Ein UniFi-Gateway wie UDM, UDM-Pro oder ein Cloud Gateway (UCG) bringt eine eingebaute Threat-Management-Engine mit, die verdaechtigen Datenverkehr anhand von Signaturen erkennt und auf Wunsch aktiv blockiert. In diesem Guide erfaehrst du, worin sich IDS und IPS unterscheiden, wo du die Funktion aktivierst, welche Kategorien und Sensitivitaetsstufen sinnvoll sind, wie stark der Durchsatz sinkt und wie du mit Fehlalarmen umgehst.
IDS vs. IPS: der entscheidende Unterschied
Beide Verfahren pruefen den durchlaufenden Netzwerkverkehr gegen eine Datenbank bekannter Angriffsmuster (Signaturen). Der Unterschied liegt darin, was danach passiert:
- IDS (Intrusion Detection System) erkennt und meldet nur. Verdaechtiger Verkehr wird protokolliert und du bekommst eine Benachrichtigung, aber die Verbindung laeuft ungestoert weiter. In UniFi heisst dieser Modus je nach Version Detect Only.
- IPS (Intrusion Prevention System) erkennt und blockt aktiv. Wird ein Treffer erkannt, wird die Quelle typischerweise fuer 300 Sekunden gesperrt. Dieser Modus heisst Detect and Block.
Fuer den Einstieg ist IDS die sichere Wahl: Du siehst wochenlang, was in deinem Netz passiert, ohne dass legitime Dienste versehentlich blockiert werden. Sobald du die Meldungen einschaetzen kannst, wechselst du auf IPS.
Wo du die Funktion aktivierst
Die Steuerung findet in der UniFi-Network-Anwendung statt, im Bereich rund um Firewall & Security beziehungsweise Threat Management. Je nach Software-Version heisst der Bereich unterschiedlich (frueher Internet Security, spaeter Firewall & Security mit einem Punkt Threat Management), deshalb hier bewusst kein starrer Menuepfad. Suche in den Settings nach dem Sicherheits- oder Threat-Management-Abschnitt.
Dort waehlst du zunaechst den Betriebsmodus (Detect Only oder Detect and Block) und aktivierst anschliessend die gewuenschten Signatur-Kategorien. Erkannte Ereignisse landen im Traffic Inspector bzw. in den Threat-Management-Logs, wo du sie im Detail einsehen kannst.
Unter der Haube arbeitet UniFi mit einer Suricata-basierten Engine, die den Verkehr in Echtzeit gegen laufend aktualisierte Signaturen prueft. Damit die Erkennung zuverlaessig funktioniert, sollten die Signaturen automatisch aktuell gehalten werden und die Uhrzeit des Gateways korrekt sein, sonst passen Zeitstempel und Logeintraege nicht zusammen.
Kategorien und Sensitivitaet richtig waehlen
UniFi gruppiert die Signaturen in Kategorien, die jeweils eine Liste bekannter Bedrohungen abdecken. Statt pauschal alles zu aktivieren, orientierst du dich an deinem tatsaechlichen Bedarf. Typische Kategorien sind:
- Malware, Trojaner und Command-and-Control-Verkehr
- Exploits und Angriffe auf Server-Dienste
- Scans und Reconnaissance
- Peer-to-Peer und potenziell unerwuenschte Protokolle
Die Sensitivitaet bestimmt, wie viele Signaturen aktiv sind. Eine hoehere Stufe erkennt mehr, erzeugt aber auch mehr Fehlalarme und kostet mehr Rechenleistung. Fuer die meisten Heimnetze ist eine mittlere Einstellung mit Fokus auf Malware, Exploits und C2-Verkehr ein guter Kompromiss zwischen Schutz und Ruhe.
Auswirkung auf den Durchsatz
Das ist der wichtigste Punkt: Deep Packet Inspection ist rechenintensiv, und mit aktivem IDS/IPS begrenzt das Gateway den maximalen WAN-Durchsatz. Wie stark, haengt vom Modell ab. Verifizierte Richtwerte fuer den IDS/IPS-Durchsatz:
- UCG-Ultra: rund 1 Gbit/s mit aktivem IDS/IPS
- UDM-Pro: rund 3,5 Gbit/s
- UCG-Fiber: rund 5 Gbit/s
Praktisch heisst das: Hast du einen 1-Gbit/s-Anschluss und ein UCG-Ultra, wirst du unter Last die volle Bandbreite kaum noch sehen, sobald IPS laeuft. An einem Multi-Gig-Anschluss solltest du das Gateway-Modell bewusst nach dem IDS/IPS-Durchsatz auswaehlen, nicht nach der reinen Routing-Leistung ohne Inspection.
Ein wichtiger Nebeneffekt: Aktives IDS/IPS kann bestimmte Hardware-Beschleunigungen umgehen, weil jedes Paket durch die Inspection muss. Wer die maximale Bandbreite braucht und trotzdem etwas Schutz will, kann die Kategorien reduzieren oder IDS/IPS nur fuer ausgewaehlte Netze bzw. Zeiten einsetzen und so Last und Sicherheit ausbalancieren.
Umgang mit Fehlalarmen (False Positives)
Kein signaturbasiertes System ist perfekt. Legitime Dienste, VPNs oder Gaming-Traffic loesen gelegentlich eine Signatur aus. Gehe strukturiert vor:
- Starte im Detect-Only-Modus und beobachte die Logs mindestens ein bis zwei Wochen.
- Pruefe jede wiederkehrende Meldung: Ist die Quelle wirklich boesartig oder ein bekannter Dienst?
- Fuer nachweislich harmlose Treffer legst du eine Ausnahme an (Signatur unterdruecken bzw. auf eine Whitelist setzen), statt gleich die ganze Kategorie zu deaktivieren.
- Erst wenn die Logs sauber sind, schaltest du auf Detect and Block um.
Empfehlung fuer Heimnetze
Fuer ein typisches Zuhause lautet die Empfehlung: IDS/IPS aktivieren, aber mit Augenmass. Beginne im Detect-Only-Modus, aktiviere gezielt die Kategorien Malware, Exploits und C2-Verkehr statt aller Signaturen und pruefe, ob dein Anschluss ueberhaupt schneller ist als der IDS/IPS-Durchsatz deines Gateways. Ist er es, musst du zwischen voller Bandbreite und aktiver Inspection abwaegen. Nach einer Beobachtungsphase mit sauberen Logs ist Detect and Block fuer die meisten Haushalte der richtige Dauerbetrieb.
Haeufige Fragen
Bremst IDS/IPS wirklich mein Internet? Ja. Sobald die Inspection laeuft, gilt der modellabhaengige IDS/IPS-Durchsatz als Obergrenze, nicht die reine Routing-Leistung. Bei einem Anschluss unterhalb dieser Grenze merkst du kaum etwas.
Soll ich mit IDS oder IPS starten? Mit IDS (Detect Only). So lernst du dein Netz kennen, ohne legitime Dienste zu blockieren, und wechselst spaeter auf IPS.
Wie lange wird eine Quelle bei IPS blockiert? Eine erkannte Bedrohungsquelle wird typischerweise fuer rund 300 Sekunden gesperrt, danach greift die Pruefung erneut.
Was mache ich bei einem Fehlalarm? Die betreffende Signatur gezielt als Ausnahme setzen bzw. die Quelle auf eine Whitelist, statt die gesamte Kategorie zu deaktivieren.
Brauche ich IDS/IPS ueberhaupt zu Hause? Es ist eine sinnvolle zusaetzliche Schutzschicht, ersetzt aber keine Updates, starke Passwoerter und eine saubere Netz-Segmentierung.
Quellen: Ubiquiti Help Center, iFeeltech UniFi Gateway Comparison
