Ausfallsicherheit bedeutet, dass eine IT-Komponente, egal ob Software, Hardware oder ein ganzes Netzwerk, kontinuierlich und verlässlich ihre Aufgaben erfüllt. Die ständige Verfügbarkeit zählt zu den wichtigsten Attributen, die IT-Verantwortliche in Betracht ziehen, wenn ein IT-Produkt hergestellt, gekauft oder genutzt wird.

Kommen Sprachanwendungen (VoIP) im Netzwerk zum Einsatz, gilt es, diese an die erhöhten Anforderungen von Echtzeitanwendungen anzupassen. Aus diesem Grund muss sich jeder Betreiber einer solchen Anlage die Frage stellen, wie sich der Zugang zum öffentlichen Telefonnetz mit dem benötigten Grad an Ausfallsicherheit herstellen lässt.

Die technische Verfügbarkeit von Telefondiensten ist indes nicht in jeder Organisation gleich wichtig. Einige Firmen greifen beim Ausfall der Telefonie einfach zum Mobiltelefon und führen ihre Gespräche weiter. Bei anderen Unternehmen entsteht hingegen sofort ein finanzieller Schaden, der mit der Ausfallzeit ständig wächst.

Unternehmen können im Rahmen eines Risikomanagements (ISO 31000) die Kombination aus der Eintrittswahrscheinlichkeit und dem potenziellen Auswirkungsschaden eines Ausfalls der Telefonie berechnen. Ist das Gesamtrisiko hinreichend hoch, sind Maßnahmen erforderlich, die die Eintrittswahrscheinlichkeit und/oder den Schaden auf ein vertretbares Restrisiko reduzieren. Zu den Grundsäulen der Ausfallsicherheit gehören:

- Zuverlässige System- und Übertragungskomponenten: Einsatz von Komponenten mit hoher Verfügbarkeit und Nutzung von gehärteten Systemkomponenten.

- Redundantes Netzdesign und Protokolle: Abgesicherter Aufbau der wichtigen Backbone- und VoIP-Komponenten, bedarfsweise bereitgestellte Ersatzwege, IP-Backup und SIP-Trunk-Redundanz.

- Abgesicherte Infrastrukturen: Anschluss sämtlicher wichtigen Komponenten an eine Notstromversorgungen, Branderkennung und -schutz, getrennte Brandabschnitte, Zugangskontrolle und Objektschutz.

- Ein umfassendes System- und Netzmanagement: aktive Komponentenüberwachung, Alarm-, Problem-, Change, Konfigurations-, Performance- und Sicherheitsmanagement.

Soll eine hohe Gesamtverfügbarkeit der Telefonie gewährleistet sein, müssen also von den Telefonen der Nutzer bis hin zum Übergang in das öffentliche Telefonnetz (VoIP-Provider) alle Übertragungskomponenten redundant ausgelegt und mit einer hohen Verfügbarkeit bereitgestellt sein: VoIP-Telefone, TK-Anlage, vorgeschaltete Enterprise Session Border Controller (E-SBC) und SBC (Session Border Controller). Zu den gängigen IP-Übertragungskomponenten gehören Ethernet-Switches und -Router, Firewalls und WAN-Appliance des Unternehmens.

Auf der Seite der VoIP-Provider befinden sich auf dem Pfad in das öffentliche Telefonnetz noch folgende Komponenten:

- Session Border Controller (SBC)

- SIP-Server

- Softswitch und PSTN-Gateways

- WAN-Router inklusive der jeweiligen Übertragungsstrecken

- Digital Subscriber Line Access Multiplexer (DSLAM)

- Broadband Network Gateway, Broadband Remote Access Server

- Backbone-Router des IP-Providers

Diese Systeme sind in der Regel in Serie geschaltet. Aus diesem Grund addieren sich die Ausfallzeiten der Einzelkomponenten zur Gesamtausfallzeit, was die Anforderung an jede Einzelkomponente und deren Ausfallsicherheit entsprechend erhöht.

Um das Ausfallrisiko von VoIP-Diensten zu beschreiben, gilt es, die Eintrittswahrscheinlichkeit von möglichen Schadensereignissen einzuschätzen. Einen Hinweis geben die VoIP-Provider in ihren Geschäftsbedingungen und Leistungsbeschreibungen. Hier findet sich meist die durchschnittliche Verfügbarkeit für den SIP-Trunk beziehungsweise die IP-Zuführung. Die Verfügbarkeit ist die Wahrscheinlichkeit, dass ein System oder eine Komponente zu einem gegebenen Zeitpunkt betriebsbereit und verfügbar ist. Sie ist ein Maß für die Fähigkeit eines Systems oder einer Komponente, bei Bedarf die vorgesehene Funktion zu erfüllen.

Zuverlässigkeitsberechnungen verwenden mathematische Modelle und statistische Verfahren, um die Zuverlässigkeit eines Systems abzuschätzen. Die durchschnittliche Zeit bis zu einem Ausfall MTTF (Mean Time To Failure) ist die Zeit, die im Durchschnitt bis zum Ausfall eines Systems oder einer Komponente vergeht, während die durchschnittliche Zeit zwischen zwei Ausfällen MTBF (Mean Time Between Failures) die durchschnittliche Zeit beschreibt, die zwischen zwei Ausfällen vergeht. Beide Metriken sind wichtig für Zuverlässigkeitsberechnungen, da sie Aufschluss über die Häufigkeit und Wahrscheinlichkeit von System- oder Komponentenausfällen geben. Die Verfügbarkeit lässt sich mit folgender Formel berechnen:

MTTR steht für "Mean Time To Repair", die durchschnittliche Zeit bis zur Reparatur. Diese Formel macht deutlich, wie oft ein System voraussichtlich betriebsbereit und einsatzbereit ist. Hochverfügbarkeit ist entscheidend für Systeme, die kontinuierlich in Betrieb sein müssen, wie Onlineservices und kritische Infrastrukturen.

Angekündigte Wartungen der Provider fallen in der Regel in die besonders verkehrsarmen Zeiten wie Sonntagnacht. Aus diesem Grund fließen diese Zeiten nicht in die Verfügbarkeitsberechnung mit ein. Wichtig ist die maximale Ausfallzeit N für die Abschätzung eines Schadens pro Vorfall. Die Tabelle "Gängige Verfügbarkeitsstufen" zeigt die Darstellung der Verfügbarkeitsangaben auf Jahres- und Monatsbasis.

Damit die Angabe der Ausfallzeit zur angegebenen Verfügbarkeit passt, geben die meisten Provider auf Monatsbasis aber sicherheitshalber nur eine Verfügbarkeit im Bereich von 98 Prozent oder weniger an. Fällt in einem Monat beispielsweise ein VoIP-Anschluss aus und muss deswegen ein Techniker vor Ort eingreifen, sind selbst bei einer schnellen Entstörung viele Stunden für die Behebung der Fehler zu veranschlagen. Jedoch machen die Provider gerne Worst-Case-Angaben – insbesondere, wenn eine vertraglich vereinbarte Geldstrafe vereinbart wurde. In der Praxis erweist sich die durchschnittliche Verfügbarkeit meist als deutlich besser.

Redundanz bezeichnet das zusätzliche Vorhandensein funktional gleicher oder vergleichbarer Ressourcen eines technischen Systems, wenn diese bei einem störungsfreien Betrieb im Normalfall nicht benötigt werden. Ressourcen können beispielsweise redundante Informationen, Baugruppen, komplette Geräte, Steuerleitungen und Leistungsreserven sein. In der Regel dienen diese zusätzlichen Ressourcen zur Erhöhung der Ausfall-, Funktions- und Betriebssicherheit. Es gibt verschiedene Arten der Redundanz:

- Heiße Redundanz: Im Gesamtsystem führen mehrere Teilsysteme dieselbe Funktion parallel aus. Meist kommen zwei parallel arbeitende Einheiten zum Einsatz, von denen jede die Aufgabe bei Ausfall der anderen Einheit allein erfüllen kann. Es muss gewährleistet sein, dass die Wahrscheinlichkeit für den gleichzeitigen Ausfall von zwei Geräten gegen null geht.

- Kalte Redundanz: Im System sind mehrere Funktionen parallel vorhanden, aber nur eine arbeitet. Die aktive Funktion wird bewertet und im Fehlerfall durch einen Schalter auf die parallel vorhandene Funktion umgeschaltet.

- Passive Redundanz: Zusätzliche Mittel werden bereitgestellt, aber erst bei Ausfall oder Störung an der Ausführung der vorgesehenen Aufgabe beteiligt.

- (n + 1)-Redundanz: Ein System aus n funktionierenden Einheiten wird um eine aktive oder passive Einheit erweitert. Fällt eine Einheit aus, so sind die verbleibenden Einheiten in der Lage, die komplette Last zu übernehmen.

Wollen Unternehmen den SIP-Trunk und die Übertragungskomponenten aus dem Übertragungsweg redundant auslegen und somit die Verfügbarkeit des öffentlichen Netzes erhöhen, dann sind die VoIP- beziehungsweise die Service Provider die ersten Ansprechpartner. Denn diese können auf der WAN-Strecke zum Kunden eine entsprechende Priorisierung der VoIP-Daten im WAN einrichten. Dadurch erhalten die Sprachdaten selbst im Überlastfall Vorfahrt im Netz.

Darüber hinaus kann ein ISP auf dem WAN-Router ins öffentliche Netz einen sogenannten Voice-Port einrichten. Dieser sorgt dafür, dass nur bestimmte Datenströme – hier VoIP – des Kunden zum Session Border Controller des Providers weitergeleitet werden. In einem solchen Fall findet nur eine reine SIP-Kommunikation statt, aber keine klassischer Internetzugriff.

Auf Basis dieser Redundanzprinzipien lassen sich der SIP-Trunk, die WAN-Strecke und die TK-Anlage deutlich verfügbarer aufbauen. Aber es gibt zusätzlich noch einfachere, kostengünstigere Lösungen, mit der die IT-Abteilung die Telefonie bei Ausfall des IP-basierten Sprachanschlusses aufrechterhalten kann.

Hierzu muss beim VoIP-Provider eine Rufumleitung im Amt bei Ausfall des SIP-Trunks eingerichtet werden. Dabei teilt der Kunde dem VoIP-Provider mit, zu welcher (n:1) oder welchen (n:n) alternativen Rufnummern eingehende Rufe in seinem VoIP-System umgeleitet werden sollen, wenn diese wegen eines Ausfalls nicht zu den SIP-Trunk-Durchwahlrufnummern verbunden werden können. Dieses Verfahren stellt jedoch nur eine Pseudoredundanz dar. Beim Ausfall des SIP-Trunks kann die VoIP-Anlage keine ausgehenden Rufe mehr realisieren. Beim Wegfall der IP-Standortanbindung fällt zusätzlich die über diese IP-Verbindung genutzte Kommunikation der Computer aus. Bei Nutzung der n:1-Umleitung kann es beim Rufziel zu Überlast kommen.

Zur Abwehr von Angriffen aus dem Internet finden die SBC des VoIP-Providers Verwendung. Diese müssen gegen Angriffe gehärtet sein und über die notwendige Ausfallsicherheit verfügen. Hierzu kann der VoIP-Provider mindestens zwei an verschiedenen Standorten installierte hochverfügbare SBCs bereitstellen. In der Regel kommt es dadurch auch zu einer sogenannten Georedundanz, was zusätzlich ortsabhängige Ausfälle abfedert.

Der geregelte Verbindungsaufbau zu den verfügbaren SBCs erfolgt gemäß RFC 2782. Dieser definiert, dass die VoIP-Anlage des Unternehmens die IP-Adressauflösung des Hostnamen-Registrars per DNS – via SRV-Records – durchführen muss, um diese dynamisch zu erhalten. So kann der VoIP-Provider beispielsweise die IP-Adresse des am wenigsten belasteten, aber funktionalen SBC mitteilen. Das erlaubt neben einer SBC-Redundanz sogar ein SBC-Load-Balancing.

Wollten IT-Verantwortliche eine weitere Erhöhung der Verfügbarkeit erreichen, müssen sie sich um die Redundanz der IP/VoIP-Zuführung in das Unternehmen kümmern. Keine andere Übertragungskomponente ist so stark vor mechanischen Schäden zum Beispiel durch Bagger gefährdet. Die VoIP-Provider bieten hierfür die redundante IP-Zuführung an. Hier stehen beispielsweise xDSL, Wireless Local Loop (WLL), FTTH (Fibre to the Home) und LTE /5G für die IP-Haupt- und -Backupleitung zur Verfügung. Der Router der Hauptleitung stellt hierbei die Ethernet-Schnittstelle zu den Kundensystemen bereit, ist aber über eine zweite Ethernet-Schnittstelle mit dem Backup-router verbunden. Über ein virtuelles Routing-Protokoll, beispielsweise VRRP oder HRSP, tauschen die beiden Router ihre Verfügbarkeiten aus. Ist die Hauptleitung gestört, leiten die Router den Datenverkehr des Unternehmens automatisch über die Backupleitung, sodass die Kundensysteme keine Veränderung auf IP-Ebene erfahren.

Natürlich kann der berüchtigte Bagger auch die Haupt- und Backupleitung zur gleichen Zeit kappen. Ein solches Extra an Verfügbarkeit dürfte in der Regel aber ohnehin nur für die Firmenzentrale die Regel sein, in dem ein Mehrstandort-SIP-Trunk für eine zentralisierte UCC/TK-Anlage zugeführt werden soll. Hierfür bieten die Provider getrennte Wegeführungen für Haupt- und Backupleitung, entweder nur zu unterschiedlichen Hauptverteilern oder über getrennte Hauseinführung und eine knoten- und kantendisjunkte Wegeführung. Die Wege- und Leitungsentkopplungen erhöhen die Verfügbarkeiten deutlich. Darüber hinaus lässt sich eine Me- dienredundanz per Funk und Draht realisieren. Die Kosten hierfür sind natürlich deutlich höher.

Der Bereich des SIP-Trunks, der den VoIP-Zugang zum öffentlichen Netz terminiert, gehört zu den wichtigen Bereichen, auf die ein Unternehmen bei der Verfügbarkeit ganz besonderen Wert legen sollte. Die SIP-Trunk-Terminierung in den Unternehmen übernehmen die sogenannten E-SBC, sodass nicht nur beim VoIP-Provider, sondern auch beim Kunden eine eigene Demarkationslinie die VoIP-Innen- von der VoIP-Außenwelt abschottet. In diesem Fall werden die jeweiligen Netze dann mit einem SBC abgeschlossen.

Die von außen eintreffenden Anforderungen müssen über den SBC gefiltert werden. Im Zweifelsfall sind es Millionen von nicht berechtigten Zugangsversuchen, die von außen eintreffen. Nicht nur die bearbeiteten Verbindungen, auch die Zugangsversuche und Fehlregistrierungen erzeugen eine signifikante Belastung für den E-SBC. Daher ergeben erweiterte Sicherungsmaßnahmen für den VoIP-Zugang Sinn:

- Erweitere Zugangsanforderungen (Authentication), SIP Digest (Username und Password), TLS (X.509 Zertifizierung) oder IPSec oder Kombinationen aus mehreren Verfahren.

- Verschlüsselung der Signalisierung und der Medienströme (TLS), Einsatz von SRTP oder IPSec.

- Signalisierung validieren: Syntax und Überprüfen des sinnvollen, erwarteten Verhaltens der User-Agenten von außen.

E-SBCs lassen sich entweder im Aktiv/ Passiv-Modus betreiben. Der sekundäre E-SBC übernimmt den SIP-Trunk vom primären, wenn dieser ausfällt. Besser noch lassen sich beide im Aktiv/Aktiv-Modus betreiben, was es ermöglicht, abgehende Rufe aufzubauen und ankommende anzunehmen. Sind beide intakt, ist die Last zwischen den Geräten aufteilbar. Fällt ein E-SCB aus, übernimmt der andere die Last des ausgefallenen sofort.

Für ankommende Rufe klappt das nur, wenn die VoIP-Komponenten des Providers beide E-SBCs der Kunden auf ihre Funktionstüchtigkeit überprüfen. Hierzu senden die E-SBCs periodisch sogenannte Keep-Alive-Pakete aus. Werden die beantwortet, wird der antwortende E-SBC als funktionstüchtig deklariert und erhält ankommende Rufe. Funktionieren beide E-SBCs, werden eingehende Rufe beiden reihum zugeleitet. Dies ergibt automatisch eine Lastverteilung. Antwortet ein E-SBC nicht, wird dieser als deaktiviert deklariert und erhält so lange keine eingehenden Anrufe mehr, bis er wieder aktiv ist.

Verfügt ein Unternehmen über mehrere Standorte, muss es sich die Frage stellen, wie es für alle Standorte eine optimale Ausfallsicherheit der Telefonie erreichen kann. Hierzu ist an jedem Standort zumindest ein E-SBC zu installieren und die VoIP-Anlage in der Unternehmenszentrale zu betreiben. Die Anbindung an die Unternehmenszentrale muss jedoch über eine redundante IP-Anbindung mit genügend Bandbreite verfügen.

Die zentrale VoIP-Anlage im Unternehmen lässt sich hochverfügbar auslegen. Hierzu müssen beispielsweise redundante Hardwarekomponenten oder sogar zwei Hardwareeinheiten beschafft werden, die sich dann zu einer logischen UCC/TK-Anlage verbinden. Beide Systeme arbeiten im Aktiv/Aktiv-Modus, was dazu führt, dass beim Ausfall die Funktionen des originalen Systems sofort übernommen werden.

Gemäß dem Arbeitsschutzgesetz (Arb-SchG; §10) und der Verordnung über Arbeitsstätten (ArbStättV; §4) ist der Arbeitgeber verpflichtet, Vorkehrungen zu treffen, dass die Beschäftigten sich bei Gefahr unverzüglich in Sicherheit bringen und schnell gerettet werden können. Die Verpflichtung ergibt sich auch aus der Unfallverhütungsvorschrift (DGUV), wonach der Unternehmer unter Berücksichtigung der betrieblichen Verhältnisse durch Melde- einrichtungen und organisatorische Maßnahmen dafür zu sorgen hat, dass unverzüglich die notwendige Hilfe herbeigerufen und an den Einsatzort geleitet werden kann (§25 Abs.1; DGUV Vorschrift 1).

Diese Verpflichtung wird hinsichtlich der Anzahl beziehungsweise der Abstände der Notruftelefone nicht weiter konkretisiert. Die konkret nötigen Maßnahmen muss im Rahmen der Gefährdungsbeurteilung (§5 ArbSchG) der Arbeitgeber selbst ermitteln und festlegen.

Mit der Veröffentlichung der Technischen Richtlinie Notruf (TR Notruf 2.0) aus dem Jahr 2018 wurden die technischen Einzelheiten zur Umsetzung der Verordnung über Notrufverbindungen (NotrufV) nach §108 Abs. 3 (aktuell §164 Abs. 6) des Telekommunikationsgesetzes (TKG) festgeschrieben. Diese umfassen insbesondere die Anforderungen an den IP- basierten Notrufanschluss zur Entgegennahme der 110-/112-Notrufe bei Polizei und Feuerwehr. Gemäß TKG §164 sind bei einem Notruf zu übermitteln:

- Die Rufnummer des Anschlusses, von dem die Notrufverbindung ausgeht.

- Die Daten, die zur Ermittlung des Standorts erforderlich sind, von dem die Notrufverbindung ausgeht.

Diese Forderungen verursachen in Unternehmensnetzen mit SIP-Trunks ein Problem, denn der Gesetzgeber besteht bisher darauf, dass nur der "vom Telekommunikationsnetz festgestellte Standort" (TR Notruf Abschnitt 6.2.3) als Standort des Notrufenden zur Bestimmung der richtigen Leitstelle dienen und an die Leitstelle übermittelt werden darf. Ein nachvollziehbarer Grund dafür sei die Gefahr der Manipulation des Standorts, die zu Fehleinsätzen der Helfer führen könnte.

Hierzu ein Beispiel: Eine bundesweit agierende Behörde hat nur einen zentralen Übergang ins öffentliche Netz in München. Wählt ein Mitarbeiter aus einem Büro in Berlin beziehungsweise Hamburg die 110/112, ist der Netzbetreiber gesetzlich verpflichtet, den Notruf an die für München zuständige Leitstelle zu routen. Auch wenn der Betreiber des Corporate Networks die exakten geografischen Koordinaten des Notrufenden (wie in der TR Notruf gefordert) zur Verfügung gestellt bekommt, dürfen diese mit dem Notruf-Call nicht an den Netzbetreiber übergeben werden. Und das obwohl mit der Übergabe des Notruf-Calls sofort an die zuständige Leitstelle in Berlin beziehungsweise Hamburg geroutet werden könnte, ohne die Leitstelle in München unnötig zu beschäftigen.

Bei der IP-Telefonie ist insbesondere in komplexen privaten Netzen aus der mitgesendeten Rufnummer nicht immer eindeutig der Standort des Anrufers erkennbar. Daher ist es derzeit gängige Praxis, dass sich der Betreiber eines verteilten Unternehmensnetzes mit dem jeweiligen SIP-Provider abstimmt. Der SIP-Provider kann beispielsweise ein Notrufnummern-Routing anhand der IP-Adresse beziehungsweise der IP-Subnetzadresse durchführen.

Ohne Strom funktioniert kein VoIP- und kein Datennetz. Der Strom kommt im Netzwerk jedoch oft aus der Datensteckdose. Das entsprechende Verfahren heißt "Power over Ethernet" (PoE). Dadurch entfällt bei vielen Endgeräten die zusätzliche Stromversorgung (Netzteil) und es lässt sich gleichzeitig die Anzahl der für eine erfolgreiche Installation des Netzwerks erforderlichen Kabel reduzieren

Die PoE-Technologie bietet mehrere Vorteile. Sie macht durch die Übertragung von Daten und Strom über ein Ethernet-Kabel die externen Netzteile und Steckdosen für die Stromversorgung von VoIP-Geräten überflüssig. Eine Übersicht über die Leistungsmerkmale der einzelnen PoE-Verfahren zeigt die Tabelle "Gängige PoE-Verfahren".

Die Kosten eines Ausfalls können sehr hoch sein. Eine schlecht umgesetzte Redundanzstrategie (oder gar keine) kann nicht nur große wirtschaftliche Schäden verursachen, sondern verlangsamt die Abläufe und Arbeitsprozesse im Unternehmen oder stellt sie sogar komplett ein. Welches Redundanzmodell am besten passt und welche Alternativen möglich sind, lässt sich nur durch die Entwicklung eines auf das jeweilige Unternehmen zugeschnittenen Redundanzkonzept feststellen.