In einer Umfrage der Axis und Genetec gaben nur 15 % der befragten Unternehmen an, auf eine Cyberattacke gut vorbereitet zu sein. Das grösste Sorgengebiet? Nicht die Cloud, nicht die Mobilgeräte, nicht die Datenspeicher oder OT-Systeme – sondern Sicherheitstechnologien.

Auf den ersten Blick mag das ironisch wirken, schliesslich sollten gerade diese Technologien für mehr Sicherheit sorgen. Doch genauso wie alle anderen Technologien stellen auch sie ein gewisses Risiko dar. Und Überwachungskameras bilden da keine Ausnahme. Umso wichtiger ist es für IT-Reseller, Managed Service Provider und Integratoren, bei der Auswahl geeigneter Lösungen auch Cybersecurity im Blick zu behalten. Wir von Alltron gehen dabei zur Hand.

Kameras als Hintertür ins IT-Netzwerk

Ja, vernetzte Überwachungskameras stellen ein Cyberrisiko dar. Das mag einige Fragen aufwerfen – schliesslich ist eine Überwachungskamera nicht gerade das, was gemeinhin unter einem Einfallstor verstanden wird, wenn es um Cybersecurity geht. Sie hängt unscheinbar an der Decke oder an der Wand, zeichnet auf, schreckt ab, sorgt für mehr Sicherheit, und ist dabei doch selbst ein unterschätzter wunder Punkt. Denn was viele vergessen: So gesondert die Kamera auch wirkt, so handelt es sich bei ihr doch oft um ein klassisches IoT-Gerät. Sie ist nicht alleinstehend, sondern Teil eines Netzwerks, und damit automatisch ein potenzielles Zugangstor.

Das bedeutet jedoch nicht, dass auf Überwachungskameras verzichtet werden sollte. Sie sind und bleiben ein wichtiges Element in der Gebäudesicherheit. Es bedeutet lediglich, dass ihnen dieselbe Pflege zuteilwerden muss wie anderen Systemen.

Wo das Risiko konkret entsteht

Neue Schwachstellen werden ständig entdeckt, und so etwas wie eine absolute und allumfängliche Sicherheit existiert nicht. Ob sie jedoch kritische Auswirkungen haben, hängt laut der Axis Communications in erster Linie davon ab …

• wie einfach die Schwachstelle angegriffen werden kann sowie
• ob und inwiefern der Angriff das restliche System betrifft.

In der Regel lassen sich beide Faktoren beeinflussen. Beispiele für Risiken in diesen Bereichen sind:

Veraltete Firmware: Eine Kamera, die über Jahre zuverlässig ihren Dienst verrichtet, wird schnell vergessen. Genau das kann problematisch werden. Bleiben Sicherheitsupdates aus, bleiben auch bekannte Schwachstellen offen. Angreifer müssen dann nicht zwingend eine neue Angriffsmethode entwickeln – unter Umständen genügt eine bereits dokumentierte Sicherheitslücke.

Unsichere oder voreingestellte Passwörter: Standard-Zugangsdaten, mehrfach verwendete Passwörter oder zu schwache Kennwörter erleichtern unbefugten Zugriff. Besonders kritisch wird dies, wenn über dasselbe Benutzerkonto nicht nur auf einzelne Kameras, sondern auf zentrale Verwaltungsoberflächen zugegriffen werden kann.

Fehlende Netzwerksegmentierung: Befindet sich die Videoüberwachung im selben Netzwerksegment wie andere geschäftskritische Systeme, kann eine kompromittierte Kamera im schlimmsten Fall zum Ausgangspunkt für weitere Angriffe werden. Das eigentliche Problem ist dann weniger der Zugriff auf das Kamerabild als vielmehr die Möglichkeit, sich innerhalb des Netzwerks weiterzubewegen.

Unnötig erreichbare Dienste: Nicht benötigte Schnittstellen, offene Ports oder aus dem Internet erreichbare Verwaltungsoberflächen vergrössern die Angriffsfläche. Was für die Installation bequem erscheint, kann im laufenden Betrieb zu einem unnötigen Risiko werden.

Unklare Zuständigkeiten und Reglemente: Wer kümmert sich eigentlich um die Kameras? Die IT? Der Sicherheitsdienst? Das Facility Management? Ein externer Integrator? Welche Sicherheitsrichtlinien gelten – und welches Personal muss dafür geschult werden? Gerade weil physische Sicherheit und IT hier zusammentreffen, entstehen schnell Lücken in der Verantwortung. Updates werden nicht eingespielt, Benutzerkonten bleiben bestehen oder Geräte werden weiterbetrieben, obwohl der Support längst ausgelaufen ist.

Folgen, die über das Netzwerk hinausgehen

Wird eine Überwachungskamera kompromittiert, endet der Schaden nicht zwingend beim Videobild. Gelingt es Angreifern, von dort in weitere Systeme vorzudringen, können Daten abfliessen, Systeme manipuliert oder verschlüsselt und Geschäftsprozesse unterbrochen werden. Für das Unternehmen entstehen dann nicht nur hohe Kosten für Forensik, Wiederherstellung und zusätzliche Sicherheitsmassnahmen. Auch der Ruf kann leiden – besonders dann, wenn Daten von Mitarbeitenden, Kundinnen oder Besuchern in falsche Hände geraten.

Hinzu kommen rechtliche Pflichten. Führt ein Vorfall zu einer Verletzung der Datensicherheit, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte Betroffener darstellt, muss das Unternehmen den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemäss Art. 24 DSG so rasch wie möglich informieren. Betroffene Personen müssen ebenfalls informiert werden, wenn dies zu ihrem Schutz erforderlich ist. Zudem: Vorsätzliche Verstösse gegen bestimmte Pflichten zur Datensicherheit können nach dem DSG gebüsst werden.

Besonders kritisch sind solche Vorfälle dort, wo ein Ausfall oder Datenabfluss nicht nur wirtschaftliche, sondern gesellschaftliche oder gar physische Folgen haben kann: etwa im Gesundheitswesen, bei Energie- und Wasserversorgern, im Verkehr, im Finanzsektor, in Behörden sowie in der Informations- und Kommunikationsbranche.

Best Pratices: Cybersecurity-Massnahmen ergreifen

So weit soll es gar nicht erst kommen. Eine IP-Kamera sollte deshalb nicht als isoliertes Sicherheitsgerät betrachtet werden, sondern als vernetzter IT-Endpunkt. Entsprechend muss nicht nur die Kamera selbst, sondern das gesamte Videosystem – inklusive Netzwerk, Managementsoftware und Hersteller-Support – abgesichert werden. Eine Sicherheit von 100% existiert nicht. Mit den folgenden Schritten jedoch kann das Risiko deutlich minimiert werden.

• Bestand kennen: Alle Kameras, Recorder und Managementsysteme vollständig inventarisieren – samt Modell, Firmwarestand und Supportstatus.
• Netzwerk segmentieren: Videoüberwachung in ein eigenes VLAN beziehungsweise eine eigene Security-Zone legen und Verbindungen zu anderen Systemen gezielt beschränken. Besonders empfehlenswert ist dabei der Zero-Trust-Ansatz.
• Zugriffe absichern: Standardpasswörter ersetzen, starke individuelle Zugangsdaten verwenden, Rechte nach dem Minimalprinzip vergeben und Konten regelmässig überprüfen. Passwortwechsel sollten insbesondere bei Verdacht auf Kompromittierung erfolgen.
• Angriffsfläche verkleinern: Nicht benötigte Ports, Dienste und Schnittstellen deaktivieren; Fernzugriffe nur verschlüsselt und kontrolliert zulassen.
• Patchen und prüfen: Firmware zeitnah aktualisieren, Geräte regelmässig auf Schwachstellen prüfen und Herstellerwarnungen sowie bekannte Exploits risikobasiert bewerten. Eine Cloud-Lösung könnte dabei zur Hand gehen.
• Lebenszyklus planen: Supportfristen bereits bei der Beschaffung berücksichtigen und Geräte rechtzeitig ersetzen, bevor Sicherheitsupdates auslaufen. Weitere Informationen dazu gibt es hier.
• Verantwortung festlegen: Zuständigkeiten zwischen IT, Security, Integratoren und Herstellern klären und die Systeme regelmässig auf interne Vorgaben sowie geltende Compliance- und Datenschutzanforderungen prüfen.

Vom Kameralieferanten zum Security-Partner

Für IT-Reseller, MSPs und Integratoren liegt darin auch eine Chance. Wer Videoüberwachung über die Installation hinaus während des gesamten Lebenszyklus begleitet, schafft für seine Kundschaft einen echten Mehrwert: von der sicheren Netzwerkintegration über Updates und Schwachstellenmanagement bis hin zur rechtzeitigen Ablösung veralteter Geräte. So wird aus dem Kameralieferanten ein Security-Partner, der dabei hilft, Videoüberwachung sicherer, besser wartbar und im Einklang mit internen sowie regulatorischen Anforderungen zu betreiben. 

Was die Auswahl geeigneter Lösungen, Herstellern und Dienstleitungen anbelangt, so stehen wir von Alltron gerne zur Seite. Alltron zählt heute über 1'500 Partner und bietet sowohl Unterstützung bei der Projektierung als auch Beratung und Schulung – Themen wie Cybersecurity sind dabei keine Ausnahme. Wir sind Sparringpartner von A bis Z und helfen dabei, Sicherheitslösungen als intelligentes Gesamtsystem bereitzustellen.

Quelle Titelbild: KI-generiert (ChatGPT)