Was ist ein SBC?

SBC einfach erklärt

Man kann sich einen SBC wie eine besetzte Pforte vorstellen. Wer von außen anruft, spricht zuerst mit der Pforte, und erst die Pforte baut die Verbindung ins Haus auf.

Technisch zerlegt der Session Border Controller jedes Gespräch in zwei Hälften: Er beendet die Verbindung auf der einen Seite und baut auf der anderen Seite eine neue auf. In den Dokumenten der Internet-Standardisierung heißt diese Bauart Back-to-Back User Agent (RFC 5853, RFC 7092). Einen eigenen Standard für SBCs gibt es dort nicht. Der Begriff bezeichnet eine Geräteklasse, deren Funktionsumfang je nach Hersteller variiert.

Dieses Prinzip erklärt, warum ein SBC mehr kann als ein Router. Weil er beide Hälften selbst führt, darf er die Nachrichten des Protokolls SIP umschreiben, Adressen austauschen und Formate anpassen, bevor er sie weitergibt. Das betrifft zunächst die Signalisierung, also Verbindungsaufbau und -abbau. In der Regel läuft aber auch der Sprachstrom über den SBC, der als VoIP in eigenen Datenpaketen unterwegs ist.

Was ein Session Border Controller übernimmt

Typisch sind diese Aufgaben:

• Gegenstellen begrenzen: Er nimmt Verbindungen nur von bekannten Partnern an, etwa vom Anbieter des Anschlusses, und weist alles andere ab.
• Interne Struktur verbergen: Nach außen erscheint nur der SBC. Adressen und Namen der Systeme dahinter ersetzt er in den weitergegebenen Nachrichten durch seine eigenen.
• Unterschiede ausgleichen: SIP ist ein offener Standard, wird aber nicht überall gleich umgesetzt. Der SBC passt Kopfzeilen, Rufnummernformate oder Sprachcodecs an, damit Anlage und Anbieter einander verstehen.
• Verschlüsseln: An der Grenze kann er die Verschlüsselung übernehmen, für die Signalisierung per TLS und für die Sprache per SRTP. Das geht auch dann, wenn nur eine der beiden Seiten verschlüsselt.
• Adressumsetzung überbrücken: Hinter Routern, die interne in öffentliche Adressen übersetzen (NAT), brechen Gespräche leicht ab oder bleiben einseitig stumm. Ein SBC hält solche Verbindungen offen und lenkt den Sprachstrom an das richtige Ziel.

SBC und Firewall teilen sich die Arbeit

Eine Firewall entscheidet nach Adressen, Ports und Protokollen, ob ein Datenpaket passieren darf. Den Ablauf eines Telefonats überblickt sie nur begrenzt. Der SBC dagegen kennt den Gesprächsverlauf: Er weiß, welcher Sprachstrom zu welchem Anruf gehört, und öffnet nur die Wege, die dafür gebraucht werden.

Der Baustein NET.4.2 VoIP im IT-Grundschutz des BSI fordert, dass Rechner aus unsicheren Netzen die VoIP-Technik eines Unternehmens nicht unmittelbar erreichen. Laufen alle Gespräche über ein zentrales System, sollen Signalisierung und Sprache zwischen öffentlichem und internem Netz nur darüber ausgetauscht werden. Ein SBC ist ein naheliegender Weg, das umzusetzen. Die Firewall bleibt trotzdem nötig, denn sie schützt den SBC selbst und das übrige Netz.

Wo ein SBC gebraucht wird

Ein klassischer Einsatzort ist der Übergang zwischen einem SIP-Trunk und einer Anlage im eigenen Haus. Wie Anlage, Endgeräte und Anschluss dort zusammenspielen, beschreibt die Seite zur IP-Telefonanlage für Unternehmen. Hängt nur eine Anlage am Anschluss, kann deren eingebaute Absicherung ausreichen. Ein separates System ist vor allem sinnvoll, sobald mehrere Systeme an einem Anschluss hängen, etwa eine Anlage und Microsoft Teams, oder der Anbieter bestimmte Einstellungen verlangt.

Lassen Sie Microsoft Teams per Direct Routing über einen eigenen Anschluss telefonieren, ist ein SBC Voraussetzung. Microsoft akzeptiert dabei nur Modelle, die es für dieses Verfahren geprüft und in seine Liste aufgenommen hat (Stand: Oktober 2026). Welche Anbindungswege es für Teams gibt, zeigt unsere Seite zur Microsoft Teams Telefonie.

Bei einer reinen Cloud-Telefonanlage brauchen Sie in der Regel keinen eigenen SBC, weil der Betreiber den Übergang in seinem Rechenzentrum übernimmt. Wo ein SBC nötig ist, gibt es ihn als Gerät, als virtuelle Maschine auf einem vorhandenen Server oder als Dienst, den ein Dienstleister in einem Rechenzentrum betreibt.

Ein Anschluss für Anlage und Teams

Angenommen, ein Möbelhaus betreibt im Haus eine IP-Telefonanlage, an der Verkauf und Lager mit Tischtelefonen und schnurlosen DECT-Geräten hängen. Die Verwaltung arbeitet längst in Teams und soll dort auch telefonieren. Zwei Anschlüsse will der Betrieb nicht, die Durchwahlen sollen bleiben.

Die Lösung ist ein SBC zwischen SIP-Trunk, Anlage und Teams. Er nimmt Anrufe vom Anbieter entgegen und verteilt sie nach Durchwahl: Die Nummern der Verwaltung gehen an Teams, alle übrigen an die Anlage. Interne Gespräche zwischen beiden Welten laufen ebenfalls über ihn. Von außen akzeptiert er nur Verbindungen vom Anbieter und von den Teams-Diensten. Weil alle Wege über dieses eine System laufen, gehört seine Konfiguration ins Backup und das Gerät selbst ins IT-Monitoring.

Wie ProNet unterstützt

Wir prüfen, ob Ihre Umgebung einen eigenen SBC braucht oder die Anlage den Übergang selbst abdeckt. Ist ein SBC sinnvoll, empfehlen wir ein passendes System und installieren es, je nach Umgebung auf eigener Hardware oder virtualisiert. Anschließend legen wir die Regeln für Anbieter, Anlage und gegebenenfalls Teams fest. Dazu stimmen wir die Firewall auf den SBC ab. Den gesamten Ablauf von der Kanalplanung bis zur Umschaltung beschreibt die Seite SIP-Trunk für Unternehmen.