3CX Sicherheit — Firewall, Verschlüsselung, Hardening

3CX ist als Telefonanlage ein bevorzugtes Ziel für automatisierte SIP-Scans und Brute-Force-Versuche gegen das Admin-Portal. Dieser Guide zeigt, welche Ports wirklich geöffnet sein müssen, wie die eingebauten Schutzmechanismen funktionieren und was Sie zusätzlich konfigurieren sollten.

Wofür ist das und wann brauche ich das?

Relevant für jeden, der 3CX selbst betreibt (Debian-ISO, eigenes Rechenzentrum oder Cloud-VM) — vor dem ersten produktiven Freischalten nach aussen, und danach als regelmässiger Check (empfohlen: quartalsweise Audit der Zugriffsrechte und offenen Ports).

Voraussetzungen

• Admin-Zugriff auf die 3CX Admin Console
• Zugriff auf die vorgelagerte Firewall/den Router
• Bei Cloud-Hosting: Zugriff auf die Security-Group/Firewall-Regeln des Providers

Firewall-Ports korrekt konfigurieren

Nur diese Ports müssen von aussen erreichbar sein — alles andere sollte an der Firewall blockiert bleiben:

Hinweis: Öffnen Sie ausschliesslich diese Ports. Jeder zusätzlich offene Port vergrössert die Angriffsfläche ohne funktionalen Nutzen.

Eingebaute Anti-Hacking-Funktionen nutzen

3CX bringt unter Erweitert → Anti-Hacking einen aktiven, standardmässig scharfgeschalteten Schutzmechanismus mit, der oft übersehen wird:

• Authentifizierungsschutz fehlgeschlagen (Standard: 5): Anzahl fehlgeschlagener Authentifizierungen, bevor die Quell-IP auf die Sperrliste gesetzt wird.
• Fehlgeschlagene Challenge-Anfragen (407) (Standard: 1000): Schutz gegen DOS-Angriffe per REGISTER-Flut, die nie auf die 407-Challenge antworten.
• Zeitintervall der Sperrliste (Standard: 86400 Sekunden): Wie lange eine als missbräuchlich erkannte IP-Adresse gesperrt bleibt.
• Sicherheitsbarriere (Ampelsystem grün/orange/rot, Standard 200/2000/4000 Pakete): Paketzähler-Schwellenwerte, ab denen 3CX Anfragen einer Quell-IP zunehmend hart blockiert.
• Automatische globale IP-Sperrliste: Ein community-weiter Dienst, der bekannte Angreifer-IPs zwischen teilnehmenden 3CX-Installationen austauscht — standardmässig aktiv, sollte es bleiben.
• Admin-Portal-Allowlist (Erweitert → IP-Beschränkungen): Zugriff auf das Admin-Portal auf bestimmte IP-Bereiche einschränken (Büro-IP, VPN-Range). Für Installationen mit fester Verwaltungs-IP dringend empfohlen.

Eine eigene „DDoS Protection (Requests per Second)"-Einstellung existiert im UI nicht — die Kombination aus Sicherheitsbarriere und den beiden Schwellenwerten oben übernimmt diese Funktion.

IP-Sperrliste: Sperren und gezielt Erlauben

Unter Erweitert → IP-Sperrliste zeigt 3CX, welche Adressen die Anti-Hacking-Funktion bereits automatisch gesperrt hat, und erlaubt zusätzlich manuelle Einträge. Wichtig: Die Liste kann sowohl Sperr- als auch Erlauben-Einträge enthalten — eine feste Büro- oder VPN-IP lässt sich hier dauerhaft von der automatischen Sperrung ausnehmen, während bekannte Angreifer-Ranges manuell dauerhaft blockiert werden können.

Toll Fraud — die reale Bedrohung hinter den Anti-Hacking-Einstellungen

Die oben beschriebenen Schutzmechanismen existieren nicht zum Selbstzweck: Das mit Abstand häufigste Angriffsziel gegen ungeschützte Telefonanlagen ist Toll Fraud (auch International Revenue Share Fraud, IRSF genannt). Wer versteht, wie ein solcher Angriff praktisch abläuft, versteht auch, warum Ländercodes, starke SIP-IDs und Anti-Hacking zusammen wirken müssen.

Wie ein Toll-Fraud-Angriff abläuft

Automatisierte Scanner durchsuchen fortlaufend den öffentlichen IP-Raum nach offenen SIP-Ports (klassischerweise 5060) und probieren gegen gefundene Anlagen systematisch Standard- oder schwache Zugangsdaten durch — ein unsecured, internet-facing SIP-Server wird auf diese Weise typischerweise innerhalb weniger Stunden entdeckt. Ist eine Extension oder ein Trunk kompromittiert, folgt meist ein kurzer, unauffälliger Testanruf, bevor das eigentliche Volumen läuft: hunderte kurze Anrufe zu kostenpflichtigen Auslandsrufnummern, über die die Angreifer an den Gebühren mitverdienen.

Quelle zum Scan-Verhalten: DataDome — Toll Fraud Prevention Guide.

Warum Angriffe meist am Freitagabend beginnen

Toll Fraud ist ein Umsatzmodell für die Angreifer, kein Vandalismus — das Ziel ist, in möglichst kurzer Zeit möglichst viele abrechenbare Minuten durch die fremde Anlage zu schleusen, bevor jemand eingreift. Sicherheitsanbieter wie SecureLogix nennen „hohe Anrufvolumen ausserhalb der Geschäftszeiten" ausdrücklich als typisches Erkennungsmerkmal, weil Angreifer die Zeitfenster mit der geringsten Überwachung gezielt suchen — Nächte, Wochenenden und Feiertage. AVOXI führt „höhere als normale Anrufaktivität ausserhalb der Spitzenzeiten wie Wochenenden und Feiertagen" ebenfalls als klassisches Warnsignal. In der Praxis bedeutet das: Ein Angriff, der Freitagabend beginnt, hat bis Montagfrüh zwei volle Tage Zeit zu laufen, in denen in den meisten KMU niemand auf ein Monitoring-Dashboard schaut.

Quellen: SecureLogix — Toll Fraud, AVOXI — Preventing Toll Fraud.

Typische Zielrufnummern

Angreifer routen Anrufe gezielt zu Premium-Rate-Nummern in Ländern mit hohen Terminierungsgebühren, an denen sie über kooperierende Betreiber mitverdienen. Die Communications Fraud Control Association (CFCA) und darauf aufbauende Analysen nennen unter anderem Kuba, Estland, Gambia, Guinea, Lettland, Litauen, die Malediven, Sierra Leone, Somalia, Tunesien und Simbabwe als wiederkehrende Zieldestinationen — die konkrete Liste ändert sich mit den jeweils günstigsten Tarifen für die Betrüger und ist nicht auf diese Länder beschränkt. Das ist der praktische Grund, warum die Einschränkung auf Erlaubte Ländercodes (siehe unten) so wirksam ist: Sie schneidet genau diesen Weg ab, unabhängig davon, welche Zielländer gerade aktuell sind.

Quelle: DataDome, mit Verweis auf CFCA Fraud Loss Survey.

Welche Schäden realistisch sind

Belastbare Zahlen zu Einzelfällen sind selten öffentlich, weil betroffene Unternehmen ungern darüber sprechen. Was sich seriös belegen lässt:

• Die CFCA bezifferte in ihrer Fraud Loss Survey 2021 den weltweiten Schaden durch International Revenue Share Fraud (IRSF/Toll Fraud) branchenweit auf 6,69 Milliarden US-Dollar — das war die kostspieligste Betrugskategorie des gesamten Berichts. Das ist eine globale Jahressumme über alle Anbieter und Branchen, keine Aussage über einen einzelnen Vorfall.
• SecureLogix beschreibt die Bandbreite pro Vorfall als „von tausenden bis zu mehreren Millionen US-Dollar, abhängig vom Umfang des Angriffs" — ohne einen fixen Durchschnittswert zu nennen, weil die Spanne je nach Reaktionszeit enorm variiert.
• AVOXI verweist auf öffentlich dokumentierte Einzelfälle mit Rechnungen von bis zu 500.000 US-Dollar für einen einzigen Abrechnungsmonat.

Quellen: CFCA Fraud Loss Survey 2021 (zitiert nach DataDome), SecureLogix, AVOXI.

Entscheidend ist nicht die exakte Zahl, sondern die Grössenordnung: Weil die Anrufe zu marktüblichen internationalen Tarifen abgerechnet werden und ein Angriff mehrere Extensions gleichzeitig nutzen kann, sind vierstellige bis fünfstellige Schäden innerhalb weniger Stunden technisch ohne Weiteres möglich — genau deshalb sind die folgenden Massnahmen keine Kür, sondern Pflichtprogramm.

Verschlüsselung aktivieren

• SRTP für die Sprachübertragung (Voice-Verschlüsselung) — verhindert Mitschneiden von Gesprächen im Netzwerkpfad.
• Secure SIP (TLS) für die SIP-Signalisierung (Port 5061 statt Klartext-UDP 5060, wo Endgeräte/Provider das unterstützen) — Zertifikat und privater Schlüssel werden unter Erweitert → Secure SIP hinterlegt.
• HTTPS für das Admin-Portal und den Web-Client — 3CX kann Let's-Encrypt-Zertifikate automatisiert beziehen und erneuern.

Passwort- und Zugriffsrichtlinien

• Admin-Passwort: mindestens 14 Zeichen, gemischt, kein Wiederverwenden über Systeme hinweg
• Extension-PINs: mindestens 6-stellig, keine trivialen Folgen wie 1234 oder Geburtsdaten
• Admin-Rechte nur an tatsächlich benötigte Personen vergeben, quartalsweise prüfen
• Nicht mehr benötigte Extensions zeitnah löschen — jede aktive Extension ist ein potenzieller Angriffsvektor

SIP-Authentifizierungs-IDs: die unterschätzte Schwachstelle

Jede Extension besitzt neben der Durchwahl eine eigene SIP-Authentifizierungs-ID — das Passwort-Pendant, mit dem sich Endgerät oder App gegenüber der Anlage anmelden. 3CX prüft diese ID beim Anlegen und Bearbeiten eines Nutzers automatisch gegen einen Mindeststandard und zeigt bei Nichteinhaltung eine deutliche Warnung im Nutzer-Formular:

Diese Meldung ist keine Formalität. Eine schwache Auth-ID ist in der Praxis das Einfallstor Nummer eins für Toll Fraud: Automatisierte Scanner probieren bekannte Muster (kurze Zahlenfolgen, die Durchwahl selbst, Standardwerte aus Provisionierungs-Vorlagen) in Sekunden durch. Erfüllt eine ID die 3CX-Vorgabe nicht, ist sie gegen genau diese Angriffe praktisch wirkungslos.

Warum die Auth-ID nie der Durchwahl entsprechen darf

Die Durchwahl (z. B. 142) ist kein Geheimnis — sie steht im internen Telefonbuch, in Signaturen, oft sogar auf der Website. Wird sie zusätzlich als SIP-Authentifizierungs-ID verwendet, kennt ein Angreifer damit bereits eine Hälfte der Zugangsdaten, bevor er überhaupt zu raten beginnt. Auth-ID und Durchwahl müssen daher grundsätzlich unterschiedliche, unabhängig generierte Werte sein — die Durchwahl bleibt kurz und merkbar, die Auth-ID lang und zufällig.

Schwache IDs finden und ändern

1. In der Nutzerliste (Hauptmenü → Nutzer) alle Extensions durchgehen — 3CX markiert eine unzureichende Konfiguration bereits beim Öffnen des jeweiligen Nutzers mit der oben zitierten Warnung.
2. Beim betroffenen Nutzer die SIP-Authentifizierungs-ID neu setzen: mindestens 11 Zeichen, davon mindestens ein Grossbuchstabe, ein Kleinbuchstabe und eine Ziffer — am einfachsten über einen Passwort-Generator statt einer selbst ausgedachten Zeichenfolge.
3. Nach dem Ändern das Endgerät bzw. die App mit der neuen ID neu provisionieren, da sich sonst dieses eine Gerät nicht mehr registrieren kann.
4. Den Vorgang für alle Nutzer wiederholen, nicht nur für die offensichtlich alten oder von 3CX markierten Konten — Altlasten aus früheren Migrationen fallen sonst leicht durchs Raster.

Erlaubte Ländercodes: die wirksamste Einzelmassnahme gegen Toll Fraud

Wenn nur eine einzige Sicherheitseinstellung in 3CX priorisiert werden müsste, wäre es diese: Erweitert → Erlaubte Ländercodes. Die Funktion legt fest, in welche Länder von der Anlage aus überhaupt ausgehend telefoniert werden darf — alle nicht freigeschalteten Ländervorwahlen werden für ausgehende Anrufe blockiert, unabhängig davon, welche Extension den Anruf absetzt.

Der Effekt für Toll Fraud ist direkt: Selbst wenn Zugangsdaten kompromittiert werden, laufen automatisierte Anrufe zu den weiter oben genannten Premium-Zieldestinationen schlicht ins Leere, weil die Anlage sie gar nicht erst annimmt. Das ist die einzige Massnahme auf dieser Seite, die auch dann noch schützt, wenn eine andere Schutzschicht (z. B. eine einzelne schwache Auth-ID) bereits versagt hat.

Schritt für Schritt einrichten

1. In der Admin Console zu Erweitert → Erlaubte Ländercodes navigieren.
2. Nur die Länder freischalten, in die im Alltag tatsächlich telefoniert wird — im Zweifel schlank starten und bei Bedarf einzelne Länder ergänzen, statt breit freizugeben und später einzuschränken.
3. Speichern und mit einem echten Testanruf in ein freigegebenes Land verifizieren, dass reguläre Anrufe weiterhin funktionieren.
4. Die Liste als festen Punkt in den quartalsweisen Sicherheits-Check aufnehmen (siehe unten) — Geschäftsbeziehungen ändern sich, die Freigabeliste sollte mitwachsen, aber nicht automatisch grosszügiger werden.

Was passiert, wenn ein Mitarbeiter im Ausland ist?

Hier herrscht oft ein Missverständnis: Die Ländercode-Einschränkung betrifft, welche Ziel-Ländervorwahlen die Anlage anrufen darf — nicht, von wo aus sich ein Nutzer bei der Anlage anmeldet. Ein Mitarbeiter, der mit der 3CX-App oder dem Web-Client aus dem Ausland arbeitet, registriert sich ganz normal über das Internet und kann wie gewohnt telefonieren. Eingeschränkt wird nur, wohin ausgehende Anrufe gehen dürfen. Muss dieser Mitarbeiter vor Ort lokale Nummern in seinem Zielland anrufen, muss die entsprechende Landesvorwahl vorübergehend freigeschaltet und nach der Reise wieder entfernt werden.

Ausgehende Regeln als zusätzliche Schutzschicht

Neben der grob greifenden Ländercode-Sperre lassen sich unter Ausgehende Regeln feinere Schutzschichten definieren, die auch innerhalb erlaubter Länder greifen:

• Teure Zielrufnummern gezielt sperren: Premium-Rate- und Sonderrufnummern-Präfixe (z. B. 0900-Nummern oder bestimmte Mehrwert-Vorwahlen) lassen sich unabhängig von der Länderfreigabe blockieren, auch wenn sie formal im eigenen Land liegen.
• Zeitfenster definieren: Ausgehende Regeln können auf Bürozeiten begrenzt werden. Eine Regel, die internationale oder teure Ziele ausserhalb der üblichen Geschäftszeiten grundsätzlich blockiert, entzieht Toll-Fraud-Angriffen genau das Zeitfenster, in dem sie normalerweise laufen (siehe „Warum Angriffe meist am Freitagabend beginnen" oben).
• Regeln pro Nutzergruppe statt global: Nicht jede Extension braucht dieselben Berechtigungen — ein Empfangs-Telefon muss in der Regel keine internationalen Ziele anrufen können, ein Vertriebsteam mit Auslandskunden schon.

Audit Logs prüfen

Unter Ereignisprotokoll (Hauptmenü) protokolliert 3CX administrative Änderungen und Systemereignisse (Benutzer angelegt, Berechtigungen geändert, Trunks bearbeitet, fehlgeschlagene SIP-Registrierungen). Regelmässige Sichtung hilft, unautorisierte Änderungen früh zu erkennen; zusätzlich zeigt die Systemübersicht ein aktuelles Auditprotokoll-Widget.

Häufige Fehler und Lösungen

„Too many failed login attempts" beim Admin-Login

Die eigene IP wurde durch die interne Anti-Hacking-Funktion temporär gesperrt — meist nach mehreren Fehlversuchen (z. B. altes gespeichertes Passwort im Browser). Lösung: kurz warten oder die IP in der Blacklist-Übersicht manuell entfernen, danach mit korrektem Passwort neu anmelden.

SIP-Trunk registriert sich nicht mehr nach Firewall-Änderung

Meist wurde einer der benötigten Ports (5060 UDP oder 5060–5061 TCP) versehentlich mitgesperrt. Mit einem SIP-Trace im Log Viewer prüfen, ob REGISTER-Pakete den Server überhaupt erreichen.

Externe Anrufe ohne Ton („One-Way-Audio")

Klassisches Symptom für einen zu eng gefassten RTP-Portbereich in der Firewall. Prüfen, ob wirklich der volle Bereich 9000–10999/UDP durchgereicht wird, nicht nur ein Ausschnitt.

Web-Client-Zertifikatswarnung im Browser

Häufig ein abgelaufenes oder nicht erneuertes Let's-Encrypt-Zertifikat. In der Admin Console prüfen, ob die automatische Zertifikatserneuerung aktiv ist und die für die Validierung nötigen Ports (80/443 ausgehend) offen sind.

Regelmässiges Sicherheits-Audit

Sicherheit ist kein einmaliges Setup, sondern ein wiederkehrender Prozess. Ein sinnvoller Rhythmus für die meisten KMU-Installationen:

• Monatlich: Audit Logs sichten, offene Firewall-Ports gegen die Sollliste prüfen
• Quartalsweise: Admin-Rechte und Extension-Liste durchgehen, unbenutzte Extensions entfernen
• Bei jedem Update: Prüfen, ob sich Portanforderungen oder Sicherheitsfunktionen geändert haben — 3CX-Release-Notes lohnen einen kurzen Blick

Härtungs-Checkliste zum Abhaken

Die folgenden Punkte fassen alle vorherigen Abschnitte als konkrete To-dos zusammen — geeignet für die Erstinbetriebnahme und als wiederkehrende Vorlage für das quartalsweise Audit:

• Erlaubte Ländercodes auf tatsächlich benötigte Länder eingeschränkt (Erweitert → Erlaubte Ländercodes)
• Alle SIP-Authentifizierungs-IDs erfüllen die 3CX-Mindestanforderung und weichen von der jeweiligen Durchwahl ab
• Anti-Hacking aktiv, Standard-Schwellenwerte geprüft oder bewusst angepasst (Erweitert → Anti-Hacking)
• IP-Beschränkungen für das Admin-Portal auf Büro-/VPN-Ranges gesetzt (Erweitert → IP-Beschränkungen)
• Secure SIP (TLS) und SRTP aktiviert, wo Endgeräte und Provider es unterstützen (Erweitert → Secure SIP)
• Admin-Zugang auf notwendige Personen begrenzt, starkes Passwort, keine geteilten Logins
• Updates zeitnah eingespielt (System → Updates), Release-Notes auf sicherheitsrelevante Änderungen geprüft
• Backup läuft regelmässig und liegt extern (ftp://, ftps:// oder ftpes://), nicht nur lokal auf demselben Server

Was tun im Schadensfall

Ein Toll-Fraud-Verdacht (ungewöhnlich hohe Trunk-Rechnung, viele gleichzeitige Auslandsgespräche, Warnung des SIP-Trunk-Providers) erfordert schnelles, aber geordnetes Handeln. Empfohlene Reihenfolge:

1. SIP-Trunk-Provider sofort kontaktieren und um vorübergehende Sperrung ausgehender Anrufe oder des betroffenen Trunks bitten — das stoppt laufende Kosten am schnellsten, meist schneller als jede Änderung in der 3CX-Konsole selbst.
2. Betroffene Extension(s) in 3CX deaktivieren und deren SIP-Authentifizierungs-ID sowie das zugehörige Passwort sofort ändern.
3. Ausgehende Anrufe testweise einschränken: Erlaubte Ländercodes auf ein Minimum reduzieren oder Ausgehende Regeln temporär restriktiver stellen, bis die Ursache geklärt ist.
4. IP-Sperrliste und Ereignisprotokoll sichten, um den Einstiegspunkt zu identifizieren — welche IP, welcher Nutzer, welcher Zeitpunkt.
5. Admin-Passwort und alle als potenziell betroffen erkannten Zugangsdaten ändern, nicht nur die eine offensichtlich kompromittierte Extension.
6. Ursache beheben, bevor der Trunk wieder freigeschaltet wird: schwache Auth-ID, offener Port, veraltete Version oder kompromittiertes Admin-Portal — ohne Behebung der Ursache wiederholt sich der Vorfall.
7. Mit dem Trunk-Anbieter über die Rechnung sprechen. Viele Anbieter kennen Toll-Fraud-Fälle und bieten in begründeten Fällen Kulanzregelungen an — das ersetzt keine Prävention, ist aber nach einem Vorfall ein legitimer nächster Schritt.
8. Vorfall dokumentieren (Zeitpunkt, betroffene Extensions, Ursache, Massnahmen) — als Grundlage für das nächste Sicherheits-Audit und für Rückfragen des Providers.

Häufig gestellte Fragen

Welchen Port braucht das 3CX Admin Portal?

Bei einer Neuinstallation ab V20 standardmässig Port 443 (HTTPS). Bei Upgrades von älteren Versionen oder individueller Konfiguration kann weiterhin Port 5001 aktiv sein — der genaue Wert lässt sich in Erweitert → Netzwerk prüfen.

Welche Ports muss ich für 3CX in der Firewall öffnen?

Eingehend: 5060/UDP und 5060–5061/TCP für SIP, 9000–10999/UDP für RTP-Audio, 5090/UDP+TCP für den 3CX-Tunnel sowie 443 oder 5001/TCP für Admin-Portal und Web-Client. Details siehe Tabelle oben.

Reicht die eingebaute Anti-Hacking-Funktion von 3CX aus?

Sie ist die wichtigste erste Verteidigungslinie und standardmässig aktiv, ersetzt aber keine grundsätzliche Netzwerkhärtung: IP-Allowlisting fürs Admin-Portal, starke Passwörter, TLS/SRTP und aktuelle Updates bleiben zusätzlich nötig.

Was ist Toll Fraud bei einer 3CX-Telefonanlage?

Toll Fraud (auch International Revenue Share Fraud, IRSF) bedeutet, dass Angreifer sich unbefugt Zugang zur Telefonanlage verschaffen und auf deren Kosten kostenpflichtige Auslandsrufnummern anwählen, an denen sie selbst mitverdienen. Häufigstes Einfallstor sind schwache SIP-Zugangsdaten.

Welche einzelne Massnahme schützt am wirksamsten vor Toll Fraud?

Die Einschränkung auf Erlaubte Ländercodes unter Erweitert. Wenn nur die tatsächlich benötigten Länder für ausgehende Anrufe freigeschaltet sind, laufen automatisierte Anrufe zu teuren Auslandszielen ins Leere, selbst wenn Zugangsdaten kompromittiert wurden.

Weiterführend

• Fail2Ban als zusätzliche Host-Ebene einrichten
• SIP-Trunk-Fehlerdiagnose — u. a. bei ungeklärten Registrierungs- oder 401-Fehlern nach einer Zugangsdaten-Änderung
• Installation & Server-Dimensionierung — ausreichend Server-Ressourcen sind auch Teil eines stabilen, sicheren Betriebs
• Backup & Restore — Sicherheit ohne funktionierendes Backup ist nur die halbe Miete
• Troubleshooting & Logs