UniFi Connect: Netzwerk, Sicherheit und Datenschutz

Aus maxTechCorner
(Weitergeleitet von UniFi Connect Sicherheit)

Auf einen Blick

Gilt fürUniFi Connect 3.x; Display Cast, Connect Display, EV Station; UniFi Network mit Zone-Based Firewall
BereichIT-Security
Dauerca. 30–60 Minuten
RechteOwner oder Super Admin; Zugriff auf UniFi Network
StandOktober 2026

UniFi Connect sicher betreiben heißt, Bildschirme und Ladestationen wie das zu behandeln, was sie sind: vernetzte IoT-Geräte, die teils im öffentlichen Raum hängen, Webinhalte und Apps ausführen und – bei Ladestationen – personenbezogene Daten über das Ladeverhalten erzeugen. Dieser Artikel zeigt das passende Netzwerkdesign, die Fernübernahme von Geräten an anderen Standorten, die Absicherung von Web- und App-Inhalten sowie die Datenschutzfragen bei Ladedaten und Kameras.

Sicherheit bei UniFi Connect: Display Cast, Connect Display und EV Stations in einem eigenen IoT-VLAN ohne Zugriff auf Büro- und Servernetze; Fernübernahme über Layer 3 mit statischer Konsolen-IP und TCP 18443 nur von bekannten Standorten; Dashboards nur mit Lesezugriff, keine Admin-Sitzungen auf öffentlichen Bildschirmen, nur geprüfte Android-Apps; Ladedaten sind personenbezogen, Betriebsrat beteiligen, Kamera der Ladestation nur für QR-Codes.

Netzwerkdesign: eigenes IoT-VLAN

  • Display Casts, Connect Displays und EV Stations in ein eigenes VLAN (z. B. „IoT-Connect“), siehe UniFi: VLANs einrichten.
  • Zone-Based Firewall: IoT-Zone darf die Konsole und das Internet (Updates, YouTube, Webseiten) erreichen, aber nicht Büro-, Server- oder Kameranetze, siehe UniFi: Zone-Based Firewall konfigurieren.
  • Braucht ein Dashboard Daten von einem internen Server, genau diese eine Verbindung (Ziel-IP und Port) freigeben.
  • WLAN für Bildschirme: eigene SSID im IoT-VLAN mit WPA2/WPA3 und Client-Isolation.
  • Netzwerkdosen hinter öffentlich zugänglichen Bildschirmen per Port-Profil auf das IoT-VLAN beschränken – sonst kann jemand den Display Cast abziehen und mit dem Laptop ins Netz, siehe UniFi: 802.1X und RADIUS einrichten.

Fernübernahme an anderen Standorten (Layer 3)

Display Cast Pro, Display Cast Lite und die EV Stations lassen sich an Standorten ohne eigene Konsole übernehmen:

  1. In der Connect-Anwendung Remote Adoption aktivieren.
  2. Die Konsole braucht eine statische, erreichbare IP-Adresse.
  3. Connect-App öffnen, Konsole wählen, Bluetooth aktiv, bei der Übernahme Remote Adopt wählen und die IP-Adresse eintragen (bei WLAN-Geräten zusätzlich SSID und Passwort).
  4. Scheitert die Übernahme, eine Firewall-Regel Internet Local für TCP 18443 anlegen.

Sicherheit: Port 18443 nicht für das ganze Internet öffnen. Besser: Standorte per Site-to-Site-VPN verbinden und die Geräte über das VPN übernehmen, siehe UniFi: Standorte per Site-to-Site-VPN verbinden. Ist eine Freigabe aus dem Internet unvermeidbar, nur die festen IP-Adressen der Filialen zulassen.

Inhalte absichern

  • Web Mode / Dashboards: Auf öffentlich sichtbaren Bildschirmen nur Seiten mit Lesezugriff anzeigen – keine angemeldeten Admin-Oberflächen, keine Seiten mit gespeicherten Zugangsdaten. Für Dashboards eigene Nur-Lese-Konten oder Freigabelinks verwenden.
  • Touch-Bildschirme (Connect Display): Webseiten so wählen, dass Besucher nicht zu beliebigen Seiten navigieren können.
  • Android-Apps: nur Apps aus vertrauenswürdiger Quelle oder eigene Entwicklungen installieren; APKs aus dem Internet können Schadcode enthalten. Standort- und Mikrofonzugriff sind standardmäßig erlaubt – nur Apps einsetzen, die das nicht missbrauchen.
  • YouTube: Inhalte Dritter können sich ändern oder Werbung zeigen; für Empfangsbildschirme besser eigene Videos hochladen.
  • Admin-Rechte für Connect nur an Personen, die Inhalte pflegen; Zwei-Faktor-Anmeldung für alle UI-Konten.

Datenschutz bei Ladestationen

  • Mit Zugang über UniFi Identity oder NFC-Karte weiß das System, wer wann wie lange und wie viel geladen hat – das sind personenbezogene Daten.
  • Bei Beschäftigten ist das geeignet, Anwesenheit und Verhalten nachzuvollziehen: Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG beteiligen, Zweck (z. B. Lastmanagement, Missbrauchsschutz, steuerlicher Nachweis) und Speicherdauer festlegen.
  • Ladedaten nicht zur Anwesenheits- oder Leistungskontrolle verwenden.
  • Die Stationen haben eine Kamera (u. a. zum Lesen von QR-Codes). Klären, ob und wann sie aufzeichnet; Kameras im öffentlichen Raum fallen sonst unter die Regeln zur Videoüberwachung, siehe UniFi Protect: Videoüberwachung datenschutzkonform betreiben.
  • QR-Codes für Besucher mit kurzer Gültigkeit erzeugen.
  • Eintrag im Verzeichnis der Verarbeitungstätigkeiten, Information der Nutzer nach Art. 13 DSGVO.

Betrieb

Hinweise

  • Keine Rechtsberatung – Datenschutzfragen mit dem Datenschutzbeauftragten klären.
  • Bei Netzwerksegmentierung, Absicherung von IoT-Geräten und Datenschutzkonzepten unterstützt Sie die Cybersecurity-Beratung von m.a.x. it.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=UniFi_Connect:_Netzwerk,_Sicherheit_und_Datenschutz&oldid=4566“