„Das Telefon registriert sich nicht“ – 401 und 403 beim SIP-REGISTER verstehen

Wenn sich ein Telefon nicht registriert, geht gar nichts: keine ausgehenden, keine eingehenden Anrufe. Im Mitschnitt sieht man dann beim REGISTER oft einen 401 oder einen 403 — und hier trennt sich sofort „alles normal" von „echtes Problem".

401 ist kein Fehler

SIP-Registrierung läuft fast immer in zwei Schritten:

Telefon → Registrar     REGISTER            (noch ohne Zugangsdaten)
Registrar → Telefon     401 Unauthorized    (Challenge mit nonce)
Telefon → Registrar     REGISTER            (mit Authorization/Digest)
Registrar → Telefon     200 OK              (registriert)

Das 401 Unauthorized ist die Aufforderung, sich auszuweisen — der Registrar schickt eine nonce, das Telefon antwortet mit der verschlüsselten Zugangskennung. Ein einzelnes 401 am Anfang ist also völlig in Ordnung. Entscheidend ist, was danach kommt.

Wann es ein Problem ist

• Endet mit 200 OK → alles gut, registriert.
• Endet mit 403 Forbidden → der Registrar lehnt ab. Das ist der klassische „stimmt was mit den Zugangsdaten/dem Konto nicht"-Fall.
• Endlos-401 ohne 200 → die Zugangsdaten werden nicht akzeptiert, der Digest passt nicht.
• Keine Antwort / 408 → der Registrar ist gar nicht erreichbar (Firewall, NAT, DNS).

Die üblichen Ursachen

• Falscher Auth-Benutzername: Der Authentifizierungs-Benutzer ist oft nicht gleich der SIP-Rufnummer/Nebenstelle. Vertauscht → 403 oder Endlos-401.
• Falsches Passwort oder beim Provider nicht freigeschaltetes/gesperrtes Konto → 403.
• Falscher Realm/Domain: Das Telefon rechnet den Digest gegen die falsche Domain → wird abgelehnt.
• IP-/Standort-Sperre: Manche Provider lassen Registrierungen nur aus bestimmten Netzen zu → 403.
• Registrar nicht erreichbar: falscher SIP-Server/Port, DNS/SRV falsch, Firewall blockt UDP 5060 → keine Antwort/408.
• Registrierung bricht wieder weg: registriert sich, fällt aber nach kurzer Zeit raus → Expires zu niedrig oder NAT-Binding ohne Keep-Alive.

So gehst du vor

1. Endergebnis im Trace suchen: Landet der REGISTER-Ablauf bei 200, 403 oder in einer 401-Schleife? Das bestimmt alles Weitere.
2. Bei 403/401-Schleife zuerst die Zugangsdaten: Auth-Benutzer ≠ SIP-Nummer? Passwort korrekt? Realm/Domain richtig?
3. Bei keiner Antwort/408: Erreichbarkeit prüfen — SIP-Server/Port, DNS/SRV, Firewall (UDP 5060).
4. Bei „fällt wieder raus": Expires und NAT-Keep-Alive/OPTIONS prüfen.

Ein 401 am Anfang ist also normaler Alltag — die eigentliche Antwort steht ein paar Zeilen weiter unten im Mitschnitt.

Trace lesen lassen statt selbst grübeln: Lade deinen SIP-/VoIP-Mitschnitt bei der Pcap-Diagnose hoch und bekomme eine klare technische Einschätzung zurück — wo es hakt, auf welcher Seite, was der nächste Schritt ist. Die erste Analyse pro E-Mail-Adresse ist kostenlos.