3CX Sicherheit & Verschlüsselung - Vollständiger Admin-Guide

Veröffentlicht: 26. April 2026 | Lesedauer: 12 Minuten | Kategorie: Sicherheit & Administration

Die Sicherheit Ihrer 3CX-Telefonanlage ist nicht verhandelbar. Als BitBlade-Partner wissen wir, dass moderne VoIP-Systeme zahlreichen Bedrohungen ausgesetzt sind – von Toll Fraud über Abhöraktionen bis hin zu DoS-Angriffen. Dieser Leitfaden zeigt Ihnen Schritt für Schritt, wie Sie Ihre 3CX-Installation vollständig absichern, Verschlüsselung konfigurieren und dabei GDPR-konform arbeiten.

VoIP-Sicherheitsbedrohungen verstehen

Bevor wir in die Konfiguration einsteigen, ist es wichtig, die Bedrohungslandschaft zu verstehen. VoIP-Systeme sind attraktive Ziele für Cyberkriminelle, da sie direkt auf Zahlungssysteme und sensible Kommunikationskanäle zugreifen können.

Toll Fraud (Telefonbetrug)

Unbefugte Angreifer nutzen Ihre 3CX-Installation, um teure internationale Anrufe zu tätigen. Ein einzelner Toll-Fraud-Angriff kann Kosten in fünfstelliger Höhe verursachen. Die Gefahr ist besonders groß, wenn SIP-Trunks schlecht gesichert oder Passwörter schwach sind.

Abhöraktionen und Datendiebstahl

Unverschlüsselte VoIP-Verbindungen können mitgeschnitten werden. Sensible Informationen, die während Anrufen ausgetauscht werden, sind dann für Angreifer zugänglich. Dies ist besonders problematisch für medizinische Praxen, Anwaltskanzleien und Finanzunternehmen.

Denial-of-Service (DoS)-Angriffe

Angreifer überfluten Ihre 3CX-Installation mit Anfragen, um den Dienst zum Erliegen zu bringen. Dies kann zu massiven Produktivitätsverlusten führen und Ihre Kommunikation völlig lahmlegen.

Credentials Harvesting

Schwache oder wiederverwendete Passwörter sind ein Einfallstor für Angreifer. Einmal erbeutet, können diese Zugangsdaten zur Kompromittierung des gesamten Systems führen.

TLS und SRTP Verschlüsselung konfigurieren

TLS (Transport Layer Security) und SRTP (Secure Real-time Transport Protocol) sind die Standardprotokolle zur Verschlüsselung von VoIP-Kommunikation. Ihre Implementierung ist eine der wichtigsten Maßnahmen zur Sicherung Ihrer 3CX-Installation.

Was ist TLS?

TLS verschlüsselt die SIP-Signalisierung – also die Kontrollinformationen, die für das Aufbauen und Verwalten von Anrufen notwendig sind. Ohne TLS können Angreifer diese Signalisierungsdaten auslesen und manipulieren.

Was ist SRTP?

SRTP verschlüsselt das eigentliche Sprachmaterial. Damit wird verhindert, dass Anrufe von unbefugten Personen mitgeschnitten werden können. SRTP ist essentiell für medizinische, rechtliche und finanzielle Kommunikation.

Schritt-für-Schritt: TLS aktivieren

Öffnen Sie die 3CX Management Console und navigieren Sie zu Settings > VoIP > SIP
Setzen Sie den Parameter Enable TLS auf Yes
Wählen Sie unter SIP Port einen Port > 1024 aus (Standard: 5061)
Stellen Sie sicher, dass TCP als Transportprotokoll verwendet wird
Speichern Sie die Einstellungen und führen Sie einen Dienst-Neustart durch

Schritt-für-Schritt: SRTP aktivieren

Gehen Sie zu Settings > VoIP > Extensions
Aktivieren Sie für alle Extensions den Parameter SRTP
Setzen Sie SRTP Mode auf Mandatory
Bestätigen Sie, dass alle verbundenen Geräte SRTP unterstützen
Führen Sie umfassende Tests durch, um Kompatibilität zu gewährleisten

SSL-Zertifikat Management

Ein gültiges SSL-Zertifikat ist die Grundlage für sichere TLS-Verbindungen. Viele 3CX-Installationen scheitern bei der Sicherung, weil Zertifikate abgelaufen sind oder falsch konfiguriert wurden.

Zertifikat-Typ	Gültigkeitsdauer	Empfehlung
Self-Signed (Selbstsigniert)	1-5 Jahre	Nur für Tests, nicht für Produktion
Let's Encrypt	90 Tage	Kostenlos, automatische Erneuerung empfohlen
Kommerzielles Zertifikat	1-3 Jahre	Beste Wahl für Produktion und Unternehmensumgebungen

Zertifikat installieren und erneuern

Navigieren Sie zu Settings > Security > SSL Certificate
Überprüfen Sie das aktuelle Zertifikat und sein Ablaufdatum
Für Let's Encrypt: Klicken Sie auf Apply Let's Encrypt Certificate
Für kommerzielle Zertifikate: Laden Sie das Zertifikat und den privaten Schlüssel hoch
Testen Sie die Verbindung mit openssl s_client -connect your-3cx.bitblade.io:5061
Richten Sie automatische Erneuerung ein, um Ausfallzeiten zu vermeiden

Wichtig: Implementieren Sie eine Monitoring-Lösung, die Sie vor ablaufenden Zertifikaten warnt. Viele 3CX-Installationen wurden durch abgelaufene Zertifikate kompromittiert, nicht durch aktive Angriffe.

Passwortrichtlinien und Enforcement

Schwache Passwörter sind eine der häufigsten Ursachen für 3CX-Kompromittierungen. BitBlade empfiehlt ein mehrstufiges Passwort-Management-System.

Minimale Anforderungen für Admin-Konten

Mindestens 14 Zeichen länger
Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen erforderlich
Keine Wiederverwendung der letzten 10 Passwörter
Regelmäßiger Wechsel alle 90 Tage
Account Lockout nach 5 fehlgeschlagenen Versuchen (30 Minuten)

Anforderungen für Benutzer-Extensions

Mindestens 6-8 Zeichen
Automatisch generierte, sichere Passwörter bevorzugt
Erste Anmeldung mit erzwungenem Passwort-Wechsel
Benutzerdefinierte Passwort-Expiration (optional)

Passwort-Richtlinien konfigurieren

Gehen Sie zu Settings > Security > Password Policy
Setzen Sie Minimum Length auf mindestens 12 Zeichen
Aktivieren Sie Require Uppercase, Numbers, Special Characters
Konfigurieren Sie Password Expiration auf 90 Tage
Setzen Sie Account Lockout Threshold auf 5 Versuche
Definieren Sie Lockout Duration auf 30 Minuten

Anti-Hacking-Maßnahmen: IP-Blacklisting und Rate Limiting

Moderne Angriffe nutzen Brute-Force-Techniken und automatisierte Tools. 3CX bietet mehrere Mechanismen zur Abwehr dieser Angriffe.

IP-Blacklisting

Implementieren Sie automatisches IP-Blacklisting für verdächtige Quellen. Nach wiederholten fehlgeschlagenen Anmeldeversuchen sollten IP-Adressen automatisch blockiert werden.

Rate Limiting konfigurieren

Navigieren Sie zu Settings > Security > DDoS Protection
Aktivieren Sie Enable Rate Limiting
Setzen Sie Requests per Second auf 100 (oder entsprechend Ihrer Größe)
Definieren Sie Ban Duration auf 24 Stunden nach Threshold-Überschreitung
Konfigurieren Sie Automatic Whitelist für vertrauenswürdige SIP-Trunks

IP-Whitelisting für kritische Systeme

Für besonders kritische Umgebungen empfehlen wir Whitelisting: Nur bekannte IP-Adressen dürfen sich mit der 3CX anmelden. Dies reduziert das Angriffspotential erheblich, benötigt aber genaue Dokumentation.

Zwei-Faktor-Authentifizierung (2FA)

2FA ist eine der effektivsten Maßnahmen gegen Credential Harvesting. Selbst wenn ein Passwort gestohlen wird, kann der Angreifer ohne den zweiten Faktor nicht eindringen.

2FA-Methoden in 3CX

TOTP (Time-based One-Time Password): Mit Authenticator-Apps wie Google Authenticator oder Authy
Email-basierter Code: Einfach, aber weniger sicher als TOTP
SMS-basierter Code: Weit verbreitet, aber anfällig für SIM-Swapping
Hardware-Token: Höchste Sicherheit, aber kostspieliger

2FA für Admin-Konten aktivieren

Melden Sie sich als Administrator an
Gehen Sie zu My Profile > Two-Factor Authentication
Wählen Sie TOTP als Methode (empfohlen)
Scannen Sie den QR-Code mit einer Authenticator-App
Generieren Sie Backup-Codes und speichern Sie diese sicher
Testen Sie die Anmeldung mit dem neuen 2FA-System

2FA für alle Benutzer erzwingen

Unter Settings > Security > Authentication können Sie 2FA für alle Benutzer mandatorisch machen. BitBlade empfiehlt dies für alle Produktionsumgebungen.

Sichere Remote-Zugriffe (HTTPS und VPN)

Remote-Arbeit ist heute Standard. Ihre 3CX muss von überall sicher erreichbar sein – aber nur für autorisierte Benutzer.

HTTPS-Enforcement

Die Management Console muss immer über HTTPS laufen. HTTP-Verbindungen ermöglichen Man-in-the-Middle-Angriffe und sollten blockiert sein.

HTTPS konfigurieren

Navigieren Sie zu Settings > Security > HTTPS
Aktivieren Sie Force HTTPS
Setzen Sie HTTPS Port auf 443 (Standard)
Aktivieren Sie HSTS (HTTP Strict Transport Security) mit max-age=31536000
Leiten Sie alle HTTP-Anfragen automatisch zu HTTPS um

VPN für erweiterte Sicherheit

Für besonders sensitive Umgebungen empfehlen wir, die 3CX vollständig hinter einem VPN zu verstecken. So kann auf die Management Console nur über die VPN-Verbindung zugegriffen werden. Dies eliminiert das Risiko von direkten Internetzugriffen völlig.

Implementieren Sie OpenVPN oder WireGuard auf dem 3CX-Server
Verwenden Sie Zertifikat-basierte Authentifizierung für VPN-Clients
Beschränken Sie VPN-Zugriff auf bekannte IP-Adressen
Monitoren Sie alle VPN-Verbindungen und Zugriffszeiten

GDPR-Compliance und Datenschutz

Die GDPR (Datenschutz-Grundverordnung) regelt die Verarbeitung von personenbezogenen Daten in der EU. VoIP-Systeme sammeln Gesprächsmetadaten und Aufzeichnungen, die unter die GDPR fallen.

Wichtige GDPR-Anforderungen für 3CX

Dokumentieren Sie alle Datenverarbeitungsprozesse (Data Processing Agreement)
Implementieren Sie Datenschutz durch Design und Voreinstellung
Verschlüsseln Sie alle Gesprächsaufzeichnungen
Definieren Sie klare Aufbewahrungsrichtlinien für Aufzeichnungen
Implementieren Sie automatische Löschung nach Ablauf der Aufbewahrungszeit
Gewähren Sie Benutzern Zugriff auf ihre eigenen Daten

Audit-Logging für GDPR

Aktivieren Sie unter Settings > Security > Audit Log vollständiges Logging
Speichern Sie Audit-Logs für mindestens 12 Monate
Definieren Sie, wer auf Audit-Logs zugreifen darf (Least Privilege Principle)
Implementieren Sie Log-Rotation, um Speicherplatz zu sparen
Verwenden Sie zentrale Log-Speicherung (Syslog) für bessere Auditierbarkeit

Aufbewahrungsrichtlinien konfigurieren

Unter Settings > Logging > Call Recording definieren Sie die Aufbewahrungsdauer für Aufzeichnungen. BitBlade empfiehlt:

Gesprächsmetadaten: 90 Tage
Vollständige Aufzeichnungen: 30 Tage (oder entsprechend Unternehmensrichtlinien)
Automatische Löschung: Aktiviert

Umfassende Audit-Logging-Strategie

Logging ist nicht nur für GDPR-Compliance wichtig – es ist Ihre erste Verteidigungslinie gegen unentdeckte Angriffe und Fehlkonfigurationen.

                    Was sollte geloggt werden?
                    Alle Anmeldeversuche (erfolgreich und fehlgeschlagen)
Konfigurationsänderungen an kritischen Einstellungen
Extension-Erstellen, -Löschen und -Modifizieren
Benutzer-Berechtigungen und Rollenänderungen
Toll-Fraud-verdächtige Anrufe (ungewöhnliche Ziele)
Systemfehler und Exceptions
Sicherheitsereignisse (Blacklisting, Rate Limiting)

                

Zentrales Logging mit Syslog

Richten Sie einen Syslog-Server ein (ELK Stack, Graylog oder ähnlich)
Navigieren Sie zu Settings > Logging > Syslog Configuration
Geben Sie die IP und den Port des Syslog-Servers ein
Wählen Sie Enable Syslog aus
Testen Sie die Verbindung mit einem Test-Log-Entry
Konfigurieren Sie Alert-Regeln für verdächtige Aktivitäten

Log-Analyse und Anomalieerkennung

Implementieren Sie automatische Alerts für:

Mehrere fehlgeschlagene Anmeldeversuche in kurzer Zeit
Zugriff auf die Konfiguration außerhalb normaler Geschäftszeiten
Anrufe zu unbekannten, teuren Nummern (Toll Fraud)
Ungewöhnliche Datenmenge oder Verbindungsdauer

Sicherheits-Audit-Checkliste für Administratoren

Verwenden Sie diese Checkliste für regelmäßige Sicherheitsaudits (mindestens vierteljährlich):

Grundlegende Sicherheit

☐ SSL-Zertifikat überprüfen (Ablaufdatum, Gültigkeit)
☐ TLS für alle SIP-Verbindungen aktiviert
☐ SRTP für alle Extensions erzwungen
☐ Admin-Passwort seit letztem Audit geändert
☐ 2FA für alle Admin-Konten aktiv
☐ Passwort-Richtlinien entsprechen Anforderungen

Zugriffskontrolle und Benutzerverwaltung

☐ Alle inaktiven Benutzer gelöscht oder deaktiviert
☐ Berechtigungen folgen dem Least-Privilege-Prinzip
☐ Keine unnötigen Admin-Konten vorhanden
☐ Benutzer-Listen mit Rollen durchgesehen
☐ Externe Zugänge (API-Keys) überprüft
☐ Service-Accounts mit Passwörtern neu evaluiert

Netzwerk und Firewall

☐ Firewall-Regeln auf Notwendigkeit überprüft
☐ Unnötige Ports werden nicht von außen erreichbar
☐ SIP-Trunks nur von zuverlässigen Providern aktiviert
☐ DDoS-Schutz und Rate Limiting konfiguriert
☐ IP-Whitelisting für kritische Bereiche implementiert
☐ Keine Default-Credentials in Verwendung

Monitoring und Logging

☐ Audit-Logs für die letzten 90 Tage vollständig
☐ Syslog an zentrales System gesendet
☐ Alerts für verdächtige Aktivitäten konfiguriert
☐ Logs regelmäßig überprüft (mindestens wöchentlich)
☐ Keine sensiblen Daten in Logs gespeichert
☐ Log-Retention-Richtlinien dokumentiert

Compliance und Dokumentation

☐ GDPR Data Processing Agreement vorhanden
☐ Datenschutzerklärung aktuell und veröffentlicht
☐ Benutzer wurden über Datenaufbewahrung informiert
☐ Aufbewahrungsrichtlinien sind konfiguriert und funktionieren
☐ Disaster-Recovery-Plan existiert und wurde getestet
☐ Sicherheitsdokumentation ist aktuell

BitBlade Sicherheits-Best-Practices für 3CX

Als langjähriger BitBlade-Partner haben wir Best Practices entwickelt, die Ihre 3CX-Installation maximal absichern:

1. Defense in Depth

Verlassen Sie sich nicht auf eine einzelne Sicherheitsmaßnahme. Kombinieren Sie mehrere Layer: Firewall + VPN + 2FA + TLS + Rate Limiting. Ein einzelner fehlgeschlagener Layer stoppt Angreifer nicht.

2. Regelmäßige Updates

3CX veröffentlicht regelmäßig Sicherheits-Patches. Installieren Sie diese zeitnah (innerhalb von 2-4 Wochen nach Veröffentlichung). Viele Sicherheitslücken werden aktiv ausgenutzt.

3. Separation of Duties

Keine Person sollte uneingeschränkten Admin-Zugriff haben. Verwenden Sie Rollen: Benutzer-Admin (erstellt Extensions), Security-Admin (verwaltet Sicherheitsrichtlinien), System-Admin (handles Backups und Updates).

4. Regelmäßige Backups

Sicherung ist auch Sicherheit. Erstellen Sie täglich Backups und testen Sie diese vierteljährlich. Ransomware ist eine wachsende Bedrohung für VoIP-Systeme.

5. Penetrationstests

Beauftragen Sie jährlich ein Penetrationstesting durch Sicherheitsexperten. Dies zeigt echte Schwachstellen auf, die automatisierte Scanner übersehen.

6. Benuterschulung

Die beste Technologie nützt nichts, wenn Benutzer Passwörter weitergeben oder Phishing-Mails klicken. Investieren Sie in regelmäßige Sicherheitsschulung.

7. Incident Response Plan

Haben Sie einen klaren Plan für den Fall eines Sicherheitsvorfalls. Wer wird benachrichtigt? Wie werden Logs gesichert? Wie wird der Betrieb wiederhergestellt?

Häufig gestellte Fragen zur 3CX-Sicherheit

Wie oft sollte ich meine 3CX-Sicherheit überprüfen?

BitBlade empfiehlt ein kontinuierliches Sicherheitsmodell mit mindestens vierteljährlichen umfassenden Audits. Sicherheitschecks sollten monatlich stattfinden, und Logs sollten mindestens wöchentlich überprüft werden.

Was ist der Unterschied zwischen TLS und SRTP?

TLS verschlüsselt die SIP-Signalisierung (Verbindungsaufbau), während SRTP das eigentliche Sprachmaterial verschlüsselt. Beide sind notwendig für vollständige Verschlüsselung. TLS ohne SRTP bedeutet, dass Anrufe still mitgeschnitten werden können.

Ist Toll Fraud wirklich so häufig?

Ja. Unsichere 3CX-Installationen werden innerhalb von Tagen nach Internet-Verfügbarkeit kompromittiert. Ein Fall kann fünfstellige Kosten verursachen. Das Risiko ist real und Prävention ist kostengünstiger als Schadensersatz.

Kann ich 2FA optional machen?

Für Admin-Konten: Nein, BitBlade empfiehlt Pflicht. Für Benutzer-Extensions: Das hängt von Ihrer Risikobereitschaft ab. In sicherheitsempfindlichen Branchen (Medizin, Recht, Finanzen) sollte 2FA auch für Benutzer obligatorisch sein.

Welche Informationen sind GDPR-relevant?

Gesprächsprotokolle (wer mit wem sprach), Aufzeichnungen, Gesprächsdauer und sogar anonymisierte Metadaten fallen unter GDPR. Sie müssen transparent über Datensammlung berichten und Benutzer können Löschung verlangen.

Wie erkenne ich einen Toll-Fraud-Angriff?

Achten Sie auf plötzliche Anrufe zu exotischen Zielen (Somalia, Irak), zu ungewöhnlichen Zeiten oder abnormale Gesprächsdauern. Setzen Sie Alerts in Ihrem Billing-System für ungewöhnliche Kosten.

Sind Self-Signed-Zertifikate für Produktion akzeptabel?

Nein. Self-Signed-Zertifikate verursachen Browser-Warnungen und sind unprofessionell. Nutzen Sie kostenlose Optionen wie Let's Encrypt oder investieren Sie in ein kommerzielles Zertifikat.

Wie kann ich meine 3CX vollständig hinter einem VPN verstecken?

Installieren Sie OpenVPN oder WireGuard auf dem 3CX-Server. Begrenzen Sie den Management-Console-Zugriff auf VPN-Clients. Dies eliminiert das Risiko von direkten Internetangriffen völlig.

Brauchen Sie professionelle Hilfe bei der Sicherung Ihrer 3CX?

BitBlade bietet umfassende Sicherheitsberatung, Konfiguration und laufendes Monitoring für 3CX-Installationen. Unsere Sicherheitsexperten können eine Sicherheitsbewertung durchführen und einen maßgeschneiderten Sicherheitsplan entwickeln.

Sicherheitskonsultation anfordern Managed Security Services erfahren