UniFi Protect und PoE-CCTV: Twisted-Pair gegenüber Koax und die VLAN-Isolierung von IP-Kameras

Eine IP-Kamera benötigt Datenverbindung, Stromversorgung und einen geeigneten Aufzeichnungsweg. Power over Ethernet (PoE) kann Daten und Strom über ein Netzwerkkabel zusammenführen. Ein separates Kameranetz begrenzt erlaubte Verbindungen; die Verkabelung allein übernimmt diese Sicherheitsaufgabe nicht.

1. Twisted-Pair und Koax nach Einsatz vergleichen

Twisted-Pair bezeichnet verdrillte Adernpaare. Für viele Gigabit-Installationen reicht geeignetes Cat5e; Cat6 oder Cat6A können Teil einer auf größere Reserven ausgelegten Planung sein. Entscheidend sind die Anforderungen von Kamera, Switch, PoE-Klasse und Kabelstrecke.

Koax ist nicht grundsätzlich auf alte Analogtechnik beschränkt. Ethernet-over-Coax-Adapter wie der AXIS T8640 können vorhandene Koaxstrecken für Daten und PoE nutzen. Der zusätzliche Adapteraufwand und die Grenzen von Kabel, Reichweite und Stromversorgung gehören in den Vergleich. Die pauschale Aussage, Koax könne keine hochauflösenden IP-Kameras versorgen, wäre falsch.

Der Bandbreitenbedarf folgt aus Codec, Bildrate, Bildinhalt und eingestellter Qualität. Mehrere komprimierte 4K-Streams können über einen ausreichend dimensionierten Uplink laufen; die Auflösung allein belegt keine freie Kapazität. Schirmung und Erdung müssen zur Installation passen. Verdrillte Adern ersetzen weder korrekten Potentialausgleich noch Überspannungsschutz.

2. Ein VLAN reduziert Verbindungswege, nicht Firmwarefehler

Eine kompromittierte Kamera sollte möglichst wenige andere Systeme erreichen können. Ein eigenes CCTV-VLAN, aktuelle Firmware und eingeschränkte Zugangsdaten ergänzen sich. Segmentierung behebt keine Schwachstelle im Gerät.

Im folgenden Beispiel liegen Kameras und ein dedizierter Rekorder im CCTV-VLAN. Kommunikation innerhalb dieses VLANs läuft normalerweise direkt über den Switch und nicht durch die Gateway-Firewall. Eine zusätzliche Port-Isolierung benötigt deshalb eine gesonderte Planung, die den Rekorder weiterhin erreichbar lässt.

3. Firewall-Ausnahmen zuerst planen

Die aktuelle UniFi-Zonenfirewall bietet Regeln zwischen CCTV, Internal, External und Gateway. Die Menüs hängen von der Network-Version ab. Statt eines pauschalen „alles blockieren“ ist eine überprüfbare Kommunikationsliste erforderlich:

• Verwaltung: Nur festgelegte Admin-Geräte und benötigte Dienste zum CCTV-Netz erlauben.
• Rekorder: Liegt der Rekorder in einem anderen Netz, benötigen Kamera-Verbindungen dorthin eigene Ausnahmen. Ubiquiti nennt für Protect-Adoption unter anderem TCP 7444, 7550, 7442 und UDP 10001; Betrieb und Gerätemodell können weitere Anforderungen haben. Eine reine Freigabe vom Rekorder zur Kamera ersetzt diese Prüfung nicht.
• Grunddienste: DHCP, DNS und eine tatsächlich angebotene lokale Zeitquelle gezielt zulassen. Dienste auf dem Router gehören zur Gateway-Zone.
• Restlicher Verkehr: Nicht benötigte neue Verbindungen aus CCTV in andere Netze sowie Internetzugriffe blockieren. IPv4, IPv6 und weitere Zonen wie VPN berücksichtigen.

Rückverkehr benötigt eine wirksame Freigabe, etwa über Auto Allow Return Traffic. Eine höher priorisierte Blockregel kann auch Antworten verwerfen. Nach Änderungen müssen Regelreihenfolge, neue Verbindungen und bestehende Sitzungen getestet werden.

4. Lokale Aufnahme und externe Zugriffe unterscheiden

UniFi Protect speichert auf der unterstützten Konsole, etwa einem UNVR oder geeigneten Cloud Gateway. Ein UNAS dient als Datei- beziehungsweise Archivziel und ersetzt diese Protect-Aufzeichnung nicht. NAS-Archivierung ist ein gesonderter Exportweg.

Lokale Speicherung verhindert nicht automatisch Fernzugriffe oder Cloud-Exporte durch den Rekorder. Ein blockierter Internetzugang der Kameras betrifft zunächst nur die Kameras. Für einen vollständig lokalen Betrieb müssen auch Konsole, Fernzugriff und Archivziele entsprechend konfiguriert sein.

Der Speicherort allein garantiert keine Datenschutzkonformität. Aufnahmezweck, Bildausschnitt, Zugriffsrechte, Information der Betroffenen und erforderliche Löschfrist bleiben zu bestimmen. Eine große Festplatte ist keine Begründung für längere Aufbewahrung.

5. Kabelstrecken und PoE-Budget

Für übliche 100/1000BASE-T-Strecken gilt ein Kanal von höchstens 100 Metern einschließlich Anschlusskabeln. Zusätzliche aktive Segmente, Glasfaser oder geeignete Extender können größere Entfernungen überbrücken. Beim AXIS T8129 sind Datenrate und PoE-Verluste zu beachten: Das Gerät arbeitet mit 10/100 Mbit/s, und zusätzliche Reichweite hängt von Quelle und Kameraleistung ab.

USW-Flex: widersprüchliche Herstellerstände. Die aktuelle technische Produktseite nennt vier PoE+-Ausgänge mit bis zu 25 W je Port. Das ältere verlinkte PDF nennt dagegen 802.3af und 15,4 W. Die Aussage „nur 802.3af, daher keine PoE+-Kamera“ ist deshalb keine verlässliche aktuelle Kaufregel. Die konkrete Geräteausführung und Software müssen zur aktuellen Spezifikation passen.

Das Gesamtbudget bleibt begrenzt: laut aktueller Herstellerseite 8 W bei PoE-Einspeisung, 20 W bei PoE+ und 46 W bei PoE++ beziehungsweise passendem 60-W-Adapter. Viermal 25 W sind damit nicht gleichzeitig verfügbar. Einschaltspitzen, Infrarotbeleuchtung und Heizungen gehören in die Leistungsplanung; auch die zulässige Umgebungstemperatur hängt von der Last ab.

6. Funktion nach der Abschottung prüfen

Eine Abnahme umfasst Adoption, Livebild, Aufzeichnung, Wiedergabe, Neustart, Uhrzeit und Firmwarepflege. Zusätzlich müssen unerlaubte Verbindungen aus dem Kameranetz scheitern. Ein erreichbares Webinterface allein beweist weder laufende Aufnahme noch vollständige Netztrennung.