IP-Kameras absichern: 10 Maßnahmen gegen Angriffe und Datenlecks

Warum Kameras ein Sicherheitsrisiko sein können

Eine IP-Kamera ist im Kern ein kleiner Computer mit Betriebssystem, Webserver und Netzwerkanschluss. Viele Geräte werden nach der Montage nie wieder angefasst: Das Standardpasswort bleibt, die Firmware veraltet, und für den Zugriff vom Smartphone wurde irgendwann ein Port im Router geöffnet. Genau solche Kameras finden automatisierte Scanner im Internet sehr schnell.

Die Folgen reichen von mitgeschauten Livebildern über gelöschte Aufnahmen bis zu einem Einstiegspunkt ins gesamte Firmennetz. Die gute Nachricht: Mit einigen klaren Maßnahmen lässt sich das Risiko deutlich senken. Viele davon kosten kaum etwas, wenn man sie schon bei der Planung der Videoüberwachung berücksichtigt.

Zugänge absichern (Maßnahmen 1 bis 3)

1. Standardpasswörter ersetzen

Ersetzen Sie das Werkspasswort jeder Kamera und jedes Rekorders vor der Inbetriebnahme durch ein langes, einzigartiges Passwort. Ein Passwortmanager hilft, den Überblick zu behalten. Viele aktuelle Geräte erzwingen beim ersten Start ein neues Passwort, ältere oft nicht.

2. Eigene Konten mit passenden Rechten

Teilen Sie sich keine Admin-Zugänge. Legen Sie für jede Person ein eigenes Konto an und vergeben Sie nur die Rechte, die tatsächlich nötig sind: Die Rezeption braucht vielleicht das Livebild des Eingangs, aber keine Einstellungen und keinen Export von Aufnahmen. So bleibt nachvollziehbar, wer wann worauf zugegriffen hat.

3. Ungenutzte Konten und Dienste deaktivieren

Viele Geräte bringen Gastkonten, Testzugänge oder alte Protokolle wie Telnet und FTP mit. Was Sie nicht brauchen, schalten Sie ab. Jeder aktive Dienst ist eine mögliche Angriffsfläche.

Das Netzwerk richtig aufbauen (Maßnahmen 4 bis 6)

4. Kameras in ein eigenes VLAN

Betreiben Sie Kameras, Rekorder und Videomanagement in einem eigenen Netzsegment. Ein VLAN trennt den Videoverkehr logisch von Büro-PCs, Servern und Gäste-WLAN. Wird eine Kamera kompromittiert, kommt der Angreifer nicht ohne Weiteres an Ihre Buchhaltung oder Ihren Dateiserver.

5. Fernzugriff über VPN statt Portfreigabe

Eine Portfreigabe im Router macht die Kamera für das ganze Internet erreichbar. Sicherer ist ein VPN: Das Smartphone oder der Laptop baut zuerst eine verschlüsselte Verbindung ins Firmennetz auf, erst dann ist das Kamerabild erreichbar. Moderne Firewalls bringen diese Funktion meist schon mit.

6. Den Datenverkehr der Kameras begrenzen

Kameras müssen in der Regel nur mit dem Rekorder oder der Video-Management-Software sprechen, dazu eventuell mit einem Zeitserver. Firewall-Regeln zwischen den Netzsegmenten sollten genau das erlauben und alles andere blockieren, auch ausgehende Verbindungen ins Internet. Das verhindert, dass ein kompromittiertes Gerät Daten nach außen sendet.

Geräte laufend pflegen (Maßnahmen 7 und 8)

7. Firmware aktuell halten

Hersteller schließen Sicherheitslücken über Firmware-Updates. Legen Sie fest, wer Updates prüft und einspielt, zum Beispiel quartalsweise und zusätzlich bei kritischen Warnungen. Geräte, für die es keine Updates mehr gibt, sollten Sie mittelfristig ersetzen. Ein strukturiertes Patch-Management hilft dabei.

8. Cloud- und P2P-Funktionen bewusst einsetzen

Viele Kameras verbinden sich ab Werk mit einer Hersteller-Cloud, damit die App ohne Konfiguration funktioniert. Das ist bequem, schafft aber eine zusätzliche Abhängigkeit. Entscheiden Sie bewusst, ob Sie diese Funktion brauchen. Wenn nicht, deaktivieren Sie sie und nutzen den VPN-Zugang.

Aufzeichnungen und Datenschutz (Maßnahme 9)

Der Rekorder enthält die eigentlich sensiblen Daten. Er gehört in einen abschließbaren Raum oder Schrank, sein Zugang wird genauso geschützt wie die Kameras, und die Speicherdauer wird bewusst festgelegt. Löschfristen und Hinweisschilder sind nicht nur Sicherheitsthemen, sondern auch Pflichten nach der DSGVO. Privatzonen-Maskierung ist überall dort nötig, wo Bereiche ins Bild ragen, die nicht erfasst werden dürfen. Mehr dazu lesen Sie in unserem Beitrag zur datenschutzkonformen Videoüberwachung.

Dokumentieren und regelmäßig prüfen (Maßnahme 10)

Führen Sie eine Liste aller Kameras mit Standort, Modell, Firmware-Stand, IP-Adresse und zuständiger Person. Prüfen Sie mindestens einmal im Jahr, ob alle Geräte noch erreichbar sind, ob Konten aktuell sind und ob Aufnahmen tatsächlich gespeichert werden. Eine saubere Dokumentation spart im Ernstfall wertvolle Zeit.

Checkliste für bestehende Anlagen

Wenn Ihre Videoanlage schon länger in Betrieb ist, lohnt sich eine kurze Bestandsaufnahme. Die folgenden Fragen zeigen schnell, wo Handlungsbedarf besteht:

1. Sind alle Werkspasswörter ersetzt und gibt es für jede Person ein eigenes Konto?
2. Ist im Router eine Portfreigabe oder UPnP für Kameras oder Rekorder aktiv?
3. Liegen Kameras im selben Netz wie Büro-PCs, Server oder das Gäste-WLAN?
4. Wann wurde die Firmware zuletzt aktualisiert, und gibt es für alle Modelle noch Updates?
5. Wer darf Aufnahmen ansehen und exportieren, und wird das protokolliert?
6. Gibt es eine aktuelle Geräteliste mit Standort, IP-Adresse und Zuständigkeit?

Lautet die Antwort auf eine dieser Fragen "weiß nicht", ist das bereits ein guter Grund, die Anlage überprüfen zu lassen.

Fazit: Sicherheitstechnik ist IT

Die meisten Angriffe auf Kameras nutzen keine raffinierten Lücken, sondern einfache Versäumnisse. Wer Zugänge absichert, das Netzwerk segmentiert und die Geräte pflegt, ist bereits sehr gut aufgestellt. Wenn Sie eine bestehende Anlage überprüfen lassen oder eine neue planen möchten, unterstützt Sie Q-entra mit Netzwerk-Know-how und Cyber Security aus einer Hand.