Was ist passiert?
Die Certified Security Operations Center GmbH (CSOC) hat gemeinsam mit Axis Communications sogenannte Audit Logs für Netzwerk-Kameras im Sicherheitsbereich etabliert. Ziel ist es, Vorgänge innerhalb der Kamera selbst nachvollziehbar zu machen – ein Bereich, der bislang für professionelle Überwachungssysteme weitgehend unsichtbar blieb. Während Netzwerkverkehr und Logdaten der Infrastruktur längst zentral überwacht wurden, fehlten bei den Kameras selbst Informationen darüber, wer sich eingeloggt hat oder ob Parameter verändert wurden.
Die Details
CSOC betreibt ein Security Operations Center (SOC) und überwacht rund um die Uhr IT- und OT-Infrastrukturen mittelständischer Unternehmen – von kleinen Betrieben bis zu KRITIS-relevanten Organisationen. Der eingesetzte Managed Detection and Response (MDR)-Ansatz kombiniert automatisierte Erkennung mit menschlicher Expertise. Das Grundprinzip dabei: Ohne Daten keine Analyse, je mehr Transparenz, desto besser der Schutz.
Joerg Lammerich, Geschäftsführer bei CSOC, beschreibt die bisherige Lücke konkret: „Wir konnten den Netzwerkverkehr der Kamera sehen, aber nicht, was in der Kamera passiert. Wer hat sich eingeloggt? Wurden Parameter verändert? Diese relevanten Informationen fehlten uns.“ Als Beispiel wird genannt, dass jemand die Bildwiederholrate einer Kamera verändert – die Aufzeichnung bekommt dadurch „blinde Flecken“ und wird mangelhaft. Bei einer forensischen Suche würden dann wichtige Informationen fehlen, etwa wer mit welcher Berechtigung einen Sicherheitsbereich betreten hat.
Besonders berechtigte Nutzer wie Administratoren, Wartungspersonal oder externe Dienstleister stellen laut Axis ein erhöhtes Risiko dar, da sie über tiefes technisches Wissen und weitreichende Zugriffsrechte verfügen. Ob aus böser Absicht oder durch Konfigurationsfehler – ohne Audit Logs blieben solche Änderungen oft unbemerkt.
Audit Logs sind unveränderbare, chronologische Aufzeichnungen aller sicherheitsrelevanten Aktivitäten auf einem Gerät, abgesichert durch verschlüsselte Übertragung und Signatur. Sie lassen sich durch lokale Benutzer nicht deaktivieren. Dokumentiert werden unter anderem:
- Änderungen an Konfigurationen und Parametern
- Zugriffe auf Live- oder Archivvideodaten
- Benutzer- und Rollenänderungen
- Systemereignisse und Softwareeingriffe
Axis-Kameras stellen nach Herstellerangaben detaillierte Audit Logs über drei Wege bereit: einen Ereignisstrom an VMS-Systeme für Echtzeit-Überwachung, die VAPIX Audit Log API für gezielte administrative Abfragen per HTTP/HTTPS sowie Remote-Syslog per TLS für die verschlüsselte Integration in SIEM- und Monitoring-Plattformen. Diese Daten fließen laut Unternehmen nahtlos in die bestehende SOC-Infrastruktur von CSOC ein – verschlüsselt, revisionssicher und forensisch auswertbar.
Einordnung
Videosicherheitssysteme und Zutrittskontrolle sind längst keine isolierten Systeme mehr, sondern Teile eines großen vernetzten IT-Systems – und damit ein potenzieller Angriffsvektor. Die Technologie hinter Audit Logs ist dabei nicht neu, sondern in der klassischen IT längst Standard. Neu ist ihre Anwendung im Bereich der Videosicherheit.
Gerade bei Innentätern oder indirekten Angriffen, etwa durch kompromittierte Zugangsdaten, sind Audit Logs laut Axis das entscheidende Beweismittel für Manipulationen auf Geräteebene. Sie bilden die Grundlage zur Erkennung von Bedrohungen entlang der gesamten Beweiskette – von der Kamera über die Datenübertragung bis hin zur Speicherung und Anzeige. Damit wird aus einer potenziell unsichtbaren Manipulation ein nachvollziehbarer Vorgang, der je nach Grad der Veränderung auch eine proaktive Meldung auslösen kann.
Praxis-Tipps
Aus den beschriebenen Anwendungsfällen lassen sich für Betreiber von Videosicherheitssystemen folgende Ansatzpunkte ableiten:
- Beim Ausscheiden von Mitarbeitenden sollten Zugangsdaten konsequent deaktiviert und deren etwaige weitere Nutzung über Audit Logs überwacht werden – das System kann hier automatisch Alarm schlagen.
- Veränderungen sicherheitsrelevanter Kameraparameter wie Kontrast oder Bildwiederholrate (FPS) sollten über die Leitstelle in Echtzeit gemeldet werden, um blinde Flecken in der Aufzeichnung frühzeitig zu erkennen.
- Die Integration von Kamera-Audit-Logs in bestehende SIEM- und Monitoring-Plattformen über Remote-Syslog per TLS ermöglicht eine zentrale, verschlüsselte Auswertung gemeinsam mit anderen Netzwerkdaten.
- In Kombination mit „Software Sealing“ lässt sich jede Änderung einem Nutzer, einem Zeitpunkt und einem Gerät eindeutig zuordnen – dies unterstützt auch forensische Auswertungen, die über Jahre zurückreichen können.
Ausblick
Durch Audit Logs werden Kameras bei CSOC zu dokumentierten, überwachbaren und forensisch nutzbaren Elementen der Gesamtarchitektur. Aus einer rein reaktiven Überwachung – bei der Vorfälle erst im Nachhinein erkannt wurden – entsteht so ein proaktiver Ansatz, bei dem unbekannte Firmware, verdächtige Verbindungen oder unautorisierte Konfigurationsänderungen unmittelbar sichtbar werden.
Relevanz erhält dieser Ansatz auch durch regulatorische Rahmenbedingungen: Laut Axis unterstützen Audit Logs Anforderungen aus KRITIS, NIS-2 und ISO 27001. Für Betreiber sicherheitskritischer Infrastrukturen dürfte die Nachvollziehbarkeit auf Geräteebene damit künftig nicht nur ein technisches Komfortmerkmal, sondern zunehmend auch ein Compliance-Thema werden.
