziert, aber vermutlich gibt es noch mehr, die bislang nicht entdeckt wurden. Das ist wie Feuer im Haus – je länger man nicht hinguckt, desto größer wird das Problem.

Was sollte man tun? Unternehmen müssen ihre FreePBX-Systeme sofort überprüfen. Sind sie auf dem neuesten Stand? Laufen darin noch Standardpasswörter? Sind sie vom Internet erreichbar, obwohl sie das nicht sein sollten? Das sind einfache, aber kritische Fragen. Und hier liegt auch die Hoffnung: Mit relativ wenig Aufwand lässt sich das meiste absichern. Updates einspielen, Passwörter ändern, die Anlage nicht direkt ins Internet hängen – das ist Basis-Hygiene, nicht Raketenwissenschaft.

Die eigentliche Lehre aus dieser Welle ist älter als das Internet selbst: Sicherheit ist nicht etwas, das man einmal einstellt und dann vergessen kann. Sie braucht kontinuierliche Aufmerksamkeit. Und gerade bei Systemen, die "einfach laufen", wird diese Aufmerksamkeit am ehesten vergessen – mit teils großen Konsequenzen.

Quelle: www.heise.de