Was 3CX ist

3CX ist eine Software-Telefonanlage, die Telefonie, Warteschlangen, Chat, Videokonferenzen und Apps für Desktop, Browser und Smartphone bündelt. Sie arbeitet mit SIP-Telefonen und SIP-Trunks vieler Anbieter und lässt sich mit Microsoft 365 und CRM-Systemen verbinden. Die Anlage läuft unter Debian oder Windows, auf eigener Hardware, virtuell oder bei einem Cloud-Anbieter.

Das Unternehmen wurde 2005 von Nick Galea gegründet; Vertragspartner ist standardmäßig die 3CX Ltd in Zypern, daneben bestehen Gesellschaften in den USA und den VAE. Seit Version 20 wird nur noch mit Jahreslizenzen verkauft. Im März 2023 wurde die Desktop-App von 3CX Ziel eines Lieferkettenangriffs.

Wofür es eingesetzt wird

Kleine und mittlere Unternehmen setzen 3CX als Telefonanlage im eigenen Haus oder bei einem Hoster ein, oft vermittelt über Partner. Im Selbstbetrieb bleiben Gesprächs- und Verbindungsdaten auf dem eigenen Server. Für Aktivierung, Updates und Push-Benachrichtigungen verbindet sich die Anlage mit Diensten von 3CX.

Die Anlage hängt dauerhaft an einer gültigen Jahreslizenz: Ohne Verlängerung verarbeitet sie nur noch einen gleichzeitigen Anruf. Kontakte lassen sich als CSV exportieren, Verbindungsdaten als Datei ausgeben; ein Wechsel sollte daher vor Ablauf der Lizenz vorbereitet werden.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Betrieb der Anlage auf eigenem Server; Fragen zum Rechtsraum und zur Datenhoheit sind für eine selbst betriebene Anlage sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	teilweise	Vertragspartner ist laut EULA und Auftragsverarbeitungsvertrag, wenn nichts anderes vereinbart ist, die 3CX Ltd mit Sitz in Nikosia (Zypern); je nach Produktanhang kann es auch 3CX USA Corp. oder 3CX Software FZCO (VAE) sein. Die Kontaktseite führt Tampa (USA) als „USA HQ“, eine Enzyklopädie nennt Nikosia als Hauptsitz (Sekundärquelle). Welche Gesellschaft Konzernmutter ist, wurde nicht belegt. Beleg: End User License Agreement · Data Processing Addendum · Contact (Standorte) · Terms & Conditions · 3CX
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Auslegung: Bei Selbstbetrieb liegt die Verantwortung als Verantwortlicher beim Kunden, 3CX hat laut DSGVO-Erklärung ohne Hosting oder Supportanfrage keinen Zugriff auf Anlagendaten. Zum Konzern gehört aber eine US-Gesellschaft, und für die selbst betriebene Anlage nennt der Auftragsverarbeitungsvertrag Unterauftragsverarbeiter wie Google Cloud, Firebase, Apple APNS, Cloudflare, DigitalOcean und Twilio SendGrid, Übermittlungen stützt er auf Standardvertragsklauseln. Laut Anhang A prüft 3CX behördliche Anfragen und ficht unverhältnismäßige an, soweit zulässig. Beleg: GDPR Statement · Data Processing Addendum · Terms & Conditions
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	teilweise	Server und Daten stehen beim Kunden; SRTP lässt sich je Nebenstelle erzwingen, SIP kann über TLS laufen, Mobile Apps nutzen einen Tunnel. Die Anlage braucht zur Aktivierung den Server activate.3cx.com, Push läuft über Server von 3CX, und laut EULA kann der Kunde 3CX erlauben, Updates automatisch einzuspielen. Ohne gültige Lizenz geht die Anlage in einen eingeschränkten Zustand. Beleg: How to Configure Secure SIP – TLS · Firewall & Router Configuration · End User License Agreement · Subscription Expiry – What You Need to Know
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	nicht belegbar	3CX ist ein privat gehaltenes Unternehmen mit Hauptsitz in Nikosia (Zypern), gegründet von Nick Galea; Gesellschafter und Konzernmutter sind in den abgerufenen Quellen nicht genannt. Ein Handelsregister- oder GLEIF-Auszug zu 3CX Ltd war nicht abrufbar. Ein Kontrollwechsel im Zeitraum 05.11.2024 bis 05.11.2026 ist in den Quellen nicht berichtet, die Eigentümerstruktur selbst ist aber nicht belegt.

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Bei der selbst betriebenen Anlage bestimmt der Betreiber den Speicherort; die Datenbank ist laut DSGVO-Erklärung nur vom lokalen System erreichbar, die Verantwortung liegt beim Kunden. Backups speichert die Anlage lokal oder an ein vom Administrator gewähltes Ziel (FTP/SFTP, SMB, Google Cloud Storage, AWS S3, SharePoint); nur bei 3CX Hosted ist der Ort voreingestellt. Beleg: GDPR Statement · Backup & Storage
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	3CX läuft auf eigener Hardware oder virtuell unter Debian 12 (VMware ESXi, Hyper-V, KVM, XenServer) sowie unter Windows 10/11 und Windows Server 2016 bis 2025. Ein Betrieb bei frei gewählten Cloud-Anbietern ist ebenfalls vorgesehen. Beleg: Installing 3CX using 3CX Debian ISO · Installing 3CX on Windows · Pricing & Hosting Updates
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Die DSGVO-Erklärung gibt an, dass die Protokollierung standardmäßig gering ist und sich ganz abschalten lässt. Der Auftragsverarbeitungsvertrag beschreibt die Datenflüsse für Lizenz, Push, Absturzberichte und Nutzungsauswertungen zur Qualitätskontrolle, ohne Felder im Einzelnen zu nennen; eine Abschaltung dieser Datenflüsse ist nicht dokumentiert. Die Firewall-Doku nennt die ausgehenden Ziele für Aktivierung, Updates, Push und IP-Ermittlung. Beleg: GDPR Statement · Data Processing Addendum · Firewall & Router Configuration
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Auslegung: Der Auftragsverarbeitungsvertrag beschränkt die Verarbeitung auf die in Annex A genannten Zwecke und dokumentierte Weisungen des Kunden; KI-Funktionen (Transkription, Zusammenfassung) verarbeiten Inhalte nur, wenn der Kunde sie aktiviert. Ein ausdrücklicher Ausschluss des Trainings von KI-Modellen mit Kundendaten steht weder im Auftragsverarbeitungsvertrag noch in der EULA. Die Transkription läuft laut 3CX über OpenAI, Google oder ein eigenes GPU-Cluster mit feinjustierten Open-Source-Modellen; zu deren Trainingsdaten gibt es keine vertragliche Aussage. Beleg: Data Processing Addendum · End User License Agreement · AI Analytics – V20 Update 4 Alpha

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	3CX ist proprietäre Software, die unter einer EULA lizenziert wird; der Quellcode der Anlage ist nicht öffentlich. Beleg: End User License Agreement
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt die proprietäre Software und einen aktivierten Lizenzschlüssel voraus. Ohne gültige Lizenz wird die Anlage eingeschränkt. Beleg: End User License Agreement · Subscription Expiry – What You Need to Know
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Unbefristete Lizenzen verkauft 3CX seit 2022 nicht mehr; mit Version 20 werden unbefristete Schlüssel nicht mehr unterstützt und in Jahreslizenzen umgewandelt. Nach Ablauf einer befristeten Lizenz endet laut EULA das Nutzungsrecht; die Anlage verarbeitet dann nur noch einen gleichzeitigen Anruf, Warteschlangen, Aufzeichnung und Push fallen weg. Nach 30 Tagen werden Lizenzschlüssel und 3CX-FQDN gelöscht. Beleg: Pricing & Hosting Updates · EOL Maintenance (Ende unbefristeter Lizenzen) · End User License Agreement · Subscription Expiry – What You Need to Know

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	nicht belegbar	Ein ISO-27001-Zertifikat oder BSI-C5-Testat von 3CX wurde auf den geprüften Seiten nicht gefunden. Auslegung: Für selbst betriebene Software würde ein Herstellerzertifikat vor allem Entwicklung, Lizenzdienste und Support betreffen. Beleg: Data Processing Addendum
4.2 Öffentlicher Prozess für Sicherheitslücken?	teilweise	Eine security.txt verweist für Schwachstellenmeldungen auf ein HackerOne-Programm und eine E-Mail-Adresse. Sicherheitskorrekturen erscheinen im Changelog als „proactive security hotfix“ und in Blogbeiträgen (z. B. Juni 2026, mit betroffenen und korrigierten Builds), jeweils ohne CVE-Nummer und mit zunächst zurückgehaltenen Details. Kontext: Im März 2023 war die Desktop-App von 3CX für Windows und macOS durch einen Lieferkettenangriff kompromittiert, der nordkoreanischen Akteuren zugeschrieben wird (Sekundärquellen). Beleg: security.txt · Build History V20 · Security Hotfix June 2026 · Threat Brief: 3CXDesktopApp Supply Chain Attack · 3CX
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	ja	Standardvertragspartner für Software ist die 3CX Ltd in Nikosia; ohne abweichenden Anhang gilt zyprisches Recht mit ausschließlicher Zuständigkeit der Gerichte in Nikosia. Für Deutschland und Österreich nennt 3CX ein Büro in Hannover; der Vertrieb läuft über Partner. Welche Gesellschaft im Einzelfall Vertragspartner wird, richtet sich nach Bestellung und Produktanhang. Beleg: End User License Agreement · Data Processing Addendum · Contact (Standorte)
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	ja	Annex B des öffentlich abrufbaren Auftragsverarbeitungsvertrags listet die Unterauftragsverarbeiter je Dienst (u. a. Google Cloud, Cloudflare, Microsoft Azure, TeamViewer, Freshworks, Hetzner, Google FCM, Apple APNS) mit Verarbeitungsorten wie EU, USA, Großbritannien, Indien und Singapur. 3CX verpflichtet sich, neue Unterauftragsverarbeiter mindestens 30 Tage vorher anzukündigen; der Kunde kann widersprechen. Die Standorte sind teils nur als Region angegeben. Beleg: Data Processing Addendum
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung: Betrieb und Administration der selbst betriebenen Anlage liegen beim Kunden. Laut DSGVO-Erklärung hat 3CX keinen Zugriff auf Inhalte und Daten der Anlage, außer der Kunde nutzt Hosting oder fordert Support-Zugriff an. Der Auftragsverarbeitungsvertrag (Annex B) hält fest, dass Support-Zugriffe nur erfolgen, wenn der Kunde Support anfordert, und dass sie begrenzt und protokolliert sind; Fernsitzungen laufen über TeamViewer (EU). Beleg: GDPR Statement · Data Processing Addendum

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Kontakte des Firmen- und Abteilungstelefonbuchs lassen sich als CSV importieren und exportieren; in der SMB-Edition steht das Firmentelefonbuch laut Supportantwort nicht zur Verfügung (Sekundärquelle). Verbindungsdaten gibt die Anlage als Datei oder über einen Socket mit konfigurierbaren Feldern aus; ein festes, offenes Format ist nicht beschrieben. Beleg: Company and Department Phonebooks · Import/export of (company) contacts · CDR – Call Data Records
5.2 Offene Standards für Anmeldung und Schnittstellen?	teilweise	Die Anlage nutzt SIP, TLS und SRTP zu Telefonen und SIP-Trunks. Für die Anmeldung ist Single Sign-on mit Microsoft 365 dokumentiert (Supportantwort, Sekundärquelle); ein allgemeiner Standard wie SAML, OpenID Connect oder eine LDAP-Anmeldung wurde in den geprüften Seiten nicht gefunden. Beleg: How to Configure Secure SIP – TLS · SSO Only with M365 on v20 · Company and Department Phonebooks
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Telefonbuch-Export und Verbindungsdaten erstellt der Betreiber selbst. Der Export setzt aber eine funktionsfähige Lizenz voraus: Nach Ablauf ist die Anlage eingeschränkt, und nach 30 Tagen werden Lizenzschlüssel und FQDN gelöscht. Ein Export aller Daten in herstellerunabhängige Formate ist nicht dokumentiert. Beleg: Company and Department Phonebooks · CDR – Call Data Records · Subscription Expiry – What You Need to Know

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welche Gesellschaft Konzernmutter von 3CX ist. Die geprüften Seiten nennen Zypern als Vertragspartner und Tampa (USA) als Hauptsitz für die USA, aber keine Beteiligungsstruktur.
Wie oft die Anlage die Lizenz online prüft und was ohne Verbindung zu activate.3cx.com geschieht. Die Dokumentation nennt nur den Zweck „Aktivierung“.
Ob ein ISO-27001-Zertifikat oder ein vergleichbarer Nachweis besteht. Auf den geprüften Seiten wurde keiner gefunden.
Welche Nutzungsdaten 3CX zur Qualitätskontrolle auswertet und ob sich das abschalten lässt. Der Auftragsverarbeitungsvertrag beschreibt das nur allgemein.
Ob sich Kontakte in allen Editionen vollständig exportieren lassen. Eine Supportantwort nennt Einschränkungen in der SMB-Edition.
Ob die Gesellschafter von 3CX Ltd (Zypern) und eine etwaige Konzernmutter öffentlich belegt sind, weil weder Handelsregister- noch GLEIF-Daten abgerufen werden konnten und 3CX selbst keine Eigentümer nennt.
Ob OpenAI, Google oder das 3CX-eigene GPU-Cluster Transkriptionsdaten für Modelltraining nutzen dürfen, weil Auftragsverarbeitungsvertrag und EULA dazu schweigen.
Von welchen Standorten aus 3CX-Support auf Kundenanlagen zugreift, weil die Quellen das nicht angeben.

Fragen vor einer Entscheidung

Wie wird sichergestellt, dass die Jahreslizenz rechtzeitig verlängert wird, und was geschieht im Betrieb, wenn das einmal nicht gelingt?
Welche Verbindungen zu Diensten von 3CX (Aktivierung, Updates, Push) sind in Ihrem Netz zugelassen?
Sollen automatische Updates durch 3CX erlaubt sein, oder werden Updates selbst geprüft und eingespielt?
Wie werden Kontakte und Verbindungsdaten regelmäßig gesichert, damit sie auch nach einem Lizenzablauf verfügbar bleiben?

3CX