Security-by-Design wird erst dann wirksam, wenn daraus eine verbindliche Architektur- und Betriebsbaseline entsteht.
Eine Kamera kann einen Standort physisch schützen und gleichzeitig die digitale Angriffsfläche vergrößern. Sie ist Netzwerkendpunkt, verarbeitet sensible Daten, besitzt administrative Zugänge und kommuniziert mit weiteren Systemen. Deshalb darf ihre Absicherung nicht bei Montageort, Manipulationsschutz und Bildqualität enden.
Für vernetzte Video-Security sollte eine technische Baseline mindestens sechs Bereiche abdecken:
- Netzwerkzonen und Kommunikationsregeln: Kameras, Management, VMS und Benutzerzugriffe erhalten definierte Segmente. Verbindungen werden nach dem Prinzip deny by default auf die tatsächlich benötigten Ziele, Ports und Richtungen begrenzt.
- Identitäten und administrative Zugriffe: individuelle Konten, klare Rollen, keine Standard- oder Sammelzugänge sowie Mehrfaktor-Authentisierung auf den zentralen Managementebenen. Fernzugriffe erfolgen freigegeben, zeitlich begrenzt und protokolliert.
- Gerätevertrauen und geschützte Kommunikation: Secure Boot, signierte Firmware, 802.1X, Gerätezertifikate, TLS und eine korrekte Zeitsynchronisation werden eingesetzt, soweit Produkt und Architektur dies unterstützen.
- Hardening und Konfigurationsschutz: nicht benötigte Dienste werden deaktiviert, sichere Standardwerte dokumentiert, Konfigurationen gesichert und Abweichungen kontrolliert behandelt.
- Vulnerability- und Lifecycle-Management: Geräteinventar, Firmwarestände, Herstellerhinweise, CVEs, Supportzeiträume, Wartungsfenster und kontrollierte Aktualisierungen bilden einen gemeinsamen Prozess.
- Logging und Nachweis: Anmeldungen, administrative Änderungen, Geräteereignisse und sicherheitsrelevante Zustände werden zentral erfasst, ausgewertet und für Störung, Audit und Incident Response verfügbar gehalten.
Nicht jedes Gerät unterstützt jede Kontrolle. Dann müssen fehlende Funktionen durch Netzwerk, VMS, Managementplattform oder organisatorische Maßnahmen kompensiert werden. Diese Abweichung gehört dokumentiert und bewertet – nicht stillschweigend akzeptiert.
Die Abnahme sollte deshalb nicht nur das Bild und die Aufzeichnung prüfen. Sie muss auch Segmentierung, Berechtigungen, Zertifikate, Logging, Konfigurationsbackup, Fernzugriff sowie Update- und Rückfallverfahren nachweisen.
Auf der Security Essen bewerten wir Produkte und Plattformen anhand dieser Betriebsbaseline. Entscheidend ist nicht die längste Featureliste, sondern ob physische Schutzwirkung und digitale Kontrolle gemeinsam geplant, abgenommen und über den gesamten Lifecycle erhalten werden können.