Welche Firewall-Einstellungen braucht 3CX?

Joshua · 03 Juli 2026

Wer eine 3CX-Telefonanlage betreibt, kommt an einer sorgfältig konfigurierten Firewall nicht vorbei. VoIP-Kommunikation stellt andere Anforderungen an das Netzwerk als klassischer Datenverkehr: Echtzeitkommunikation reagiert empfindlich auf Latenzen, Paketverluste und falsch interpretierte Protokolle. Die richtigen 3CX Firewall-Einstellungen sind deshalb keine optionale Feinarbeit, sondern Grundvoraussetzung für einen stabilen, sicheren Betrieb.

Dieser Beitrag erklärt, welche Ports und Protokolle freigegeben werden müssen, wie NAT-Traversal korrekt funktioniert, welche Sicherheitsregeln sinnvoll sind und worauf bei Cloud- oder Hybrid-Setups besonders geachtet werden sollte.

Ports und Protokolle für den 3CX-Betrieb

Für den reibungslosen Betrieb einer 3CX-Anlage müssen an der Firewall gezielt Ports geöffnet werden. 3CX nutzt eine Kombination aus SIP für die Signalisierung und RTP für den eigentlichen Sprachverkehr. Ohne die korrekten Freigaben können Verbindungen nicht aufgebaut werden oder Gespräche brechen einseitig ab.

Die wichtigsten Ports im Überblick:

TCP 5001 (HTTPS): Für den Zugriff auf das 3CX-Webinterface und die Provisionierung von IP-Telefonen
TCP 5015: Tunnelverbindung für Remote-Clients und den 3CX-Tunnel
UDP 5060 / TCP 5060: Standard-SIP-Port für die Signalisierung (sofern nicht geändert)
UDP 9000-10999: RTP-Portbereich für Sprachdaten (konfigurierbar im 3CX-Administrationsbereich)
TCP 443: HTTPS für WebRTC-Verbindungen und den 3CX-Webclient

Beim RTP-Portbereich gilt: Je nach Anzahl der gleichzeitigen Gespräche sollte der Bereich ausreichend dimensioniert sein. Jedes aktive Gespräch belegt in der Regel zwei RTP-Ports. Wer mit hohem Gesprächsaufkommen plant, sollte den Bereich entsprechend großzügig wählen und in der Firewall exakt abbilden.

NAT-Traversal und SIP-ALG richtig konfigurieren

NAT-Traversal ist einer der häufigsten Stolpersteine in VoIP-Umgebungen. Das Problem entsteht, weil SIP-Pakete die interne IP-Adresse des Absenders im Nachrichtenrumpf transportieren. Passiert dieses Paket einen NAT-Router, wird die Kopfzeile korrekt übersetzt, der Nachrichtenrumpf bleibt jedoch unverändert. Die Gegenseite erhält dann eine nicht erreichbare private IP-Adresse.

3CX löst dieses Problem über den integrierten STUN-Mechanismus und den 3CX-Tunnel. Damit das funktioniert, muss die externe IP-Adresse in der 3CX-Konfiguration korrekt hinterlegt sein. Bei dynamischen IP-Adressen empfiehlt sich die Nutzung eines DDNS-Dienstes.

SIP-ALG deaktivieren

SIP-ALG (Application Layer Gateway) ist eine Funktion vieler handelsüblicher Router und Firewalls, die SIP-Pakete automatisch modifizieren soll. In der Praxis verursacht SIP-ALG jedoch regelmäßig Probleme: Es verändert Pakete auf eine Weise, die mit 3CX nicht kompatibel ist, was zu Gesprächsabbrüchen, fehlenden Audiopfaden oder nicht klingelnden Telefonen führt.

Die Empfehlung ist eindeutig: SIP-ALG in der Firewall und im Router deaktivieren. Bei vielen Consumer-Routern ist diese Option unter den erweiterten WAN- oder VoIP-Einstellungen zu finden. Bei Business-Firewalls wie Fortinet, Sophos oder Cisco gibt es dafür spezifische Konfigurationsoptionen, die im jeweiligen Administrationsbereich gesetzt werden müssen.

Sicherheitsregeln zum Schutz der 3CX-Infrastruktur

Eine offene Firewall ist keine Lösung. SIP-Server sind im Internet bekannte Angriffsziele, weil kompromittierte Telefonanlagen für teure Auslandsverbindungen missbraucht werden können. Gezielte Firewall-Regeln reduzieren diese Angriffsfläche erheblich.

Bewährte Sicherheitsmaßnahmen auf Firewall-Ebene:

SIP-Ports nur für bekannte SIP-Trunk-Anbieter freigeben, nicht für beliebige Quell-IP-Adressen
Fail2Ban oder vergleichbare Mechanismen aktivieren, um Brute-Force-Versuche auf den SIP-Port automatisch zu blockieren
Den Administrationsport des 3CX-Webinterfaces nicht direkt aus dem Internet erreichbar machen, sondern über VPN absichern
Geo-IP-Blocking einsetzen, um Verbindungsversuche aus Regionen zu unterbinden, die für den Betrieb nicht relevant sind
Rate-Limiting auf SIP-Ports konfigurieren, um automatisierte Registrierungsversuche zu drosseln

3CX selbst bringt ebenfalls Schutzmechanismen mit, etwa automatisches IP-Blacklisting bei zu vielen fehlgeschlagenen Anmeldeversuchen. Diese Funktion entfaltet ihren vollen Nutzen aber erst in Kombination mit einer restriktiven Firewall-Konfiguration.

Besonderheiten bei Cloud- und Hybrid-Deployments

Cloud-basierte 3CX-Installationen verändern die Netzwerktopologie grundlegend. Statt einer On-Premise-Anlage im eigenen Rechenzentrum kommunizieren Endgeräte und Clients direkt mit einem Server in der Public oder Private Cloud. Das hat direkte Auswirkungen auf die Firewall-Konfiguration.

Bei Cloud-Deployments muss die Firewall am Standort ausgehende Verbindungen zu den 3CX-Cloud-Servern erlauben. Die benötigten Ziel-IP-Adressen oder Hostnamen stellt 3CX in der offiziellen Dokumentation bereit und sollten regelmäßig auf Aktualität geprüft werden. Eingehende Verbindungen von der Cloud zum Endgerät laufen in der Regel über den 3CX-Tunnel auf TCP 5015, was die Anforderungen an die lokale Firewall vereinfacht.

Hybrid-Setups, bei denen ein Teil der Nutzer im Büro und ein anderer Teil remote arbeitet, erfordern besondere Aufmerksamkeit. Hier müssen sowohl die lokale Firewall als auch eventuelle VPN-Konfigurationen aufeinander abgestimmt sein. Remote-Clients, die den 3CX-Webclient oder die App nutzen, verbinden sich über HTTPS (TCP 443) und den Tunnel, was die Firewall-Konfiguration für diese Nutzergruppe überschaubar hält. Für VoIP und Unified Communications in verteilten Umgebungen ist eine durchgängige Netzwerkplanung entscheidend.

Häufige Konfigurationsfehler und ihre Auswirkungen

Viele Probleme im 3CX-Betrieb lassen sich auf eine Handvoll wiederkehrender Konfigurationsfehler zurückführen. Wer diese kennt, kann sie beim initialen Setup vermeiden und spart sich aufwendige Fehlersuche im laufenden Betrieb.

Zu den häufigsten Fehlern gehören:

SIP-ALG nicht deaktiviert: Führt zu sporadischen Gesprächsabbrüchen und einseitigen Audioproblemen, die sich schwer reproduzieren lassen.
Zu enger RTP-Portbereich: Bei hohem Gesprächsaufkommen werden nicht genügend Ports zugewiesen, was zu Verbindungsfehlern oder schlechter Sprachqualität führt.
Falsche externe IP in 3CX hinterlegt: Besonders bei dynamischen Internetanschlüssen ein häufiges Problem, das sich in nicht erreichbaren Remote-Clients äußert.
Firewall blockiert ICMP vollständig: Einige Firewall-Konfigurationen blockieren ICMP-Pakete pauschal. Das beeinträchtigt die Verbindungsqualität und erschwert die Diagnose.
Kein Quality of Service (QoS): Ohne priorisierte Behandlung von Sprachpaketen kann Datenverkehr im Netzwerk die Gesprächsqualität beeinträchtigen, besonders bei begrenzter Bandbreite.

Ein weiterer unterschätzter Punkt ist die Dokumentation der Firewall-Regeln. Wächst die Anlage oder kommen neue Standorte hinzu, verliert man ohne saubere Dokumentation schnell den Überblick über bestehende Regeln. Das führt dazu, dass veraltete Freigaben bestehen bleiben oder neue Konfigurationen mit bestehenden Regeln in Konflikt geraten.

Wie IANT die 3CX-Netzwerkkonfiguration umsetzt

Die korrekte Konfiguration von Firewall-Regeln für eine 3CX-Anlage ist technisch anspruchsvoll und hängt stark von der jeweiligen Netzwerkinfrastruktur, dem eingesetzten Firewall-System und dem Deployment-Modell ab. IANT übernimmt als erfahrener Systemintegrator genau diese Aufgabe: die Analyse der bestehenden Netzwerkumgebung, die Ableitung der notwendigen Firewall-Regeln und deren saubere Umsetzung im Rahmen einer vollständigen 3CX-Implementierung.

Im Rahmen der realisierten Kundenprojekte hat IANT Erfahrung mit einer Vielzahl von Firewall-Systemen und Netzwerktopologien gesammelt, von einfachen Einzelstandort-Installationen bis hin zu komplexen Multi-Standort-Setups mit Cloud-Anbindung. Das umfasst konkret:

Analyse und Dokumentation der bestehenden Netzwerk- und Firewall-Konfiguration
Definition und Implementierung aller notwendigen Portfreigaben und Sicherheitsregeln
Konfiguration von NAT-Traversal, SIP-ALG-Deaktivierung und QoS
Abstimmung der Firewall-Konfiguration auf das gewählte Deployment-Modell (On-Premise, Cloud oder Hybrid)
Laufende Betreuung und Anpassung bei Änderungen an der Infrastruktur

Wer sicherstellen möchte, dass die 3CX-Firewall-Konfiguration von Anfang an korrekt sitzt, ist bei IANT gut aufgehoben. Nehmen Sie Kontakt auf und besprechen Sie Ihr Projekt direkt mit den Spezialisten.