Teilnehmerbetriebsklasse

Was ist eine Closed User Group?

CUG steht für Closed User Group, zu Deutsch geschlossene Benutzergruppe. In ISDN-Netzen wird das Merkmal auch als Teilnehmerbetriebsklasse bezeichnet. Es handelt sich um ein vermittlungstechnisches Leistungsmerkmal, das eine definierte Gruppe von Anschlüssen bildet, deren Mitglieder untereinander uneingeschränkt kommunizieren dürfen. Anrufe von oder zu Anschlüssen außerhalb dieser Gruppe werden hingegen gesperrt oder eingeschränkt. Die CUG schafft einen abgeschotteten Kommunikationsraum innerhalb des öffentlichen oder privaten Netzes. Sie dient sowohl der Kostenkontrolle als auch der Informationssicherheit und findet sich in ISDN, Mobilfunk und Voice-over-IP gleichermaßen.

Funktionsweise

Jeder Anschluss einer geschlossenen Benutzergruppe ist netzseitig mit einer CUG-Kennung versehen. Bei jedem abgehenden oder ankommenden Ruf prüft die Vermittlungsstelle, ob die gewählte Nummer oder der anrufende Teilnehmer derselben CUG angehört. Ist das der Fall, wird die Verbindung wie gewohnt durchgestellt. Bei einem Ziel außerhalb der Gruppe hängt das Verhalten von den konfigurierten Berechtigungen ab. Typische Optionen sind die vollständige Sperrung abgehender externer Rufe, die Sperrung ankommender externer Rufe oder beides kombiniert. Zusätzlich kann festgelegt werden, ob ein Mitglied bevorzugt bestimmte externe Ziele erreichen darf. Die Steuerung erfolgt über Einträge in der Teilnehmerdatenbank der Vermittlungsstelle.

Technische Umsetzung in verschiedenen Netzen

CUG ist als Supplementary Service standardisiert und wird je nach Netztechnologie über spezifische Protokolle realisiert.

ISDN: Die CUG-Information ist im DSS1-Protokoll verankert. Hier wird das Merkmal als Teilnehmerbetriebsklasse geführt und im Teilnehmerdatensatz des Basisanschlusses oder Primärmultiplexanschlusses hinterlegt. Die Vermittlungsstelle prüft bei jedem SETUP die CUG-Zugehörigkeit des rufenden und des gerufenen Anschlusses. Ist der Dienst aktiviert und die Gruppenzugehörigkeit nicht gegeben, wird der Ruf abgewiesen.
Mobilfunk (GSM/UMTS/LTE): CUG ist in 3GPP TS 24.085 definiert. Das Home Location Register (HLR) enthält die CUG-Daten jedes Teilnehmers. Das Mobile Switching Center (MSC) wertet bei jedem Verbindungsaufbau die CUG-Informationen aus und setzt die Sperren durch. Eine SIM-Karte kann mehreren CUGs angehören, wobei eine aktive Gruppe ausgewählt wird. Die Aktivierung und Verwaltung erfolgt über die SIM-Toolbox oder das Endgerätemenü.
SIP (VoIP): In SIP-Netzen wird CUG über die Konfiguration des Application Servers oder Session Border Controllers umgesetzt. Der Server führt eine Datenbank mit Gruppenzugehörigkeiten und führt vor dem Routing eines INVITE eine CUG-Prüfung durch. Stimmt die CUG des Anrufers nicht mit der des Ziels überein und sind externe Rufe gesperrt, antwortet der Server mit SIP 403 Forbidden oder einer entsprechenden Fehlermeldung. Die Administration erfolgt über das Provisioning-System des VoIP-Providers oder der TK-Anlage.

Konfiguration und Einrichtung

Eine Closed User Group wird in der Regel durch den Netzbetreiber oder den Administrator der TK-Anlage eingerichtet. Jede Gruppe erhält eine eindeutige Kennung, den CUG-Interlock Code. Anschlüsse werden dieser Gruppe zugewiesen. Anschließend werden für jeden Anschluss die Berechtigungen definiert: eingehende externe Rufe erlaubt oder gesperrt, abgehende externe Rufe erlaubt oder gesperrt. Manche Implementierungen erlauben zusätzliche Präferenzlisten, mit denen einzelne externe Nummern trotz genereller Sperre erreicht werden können. Die Verwaltung erfolgt im Kundenportal des Providers, über das Konfigurationsinterface der Telefonanlage oder bei älteren Systemen durch schriftlichen Auftrag an den Netzbetreiber.

Abgrenzung zu anderen Merkmalen

CUG unterscheidet sich grundlegend von anderen Sperren und Gruppendiensten.

Anrufsperren (Call Barring): Diese sperren pauschal bestimmte Nummernbereiche wie Ausland oder Premium-Dienste. CUG hingegen definiert eine Gruppe und regelt die Kommunikation anhand der Zugehörigkeit.
Blacklist / Whitelist: Diese filtern Anrufe nach konkreten Nummern, unabhängig von einer Gruppenzugehörigkeit. CUG wirkt auf Basis einer systemweiten Gruppendefinition.
Centrex und VPN: Diese bieten ähnliche Gruppenfunktionalität mit eigenem Nummernplan, sind aber auf virtuelle private Netze ausgelegt. CUG nutzt die öffentlichen Rufnummern und schränkt lediglich die Verbindungen ein.
Rufumleitungen: Diese sind von CUG unabhängig, können aber durch CUG-Sperren eingeschränkt werden, wenn das Umleitungsziel außerhalb der Gruppe liegt.

Praktische Anwendungsszenarien

CUG wird häufig in Unternehmen eingesetzt, die ihren Mitarbeitern Mobiltelefone zur Verfügung stellen. Die Geräte können innerhalb des Firmenpools beliebig kommunizieren, aber keine privaten oder externen Ziele anrufen. Behörden und Sicherheitsorganisationen nutzen CUG, um abhörsichere, in sich geschlossene Kommunikationsinseln zu schaffen, die keine Verbindungen ins öffentliche Netz zulassen. Auch in Krankenhäusern oder Werksgeländen mit Funksystemen sorgt CUG dafür, dass nur autorisierte Teilnehmer miteinander telefonieren können. Ein weiteres Szenario sind Kostenstellen: Eine CUG für die Buchhaltung erlaubt Anrufe untereinander und zum Vorgesetzten, aber keine teuren externen Gespräche.

Grenzen des Leistungsmerkmals

CUG setzt voraus, dass alle Mitglieder im selben Netz oder in Netzen mit CUG-fähiger Zusammenschaltung sind. Anrufe in andere öffentliche Netze oder zu ausländischen Anschlüssen können oft nicht zuverlässig gesperrt werden, wenn die Signalisierung die CUG-Information nicht überträgt. Notrufe sind von jeder CUG-Sperre ausgenommen und werden immer durchgestellt. Die Konfiguration ist anbieterabhängig und nicht bei allen Tarifen oder Anbietern verfügbar. Werden Mitglieder unterschiedlichen CUGs zugeordnet, kann es zu komplexen Berechtigungsmatrizen kommen, die einen hohen administrativen Aufwand verursachen. In VoIP-Umgebungen, die mehrere Server und Proxy-Ketten durchlaufen, muss die CUG-Information an jeder Station ausgewertet werden, was eine durchgängige Policy-Enforcement-Architektur erfordert und bei inkonsistenter Konfiguration zu unerwarteten Sperren oder Lücken führen kann.