VoIP und Cloud-Telefonie ohne eigenes Netz: welche TKG-Pflichten gelten

Rechtsstand: TKG und BSI-Gesetz in der Fassung vom 22.10.2026, Telekommunikations-Überwachungsverordnung (TKÜV) in der Fassung vom 22.10.2026, geprüft am 06.11.2026. Diese Seite ordnet allgemein ein und ist keine Rechtsberatung. Welche Pflichten Ihr Unternehmen im Einzelfall treffen, klärt eine Rechtsanwältin oder ein Rechtsanwalt. Ob Sie den Dienst selbst erbringen oder nur mitwirken, etwa im Weiterverkauf, prüfen Sie mit der Seite Bin ich TK-Anbieter?.

Welche TKG-Pflichten gelten für Diensteanbieter ohne eigenes Netz?

Die meisten Sicherheitspflichten gelten unverändert, einige nur für Netzbetreiber. Die Tabelle stellt sie in der Reihenfolge zusammen, in der wir sie angehen würden.

Den Katalog von Sicherheitsanforderungen nach § 167 TKG (gültig: Version 2.0 vom 29.04.2020) richtet die Allgemeinverfügung an alle Diensteanbieter und Betreiber. Kapitel 3 gilt für alle, Anlage 1 zusätzlich für Anbieter mit eigener IP-Infrastruktur. Wer eine eigene Plattform betreibt, sollte deshalb prüfen, ob Anlage 1 auf ihn zutrifft.

Muss das Sicherheitskonzept der Bundesnetzagentur vorgelegt werden?

Nur, wenn die BNetzA es verlangt. § 166 Abs. 2 Satz 2 TKG: „Wer öffentlich zugängliche Telekommunikationsdienste erbringt, kann von der Bundesnetzagentur verpflichtet werden, das Sicherheitskonzept vorzulegen.“ Erstellen müssen Sie es trotzdem, samt Umsetzungserklärung, dass die Maßnahmen umgesetzt sind oder unverzüglich umgesetzt werden (§ 166 Abs. 1 Nr. 3, Abs. 3).

Wir empfehlen, das Konzept so zu führen, dass es jederzeit vorgelegt werden kann. Kommt eine Anordnung, ist sie vollziehbar, und ein Verstoß gegen sie ist eine Ordnungswidrigkeit (§ 228 Abs. 2 Nr. 3 Buchst. c TKG). Nach einer Vorlage gilt auch die Pflicht, das Konzept bei geänderten Gegebenheiten anzupassen und erneut vorzulegen (§ 166 Abs. 4 Satz 2), denn sie trifft den „nach Absatz 2 Verpflichteten“ (unsere Lesart). Aufbau und Inhalt des Konzepts stehen auf der Seite Sicherheitskonzept nach § 166 TKG.

Was verlangt der Notruf nach § 164 TKG?

Wer öffentlich zugängliche nummerngebundene Telefonie für abgehende Gespräche zu Rufnummern anbietet, muss unentgeltliche Notrufverbindungen zu 110 und 112 ermöglichen (§ 164 Abs. 1 Satz 1). In Grundzügen:

• Mit dem Notruf werden die Rufnummer des Anschlusses und die Daten übermittelt, die zur Ermittlung des Standorts erforderlich sind (Abs. 1 Satz 3).
• Notrufverbindungen sind vorrangig vor anderen Verbindungen herzustellen (Abs. 1 Satz 4).
• Die Kosten für Notrufverbindungen trägt jeder Anbieter selbst (Abs. 1 Satz 7).
• Nummernunabhängige Dienste wie Messenger müssen Standortdaten nur übermitteln, wenn sie eine direkte Verbindung zur Notrufabfragestelle ermöglichen (Abs. 4).
• Einzelheiten regeln die Notrufverordnung (NotrufV) und eine Technische Richtlinie der BNetzA, deren Anforderungen spätestens ein Jahr nach Bekanntmachung zu erfüllen sind (Abs. 6).

Den Inhalt von NotrufV und Technischer Richtlinie stellen wir hier nicht dar. Für Cloud-Telefonie lohnt ein eigener Prüfpunkt: Nutzen Kunden ihre Rufnummer an wechselnden Orten, etwa im Homeoffice oder mit einer Softphone-App unterwegs, stimmt der hinterlegte Anschlussort nicht immer mit dem Standort des Anrufers überein. Wie die Standortdaten in diesem Fall zu ermitteln sind, sollten Sie anhand der NotrufV und der Technischen Richtlinie klären. Kommt die Plattform von einem Vorleister, gehört die Notruflenkung in den Vertrag. Nach unserer Lesart bleibt verantwortlich, wer den Dienst gegenüber dem Kunden erbringt.

Was gilt bei Sicherheitsvorfällen?

Dieselbe Meldepflicht wie für Netzbetreiber, ohne Größenschwelle: erhebliche Sicherheitsvorfälle gehen an BNetzA und BSI, mit einer frühen Erstmeldung spätestens 24 Stunden nach Kenntnis, einer Meldung nach 72 Stunden und einer Abschlussmeldung einen Monat danach (§ 168 Abs. 1). Bei Cloud-Telefonie liegt ein Teil der Technik oft bei Dritten: Rechenzentrum, Carrier für die Zusammenschaltung, Plattformhersteller. Nach dem Meldekonzept der BNetzA bleibt verantwortlich, wer Dritte einsetzt, und Organisationsmängel, die die Meldung verzögern, gehen zu Lasten des Meldepflichtigen. Die Dienstleister sollten deshalb vertraglich verpflichtet sein, Vorfälle sofort mitzuteilen.

Bestandsdaten und Überwachung in Grundzügen

Wer Rufnummern vergibt, erhebt vor der Freischaltung die Bestandsdaten nach § 172. Kundendateien für das automatisierte Auskunftsverfahren nach § 173 braucht nach der KDAV erst, wer mehr als 10.000 Teilnehmer hat. Auskunft auf Ersuchen gibt jeder, der geschäftsmäßig TK-Dienste erbringt oder daran mitwirkt (§ 174 Abs. 6), unter 100.000 Vertragspartnern genügt das E-Mail-basierte Verfahren. Prozess und Schwellen stehen auf der Seite Bestandsdaten nach §§ 172-174 TKG.

Bei der Überwachung nach § 170 TKG ist nach unserer Lesart Anlagenbetreiber nach Abs. 1, wer seine Telefonieplattform selbst betreibt, auch in einem angemieteten Rechenzentrum, denn § 3 Nr. 60 TKG zählt auch Server zu den Telekommunikationsanlagen. Wer die Anlage eines Dritten nutzt, fällt unter Abs. 2, und die 10.000-Schwelle der TKÜV gilt weder für Netzknoten, die Sprachdienste ins Ausland vermitteln, noch für Auskünfte über Verkehrsdaten. Pflichten, Schwellen und Organisation erklärt die Seite § 170 TKG und TKÜV.

Beispiel: Pflichtenblatt für einen Cloud-Telefonie-Anbieter

Fiktives Beispiel, kein Kunde. Ein Anbieter mit 18 Beschäftigten verkauft Cloud-Telefonie an Geschäftskunden in ganz Deutschland. Er vergibt Rufnummern aus eigenen Blöcken, betreibt Softswitch und Session Border Controller in einem angemieteten Rechenzentrum und schaltet über einen Carrier ins öffentliche Telefonnetz zusammen. Er hat rund 4.500 Teilnehmer bei 700 Vertragspartnern, viele davon nutzen Softphones im Homeoffice. Gespräche ins Ausland vermittelt die Plattform selbst.

Das Blatt ist unsere Einordnung nach dem Gesetzeswortlaut und keine Prüfung im Einzelfall. Spalten und Zeilen können Sie übernehmen und um „Stand“ und „nächste Prüfung“ ergänzen.

Die Zeile zu § 170 zeigt, warum sich der Blick ins Detail lohnt: Ohne die Auslandsvermittlung würde die 10.000-Schwelle hier greifen.

Drei typische Lücken

Wie wir unterstützen

Wir erstellen und überarbeiten Sicherheitskonzepte nach § 166 TKG auch für Anbieter ohne eigenes Netz, so dass sie bei einer Anforderung vorgelegt werden können, und richten Meldeablauf und Nachweise ein. Wo Sie heute stehen, zeigt die Statusprüfung Stufe 1. Wir waren als Sicherheitsbeauftragte nach § 166 TKG tätig, haben Sicherheitskonzepte erstellt, aktualisiert und mit der Bundesnetzagentur abgestimmt.