Sind IP-Kameras im Firmennetz ein Sicherheitsrisiko? So schützt du dein Netzwerk

Können IP-Kameras das Firmennetz gefährden?

Eine Kamera wird an der Einfahrt montiert, eine weitere überwacht das Lager und irgendwann kommen noch mehrere Geräte für Halle oder Außenbereich hinzu. Solange die Bilder funktionieren und Aufzeichnungen verfügbar sind, beschäftigt sich kaum jemand mit der Frage, welche Netzwerkverbindungen diese Kameras eigentlich besitzen, wie aktuell ihre Software ist oder ob sie dieselben internen Systeme erreichen können wie ein normaler Arbeitsplatzrechner.

Genau darin liegt das eigentliche Risiko. Eine IP-Kamera ist technisch ein eigenständiger Computer mit Betriebssystem, Netzwerkanschluss und häufig einer Weboberfläche zur Verwaltung, wird im Unternehmen aber oft eher wie eine klassische Überwachungskamera behandelt, die nach der Montage jahrelang unbeachtet an der Wand hängt.

Kameras werden häufig länger betrieben als normale Computer

Ein Arbeitsplatzrechner wird nach einigen Jahren ersetzt, während Kameras problemlos acht, zehn oder noch mehr Jahre an derselben Stelle hängen können. Das ist wirtschaftlich sinnvoll, solange Bildqualität und Zuverlässigkeit ausreichen, führt jedoch dazu, dass Firmware und Sicherheitsfunktionen irgendwann deutlich älter sind als bei der übrigen IT.

Manche Hersteller stellen über lange Zeit Aktualisierungen bereit, andere beenden die Pflege wesentlich früher oder veröffentlichen nur selten nachvollziehbare Informationen über vorhandene Sicherheitsupdates. Eine funktionierende Kamera muss deshalb nicht zwangsläufig unsicher sein, sollte aber spätestens dann genauer betrachtet werden, wenn der Hersteller keine Aktualisierungen mehr bereitstellt oder niemand mehr weiß, welche Firmware überhaupt installiert ist.

Eine Kamera braucht normalerweise keinen Zugriff auf das gesamte Netzwerk

Für ihre eigentliche Aufgabe benötigt eine Kamera meist nur wenige Verbindungen. Sie muss beispielsweise ihr Videobild an einen Aufzeichnungsserver übertragen, mit einer Verwaltungsstation kommunizieren und je nach Konzept möglicherweise eine genaue Uhrzeit von einem internen Zeitserver erhalten.

Daraus folgt kein Bedarf, gleichzeitig auf Büro-PCs, Dateiserver, Drucker oder Produktionsmaschinen zugreifen zu können. Trotzdem landen Kameras in gewachsenen Netzwerken häufig im gleichen Bereich wie andere Geräte, weil bei der Installation einfach ein freier Netzwerkanschluss verwendet wurde.

Eine Trennung des Netzwerks in sinnvoll abgegrenzte Bereiche kann diese unnötigen Kommunikationswege verhindern. Kameras erhalten einen eigenen Netzwerkbereich und die Firewall erlaubt anschließend nur diejenigen Verbindungen, die für Aufzeichnung und Verwaltung tatsächlich gebraucht werden.

Muss eine IP-Kamera überhaupt ins Internet?

Viele moderne Kameras bauen Verbindungen zu Cloud-Diensten des Herstellers auf, beispielsweise für Fernzugriff, Benachrichtigungen oder eine besonders einfache Einrichtung. Diese Funktionen können nützlich sein, bedeuten aber gleichzeitig, dass das Gerät dauerhaft mit externen Systemen kommuniziert.

Wenn die Kameras ausschließlich über einen eigenen lokalen Aufzeichnungsserver verwendet werden und kein Hersteller-Cloudzugriff benötigt wird, kann direkter Internetzugang möglicherweise vollständig entfallen. Das reduziert die Zahl möglicher Kommunikationswege und sorgt zusätzlich dafür, dass eine Kamera nicht deshalb externe Verbindungen aufbauen darf, weil dies im Auslieferungszustand einfach vorgesehen war.

Eine pauschale Regel „Kameras dürfen niemals ins Internet“ wäre allerdings genauso unpraktisch wie uneingeschränkter Zugriff. Entscheidend ist, welche Funktionen tatsächlich benötigt werden und ob der Herstellerdienst bewusst Teil des gewählten Kamerakonzepts ist.

Fernzugriff sollte nicht durch eine einfache Portfreigabe entstehen

Wer von unterwegs Kamerabilder sehen möchte, benötigt irgendeine Form von Fernzugriff. Bei älteren Installationen findet man dafür gelegentlich direkte Portfreigaben auf einzelne Kameras oder den Rekorder, wodurch deren Verwaltungs- oder Videodienste unmittelbar aus dem Internet erreichbar werden.

Das ist besonders bei älteren Geräten problematisch, weil deren Software möglicherweise bekannte Schwachstellen enthält und öffentliche Dienste automatisiert im Internet gefunden werden können. Ein kontrollierter Fernzugriff über geeignete Zugangswege ist deshalb meist die bessere Lösung, beispielsweise über ein VPN oder eine zentral abgesicherte Plattform.

Damit muss die Kamera selbst nicht öffentlich erreichbar sein, nur damit ein berechtigter Benutzer von außen auf die Bilder zugreifen kann.

Standardkennwörter und gemeinsam genutzte Konten sollten vermieden werden

Gerade ältere Kameras wurden teilweise mit voreingestellten Administratorzugängen ausgeliefert, die bei der Installation nicht immer verändert wurden. Andere Systeme verwenden für sämtliche Kameras dasselbe Administratorkennwort, wodurch ein einzelner bekannt gewordener Zugang sofort die gesamte Installation betrifft.

Wo individuelle Konten möglich sind, sollten Verwaltung und normaler Bildzugriff voneinander getrennt werden. Ein Mitarbeiter, der gelegentlich Aufzeichnungen ansehen muss, benötigt beispielsweise keinen vollständigen Administratorzugriff auf sämtliche Kameras und Netzwerkeinstellungen.

Unterstützt das Kamerasystem nur einfache gemeinsame Konten, sollte zumindest dokumentiert sein, wer diese Zugangsdaten kennt und wann sie bei Personal- oder Dienstleisterwechseln geändert werden müssen. Das entspricht dem allgemeinen Grundsatz aus persönlichen statt gemeinsam genutzten Benutzerkonten, auch wenn ältere Geräte technisch nicht immer alle gewünschten Möglichkeiten anbieten.

Der Aufzeichnungsserver ist ebenfalls Teil der Sicherheitsbetrachtung

Bei mehreren Kameras gibt es häufig einen zentralen NVR, NAS oder Server, auf dem die Videodaten gespeichert werden. Dieses System besitzt zwangsläufig Zugriff auf sämtliche Kameras und kann je nach Aufbau zusätzlich mit anderen Netzwerkbereichen kommunizieren.

Deshalb sollte nicht nur jede einzelne Kamera, sondern auch der Aufzeichnungsserver betrachtet werden. Er benötigt ausreichend Speicherplatz, passende Zugriffsrechte und eine nachvollziehbare Netzwerkposition, ohne dadurch automatisch zur Brücke zwischen einem abgeschotteten Kameranetz und dem gesamten Unternehmensnetz zu werden.

Wenn ein NAS gleichzeitig Unternehmensdaten und Kameraaufzeichnungen speichert, sollte besonders sorgfältig geprüft werden, wie die Zugriffe getrennt werden. Ein Ausfall des NAS kann sonst plötzlich sowohl normale Unternehmensdaten als auch die komplette Videoaufzeichnung betreffen.

PoE macht die Installation einfacher, schafft aber gemeinsame Abhängigkeiten

Viele IP-Kameras werden über Power over Ethernet versorgt, sodass Strom und Netzwerk über dasselbe Kabel laufen. Das vereinfacht die Installation erheblich und ermöglicht gleichzeitig, mehrere Kameras über einen zentralen Managed Switch zu versorgen.

Dadurch entsteht allerdings eine gemeinsame Abhängigkeit von diesem Switch. Fällt er aus, können gleichzeitig zahlreiche Kameras ihre Netzwerkverbindung und Stromversorgung verlieren, obwohl jede einzelne Kamera technisch völlig in Ordnung ist.

Bei wichtigen Kameraanlagen sollte deshalb bekannt sein, welche Geräte an welchem Managed Switch hängen und ob dessen Ausfall akzeptabel ist. Eine USV kann zusätzlich dafür sorgen, dass Kameras und Aufzeichnung bei kurzen Stromausfällen weiterarbeiten, sofern auch die übrigen benötigten Komponenten entsprechend versorgt werden.

Kamera-Firmware sollte genauso betrachtet werden wie andere Software

Eine IP-Kamera besitzt Software, auch wenn sie im Alltag nicht wie ein Computer wirkt. Deshalb sollte gelegentlich geprüft werden, ob der Hersteller Firmwareupdates bereitstellt und ob bekannte Probleme oder Sicherheitslücken behoben wurden.

Dabei muss nicht jedes verfügbare Update blind sofort installiert werden, denn auch bei Kameras können neue Firmwarestände Funktionen verändern oder Probleme verursachen. Sinnvoller ist eine kontrollierte Aktualisierung, bei der insbesondere wichtige Installationen anschließend auf Bildübertragung, Aufzeichnung und Fernzugriff geprüft werden.

Wenn der Hersteller die Unterstützung vollständig eingestellt hat, muss die Kamera nicht zwingend sofort ersetzt werden. Ihre Netzwerkzugriffe sollten dann allerdings besonders begrenzt sein, und langfristig sollte bekannt sein, welche Ersatzmöglichkeit existiert.

Kameras gehören in die IT-Dokumentation

Eine Kamera, die außen am Gebäude montiert wurde, verschwindet nach der Installation schnell aus dem technischen Blickfeld. Trotzdem sollte dokumentiert sein, welches Gerät an welchem Standort eingesetzt wird, welche IP-Adresse beziehungsweise welcher Netzwerkbereich verwendet wird und über welches System die Bilder aufgezeichnet werden.

Bei größeren Installationen ist außerdem hilfreich, die Zuordnung zu Switch-Ports und PoE-Versorgung nachvollziehen zu können. Fällt eine Kamera aus, lässt sich dadurch schneller unterscheiden, ob das Problem am Gerät, am Kabel, am Switch oder an der zentralen Aufzeichnung liegt.

Eine saubere IT-Inventur sollte deshalb Kameras genauso berücksichtigen wie Drucker, Server und andere Netzwerkgeräte. Nicht weil jede Kamera geschäftskritisch sein muss, sondern weil unbekannte Geräte im Netzwerk unnötige Unsicherheit erzeugen.

Datenschutz und IT-Sicherheit sind zwei unterschiedliche Fragen

Bei Kameraanlagen spielen selbstverständlich auch Datenschutz, zulässige Aufnahmebereiche und Aufbewahrungszeiten eine Rolle. Diese rechtlichen Fragen müssen entsprechend den Anforderungen des jeweiligen Unternehmens geprüft werden und lassen sich nicht allein durch eine technische Netzwerkkonfiguration lösen.

Der IT-Dienstleister betrachtet dagegen unter anderem, wie Kameras eingebunden, administriert, aktualisiert und gegen unnötige Zugriffe geschützt werden. Beide Bereiche beeinflussen sich, sind aber nicht dasselbe und sollten deshalb nicht miteinander verwechselt werden.

Eine Kamera muss nicht vertrauenswürdig genug für das gesamte Firmennetz sein

Gerade bei günstigen Kameras oder älteren Modellen lässt sich nicht immer vollständig beurteilen, wie gut die interne Software gepflegt wurde und welche Herstellerdienste im Hintergrund verwendet werden. Das muss kein Grund sein, eine technisch brauchbare Kamera sofort zu ersetzen, wenn ihre Möglichkeiten im Netzwerk entsprechend begrenzt werden können.

Wenn du nicht sicher weißt, ob eure Kameras direkten Zugriff auf Server, Produktion oder das Internet besitzen, ist eine Überprüfung der Netzwerkstruktur ein sinnvoller Ausgangspunkt. Dabei lässt sich meist schnell feststellen, welche Verbindungen tatsächlich benötigt werden und ob die vorhandenen Geräte in einen eigenen Bereich verschoben werden können, ohne die bestehende Aufzeichnung komplett neu aufzubauen.

Eine vernünftig eingebundene IP-Kamera muss deshalb kein besonderes Sicherheitsproblem darstellen. Kritisch wird sie vor allem dann, wenn sie jahrelang unbeachtet mit alten Zugangsdaten, unbekannter Firmware und uneingeschränktem Zugriff zwischen all den Systemen betrieben wird, mit denen sie für ihre eigentliche Aufgabe überhaupt nichts zu tun hat.