Firmenkamera live im Internet: wenn die Überwachung zur Lücke wird

75 Kameras, die jeder sehen kann

Im Juli hat das Schweizer Fernsehen eine unangenehme Sache öffentlich gemacht: Mindestens 75 Überwachungskameras in der Schweiz waren frei im Internet einsehbar. Kein Login, keine Verschlüsselung, einfach das Livebild im Browser. Bei einem Teil davon konnte man die Kamera sogar fernsteuern, also schwenken, zoomen und die Aufnahme mitverfolgen. Betroffen waren nicht nur private Türklingeln, sondern auch Gewerbe- und Firmenareale.

Das Ärgerliche daran: Fast niemand von den Betroffenen wusste davon. Die Kamera lief ja. Sie zeigte das Bild auf dem Handy des Chefs, alles schien in Ordnung. Dass dasselbe Bild gleichzeitig für die halbe Welt offen stand, hat keiner gemerkt.

Warum eine offene Kamera mehr ist als eine Panne

Man könnte sagen: Was solls, es sieht halt jemand meinen Parkplatz. In der Praxis ist es leider heikler.

Eine offene Firmenkamera verrät, wann jemand im Haus ist und wann nicht. Sie zeigt, wo der Eingang liegt, welche Türen offen stehen, ob abends das Licht brennt. Für jemanden, der einen Einbruch plant, ist das eine Steilvorlage. Er muss nicht mehr auf gut Glück vorbeifahren, er schaut einfach zu.

Dazu kommt ein zweites Problem, das viele unterschätzen. Eine Kamera ist ein kleiner Computer, der am Firmennetz hängt. Ist sie von aussen erreichbar und schlecht gesichert, wird sie zum Einstiegspunkt. Wer die Kamera übernimmt, sitzt plötzlich in Ihrem Netzwerk, gleich neben dem Server und der Buchhaltung. Der Angriff kommt dann nicht über die dicke Firewall am Internetanschluss, sondern über das Gerät, an das niemand gedacht hat.

Wie die Kamera überhaupt ins Internet kommt

Fast immer läuft es gleich ab. Jemand will das Kamerabild auch von unterwegs sehen. Also wird bei der Installation der Fernzugriff eingerichtet, meist über eine sogenannte Portweiterleitung im Router. Vereinfacht gesagt macht man damit ein Türchen in der Firewall auf, direkt zur Kamera.

Und genau da beginnt das Elend. Denn diese Kamera hat oft noch das Passwort ab Werk, «admin» und «admin» oder etwas ähnlich Kreatives. Solche Standardzugänge stehen für jedes gängige Modell im Internet. Es gibt sogar Suchmaschinen, die gezielt nach genau solchen offenen Geräten suchen. Ein Angreifer muss nichts hacken. Er tippt das Standardpasswort ein und ist drin.

Das dritte Element ist die Firmware, also die Software auf der Kamera selbst. Viele Geräte laufen jahrelang mit dem Stand vom Kauftag. In der Zwischenzeit sind Sicherheitslücken bekannt geworden, die nie geschlossen wurden. Bei einem Notebook würde das jeder merken. Bei einer Kamera an der Fassade denkt niemand ans Aktualisieren.

Ein realistisches Beispiel

Nehmen wir einen kleinen Betrieb mit acht Mitarbeitenden, Büro und angeschlossene Lagerhalle. Vor drei Jahren hat ein Elektriker vier Kameras montiert und den Fernzugriff eingerichtet, damit der Inhaber auch aus den Ferien nachschauen kann. Hat funktioniert, alle waren zufrieden, niemand hat das Thema je wieder angefasst.

Das Passwort ist bis heute das gleiche wie am ersten Tag. Die Firmware ist drei Jahre alt. Die Kamera hängt im selben Netz wie die Arbeitsplätze. Jede dieser drei Sachen für sich ist ärgerlich. Zusammen ergeben sie genau die Situation, die das Fernsehen gefunden hat: ein offenes Bild und ein offenes Netz, ohne dass es jemand wollte.

Der Aufwand, das zu beheben, liegt bei einer knappen Stunde. Der Schaden, wenn es schiefgeht, kann ein Einbruch oder ein verschlüsselter Server sein.

Was Sie konkret tun sollten

Ändern Sie zuerst das Passwort jeder Kamera. Weg vom Werkszustand, hin zu etwas Langem und Eigenem. Das ist der wirksamste einzelne Schritt und in fünf Minuten erledigt.

Hängen Sie danach keine Kamera direkt und ungeschützt ans Internet. Wenn Sie Fernzugriff brauchen, führen Sie ihn über einen sicheren Weg, in der Regel ein VPN. Vereinfacht heisst das: Sie bauen zuerst eine verschlüsselte Verbindung ins Firmennetz auf und sehen die Kamera erst dann. Von aussen ist nichts offen sichtbar. Die meisten Hersteller bieten dafür heute auch eine eigene Cloud-App an, die ohne offene Portweiterleitung auskommt. Das ist für die meisten KMU der einfachere und sichere Weg.

Prüfen Sie, was von aussen überhaupt erreichbar ist. Das können Sie nicht selbst am Bildschirm sehen, dafür schaut man von aussen auf den Anschluss. Ihr IT-Partner macht das in ein paar Minuten und sagt Ihnen, ob eine Tür offen steht, von der Sie nichts wissen.

Halten Sie die Firmware aktuell. Schauen Sie mindestens einmal im Jahr nach, ob es ein Update gibt, und spielen Sie es ein. Falls das Gerät keine Updates mehr bekommt, weil es zu alt ist, gehört es ersetzt.

Und trennen Sie die Kameras nach Möglichkeit vom übrigen Netz. Ein eigenes Teilnetz sorgt dafür, dass eine übernommene Kamera nicht gleich Zugriff auf Server und Buchhaltung hat. Das ist etwas mehr Aufwand, aber es begrenzt den Schaden, falls doch einmal etwas passiert.

Die Kurzfassung zum Abhaken

• Standardpasswort jeder Kamera durch ein eigenes, langes Passwort ersetzen
• Kein direkter, ungeschützter Zugriff aus dem Internet: Fernzugriff nur über VPN oder die gesicherte Hersteller-App
• Von aussen prüfen lassen, ob wirklich nichts offen steht (macht Ihr IT-Partner)
• Firmware mindestens jährlich aktualisieren, Geräte ohne Updates ersetzen
• Kameras in ein eigenes Teilnetz legen, getrennt von Arbeitsplätzen und Server
• Nach jeder neuen Installation nachfragen, wie der Fernzugriff eingerichtet wurde

Wenn Sie nicht sicher sind, ob Ihre Kameras sauber angebunden sind, lohnt sich ein kurzer Blick von aussen. Wir schauen das für unsere Kunden in der Region gerne einmal durch und sagen Ihnen ehrlich, ob Handlungsbedarf besteht oder nicht.