Kann Microsoft Teams die klassische Telefonanlage ersetzen? Was jetzt akut gilt
Inhaltsverzeichnis
Veröffentlicht: 14. November 2026 · Lesezeit: ca. 7 Minuten
Vor wenigen Jahren war die Frage noch einfach zu beantworten: Eine ISDN-Telefonanlage im Serverraum, ein SIP-Trunk vom Telekommunikationsanbieter, fertig. Die Administration lag beim eigenen IT-Team oder einem lokalen Dienstleister, die Rufnummernblöcke waren sauber dokumentiert, und Sprachqualität war selten ein Thema – das PSTN lieferte zuverlässig. Dann kamen UCaaS-Plattformen, Homeoffice-Pflichten und das ISDN-Abschaltprogramm. Heute stellt sich dieselbe Frage in einer radikal anderen Infrastrukturumgebung: Microsoft Teams ist in ca. 285.000 deutschen Unternehmen im Einsatz (Demandsage), und immer mehr davon wollen Teams nicht nur für Chat und Video, sondern auch für externe Telefonie nutzen. Die Plattform kann das – aber der Teufel steckt in Zertifikatsketten, Lizenzdetails und Netzwerkkonfigurationen, die bei einer Neueinführung oft unterschätzt werden.
Die Debatte um Teams Telefonie Telefonanlage ist längst keine theoretische mehr: Betriebe, die ihre klassische Anlage ablösen wollen, stehen vor konkreten Entscheidungen zu Anbindungsweg, Lizenzmodell und Netzwerkqualität. Gleichzeitig gibt es für bestehende Direct-Routing-Installationen einen akuten technischen Handlungsbedarf, der nicht warten kann.
Seit der CA-Zertifikat-Rotation durch Microsoft im Juni 2026 ist jede SBC-Installation ohne aktualisierte Root-CA-Kette ein stilles Risiko: Anrufe scheitern am mTLS-Handshake – ohne Fehlermeldung, ohne Log-Eintrag, der sofort ins Auge springt. Rund 70 % der deutschen Unternehmen nutzen Teams als primäres Kommunikationstool (Bundesnetzagentur 2023); ein erheblicher Teil davon betreibt Direct Routing mit eigenen Session Border Controllern.
Dieser Beitrag ordnet den Sachverhalt nüchtern ein: Was genau hat sich geändert, wie prüfen Sie Ihre eigene Installation, welche Sofortmaßnahmen greifen – und wie bewerten Sie strukturell, ob die Teams Telefonie Telefonanlage für Ihren Betrieb der richtige nächste Schritt ist.
Was sich geändert hat: CA-Rotation, IPv6 und der stille Anrufausfall
Microsoft hat die Root-CA-Kette für Direct Routing und Operator Connect rotiert; die vollständige Durchsetzung erfolgte im Juni 2026. SBCs, die der alten CA-Kette vertrauen, können seitdem keine TLS-Verbindung zum Microsoft-SIP-Proxy mehr aufbauen – der mTLS-Handshake schlägt fehl. Das Symptom: Ausgehende und eingehende Anrufe werden kommentarlos abgebrochen oder gar nicht erst vermittelt. Betroffen sind alle Session Border Controller im Direct-Routing-Betrieb, die ihre Trust Stores nicht aktualisiert haben.
Parallel hat Microsoft IPv6-Support für Teams Phone (Non-Media-Bypass) eingeführt. Der neue Cmdlet-Parameter IPAddressVersion ist bei Neueinrichtungen und Änderungen am Gateway-Objekt jetzt relevant – wer IPv6 im Netz führt, aber am SBC nicht korrekt konfiguriert hat, riskiert Verbindungsabbrüche in gemischten Dual-Stack-Umgebungen. Details dazu finden Sie in der offiziellen Microsoft-Dokumentation zu Direct Routing – What’s New.
Für die Teams Telefonie Telefonanlage bedeutet das: Zwei unabhängige technische Änderungen treffen Bestandsinstallationen gleichzeitig. Wer seine SBC-Konfiguration seit Frühjahr nicht angefasst hat, sollte jetzt prüfen. Unterstützung bei der Microsoft 365 Einführung & Betreuung – TTG GmbH erhalten Sie auf Anfrage.
- Prüfen Sie, welche Root-CA-Zertifikate Ihr SBC aktuell im Trust Store hält.
- Vergleichen Sie die Microsoft-Root-CAs gegen die aktuell veröffentlichte Liste auf Microsoft 365 – offizielle Dokumentation.
- Prüfen Sie, ob Ihr SBC-Hersteller ein Firmware- oder Konfigurations-Update für die neue CA-Kette bereitstellt.
- Dokumentieren Sie den IPv6-Status Ihrer Netzwerkumgebung und passen Sie
IPAddressVersionam Gateway-Objekt entsprechend an.
Sind Sie betroffen? Prüfschritte ohne Umwege
Der erste Schritt ist eine schlichte Bestandsaufnahme: Betreiben Sie Direct Routing mit einem eigenen SBC, oder nutzen Sie Operator Connect bzw. einen Microsoft Calling Plan? Bei Calling Plan und Operator Connect liegt die Zertifikatspflege auf der Anbieterseite – Sie sind von der CA-Rotation nicht direkt betroffen. Bei Direct Routing liegt die Verantwortung bei Ihnen.
Für Direct-Routing-Installationen gilt: Melden Sie sich an der SBC-Administrationsoberfläche an und prüfen Sie den TLS-Trust-Store. Die meisten Hersteller (AudioCodes, Ribbon, Oracle) stellen diese Einstellung unter einem Pfad wie Security → TLS Contexts → Trusted Root Certificates bereit – die genaue Navigation variiert je nach Hersteller und Firmware-Version. Suchen Sie dort nach den Microsoft-Root-CAs (DigiCert, Baltimore CyberTrust Root bzw. deren Nachfolger) und gleichen Sie sie gegen die aktuelle Microsoft-Liste ab.
Ein weiteres Testsignal: Schauen Sie in die SBC-Logs auf SIP-500- oder TLS-Handshake-Fehler im Zeitraum ab Juni 2026. Fehlen diese, aber Anrufe schlagen trotzdem fehl, deutet das auf ein Zertifikatsproblem hin. Die IT-Sicherheit für Microsoft 365 – TTG GmbH umfasst auch die Absicherung solcher Schnittstellen.
- Stellen Sie fest, welcher Anbindungsweg aktiv ist: Calling Plan, Operator Connect oder Direct Routing.
- Rufen Sie bei Direct Routing den TLS-Trust-Store Ihres SBC auf und exportieren Sie die aktuell hinterlegten Root-Zertifikate.
- Prüfen Sie die SBC-Logs auf TLS- oder SIP-Fehler seit Juni 2026.
- Führen Sie einen Testanruf auf eine externe Rufnummer durch und beobachten Sie das SBC-Log in Echtzeit.
- Prüfen Sie, ob Ihr SBC-Hersteller ein Advisory oder Firmware-Update zur CA-Rotation veröffentlicht hat.
Sofortmaßnahmen: Was jetzt in welcher Reihenfolge zu tun ist
Wenn Sie Direct Routing betreiben und die Root-CAs noch nicht aktualisiert haben, ist das die erste und dringlichste Aufgabe – noch vor jeder Lizenz- oder Migrationsplanung. Importieren Sie die von Microsoft aktuell geforderten Root-CA-Zertifikate in den Trust Store Ihres SBC. Die genaue Vorgehensweise ist herstellerspezifisch; planen Sie für einen erfahrenen Administrator etwa eine bis zwei Stunden ein, inklusive Test.
Parallel sollten Sie die Frage klären, ob Direct Routing langfristig der richtige Weg bleibt. Der Trend zur Migration auf Operator Connect nimmt zu – Betriebe, die keinen eigenen SBC betreiben wollen, geben damit die Zertifikatspflege und SBC-Administration ab. Ein aktueller Migrationsleitfaden dokumentiert den vollständigen Prozess von Direct Routing zu Operator Connect (solvingmicrosoft365.com). Das ist keine Entscheidung für heute Nachmittag, aber sie gehört auf die Agenda.
Für Neueinführungen der Teams Telefonie Telefonanlage gilt außerdem: Lizenzieren Sie nur die Nutzer mit Teams Phone, die tatsächlich externe Anrufe führen – nicht pauschal alle M365-Lizenzen aufstocken. Spezialanschlüsse wie Fax, Alarmwähler oder Türsprechstellen sind separat zu planen; diese lassen sich nicht einfach migrieren. Unterstützung bei der Planung bietet die ISO/IEC 27001 zertifizierte – TTG GmbH.
- Importieren Sie die aktuellen Microsoft Root-CA-Zertifikate sofort in den SBC-Trust-Store (Aufwand: 1–2 Stunden).
- Führen Sie nach dem Import Testanrufe durch und verifizieren Sie erfolgreiche TLS-Verbindungen im Log.
- Prüfen Sie den
IPAddressVersion-Parameter am Teams-Gateway-Objekt auf Korrektheit. - Erfassen Sie alle Spezialanschlüsse (Fax, Lift, Alarm, Türöffner) als eigenständige Teilprojekte.
- Bewerten Sie, ob eine Migration zu Operator Connect die Betriebskomplexität in Ihrem Fall sinnvoll reduziert.
Einordnung: Teams Telefonie Telefonanlage – Wie ernst ist das strukturell?
Die CA-Rotation ist kein theoretisches Sicherheitsrisiko, sondern ein Betriebsproblem: Wer nicht aktualisiert, verliert schlicht die Telefonie – lautlos, ohne Warnung im Teams-Client. Das BSI empfiehlt für Cloud-Kommunikationsinfrastrukturen grundsätzlich, Zertifikatsgültigkeiten und Trust-Store-Aktualität als festen Bestandteil des Patch-Managements zu behandeln; mehr dazu unter BSI – Sicheres Cloud Computing.
Strukturell zeigt die Situation, dass die Teams Telefonie Telefonanlage kein „Set and forget“-System ist. Die Plattform entwickelt sich schnell – CA-Rotation, IPv6-Einführung und das wachsende Operator-Connect-Ökosystem sind keine Einmalereignisse, sondern Vorboten weiterer Änderungen. Betriebe, die Direct Routing ohne aktive Administration betreiben, werden künftig öfter in solche Situationen geraten.
Für technische Entscheider bedeutet das: Teams Phone braucht denselben Wartungszyklus wie jede andere kritische Infrastrukturkomponente. Für Geschäftsführer bedeutet es: Der eingesparte SBC-Betrieb durch Operator Connect hat einen realen Gegenwert – nämlich weniger unerwartete Ausfälle durch externe Plattformänderungen. Betriebe in Leinefelde-Worbis und der weiteren Region können sich dazu an die TTG GmbH wenden, die mit über 25 Jahren Erfahrung in der IT-Infrastrukturbetreuung solche Migrationen begleitet. Lesen Sie mehr unter IT-Infrastruktur & Cloud-Migration – TTG GmbH.
Ergänzend zur Teams-Thematik: Microsofts November-Patchday hat knapp 1.100 Sicherheitslücken geschlossen – darunter aktiv ausgenutzte Angriffe auf Outlook, was für jeden Betrieb mit Microsoft 365 unmittelbaren Handlungsbedarf bedeutet (heise Security: Microsoft-Patchday – Attacken auf Outlook beobachtet). Wer ohnehin gerade die SBC-Konfiguration prüft, sollte den Patch-Status aller M365-Komponenten in einem Zug kontrollieren.
Ihre Checkliste: So starten Sie jetzt
- Prüfen Sie den aktiven Anbindungsweg Ihrer Teams-Telefonie (Calling Plan, Operator Connect oder Direct Routing) – dies bestimmt, ob Sie von der CA-Rotation direkt betroffen sind.
- Exportieren Sie die aktuell im SBC-Trust-Store hinterlegten Root-Zertifikate und gleichen Sie diese mit der aktuellen Microsoft-Liste ab.
- Importieren Sie fehlende Root-CA-Zertifikate sofort und führen Sie anschließend Testanrufe mit Log-Kontrolle durch.
- Dokumentieren Sie alle Spezialanschlüsse (Fax, Alarmwähler, Aufzugtelefon, Türsprechstelle) als separate Migrationspunkte, bevor Sie weitere Schritte planen.
- Bewerten Sie gemeinsam mit Ihrem IT-Dienstleister, ob ein Wechsel zu Operator Connect die SBC-Administration dauerhaft abnimmt und damit künftige Ausfälle durch Plattformänderungen reduziert.
Häufig gestellte Fragen
Kann Microsoft Teams unsere bestehende Telefonanlage vollständig ersetzen, oder brauchen wir beides parallel?
In den meisten Büroumgebungen kann Teams die klassische Telefonanlage vollständig ablösen – vorausgesetzt, Netzwerkqualität, Lizenzierung und Rufnummernportierung sind sauber geplant. Ausnahmen bilden Spezialanschlüsse wie Faxgeräte, Alarmwähler oder Aufzugtelefone: Diese lassen sich nicht direkt in Teams integrieren und müssen als separate Teilprojekte oder über analoge Adapter weitergeführt werden. Eine parallele Phase während der Migration ist sinnvoll, sollte aber zeitlich begrenzt sein.
Was kostet Teams Phone zusätzlich zu unserer bestehenden Microsoft 365 Lizenz?
Das Teams-Basispaket enthält keine externe Telefonie. Teams Phone ist eine kostenpflichtige Zusatzlizenz, die pro Nutzer anfällt – und nur für die Mitarbeitenden sinnvoll ist, die tatsächlich externe Anrufe führen. Hinzu kommen je nach Anbindungsweg Kosten für einen Calling Plan, Operator-Connect-Tarife oder den Betrieb eines eigenen SBC bei Direct Routing. Eine ehrliche Lizenzplanung ohne Puffer-Lizenzen spart hier erheblich gegenüber einer pauschalen Vollausstattung.
Wie aufwändig ist die Prüfung und Aktualisierung der SBC-Zertifikate – brauchen wir dafür externe Unterstützung?
Für einen Administrator mit SBC-Erfahrung ist der Zertifikatsimport ein überschaubarer Eingriff von ein bis zwei Stunden, inklusive Test. Kritisch ist das korrekte Identifizieren der relevanten Trust-Store-Einstellung in der jeweiligen Hersteller-Oberfläche. Wer seinen SBC bislang kaum administriert hat oder keinen direkten Zugang zur Konfiguration besitzt, sollte einen IT-Dienstleister hinzuziehen – ein unbedachter Eingriff in TLS-Konfigurationen kann die gesamte Sprachkommunikation unterbrechen. Die TTG GmbH übernimmt diese Prüfung auf Anfrage.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie gerade sicher, ob Ihr SBC die aktuellen Microsoft Root-CAs vertraut – oder läuft Ihre Telefonie auf einem Zertifikat, das längst nicht mehr gilt?
Microsoft 365 für Ihr Unternehmen einrichten
Von der Einführung bis zur laufenden Betreuung: Die TTG GmbH begleitet Sie als zertifizierter Microsoft-Partner in Nordthüringen und Eichsfeld.
