UniFi Connect: Netzwerk, Sicherheit und Datenschutz
Auf einen Blick
| Gilt für | UniFi Connect 3.x; Display Cast, Connect Display, EV Station; UniFi Network mit Zone-Based Firewall |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 30–60 Minuten |
| Rechte | Owner oder Super Admin; Zugriff auf UniFi Network |
| Stand | Oktober 2026 |
UniFi Connect sicher betreiben heißt, Bildschirme und Ladestationen wie das zu behandeln, was sie sind: vernetzte IoT-Geräte, die teils im öffentlichen Raum hängen, Webinhalte und Apps ausführen und – bei Ladestationen – personenbezogene Daten über das Ladeverhalten erzeugen. Dieser Artikel zeigt das passende Netzwerkdesign, die Fernübernahme von Geräten an anderen Standorten, die Absicherung von Web- und App-Inhalten sowie die Datenschutzfragen bei Ladedaten und Kameras.
Netzwerkdesign: eigenes IoT-VLAN
- Display Casts, Connect Displays und EV Stations in ein eigenes VLAN (z. B. „IoT-Connect“), siehe UniFi: VLANs einrichten.
- Zone-Based Firewall: IoT-Zone darf die Konsole und das Internet (Updates, YouTube, Webseiten) erreichen, aber nicht Büro-, Server- oder Kameranetze, siehe UniFi: Zone-Based Firewall konfigurieren.
- Braucht ein Dashboard Daten von einem internen Server, genau diese eine Verbindung (Ziel-IP und Port) freigeben.
- WLAN für Bildschirme: eigene SSID im IoT-VLAN mit WPA2/WPA3 und Client-Isolation.
- Netzwerkdosen hinter öffentlich zugänglichen Bildschirmen per Port-Profil auf das IoT-VLAN beschränken – sonst kann jemand den Display Cast abziehen und mit dem Laptop ins Netz, siehe UniFi: 802.1X und RADIUS einrichten.
Fernübernahme an anderen Standorten (Layer 3)
Display Cast Pro, Display Cast Lite und die EV Stations lassen sich an Standorten ohne eigene Konsole übernehmen:
- In der Connect-Anwendung Remote Adoption aktivieren.
- Die Konsole braucht eine statische, erreichbare IP-Adresse.
- Connect-App öffnen, Konsole wählen, Bluetooth aktiv, bei der Übernahme Remote Adopt wählen und die IP-Adresse eintragen (bei WLAN-Geräten zusätzlich SSID und Passwort).
- Scheitert die Übernahme, eine Firewall-Regel Internet Local für TCP 18443 anlegen.
Sicherheit: Port 18443 nicht für das ganze Internet öffnen. Besser: Standorte per Site-to-Site-VPN verbinden und die Geräte über das VPN übernehmen, siehe UniFi: Standorte per Site-to-Site-VPN verbinden. Ist eine Freigabe aus dem Internet unvermeidbar, nur die festen IP-Adressen der Filialen zulassen.
Inhalte absichern
- Web Mode / Dashboards: Auf öffentlich sichtbaren Bildschirmen nur Seiten mit Lesezugriff anzeigen – keine angemeldeten Admin-Oberflächen, keine Seiten mit gespeicherten Zugangsdaten. Für Dashboards eigene Nur-Lese-Konten oder Freigabelinks verwenden.
- Touch-Bildschirme (Connect Display): Webseiten so wählen, dass Besucher nicht zu beliebigen Seiten navigieren können.
- Android-Apps: nur Apps aus vertrauenswürdiger Quelle oder eigene Entwicklungen installieren; APKs aus dem Internet können Schadcode enthalten. Standort- und Mikrofonzugriff sind standardmäßig erlaubt – nur Apps einsetzen, die das nicht missbrauchen.
- YouTube: Inhalte Dritter können sich ändern oder Werbung zeigen; für Empfangsbildschirme besser eigene Videos hochladen.
- Admin-Rechte für Connect nur an Personen, die Inhalte pflegen; Zwei-Faktor-Anmeldung für alle UI-Konten.
Datenschutz bei Ladestationen
- Mit Zugang über UniFi Identity oder NFC-Karte weiß das System, wer wann wie lange und wie viel geladen hat – das sind personenbezogene Daten.
- Bei Beschäftigten ist das geeignet, Anwesenheit und Verhalten nachzuvollziehen: Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG beteiligen, Zweck (z. B. Lastmanagement, Missbrauchsschutz, steuerlicher Nachweis) und Speicherdauer festlegen.
- Ladedaten nicht zur Anwesenheits- oder Leistungskontrolle verwenden.
- Die Stationen haben eine Kamera (u. a. zum Lesen von QR-Codes). Klären, ob und wann sie aufzeichnet; Kameras im öffentlichen Raum fallen sonst unter die Regeln zur Videoüberwachung, siehe UniFi Protect: Videoüberwachung datenschutzkonform betreiben.
- QR-Codes für Besucher mit kurzer Gültigkeit erzeugen.
- Eintrag im Verzeichnis der Verarbeitungstätigkeiten, Information der Nutzer nach Art. 13 DSGVO.
Betrieb
- Updates: Connect-Anwendung und Geräte-Firmware regelmäßig aktualisieren, siehe UniFi: Updates und Firmware verwalten.
- Überwachung: Geräte offline oder Ladefehler über Alarm Manager bzw. Syslog melden, siehe UniFi: Syslog, SIEM und SNMP anbinden.
- Physischer Schutz: Display Casts hinter Bildschirmen festschrauben, HDMI- und Netzwerkkabel nicht frei zugänglich.
Hinweise
- Keine Rechtsberatung – Datenschutzfragen mit dem Datenschutzbeauftragten klären.
- Bei Netzwerksegmentierung, Absicherung von IoT-Geräten und Datenschutzkonzepten unterstützt Sie die Cybersecurity-Beratung von m.a.x. it.
Siehe auch
- UniFi Connect – Überblick und alle Artikel der Reihe
- UniFi Connect: Ladestationen für Elektroautos im Unternehmen
- DSGVO
Links und Quellen
- Ubiquiti Help Center: Remotely Adopting EV Station and Display Cast in UniFi Connect
- Cybersecurity von m.a.x. it
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
