Überwachungskamera absichern: eigenes VLAN statt Portweiterleitung
Eine IP-Kamera ist ein kleiner Computer mit einer Firmware, die selten aktualisiert wird, deren Hersteller den Support irgendwann einstellt – und der man nicht ansieht, wenn sie kompromittiert ist. Sie hängt trotzdem rund um die Uhr im Netz. Diese Seite zeigt, wie man damit umgeht, ohne sich auf Vertrauen zu verlassen.
Die eine Regel, die alles andere überwiegt
Keine Portweiterleitung auf eine Kamera. Nie.
Der Grund ist nicht ein schwaches Passwort, sondern die Bauart des Geräts: Eine Kamera im offenen Internet wird dauerhaft und automatisiert abgeklopft – auf bekannte Firmware-Schwachstellen, Standardzugänge und Fehler in der Weboberfläche. Und ihre Firmware wird selten und meist nur kurz gepflegt.
Wer von unterwegs zusehen will, nutzt ein VPN ins eigene Netz. Damit ist die Kamera von außen unsichtbar, und die Absicherung übernimmt Software, die dafür gebaut und aktiv gepflegt wird.
Warum ein eigenes Netzsegment
Portweiterleitung schützt gegen Angriffe von außen. Ein eigenes VLAN schützt gegen etwas anderes: den Weg von der Kamera zu Deinen anderen Geräten.
Zwei Szenarien, die das begründen:
- Die Kamera wird kompromittiert – über eine Schwachstelle, die nie gepatcht wird. Ohne Netztrennung steht sie im selben Netz wie Dein NAS, Dein Server und Dein Notebook.
- Die Kamera telefoniert nach Hause. Viele Geräte nehmen unaufgefordert Verbindung zu Herstellerservern auf. Ein Segment ohne Internetzugang unterbindet das zuverlässig.
Das ist derselbe Gedanke wie bei einem IP-KVM: Ein Gerät, das man nicht härten kann, wird eingehegt statt vertraut.
Wie das Segment aussieht
| Regel | Richtung | Warum |
|---|---|---|
| Aufzeichnungssystem → Kamera | erlauben | Rekorder muss den Videostrom holen |
| Kamera → alles andere | blockieren | der wichtigste Punkt |
| Kamera → Internet | blockieren | lokal betriebene Kameras brauchen es nicht |
| Dein Rechner → Kamera | erlauben, gezielt | für Einrichtung und Wartung |
| Kamera → Kamera | blockieren | sie müssen sich nicht kennen |
| Internet → Kamera | blockieren | gilt immer, ohne Ausnahme |
Der Kern steht in Zeile 2: Der Datenfluss geht in eine Richtung. Der Rekorder holt sich das Video – die Kamera baut von sich aus nichts auf.
Zeile 3 hat eine praktische Nebenwirkung: Ohne Internetzugang bekommt die Kamera keine automatischen Firmware-Updates mehr. Die musst Du gezielt einspielen, mit einer vorübergehenden Freigabe. Das ist der Preis und er ist es wert.
Wenn kein VLAN möglich ist
Nicht jeder Router beherrscht VLANs. Auch dann lässt sich einiges tun:
- Gastnetz nutzen. Viele Router isolieren Gastnetze vom Hauptnetz – das ist ein grobes, aber wirksames Segment. Der Haken: Auch der Rekorder muss die Kamera dann erreichen können.
- Kamera-Internetzugang sperren. Viele Router können einzelnen Geräten den Weg nach draußen verbieten, auch ohne VLAN.
- Feste IP-Adressen vergeben, damit Regeln zuverlässig greifen.
- In jedem Fall: keine Portweiterleitung.
Der zweite Punkt ist der wirksamste Einzelschritt für alle, die kein VLAN haben: Er unterbindet sowohl das Nachhausetelefonieren als auch den Rückweg eines Angreifers.
Was am Gerät selbst zu tun ist
- Werkspasswort ändern, bevor die Kamera ans Netz geht. Kameras mit Standardzugang werden automatisiert gefunden.
- Getrennte Benutzer anlegen – einen Verwaltungszugang und einen, der nur zusehen darf. Letzterer kommt in die Konfiguration des Aufzeichnungssystems.
- Nicht benötigte Dienste abschalten – Cloud-Anbindung, UPnP, Fernzugriffsdienste des Herstellers.
- UPnP im Router deaktivieren. Sonst richtet sich das Gerät die Portweiterleitung selbst ein, die Du gerade vermeiden wolltest.
- Firmware beim Aufbau aktualisieren, danach halbjährlich prüfen.
Punkt 4 ist der, der die ganze Mühe zunichtemachen kann. Universal Plug and Play erlaubt es Geräten, sich selbst eine Portweiterleitung zu öffnen – ohne dass Du davon etwas mitbekommst. Prüfe das im Router, auch wenn Du nie eine Weiterleitung eingerichtet hast.
Der Nebeneffekt der Absicherung
Ein sauber abgeschottetes Kameranetz macht die Einbindung etwas unbequemer, und das ist kein Fehler:
- Automatisches Auffinden funktioniert nicht mehr. ONVIF sucht per Broadcast, der überquert keine VLAN-Grenze – Kameras von Hand eintragen. Siehe RTSP und ONVIF erklärt.
- Hersteller-Apps funktionieren eingeschränkt oder gar nicht, weil sie über die Cloud arbeiten. Wer lokal betreibt, braucht sie ohnehin nicht.
- Updates laufen manuell.
Der zweite Punkt ist ein guter Test: Wenn eine Kamera ohne Internetzugang nicht mehr funktioniert, war sie nie wirklich lokal. Genau das prüft Kamera ohne Cloud vor dem Kauf.
Kameras mit eigener Weboberfläche und ONVIF-Unterstützung lassen sich vollständig ohne Herstellerdienst betreiben – die Voraussetzung dafür, dass ein abgeschottetes Segment überhaupt praktikabel ist.
Fernzugriff richtig gelöst
Der einzige vertretbare Weg von unterwegs ist ein VPN:
- WireGuard auf dem Router, wenn er es kann und Du eine erreichbare öffentliche Adresse hast.
- Tailscale oder ein vergleichbarer Dienst, wenn Dein Anschluss hinter CGNAT liegt oder die Adresse wechselt.
- In beiden Fällen: Der VPN-Endpunkt gehört nicht ins Kameranetz, sondern ins vertrauenswürdige Netz – von dort greifst Du auf das Aufzeichnungssystem zu, nicht direkt auf die Kameras.
Die ausführliche Einrichtung beider Wege steht unter IP-KVM per Tailscale oder WireGuard – das Vorgehen ist identisch, nur das abzusichernde Gerät ist ein anderes.
Häufige Fragen
Reicht ein starkes Passwort statt Netztrennung?
Nein. Das Passwort schützt gegen Erraten, nicht gegen Schwachstellen in der Firmware. Netztrennung sorgt dafür, dass eine ausgenutzte Schwachstelle nirgendwo hinführt.
Muss die Kamera ins Internet, um zu funktionieren?
Eine echte lokale Kamera nicht. Wenn sie es doch verlangt, ist sie nicht das, was auf der Verpackung stand.
Wie aktualisiere ich ohne Internetzugang?
Firmware-Datei herunterladen und über die Weboberfläche der Kamera einspielen – oder vorübergehend eine Freigabe setzen und danach wieder schließen.
Kann ich Kameras und Smart-Home-Geräte ins selbe Segment legen?
Möglich, aber nicht ideal. Beide Gerätegruppen sind schwer zu härten; sie voneinander zu trennen begrenzt den Schaden zusätzlich. Wenn nur ein zusätzliches Segment möglich ist, ist es trotzdem besser als keines.
Was ist mit der Cloud-Funktion, die ich eigentlich praktisch finde?
Dann triffst Du eine bewusste Abwägung: Bequemlichkeit gegen einen dauerhaften Kanal nach außen. Beides gleichzeitig geht nicht.
Fazit
Die Absicherung einer Kamera besteht aus zwei Sätzen: Keine Portweiterleitung, und die Kamera darf von sich aus nirgendwohin.
Alles Weitere – getrennte Benutzer, abgeschaltete Dienste, Firmware-Pflege – erhöht das Niveau, ersetzt diese beiden Regeln aber nicht. Und wenn Du nur einen Schritt machen kannst: Sperre der Kamera den Weg ins Internet. Das lässt sich in fast jedem Router einstellen und unterbindet beide Richtungen zugleich.
Prüfe dabei UPnP. Ein Gerät, das sich selbst eine Portweiterleitung öffnet, macht die ganze Arbeit zunichte – und sagt Dir nichts davon.
Weiterlesen
- Kamera ohne Cloud – die Voraussetzung für den lokalen Betrieb
- NVR, NAS oder Frigate? – das System, das als einziges Zugriff braucht
- Kamera in Home Assistant einbinden – Einbindung über VLAN-Grenzen hinweg
- RTSP und ONVIF erklärt – warum automatisches Auffinden dann nicht mehr geht
- Alle Themen rund um IP- und WLAN-Kameras
Weiterlesen in dieser Nische
Alle Artikel dieses Bereichs auf einen Blick – der Einrichtung-Teil steht zuerst.
Einrichtung: Kamera in Home Assistant einbinden · NVR, NAS oder Frigate
Technik: Überwachungskamera ohne Cloud · Lokale Speicherung · PoE, WLAN oder Akku · RTSP und ONVIF erklärt · Überwachungskamera kaufen · Kamerasysteme im Vergleich
Recht: Was darf eine Überwachungskamera filmen? Die Rechtslage in Deutschland · Videoüberwachung im Gewerbe · Kamera und Nachbarn · Tonaufnahme bei Überwachungskameras · Überwachungskameras in Österreich und der Schweiz