Den Videostrom absichern, bevor das erste Livebild läuft

Wir haben Dome-Kameras gesehen, perfekt ausgerichtet und sauber mit Strom versorgt, die trotzdem vom Café um die Ecke aus erreichbar waren. Das Bild: gestochen scharf. Der Benutzername: immer noch „admin“. Das ist kein Problem der Optik, sondern eine Tür, die niemand abgeschlossen hat.

Die Bosch-Kameras in unserem Sortiment haben ein TPM oder ein Secure Element an Bord. Ein unverändertes Werkspasswort macht das nicht wett. Absicherung ist kein Siegel auf dem Datenblatt, sondern ein Arbeitsschritt bei der Inbetriebnahme – eigenes Konto, TLS, kein UPnP ins Internet, ausschließlich signierte Firmware – und danach eine Routine.

Das erste Konto entscheidet

Das Passwort ändern wir, bevor die Kamera montiert wird. Nicht hinterher und nicht „irgendwann nächste Woche“. An gewerblichen Standorten bekommt jede berechtigte Person ein eigenes, personengebundenes Konto – Geschäftsführung, Sicherheitsverantwortlicher –, statt eines gemeinsamen „admin“, dessen Zugangsdaten auf einem Zettel in der Kassenschublade liegen.

Dasselbe Passwort wie für das Laden-WLAN ist kein Passwort. Eine nie geänderte Werkskennung ebenso wenig. Der Beitrag zum DSGVO-Rahmen behandelt berechtigte Zugriffe und das Zugriffsprotokoll. Hier geht es um die technische Seite: Melden sich alle mit demselben Konto an, ist das Protokoll wertlos.

Das Livebild auf dem Smartphone ist nicht verboten. Es rechtfertigt aber weder ein einziges Konto „für alle“ noch die Fernsteuerung der Arbeitsqualität. Verschlüsselung, getrennte Konten, keine geteilten Links: Das richten wir am rechtlichen Rahmen aus, nicht an der Bequemlichkeit am Montagmorgen.

Was das TPM leistet – und was nicht

Das TPM – bei der FLEXIDOME 8100i X zusätzlich ein Secure Element – speichert Zertifikate und Schlüssel in einem Chip statt in einer Datei, die sich einfach kopieren lässt. Dazu kommt authentifizierte Firmware: Die Kamera verweigert jedes Image, das nicht vom Hersteller signiert ist. Das ist wertvoll, aber keine Wunder-Firewall.

Für die DINION 3100i IR sind TPM und authentifizierte Firmware dokumentiert. Die 8100i X bietet darüber hinaus Secure Element plus TPM, TLS 1.2/1.3 und eine Login-Firewall. Die übrigen Modelle im Sortiment sind deshalb nicht „ungesichert“ – ihr Datenblatt enthält nur nicht dieselben Angaben. In jedem Fall gilt: Der Chip ersetzt kein sauber abgeschottetes Netz.

Keine Löcher in den Router

UPnP, Portweiterleitungen „damit man aufs Handy schauen kann“, eine Kamera direkt an der öffentlichen IP-Adresse des Ladens: Dafür unterschreiben wir nicht. Eine IP-Kamera hat als Server im Internet nichts verloren. Der Videostrom dient dem Sicherheitsarchiv, nicht der ganzen Welt.

Fernzugriff ist trotzdem möglich – über einen von Ihnen gewählten Relaisdienst oder ein VPN, nicht über ein Loch im Router. Eine Anleitung zum Öffnen von Ports finden Sie hier nicht. Was Sie hier finden: dass wir es ablehnen.

Die Kameras laufen in einem eigenen LAN oder mindestens in einem eigenen VLAN – getrennt von Kassensystemen und Gäste-WLAN. Wer weiß, welcher Port welche Kamera versorgt, kann sie auch gezielt isolieren. Der Beitrag zu PoE zeigt es bereits: Ein Etikett „POE ???“ im Schrank verrät, dass eingesteckt wurde, ohne zu rechnen – und ohne absichern zu können.

TLS und Login-Firewall

Eine unverschlüsselte Administrationsoberfläche lässt sich im Kabel mitlesen. TLS 1.2/1.3 ist bei der X-Serie das dokumentierte Minimum; wir aktivieren es bei jeder Kamera, die es unterstützt. Also HTTPS mit Zertifikat – und keine Anmeldeseite, die „der Einfachheit halber“ für das gesamte LAN offensteht.

Die Login-Firewall der 8100i X begrenzt die Zahl der Anmeldeversuche. Ein starkes Passwort ersetzt sie nicht: Sie bremst Angreifer beim Durchprobieren, schließt aber keinen Port, den man selbst geöffnet hat.

Nur signierte und aktuelle Firmware

Es kommt ausschließlich signierte Firmware auf die Kamera. Keine irgendwo „gefundene“ Datei, die angeblich eine Funktion freischaltet, und kein Image einer anderen Baureihe, nur weil die Modellnummer ähnlich aussieht. Die Kamera prüft die Signatur – man sollte sie nicht dazu bringen, nur so zu tun.

Zwei Jahre auf der Auslieferungsversion zu bleiben, ist keine Vorsicht. Hersteller-Updates schließen Sicherheitslücken; wir spielen sie ein, sobald sie signiert vorliegen – nicht nur dann, wenn zwischen zwei Terminen zufällig zehn Minuten Zeit bleiben. Die Firmware-Version notieren wir bei der Inbetriebnahme und prüfen sie später erneut.

Die Speicherkarte ist kein Archiv

Eine microSD-Karte ist kein Tresor. Wird der Dome gestohlen – also genau dann, wenn man die Aufnahmen bräuchte –, ist sie meist mit weg. Ein Stoß, Feuchtigkeit, ein vorschnelles Formatieren: Sie ist eine Notreserve, keine Festplatte.

Das Hauptarchiv ist der NVR oder der Cloud-Dienst Ihrer Wahl – beides liegt außerhalb dessen, was wir hier behandeln. Sichtwerk liefert die Kamera, nicht den Rekorder. Wer die Schlüssel zum NVR oder die Zugangsdaten zum Cloud-Konto hat und wie lange Aufnahmen gespeichert bleiben, richtet sich nach der Speicherfrist der DSGVO, nicht nach der Kapazität der Karte. Das klären wir, bevor wir gehen – nicht per E-Mail drei Monate später.

Zufällig festgehaltene Szenen sind nur etwas wert, wenn das Archiv am nächsten Tag noch existiert – und wenn niemand Unbefugtes es zwischenzeitlich einsehen konnte.

Absicherung gehört zur Montage

Eine Kamera, die „ab Werk abgesichert“ ist, verkaufen wir nicht. Wir verkaufen sechs Bosch-Modelle – und weigern uns, sie offen zu betreiben. Das Angebot kann daran erinnern; erledigt wird es auf der Werkbank und anschließend im Technikschrank.

• Konto – Werkspasswort geändert, eigene Kennung, an gewerblichen Standorten personengebunden.
• Netzwerk – kein UPnP, keine Weiterleitung ins Internet, eigenes VLAN oder Kamera-LAN.
• Übertragung – TLS überall, wo das Datenblatt es vorsieht; Login-Firewall bei der 8100i X.
• Firmware – nur signierte Versionen, Version dokumentiert, Updates im Blick.
• Archiv – NVR oder Cloud des Kunden; die microSD ist nur Plan B.
• Zugriff – nur Befugte, mit Protokoll, abgestimmt auf den DSGVO-Rahmen.

Den Videostrom abzusichern ist dasselbe Handwerk wie das Ausrichten des Bildausschnitts: ein Arbeitsschritt bei der Montage, keine Fußnote im Datenblatt. Unsere Arbeitsweise beginnt beim Bildfeld – und endet nicht, sobald das erste Bild ankommt.