Sichere Einbindung von IP-Kameras ins Heimnetz: Warum „einfach ins WLAN“ zu kurz greift

Eine neue IP-Kamera ist schnell eingerichtet. App installieren, Kamera einschalten, QR-Code scannen, WLAN-Passwort eingeben und wenige Minuten später erscheint das Bild auf dem Smartphone. Genau diese Einfachheit ist einer der Gründe, warum Kameras heute an Hauseingängen, Garagen, Gärten und Innenräumen selbstverständlich geworden sind.

Aus Sicht des Heimnetzes passiert dabei allerdings mehr als nur die Einrichtung einer Kamera. Es kommt ein Gerät hinzu, das dauerhaft eingeschaltet ist, Netzwerkzugang besitzt, häufig mit Diensten im Internet kommuniziert und im schlechtesten Fall viele Jahre betrieben wird, ohne dass sich später noch jemand mit seiner Software beschäftigt.

Wenn die Kamera einfach dasselbe WLAN-Passwort bekommt wie Laptop, Fernseher und Firmenrechner, landet sie außerdem häufig im gleichen lokalen Netz wie all diese Geräte.

Das funktioniert bequem. Ob es auch die sinnvollste Struktur ist, ist eine andere Frage.

Eine Kamera ist ein kleiner Computer mit einem sehr speziellen Zweck

Auch wenn eine IP-Kamera äußerlich nur wie ein Sensor mit Linse aussieht, steckt darin ein vollständiges Netzwerkgerät. Es gibt ein Betriebssystem beziehungsweise eine Firmware, Netzwerkdienste, Zugangsdaten und oft zusätzliche Funktionen wie Mikrofon, Bewegungserkennung oder Speicherung.

Dazu kommt bei vielen Modellen eine Cloud-Anbindung. Die Kamera meldet sich bei einem Dienst des Herstellers, damit das Bild auch von unterwegs erreichbar ist, Benachrichtigungen auf dem Smartphone erscheinen oder Einstellungen über die App verändert werden können.

Das ist nicht grundsätzlich problematisch. Es gehört bei vielen Geräten zum vorgesehenen Funktionsumfang.

Trotzdem unterscheidet sich eine Kamera dadurch deutlich von einem Gerät, das nur gelegentlich ins Netz geht. Sie ist häufig rund um die Uhr erreichbar und kommuniziert regelmäßig.

Bei einer Bestandsaufnahme gehört sie deshalb genauso zur Liste der Geräte im Heimnetz wie Rechner, Fernseher oder Drucker.

Die Kamera bleibt oft viel länger als das Smartphone daneben

Ein weiterer Punkt ist die Nutzungsdauer.

Eine Überwachungskamera wird montiert, ausgerichtet und danach möglichst nicht mehr angefasst. Solange das Bild gut ist und die App funktioniert, gibt es wenig Anlass, sie zu ersetzen.

So kann eine Kamera sieben, acht oder zehn Jahre im Netzwerk bleiben.

In dieser Zeit werden Smartphones mehrfach ausgetauscht, der Router ersetzt und vielleicht sogar das komplette WLAN erneuert. Die Kamera hängt trotzdem weiterhin an der Wand.

Genau deshalb ist die Frage nach Updates und Herstellerunterstützung bei Kameras besonders wichtig. Funktionierende Hardware bedeutet nicht automatisch, dass die Softwareseite ebenso lange gepflegt wird.

Ein Gerät kann noch einwandfrei Bilder liefern, obwohl der Hersteller längst keine neue Firmware mehr bereitstellt.

Dann stellt sich nicht automatisch die Frage nach sofortigem Austausch, aber sehr wohl nach der Art der Einbindung.

Standardzugänge und alte Kennwörter sind schnell vergessen

Viele Kameras werden einmal eingerichtet und danach jahrelang nicht mehr administriert.

Dadurch bleiben auch Zugangsdaten lange unverändert. Bei älteren Geräten kommt hinzu, dass manche Hersteller früher mit voreingestellten Benutzerkonten oder Standardkennwörtern gearbeitet haben. Andere Geräte verlangen bei der Ersteinrichtung ein eigenes Passwort, das anschließend niemand mehr benötigt, weil der Zugriff nur noch über die Hersteller-App erfolgt.

Spätestens beim Routerwechsel oder bei einer Neuordnung des Netzwerks zeigt sich dann, ob noch bekannt ist, wie das Gerät eigentlich verwaltet wird.

Eine sichere Einbindung beginnt deshalb bereits mit der Frage, welche Zugänge vorhanden sind, wer sie kennt und ob noch alte oder unnötige Benutzerkonten existieren.

Die Kamera sollte nicht zu einem Gerät werden, bei dem niemand mehr weiß, wie man darauf zugreift, nur weil die App weiterhin funktioniert.

Muss die Kamera wirklich mit allen Geräten im Haus sprechen können?

Das ist für mich einer der interessantesten Punkte.

Viele Kameras benötigen im Alltag im Wesentlichen drei Dinge: Sie müssen bestimmte lokale Systeme erreichen können, sofern beispielsweise ein eigener Rekorder verwendet wird, sie brauchen je nach Modell Zugang zum Internet und sie müssen administrierbar bleiben.

Was sie normalerweise nicht benötigen, ist beliebiger Zugriff auf jeden Laptop, jeden Fernseher oder den Firmenrechner im Homeoffice.

In vielen typischen Heimnetzen gibt es diese Unterscheidung allerdings gar nicht. Alles befindet sich in einem gemeinsamen lokalen Bereich, weil jedes neue Gerät einfach mit demselben WLAN verbunden wurde.

Damit steht die Kamera technisch in unmittelbarer Nachbarschaft zu deutlich sensibleren Geräten, obwohl zwischen ihren Aufgaben kaum ein Zusammenhang besteht.

Eine sinnvolle Richtung besteht deshalb darin, solche Gerätegruppen voneinander zu trennen und nur die Kommunikation zu erlauben, die für ihre Aufgabe tatsächlich benötigt wird.

Wie diese Trennung konkret umgesetzt wird, hängt von Router, Switches, WLAN-Technik und den Anforderungen der Kamera ab. Entscheidend ist zunächst die Frage, warum ein Gerät, das vor allem Bilder übertragen soll, überhaupt uneingeschränkten lokalen Zugriff auf alle anderen Teilnehmer benötigt.

Genau diese grundsätzliche Überlegung steckt auch hinter der Frage, warum ein Gerät mit Internetbedarf nicht automatisch mit dem gesamten Heimnetz verbunden sein muss.

Fernzugriff ist bequem und verdient deshalb besondere Aufmerksamkeit

Eine Kamera wird oft gerade deshalb gekauft, weil man auch von unterwegs nachsehen möchte, was zu Hause passiert.

Früher wurde dafür nicht selten direkt ein Zugriff vom Internet auf das Gerät eingerichtet. Moderne Kameras lösen das häufiger über Cloud-Dienste des Herstellers, wodurch keine direkte Freigabe am Router erforderlich ist.

Beide Varianten verfolgen dasselbe Ziel, technisch funktionieren sie aber sehr unterschiedlich.

Bei einer Prüfung ist deshalb interessant, wie der Fernzugriff tatsächlich realisiert wird. Gibt es eine direkte Erreichbarkeit von außen, läuft alles über einen Herstellerdienst oder existiert ein eigener Rekorder, auf den zugegriffen wird?

Ein unnötig offen erreichbares Gerät ist etwas anderes als eine Kamera, die ausschließlich ausgehend mit einem vorgesehenen Dienst kommuniziert.

Der erste Schritt besteht deshalb nicht darin, irgendeine einzelne Einstellung pauschal zu ändern, sondern den tatsächlichen Kommunikationsweg zu verstehen.

Erst dann lässt sich entscheiden, welche Zugriffe notwendig sind und welche nicht.

Cloud bedeutet nicht automatisch unsicher

Gerade bei Kameras wird schnell über Herkunftsländer oder Cloud-Dienste diskutiert. Diese Diskussion ist verständlich, führt aber manchmal zu einer zu einfachen Bewertung.

Ein Gerät wird nicht allein dadurch sicher oder unsicher, dass der Hersteller aus einem bestimmten Land stammt. Wichtiger sind die konkrete technische Umsetzung, die Pflege der Firmware, die verwendeten Dienste und die Frage, welche Kommunikation tatsächlich stattfindet.

Eine Kamera kann einen gut gepflegten Cloud-Dienst nutzen, während ein anderes Gerät ohne Cloud über eine schlecht abgesicherte direkte Freigabe erreichbar ist.

Deshalb schaue ich lieber darauf, was das Gerät tatsächlich macht, anstatt Sicherheit ausschließlich aus dem Aufkleber auf der Verpackung abzuleiten.

Bei unbekannter oder älterer Technik wird diese Betrachtung umso wichtiger.

Auch lokale Aufzeichnung verändert die Anforderungen

Nicht jede Kamera speichert ausschließlich in der Cloud. Manche schreiben auf eine Speicherkarte, andere übertragen ihre Bilder an ein NAS oder einen Netzwerkrekorder.

Damit entsteht eine weitere Verbindung innerhalb des Heimnetzes.

Wenn die Kamera einen Rekorder erreichen muss, kann sie nicht einfach völlig isoliert werden. Genau deshalb bedeutet Netztrennung nicht, Kommunikation vollständig zu verbieten. Sinnvoll ist vielmehr, gezielt die Verbindungen zu erlauben, die für den jeweiligen Aufbau gebraucht werden.

Die Kamera darf beispielsweise ihren vorgesehenen Aufzeichnungsdienst erreichen, ohne deshalb gleichzeitig auf jeden privaten Computer zugreifen zu müssen.

Damit wird aus einem großen gemeinsamen Netz eine Struktur, in der Geräte entsprechend ihrer Aufgabe behandelt werden.

Das ist ein Lösungsansatz, aber keine pauschale Schablone. Welche Verbindungen tatsächlich benötigt werden, zeigt sich erst bei der Bestandsaufnahme.

Der erste Schritt ist deshalb eine Bestandsaufnahme der Kamera selbst

Bei der sicheren Einbindung interessiert mich zunächst, welches Gerät überhaupt vor mir hängt.

Welches Modell ist es, welche Firmware läuft darauf, gibt es noch Unterstützung durch den Hersteller und welche Funktionen werden tatsächlich genutzt? Danach folgt der Blick auf die Netzwerkseite: Wie ist die Kamera verbunden, welche lokalen Systeme muss sie erreichen und welche Verbindungen nach außen gehören zu ihrem Betrieb?

Erst aus diesem Bild entsteht eine sinnvolle Struktur.

Dazu gehören starke individuelle Zugangsdaten, eine nachvollziehbare Update-Situation, möglichst wenig unnötige Erreichbarkeit und – wenn die vorhandene Netzwerktechnik es sinnvoll ermöglicht – eine Trennung von Geräten mit sehr unterschiedlichen Aufgaben.

Damit wird aus „Kamera einfach ins WLAN“ ein bewusster Teil des Heimnetzes.

Eine IP-Kamera soll schließlich zuverlässig Bilder liefern und gegebenenfalls von unterwegs erreichbar sein. Dafür muss sie aber nicht automatisch dieselben Freiheiten im lokalen Netzwerk bekommen wie der Laptop, auf dem persönliche Daten liegen.