UniFi Netzwerk absichern: Die wichtigsten Sicherheitseinstellungen nach der Ersteinrichtung

Nach der Ersteinrichtung läuft ein UniFi-Netzwerk zwar, ist aber mit den Standardeinstellungen noch nicht sauber abgesichert. Die wichtigsten Maßnahmen sind schnell erledigt: Updates, Anmeldung, Fernzugriff, Firewall und das Abschalten unnötiger Dienste. Die folgenden Schritte gehe ich bei jeder Installation in dieser Reihenfolge durch.

Wie halte ich Firmware und Controller aktuell?

Aktualisiere zuerst die Firmware aller Geräte und die Network-Anwendung auf der Dream Machine oder dem Cloud Gateway. Ältere Stände enthalten bekannte Schwachstellen, und ein frisch ausgepacktes Gerät ist selten auf dem neuesten Stand. Aktiviere danach in den Systemeinstellungen die automatischen Updates für die Network-Anwendung und die Geräte-Firmware. Bei Anlagen, die im Betrieb nicht ausfallen dürfen, etwa in einer Praxis oder einem Büro, lege ein Wartungsfenster nachts fest. Ein Access Point startet beim Update neu, die Clients verlieren kurz die Verbindung. Prüfe nach größeren Versionssprüngen kurz, ob alle Geräte wieder erreichbar sind und die Konfiguration unverändert ist.

Wie aktiviere ich die Zwei-Faktor-Anmeldung und sichere die Admin-Konten?

Bei UniFi OS meldest du dich meist mit einem Ubiquiti-Konto an. Aktiviere dort die Zwei-Faktor-Authentifizierung, am besten per Authenticator-App. Lege zusätzlich ein lokales Admin-Konto mit eigenem, langem Passwort an. Damit kommst du auch dann an die Konsole, wenn der Cloud-Zugang gerade nicht funktioniert. Verwende nie ein gemeinsames Konto für mehrere Personen. Richte lieber für jeden Administrator ein eigenes Konto ein, mit nur den Rechten, die er braucht. Das macht Änderungen nachvollziehbar, und ausgeschiedene Mitarbeiter lassen sich einzeln sperren. Ändere außerdem alle Standardpasswörter, auch die für SSH auf den Geräten, und schalte SSH ab, wenn du es nicht brauchst.

Wie richte ich den Fernzugriff sicher ein?

Auf keinen Fall gehört die Verwaltungsoberfläche per Portfreigabe ins Internet. Nutze stattdessen Teleport oder einen VPN-Server, den die Dream Machine mitbringt. Teleport ist für den schnellen privaten Zugriff praktisch. Für Büros oder wenn mehrere Personen Zugriff brauchen, ist ein VPN mit WireGuard oder OpenVPN meist die bessere Wahl, weil du Zugänge pro Person vergeben und wieder entziehen kannst. Hast du Portweiterleitungen für Kameras, NAS oder Router-Oberflächen eingerichtet, gehe die Liste durch und entferne alles, was nicht zwingend nötig ist. Jede offene Weiterleitung ist ein Angriffspunkt. Wenn du Dienste von außen erreichbar machen musst, trenne sie in ein eigenes Netzwerk (DMZ-ähnliches VLAN) und erlaube nur den einen benötigten Port.

Welche Firewall-Regeln und welches IDS/IPS brauche ich?

Segmentiere das Netz, bevor du Regeln schreibst. Trenne mindestens Hauptnetz, Gäste, IoT-Geräte und Kameras in eigene Netzwerke. Geräte im Gäste- und IoT-Netz sollen ins Internet, aber nicht auf Rechner oder Server im Hauptnetz zugreifen. Lege dafür Blockregeln zwischen den Netzen an und erlaube nur gezielt, was nötig ist, zum Beispiel den Zugriff vom Hauptnetz auf den Kamera-Recorder. Teste die Regeln danach praktisch: Versuche vom Gäste-WLAN aus, ein Gerät im Hauptnetz anzupingen. Aktiviere zusätzlich die Intrusion Detection and Prevention (IDS/IPS) in den Sicherheitseinstellungen. Beginne im reinen Erkennungsmodus, beobachte einige Tage die Meldungen und schalte erst dann auf aktives Blockieren. So findest du Fehlalarme, bevor sie legitimen Verkehr stören. Beachte, dass IDS/IPS je nach Modell den Durchsatz des Gateways spürbar senken kann. Lies dazu die Herstellerangaben für dein Gerät.

Welche Dienste sollte ich abschalten?

UPnP erlaubt Geräten im Netz, selbstständig Ports am Gateway zu öffnen. Das ist bequem, aber du verlierst die Kontrolle darüber, was von außen erreichbar ist. Schalte es ab und richte benötigte Weiterleitungen bewusst von Hand ein. Prüfe außerdem, welche weiteren Dienste aktiv sind, und deaktiviere, was du nicht nutzt: SSH, Gast-Portal ohne Bedarf, mDNS-Weiterleitung zwischen Netzen oder WLAN-Netze, die nicht mehr gebraucht werden. Verwende für WLAN WPA2 oder WPA3 mit einem langen Passwort, und gib das Passwort des Hauptnetzes nicht an Gäste weiter.

Welche Fehler sehe ich in der Praxis am häufigsten?

• Portfreigaben für die Verwaltungsoberfläche oder für Kameras, die niemand mehr braucht.
• Ein einziges flaches Netz, in dem Gäste, Smart-Home-Geräte und Büro-PCs zusammenhängen.
• Admin-Konto ohne Zwei-Faktor-Anmeldung, oft mit wiederverwendetem Passwort.
• Automatische Updates aus Sorge vor Ausfällen abgeschaltet, sodass die Firmware über Jahre veraltet.
• UPnP aktiv, weil es bei der Einrichtung einmal ein Problem gelöst hat.
• Sicherung der Konfiguration vergessen: Lade nach jeder größeren Änderung ein Backup herunter und bewahre es getrennt vom Gerät auf.

Checkliste zum Abhaken

• [ ] Firmware aller Geräte und Network-Anwendung aktualisiert
• [ ] Automatische Updates mit Wartungsfenster aktiviert
• [ ] Zwei-Faktor-Anmeldung im Ubiquiti-Konto eingeschaltet
• [ ] Lokales Admin-Konto mit starkem Passwort angelegt
• [ ] Eigene Konten pro Administrator, Standardpasswörter geändert
• [ ] Keine Portfreigaben für die Verwaltung; Zugriff über Teleport oder VPN
• [ ] Netze getrennt (Haupt, Gäste, IoT, Kameras) und Firewall-Regeln getestet
• [ ] IDS/IPS aktiviert und Meldungen geprüft
• [ ] UPnP und ungenutzte Dienste (z. B. SSH) abgeschaltet
• [ ] WLAN mit WPA2/WPA3 und langem Passwort
• [ ] Konfigurations-Backup erstellt und extern abgelegt

Wenn du bei der Planung der Netzsegmente oder den Firewall-Regeln unsicher bist, hilft dir der Fachbetrieb gern weiter.