RiLi-VoIP-Einsatz

Mustervorlage: "Richtlinie VoIP-Einsatz"

Diese Richtlinie definiert verbindliche technische und organisatorische Maßnahmen für einen sicheren VoIP-Einsatz im Unternehmen. Erfahren, wie On-Premise- und Cloudbasierte VoIP-Lösungen datenschutzkonform implementiert und betrieben werden, um Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten.

Einleitung

Diese Richtlinie legt den verbindlichen Rahmen für den sicheren und datenschutzkonformen Einsatz von VoIP-Technologien in der Organisation fest. Dabei sollen die Vertraulichkeit, Integrität und Verfügbarkeit von Sprach- und Kommunikationsdaten gewährleistet und gleichzeitig die gesetzlichen Vorgaben – insbesondere der Datenschutz-Grundverordnung (DSGVO) und weiterer relevanter IT-Sicherheitsstandards – erfüllt werden.

Mit dieser Vorgabe wird eine ganzheitliche Sicherheitsstrategie etabliert, die durch regelmäßige Risikoanalysen, kontinuierliche Schulungen und regelmäßige Audits stetig an den aktuellen Stand der Technik angepasst wird.

Durch die konsequente Umsetzung dieser Richtlinie soll ein hohes Schutzniveau erreicht werden, das den dynamischen Anforderungen moderner Kommunikationssysteme Rechnung trägt und die sichere, flexible und effiziente Nutzung von VoIP im organisationsweiten Alltag unterstützt.

Zweck und Zielsetzung

Diese Richtlinie definiert den sicheren, datenschutzkonformen und effizienten Einsatz von Voice over IP (VoIP) in der Organisation. Ziel ist es, durch geeignete technische und organisatorische Maßnahmen die Integrität, Vertraulichkeit und Verfügbarkeit unserer sprachbasierten Kommunikationsdaten sicherzustellen.

Die Richtlinie dient als Grundlage zur Realisierung eines integrierten Sicherheitskonzeptes und zur Einhaltung gesetzlicher Vorgaben (u. a. DSGVO, BDSG, IT-Sicherheitsgesetz).

Geltungsbereich

Diese Richtlinie gilt für alle Standorte sowie für sämtliche Systeme und Prozesse, in denen VoIP-Dienste eingesetzt werden. Der Anwendungsbereich umfasst:

On‑Premise‑Lösungen: Unsere eigene VoIP‑Infrastrukturen, inkl. lokaler IP‑PBX, Endgeräte, Session Border Controller (SBC) und interner Netzwerke.

Cloud‑basierte Lösungen: Alle VoIP-Dienste, die über externe Dienstleister bereitgestellt werden, inkl. der vertraglichen, technischen und organisatorischen Anforderungen an Auftragsverarbeiter.

Die Richtlinie richtet sich an alle Mitarbeitenden, IT‑Verantwortliche, Sicherheitsbeauftragte sowie an externe Dienstleister und Partner, die in den VoIP‑Betrieb eingebunden sind.

Begriffsdefinitionen

VoIP (Voice over IP): Übertragung von Sprach- und Multimediainhalten über paketvermittelnde IP-Netzwerke.
On‑Premise: Eigene, intern gehostete Lösungen, bei denen die gesamte VoIP‑Infrastruktur im Unternehmen betrieben wird.
Cloud‑Lösung: Extern bereitgestellte VoIP‑Dienste, bei denen der Anbieter für Betrieb, Sicherheit und Datenschutz verantwortlich ist.
SIP (Session Initiation Protocol): Standardprotokoll zur Einrichtung, Verwaltung und Beendigung von VoIP-Verbindungen.
RTP/SRTP: Protokolle für den Transport von Sprachdaten; SRTP sichert diese durch Verschlüsselung.
TOM (technische und organisatorische Maßnahmen): Umsetzungsmaßnahmen, die zur Gewährleistung der Sicherheit und des Datenschutzes in der Datenverarbeitung erforderlich sind.

Grundsätze

Die VoIP‑Nutzung der Organisation orientiert sich an folgenden Grundsätzen:

Sicherheit durch Technik und Organisation: Alle VoIP-Komponenten sind gemäß dem Stand der Technik abzusichern. Technische Maßnahmen (z. B. Verschlüsselung, Authentifizierung) und organisatorische Maßnahmen (z. B. Schulungen, Richtlinien) ergänzen sich.
Datenschutz und Compliance: Die Verarbeitung personenbezogener Daten über VoIP muss gemäß DSGVO, BDSG und weiteren relevanten Vorschriften erfolgen. Es sind Mindestanforderungen an Vertraulichkeit, Integrität und Verfügbarkeit einzuhalten.
Risikobasierter Ansatz: Regelmäßige Risikoanalysen sind durchzuführen. Die Maßnahmen sind dem individuellen Schutzbedarf anzupassen – sowohl bei On‑Premise‑Lösungen als auch bei Cloud‑Diensten.
Transparenz und Dokumentation: Alle implementierten Maßnahmen sowie Verantwortlichkeiten, Prozesse und Schnittstellen sind detailliert zu dokumentieren und regelmäßig zu überprüfen.

Verantwortlichkeiten und Zuständigkeiten

Geschäftsführung: Genehmigung der Richtlinie, Festlegung der Sicherheitsziele und Bereitstellung erforderlicher Ressourcen.
Informationssicherheitsbeauftragte: Überwachung der Implementierung technischer und organisatorischer Maßnahmen, Durchführung von Risikoanalysen und Koordination von Audits.
IT-Abteilung: Technische Umsetzung, regelmäßiges Patchmanagement, Netzwerksegmentierung und Überwachung der VoIP-Infrastruktur.
Datenschutzbeauftragte: Sicherstellung der DSGVO-konformen Verarbeitung personenbezogener Daten, Unterstützung bei der Risikoanalyse und der Dokumentation von TOMs.
Externe Dienstleister: Einhaltung der vertraglich vereinbarten Sicherheits- und Datenschutzmaßnahmen sowie regelmäßige Zusammenarbeit bei Audits.

Technische Maßnahmen

Verschlüsselung und Authentifizierung

Signalisierung: Absicherung der SIP-Verbindungen mittels TLS, um Manipulationen und Abhören zu verhindern.
Medienverkehr: Einsatz von SRTP zur Verschlüsselung der Sprachdaten. Alternativ kann in spezifischen Einsatzszenarien ZRTP zum Schlüsselmanagement und zur Ende-zu-Ende-Verschlüsselung genutzt werden.
Authentifizierungsmechanismen: Implementierung von multifaktorieller Authentifizierung (MFA) und Einsatz digitaler Zertifikate für den Zugriff auf VoIP-Systeme. Regelmäßiger Wechsel und sichere Verwaltung von Passwörtern sind zwingend.

Netzwerksegmentierung und Perimeterschutz

Segmentierung: Einrichtung separater VLANs oder Subnetze, um VoIP-Traffic von Datenverkehr in anderen Bereichen zu isolieren.
Session Border Controller (SBC): Als Gatekeeper zwischen internen und externen Netzwerken, um unautorisierten Zugriff zu unterbinden und DoS-/DDoS-Angriffe zu minimieren.
Firewalls, IDS/IPS: Konfiguration und kontinuierliche Überwachung des VoIP-Datenverkehrs zur Früherkennung und Blockierung von Angriffen.

Software- und Patchmanagement

Regelmäßige Updates: Sofortige Installation von Sicherheitsupdates für alle Komponenten (VoIP-Clients, Server, Endgeräte).
Monitoring: Einsatz von Monitoring-Tools zur Überwachung von Netzwerk- und Systemaktivitäten, um Anomalien frühzeitig zu erkennen.

Organisatorische Maßnahmen

Schulung und Sensibilisierung

Awareness-Programme: Regelmäßige Schulungen und Workshops für Mitarbeitende zu den Risiken und sicheren Nutzungspraktiken im Umgang mit VoIP.
Informationskampagnen: Bereitstellung von Guidelines, Checklisten und FAQs, die den sicheren Einsatz von VoIP erläutern.

Richtlinien und Prozesse

Dokumentation: Erstellung und Pflege einer VoIP-Betriebsdokumentation, die alle technischen und organisatorischen Maßnahmen beschreibt.
Vier-Augen-Prinzip: Einsatz bei kritischen Konfigurationseinstellungen und Änderungen in der VoIP-Infrastruktur.
Incident-Response-Plan: Definition von Prozessen zur schnellen Reaktion, Analyse und Behebung von Sicherheitsvorfällen in VoIP-Systemen.

Auswahl und Überwachung von Dienstleistern

Vertragliche Absicherung: Abschluss von Auftragsverarbeitungsverträgen (AV-Verträgen) mit Cloud-Anbietern, die klare Sicherheitsvorgaben und Revisionsrechte beinhalten.
Audits und Zertifizierungen: Regelmäßige Überprüfung der Sicherheitsmaßnahmen von externen VoIP-Dienstleistern (z. B. Zertifizierung nach ISO 27001 oder BSI IT-Grundschutz).

Umsetzung und Kontrolle

Umsetzung

Projektplanung: Erstellung eines detaillierten Umsetzungsplans mit Priorisierung der Maßnahmen, Fristen, Budgetierung und Ressourcenzuweisung.
Pilotphase: Einführung der Maßnahmen in einer Testumgebung (z. B. im Rahmen eines Pilotprojekts) vor der vollständigen Implementierung.
Integration in das ISMS: Einbettung der VoIP-Richtlinie in das bestehende Informationssicherheitsmanagementsystem (ISMS).

Kontrolle und Monitoring

Interne Audits: Regelmäßige Überprüfungen und Tests der VoIP-Infrastruktur und der implementierten Maßnahmen.
Externe Audits: Durchführung von Penetrationstests und Sicherheitsüberprüfungen durch unabhängige Dritte.
Reporting: Einrichtung eines kontinuierlichen Monitoring-Systems sowie regelmäßige Berichterstattung an die Geschäftsführung.

Schlussbemerkung

Durch die konsequente Umsetzung dieser Richtlinie wird ein sicherer und datenschutzkonformer Betrieb von VoIP-Lösungen gewährleistet. Dies bildet die Grundlage für eine nachhaltige und risikobasierte Kommunikation der Organisation im digitalen Zeitalter.

Behandlung von Ausnahmen

Ausnahmen von den Regelungen dieser Richtlinie sind nur mit einem begründeten Ausnahmeantrag im Rahmen des Ausnahmemanagements möglich.

Revision

Diese Richtlinie wird regelmäßig, jedoch mindestens einmal pro Jahr, durch den Regelungsverantwortlichen auf Aktualität und Konformität geprüft und bei Bedarf angepasst.

Inkrafttreten

Diese Richtlinie tritt zum 01.01.2222 in Kraft.

Freigegeben durch: Organisationsleitung

Ort, 01.12.2220,

Unterschrift, Name der Leitung