Auf den Spuren der Internettelefonie

Forensiker kennt jeder aus dem Krimi: Sie sichern Tatorte so ab, dass wichtige Beweise später vor Gericht verwendet werden können. Ihre Arbeit ist Grundlage für Ermittlungen; ohne sie wäre jeder Kommissar aufgeschmissen. Neben den bekannten Fachgebieten wie der forensischen Ballistik (Untersuchung von Geschossen und Geschosswirkungen) und der forensischen Pathologie (Feststellung von Todessursachen) gibt es eine Vielzahl weiterer, eher unbekannter Einsatzbereiche. Findet eine Straftat im Zusammenhang mit IT-Systemen statt, kommen IT-Forensiker zum Zug. Sie erfassen und analysieren Spuren in Computersystemen und werten diese aus. Voice over IP (VoIP) hat die Sprachübertragung letztlich zu einer speziellen Form von Datenübertragung gemacht, deren Spuren sich mit den Methoden der Netzwerk-Forensik analysieren lassen.

Die IT-Forensik ist ein vergleichsweise neues Fachgebiet, das sich wiederum in zwei Spezialgebiete aufteilt. Zum einen gibt es die Computer-Forensik: Sie befasst sich im Wesentlichen mit der Analyse ruhender Daten, also Informationen, die auf einem Datenträger gespeichert sind. Das zweite Fachgebiet ist die Netzwerk-Forensik, die sich mit Daten in Bewegung befasst. Hierzu werden Mitschnitte der Datenübertragung in einem Netzwerk erstellt (sogenannte „Network-Captures“) und auf Beweise in Form von übertragenen Inhalten, aber auch von Kommunikationsmustern und -wegen untersucht.

Durch das voranschreitende Zusammenwachsen von Daten- und Sprachkommunikation gewinnt die IT-Forensik auch im Bereich der Telefonie an Bedeutung. Zum einen sind die meisten modernen Telefonsysteme nichts anderes als hoch spezialisierte Computer, deren Dateisysteme sich in vergleichbarer Weise analysieren lassen. Zum anderen wird ein stetig wachsender Teil der Sprachkommunikation heute bereits nicht mehr über das Festnetz, sondern über das Internet abgewickelt. Die Spuren von VoIP lassen sich mit den Methoden der Netzwerk-Forensik analysieren.

Die Analyse der ruhenden Daten wie beispielsweise Logdateien (Computer-Forensik),  erfordert Kenntnisse des jeweiligen Kommunikationssystems. Dateiformate und Betriebssysteme sind häufig proprietär und somit von Hersteller zu Hersteller bzw. System zu System unterschiedlich. Geht es um die Analyse von Datenströmen (Netzwerk-Forensik), benötigen die Forensiker Kenntnisse pro-prietärer Protokolle und in zunehmendem Maße Kenntnisse von offenen Standards wie Session Initiation Protocol (SIP).

Unter den Vorfällen und auch Straftaten, die IT-Forensiker im Bereich der Internettelefonie untersuchen, finden sich bekannte Szenarien aus dem Bereich der allgemeinen IT-Forensik. Die „VoIP Security Alliance“ (VoIPSA), ein Zusammenschluss aus IT-Unternehmen, Providern und ITK-Experten, definiert beispielsweise Bedrohungen wie „Denial of Service“-Attacken (DoS), bei denen Server durch eine Vielzahl von Anfragen lahmgelegt werden. Es finden sich aber auch spezifische VoIP-Vorfälle, z. B. Gebührenbetrug.

Hacker telefonieren auf Unternehmenskosten

Die meisten Sprachkommunikationssysteme stellen in irgendeiner Form Verbindungsdaten zur Verfügung, die in der Regel zur Abrechnung von geführten Gesprächen genutzt werden. Wird ein Fall von Gebührenbetrug festgestellt, liefern diese Daten erste Hinweise auf die Verursacher. Anfang 2011 machten einige Fälle Schlagzeilen, in denen sich der Ursprung solch unerwünschter Verbindungen u.a. anhand der erfassten Rufnummern auf den Missbrauch unsicher konfigurierter Sprachboxsysteme zurückverfolgen ließ. Hacker haben sich über die Voice-Mail-Boxen von Unternehmen in das Telefonsystem eingeschleust und aus der Ferne Anrufe gestartet. Die betroffenen Firmen hatten den Schaden erst anhand der Telefonrechnung festgestellt, die oft um Tausende von Euro über den gewöhnlichen Werten lag.

Diese Fälle haben gezeigt, dass bei der Internettelefonie vielfach noch keine Sensibilisierung zu Fragen der Sicherheit stattgefunden hat. Gebührendaten und Systemlogs der Telefonanlagen werden selten durch eine permanente Überwachung erfasst, wie sie unter dem Begriff Security Information and Event Management (SIEM) für unternehmenskritische IT-Systeme üblich ist. Wäre dies der Fall, könnten ebenfalls in der IT etablierte Verfahren und Anwendungen zur „Intrusion Detection“ (IDS) bzw. „Intrusion Prevention“ eingesetzt werden. Die Schäden würden begrenzt, zumindest weitere Beweismittel automatisch gesichert, indem Datenströme gezielt überwacht und aufgezeichnet werden. Je stärker sich VoIP durchsetzt, umso größer wird die Bedeutung solcher Netzwerkmitschnitte werden.

Ziel der forensischen Analyse von gespeicherten Verbindungsdaten oder Datenströmen ist es, den Verursacher zu ermitteln. Das gestaltet sich im Falle von VoIP schwieriger als bei klassischen Telefonnetzen, da die Identifikation der Teilnehmer nicht immer eindeutig möglich ist. Am Aufbau einer SIP-Verbindung sind unter Umständen mehrere Server beteiligt. Die Sprachdaten können direkt von einem Endpunkt zum anderen übertragen werden und völlig andere Routen verwenden, also einer punktuellen Netzwerküberwachung entgehen. Einige Angriffsszenarien brauchen keine direkte Rückmeldung, so dass der Initiator eine beliebige Absenderadresse vorgetäuschen kann (IP Address Spoofing). Neben DoS-Attacken wird dies auch zur Suche nach angreifbaren SIP-Servern genutzt, die Hackern kostenlose Verbindung ermöglichen.

Angriffe auf Sprachkommunikationssysteme wird es auch künftig geben. Die Ergebnisse forensischer Analysen können einen Beitrag zu neuen Systemen für die frühzeitige Erkennung und Schadensbegrenzung im VoIP-Umfeld liefern. Die in der IT vorhandenen Methoden müssen stärker mit den Detailkenntnissen von VoIP- und TK-Experten kombiniert werden, um die Erkennung und Verfolgung von Missbrauchsfällen zu beschleunigen und zu verbessern.

Die Fangschaltung in Zeiten von ISDN

Im klassischen öffentlichen Telefonnetz waren die Endpunkte einer Verbindung in der Regel mit etwas Aufwand eindeutig bestimmbar. Mit der Digitalisierung der Vermittlungsstellen wurde dieses als Fangschaltung bekannte Verfahren der Leitungsverfolgung endgültig durch die computergestützte Methode zur „Malicious Caller Identification“ (MCID) verdrängt. Entsprechende Verbindungsdaten bleiben bei den Telekommunikationsanbietern mindestens bis zur Erstellung der Rechnung erhalten. Mit der (Wieder-)Einführung der Vorratsdatenspeicherung könnten solche Informationen für die Strafverfolgungsbehörden ggf. auch noch nach längeren Zeiträumen verfügbar gemacht werden. Privatanwender und Unternehmen sollten hingegen beachten, das eine fallweise oder gar permanente Erfassung von Datenströmen und Verbindungsdaten gegen verschiedenste gesetzliche Regelung zum Datenschutz und der informationellen Selbstbestimmung sowie das in § 88 des Telekommunikationsgesetz geregelte Fernmeldegeheimnis verstoßen können.

Quelle: Jan-Tilo Kirchhoff, Aastra Deutschland GmbH

Bildquelle: Aastra