UniFi Protect & PoE-CCTV: Die Überlegenheit von Twisted-Pair gegenüber Koaxialkabeln und die vollständige Isolierung von IP-Kameras

Die moderne Videoüberwachungsarchitektur hat sich entscheidend von herkömmlicher analoger Koaxialverkabelung hin zu strukturierten Power-over-Ethernet-Netzwerken (PoE) entwickelt. Während ältere CCTV-Installationen auf RG59-Koaxialkabel in Kombination mit separaten Stromleitungen angewiesen waren, bieten zeitgemäße IP-basierte Systeme mit Twisted-Pair-Kupferkabeln (Cat6 oder Cat6A) erhebliche technische Vorteile bei Skalierbarkeit, Signalintegrität und zentralem Energiemanagement.

1. Die Überlegenheit von Twisted-Pair gegenüber Koaxialkabeln

Koaxialkabel wurden primär für die analoge Basisband-Videoübertragung entwickelt. Sie neigen zu schneller Hochfrequenzdämpfung, Erdschleifeninterferenzen und physischer Steifigkeit. Twisted-Pair-Verkabelungen hingegen ermöglichen eine standardisierte, digitale Paketübertragung über Ethernet-Protokolle. Die wichtigsten Vorteile sind:

• Einkabel-Infrastruktur (PoE): Stromversorgung und hochauflösende Videostreams werden parallel über ein einziges Cat6/Cat6A-Kabel übertragen, wodurch lokale Netzteile an den Kamera-Endpunkten überflüssig werden.
• Hohe Bandbreiten & Auflösungsreserven: Während analoge Koaxialnetzwerke bei unkomprimierten Multi-Megapixel-Datenströmen ohne proprietäre Modulation an ihre Grenzen stoßen, übertragen Gigabit-Twisted-Pair-Netzwerke mühelos mehrere 4K-Streams (8 MP) mit HDR und hohen Bildraten.
• Galvanische Trennung & Störsicherheit: Die differenzielle Signalübertragung auf verdrillten Adernpaaren bietet – insbesondere bei geschirmten Kabeltypen (F/UTP) – exzellenten Schutz vor elektromagnetischen Interferenzen (EMI) im industriellen oder gewerblichen Umfeld.

2. Sicherheitsrisiken nicht isolierter IP-Kameras

Trotz ihrer physischen und funktionalen Überlegenheit stellen netzwerkfähige IP-Kameras eine potenzielle Angriffsfläche im Bereich der Cybersicherheit dar. Eingebettete IoT-Geräte arbeiten häufig mit proprietärer Firmware, die ungepatchte Sicherheitslücken, fest kodierte Zugänge oder aggressive Cloud-Anbindungen aufweisen kann. Ein uneingeschränkter Internetzugang für Überwachungskameras birgt erhebliche Risiken, darunter das Ausspähen von Zugangsdaten, laterale Netzwerkangriffe und unautorisierter Datenabfluss.

3. Netzwerkarchitektur: Dediziertes CCTV-VLAN & zonenbasierte Isolierung

Um IoT-spezifische Schwachstellen zu eliminieren, ohne die Funktionalität zu beeinträchtigen, ist eine strikte Netzwerksegmentierung erforderlich. Innerhalb einer UniFi-Netzwerkumgebung sollten alle Überwachungsendpunkte in einem isolierten Virtual Local Area Network (VLAN) betrieben werden.

Konfiguration der Firewall-Richtlinien (Zone-Based Firewall)

Seit UniFi Network 9.0 fasst das Gateway Netzwerke zu Firewall-Zonen zusammen und definiert Richtlinien zwischen diesen Zonen; das frühere schnittstellenbasierte Regelmodell (LAN IN, WAN OUT) ist damit abgelöst, bestehende Regeln werden bei Aktivierung der zonenbasierten Firewall unter Einstellungen → Sicherheit automatisch migriert. Die vollständige Abschottung zum Internet erfordert eine eigene CCTV-Zone und die folgenden Richtlinien:

• CCTV → External – Block All: Eine Richtlinie von der CCTV-Zone zur Zone External muss sämtliche Pakete verwerfen, die aus dem Subnetz des CCTV-VLANs (z. B. 10.0.50.0/24) stammen und an eine externe IP-Adresse gerichtet sind. Dadurch werden ausgehende Telemetriedaten und Cloud-Verbindungen unterbunden.
• CCTV → Internal – Block All: Der Datenverkehr aus der CCTV-Zone darf keine Verbindungen in vertrauenswürdige interne Zonen (z. B. Management- oder Client-Netzwerke) initiieren.
• Internal → CCTV – Allow: Die Gegenrichtung benötigt eine eigene, explizite Allow-Richtlinie, sinnvollerweise eingegrenzt auf autorisierte Management-Systeme und den Rekorder. Da die Firewall zustandsbehaftet arbeitet, ist der Rückverkehr dieser Sitzungen automatisch erlaubt; eine auf Established und Related beschränkte Regel deckt ausschließlich diesen Rückweg ab und kann selbst keine Verbindung zu den Kamera-Endpunkten aufbauen.

4. Lokale Videoaufzeichnung über UNVR oder UNAS

Da externer Internetzugang konsequent blockiert ist, erfolgen Speicherung und Verarbeitung der Videodaten ausschließlich lokal im Sicherheitsperimeter. Die Aufzeichnungs- und Verwaltungssoftware selbst ist UniFi Protect; sie läuft auf der UniFi-OS-Konsole, also auf dem UNVR oder auf einem Cloud Gateway mit Unterstützung für die Anwendung. Ein UNAS kann Protect nicht ausführen und dient lediglich als Archivziel für bereits aufgezeichnetes Material; hohe Speicherkapazitäten auf dem eigenen Server gewährleistet daher der dedizierte Ubiquiti Network Video Recorder (UNVR).

Eine rein lokale Speicherarchitektur eliminiert monatliche Cloud-Gebühren, schont die Bandbreite externer WAN-Verbindungen und unterstützt die strikte Einhaltung von Datenschutzrichtlinien, da sensible Bildaufnahmen die interne Infrastruktur zu keinem Zeitpunkt verlassen.