Alarmanlage (LAN)
Inhaltsverzeichnis
Beschreibung
Ich habe etwa ein Jahr in einer Firma gearbeitet, die sich mit Sicherheits- und Schließsystemen beschäftigt. Dort habe ich einige verschiedene Sicherheitssysteme repariert und auch montiert. Ich musste leider feststellen, dass einige Schwachstellen wegen einer nicht korrekten Installation oder einer fehlerhaften Konfiguration entstehen. Auch eine vorher geplante Alarmanlage in eine bestehende Elektroinstallation zu integrieren, ist in der Praxis oftmals nicht so einfach.
Eine Alarmanlage mit Bewegungsmelder oder WLAN-Nachtsichtkameras kann mit ein wenig technischen Know-how relativ einfach umgangen werden. Bei kabelgebundene Nachtsichtkameras wird es schon etwas schwieriger, jedoch auch nicht unmöglich. Eine Videoüberwachung ohne gekoppelte Alarmanlage ist mittlerweile sinnlos, da sich die Einbrecher dadurch nicht mehr abschrecken lassen (z. B. Maskierung).
Alarmanlage
(Testbetrieb - RJ45)
Hier eine Alarmanlage der Marke Eigenbau die zurzeit entwickelt wird (Version 2). Bei dieser Anlage (Version 1) wurden zuerst die Tests durchgeführt und anschließend die endgültige Elektroinstallation umgesetzt. Für den Testbetrieb reichte eine WLAN-Verbindung noch aus. Eine Videoüberwachung mit WLAN ist nicht zu empfehlen, da diese mit einem Störsender (Jammer) komplett überlagert werden kann.
Ein Problem im WLAN-Testbetrieb war, wenn das WLAN-Signal gestört wurde, war beim NVR (Network video recorder) einige Sekunden noch das Bild der IP-Kamera zu sehen (Timeout). Dadurch ist es möglich bei einer Kamera ungesehen vorbeizukommen. Eine kurze Störung im WLAN muss nicht zwingend einen Alarm auslösen bzw. wäre auf der Videoaufnahme nicht zu sehen.
In der Theorie wäre es möglich, das WLAN-Signal einer IP-Kamera abzufangen und ein Foto zu erstellen. Dieses könnte anschließend mit einem starken WLAN-Signal direkt an den NVR gesendet werden (Überlagerung).
Portweiterleitung
Mittlerweile gilt auch die Verschlüsslung des WLANs (WPA2) als nicht mehr sicher. Es besteht die Gefahr, dass die Videoüberwachung gehackt wird und andere Personen auf die eigenen IP-Kameras zugreifen. Bei jedem Netzwerkfähigen Gerät, das von außen erreicht werden kann (Portweiterleitung / DMZ), sollte die Firmware aktuell sein und nicht vergessen die Standard Passwörter zu ändern!
Bei einer Portweiterleitung kann ein Hacker mit einem selbstgeschriebenen BOT, gezielt nach Webinterfaces von Überwachungskameras suchen und anschließend die Zugangsdaten hacken (z. B. Brute-Force-Angriff).
SSH-Tunnel
In meinem Fall ist bei der Portweiterleitung nur der SSH-Port (22) offen, um Zugriff auf den Homeserver zu ermöglichen. Damit dennoch das Webinterface vom Internet aus erreicht werden kann, muss über einen SSH-Tunnel auf den NVR-Server zugegriffen werden.
Ein Hacker muss nun, nicht nur die IP-Adresse der Internetlinie kennen, sondern auch das SSH-Password kennen bzw. den SSH-Key zur Verfügung haben. Zusätzlich benötigt der potenzielle Angreifer Kenntnisse über das Intranet (nicht Internet), wie die IP-Adresse des NVR-Servers und dessen Port.
Zusätzlich muss zum Schluss wie auch bei einer Portweiterleitung das Webinterface gehackt werden.
Bei diesem Beispiel wird die IP-Adresse und der Port des NVR-Servers auf meinen Rechner mit Port 90 weitergeleitet. Der Grund dafür ist, dass der Port 80 bereits durch das TechnikWiki-Development belegt ist.
192.168.x.x:80 => 127.0.0.1:90 (127.0.0.1 = localhost)
Hier als Beispiel, wie in etwa die Passwörter des SSH-Servers und des Webinterfaces aussehen:
- SSH-Servers: pCohKsN6J9QvMepfG5iT
- Webinterface: x46HAft!r
Version 1
Diese Alarmanlage überwacht weder den Außen- sowie den "Innenbereich" der Wohnung. Es werden zwar IP-Kameras verwendet, aber diese dienen nur als Bewegungsmelder (HD-Bewegungserkennung). Es reicht vollkommen aus, wenn nur die Eingangstür, die Fenstergriffe bzw. die Einstiegsmöglichkeiten im Fokus sind. Der Vorteil daran ist, man kann sich in der Wohnung aufhalten auch wenn die Alarmanlage aktiviert ist. Die Empfindlichkeit bei der HD-Bewegungserkennung kann beim NVR konfiguriert werden. Die Fenster können deshalb auch über Nacht gekippt bleiben und die Alarmanlage löst nicht aus, wenn sich die Vorhänge wegen Zugluft minimal bewegen.
Bei einer Bewegungserkennung wird ein Foto erstellt, gespeichert und dieses anschließend über einen SMTP-Server (E-Mail) versendet. Der TW-Server (Rechenzentrum in Köln) nimmt das gesendete Bild entgegen und beginnt mit der Bilderkennung. Diese muss noch zum größten Teil umgesetzt werden (Version 2). Für die HD-Bewegungserkennung und HD-Bilderkennung ist die Ausrichtung der erstellten Fotos irrelevant. Diese könnten ebenso auf dem Kopf stehen. Bei einer fehlerhaften Erkennung wird das Foto direkt auf das Smartphone weitergeleitet und zusätzlich auf dem TW-Server gespeichert. Die Daten können dadurch von den Einbrechern nicht gelöscht, gestohlen oder vernichtet werden.
Der TW-Server überprüft zusätzlich alle 60 Sekunden die Verbindung zum Webinterface der Alarmanlage. Für die Überprüfung würde ein einfacher PHP-Skript (CURL) programmiert. Er kontrolliert nicht nur die Verfügbarkeit des NVRs (PING), sondern liest zusätzlich einige Parameter vom Webinterface aus. Ansonsten besteht die Möglichkeit den Router zu hacken und die Portweiterleitung zu manipulieren. Die IP-Adresse vom NVR könnte auf die des Homeservers zugeordnet werden, somit würde der Homeserver und nicht mehr der NVR antworten.
Bei einem Ausfall der Internetlinie löst der stille Alarm ebenso nach spätestens 60 Sekunden aus (Cronjob).
Version 2
|
Diese Konstruktion befindet sich zurzeit in der Entwicklungsphase. |
(IMAP-Server)
Da PHP bereits eine IMAP Bibliothek besitzt, kann problemlos mit dem IMAP-Server (TW-Server) kommuniziert werden. Die Alarmbilder die sich im Anhang des E-Mails befinden werden automatisch von diesem Skript heruntergeladen und auf dem Filesystem des Servers für die Bilderkennung abgelegt.
- Die Deaktivierung der Alarmanlage soll nur mit dem Homeserver (Raspberry) möglich sein.
- Die Alarmanlage soll mit Hilfe der Bilderkennung auch Haustiere unterscheiden können. Dadurch ist es möglich das Haus mit aktivierter Alarmanlage zu verlassen und die Haustiere können die Wohnung wie gewohnt z. B. durch die Haustierklappe betreten oder auch verlassen.
Network video recorder (NVR)
Auf dem Network video recorder (NVR) läuft ein Linux Betriebssystem. Er besitzt zusätzlich eine HDD von 1TB und somit wäre es möglich alle Kameras über Tage hinweg aufzuzeichnen. Die Einstellungen sind sehr vielfältig und beziehen sich meist auf eine IP-Kamera (Überwachungszeit, Aufzeichnung, Empfindlichkeit der HD-Bewegungserkennung usw.). Die IP-Kameras sind bereits beim NVR vorkonfiguriert. Die dazugehörige APP für die mobilen Geräte ist leider für die Mülltonne, ansonsten kann sich das Gerät für diesen Preis sehen lassen.
Er ist sehr einfach zu bedienen und zu konfigurieren, jedoch minimale Netzwerkkenntnisse sind von Vorteil. Wem die Begriffe Portweiterleitung, SMTP-Server, DHCP-Server und DNS-Server kein Fremdwort sind, hat keine Probleme diese Überwachungsanlage abgesichert ins Netz zu stellen. Vor der Inbetriebnahme nicht vergessen die Firmware zu aktualisieren und die werkseitig gesetzten Passwörter zu ändern. In diesem Fall ist kein Passwort gesetzt!
Zusätzlich existiert die Möglichkeit eine dynamische DNS einzurichten. Diese Funktionalität wird hier nicht benötigt, da diese Aufgabe der Homeserver übernimmt (Dynamisches DNS).
Das Netzwerk der Wohnung und der Alarmanlage ist jeweils mit ein eigenen Switch getrennt. Diese sind natürlich untereinander verbunden, somit wird keine Bandbreite im Netzwerk (Wohnung) von den IP-Kameras beansprucht.
NVR / HDMI
(Testbetrieb)
Überwachungszeit
(Webinterface)
IP-Kameras
Der Datentransfer von einer IP-Kamera beträgt etwa 125 MB/h. Die gesamte Alarmanlage mit den 4 IP-Kameras hat somit einen Datentransfer von 500 MB/h. Dies ist einer der Gründe warum auf das WLAN verzichtet wurde (Strahlung) und nicht nur wegen der Sicherheit (WPA2).
Bei allen IP-Kameras wurde die interne Kabelverbindung zwischen der Hauptplatine und der WLAN-Platine durchtrennt und der Antennenanschluss entfernt. Dies ist eine zusätzliche Sicherheit, ansonsten wäre es möglich beim Antennenanschluss eine hohe Spannung direkt in die Kamera zu leiten und diese zu zerstören.
Die Schutzart wie in diesen Fall (IP66) sollte trotzdem immer beibehalten werden, auch wenn die Kameras im Innenbereich montiert sind. Auch dies ist eine zusätzliche Sicherheit, ansonsten wäre es möglich das Innenleben der Kamera mit einer leitenden Flüssigkeit zu füllen und dies hätte einen Kurzschluss zur Folge. Der Besitzer könnte an einem technischen Defekt glauben und der Einbruch findet in den nächsten Tage statt, da die Kamera(s) defekt sind.
Bei diesem Alarmsystem ist es nicht möglich von außen an die Kameras zu gelangen, ohne den Alarm auszulösen. Auch eine Blendung mit einem IR-Scheinwerfer oder das Durchtrennen der Kabel lösen den Alarm sofort aus. Diese Kameras kann man nicht ohne sie zu Bewegen (Alarm) manipulieren.
WLAN-Antenne
WLAN-Platine
WLAN-Anschluss
Antennenanschluss
Antennenanschluss
Installation
Es wurde bewusst auf Power over Ethernet (PoE) verzichtet. Dadurch ist bei jeder installierten Kamera eine zusätzliche Leistung von etwas mehr als 100 Watt für Erweiterungen verfügbar. Der Versorgungskabel hat einen Querschnitt von 1,5mm² und somit kann er mit einer Stromstärke von 10 Ampere belastet werden (12V * 10A = 120W).
Die Kameras sind so ausgerichtet, dass sie keinen öffentlichen Bereich überwachen (Fehlalarm). Dies wäre bei Nacht sowieso nicht möglich, da eine Infrarot-Nachtsichtkamera mit aktivierten IR-Scheinwerfer nicht durch das Fensterglas blicken kann.
Komponenten
Hauptverteiler
Hauptverteiler
Hauptverteiler
Netzwerkdose
Verdrahtung
Verdrahtung
USV Stromversorgung
USV Stromversorgung
Netzwerk
Netzwerk
Netzwerk
Switch / NVR
Switch / NVR
Netzteil / NVR
Inspektionskamera
Blinddose
Unterverteiler
Hauptverteiler
Schlüsselschalter
Kamera 1 (Wohnzimmer)
Diese IP-Kamera überwacht die Einstiegsmöglichkeiten im Wohnzimmer. Dort befindet sich eine Terrassentür und ein Fenster (Südseite - Privatgrundstück).
Hauptverteiler
Blinddose
Kabelverlegung
Montage
IP-Kamera
Ausrichtung
Vorhang / IP-Kamera
Vorhang / IP-Kamera
Tagsicht
Nachtsicht
Kamera 2 (Arbeitszimmer)
Diese IP-Kamera überwacht die Einstiegsmöglichkeiten im Arbeitszimmer. Dort befindet sich ein Fenster und eine Terrassentür (Südseite - Privatgrundstück).
Hauptverteiler
Ausrichtung
Kabelverlegung
Kabelverlegung
Montage
Ausrichtung
Vorhang / IP-Kamera
Vorhang / IP-Kamera
Tagsicht
Nachtsicht
Kamera 3
|
Diese Seite oder dieser Abschnitt befindet sich zurzeit in Bearbeitung. |
Kamera 4
|
|
Diese Seite oder dieser Abschnitt befindet sich zurzeit in Bearbeitung. |
Stromversorgung
Überspannungsschutz
Die beste Alarmanlage wird ohne Stromversorgung natürlich nicht funktionieren. Deshalb ist das wichtigste, dass die gesamte Anlage eine eigene unabhängige Stromversorgung (USV - Unterbrechungsfreie Stromversorgung) besitzt (USV-Notstrom).
In einem Mehrparteienhaus haben mehrere Personen Zugriff auf den Hauptverteiler und die darin enthaltenen Hauptsicherungen der einzelnen Wohnungen. In Italien ist in der Regel der Schaltschrank nicht verschlossen, da des Öfteren der Begrenzer (Anschlussleistung: 3,3 kW / Wechselstrom: 230 V) auslöst.
Im Unterverteiler der Wohnung muss sich ein Überspannungsschutz und ein RCD-Schutzschalter befinden. Bei einer Überspannung wird somit die gesamte Wohnung vom Verbundnetz getrennt. Eine Wiederherstellung der Stromversorgung ist dadurch nur in der Wohnung möglich (Sicherheit). Ein USV-Gerät hat zusätzlich einen Überspannungsschutz integriert. Ebenso beim allgemeinen Netzteil (230 V - 12 V) für die IP-Kameras (ansonsten 4 separate Steckernetzteile) ist ein Überspannungsschutz vorhanden. Eine Zerstörung durch Überspannung z. B durch einen indirekten Blitzschlag oder einer Manipulation ist somit ausgeschlossen.
Die potenziellen Einbrecher können mit minimalen Elektrokenntnissen den Neutralleiter unterbrechen und diesen mit der Phase verbinden. Dadurch wird eine Spannung von 400 Volt (L1 / L2) anstatt die 230 Volt (N / L1) direkt in die Wohnung geleitet. Ohne einen Überspannungsschutz, der die Überspannung in die Erde leitet (Fehlerstrom) und somit den RCD-Schutzschalter auslöst, können unter anderem alle empfindlichen Geräte (IP-Kamera, Switch, Router, Steckernetzteile usw.) zerstört werden.
Ein Überspannungsschutz (Blitzschutz) sollte heutzutage in jeder Wohnung installiert sein, da bereits der Kühlschrank oder auch die Waschmaschine eine relativ empfindliche Elektronik (Platinen) besitzt. Dies gilt auch für die allgemeine Stromversorgung in einem Mehrparteienhaus. Dadurch ist es egal ob der Überspannungsschutz wegen eines Blitzschlages, Spannungsschwankungen (Stromausfälle) oder einer Manipulation auslöst.
Überspannungsschutz
(Drehstrom)
RCD-Schutzschalter
(Drehstrom)
USV-Notstrom
(2 x 300 VA)
Netzteil - 60 Watt
(12 V / 5 A)
LAN / WLAN
(Netzwerk)
Strahlung
(WLAN-Deaktivierung)
Bis heute konnte leider noch nicht bewiesen werden, ob diese Art von Strahlung gefährlich ist oder nicht. Ich persönlich bin kein großer Fan eines WLANs. Die IP-Kameras mit integrierten WLAN senden logischerweise permanent Datenpakete, deswegen wurde es hardwaremäßig deaktiviert. Das WLAN wird nur für den Datenaustausch zum Smartphone verwendet. So entsteht ein monatlicher Datentransfer von etwa 500 Megabyte (MB). Das Smartphone dient ebenso als Wecker und in der Nacht wird der Flugmodus aktiviert.
Um die Strahlung gering zu halten ist in jedem Raum (ausgenommen Badezimmer) ein Netzwerkanschluss (RJ45) vorhanden. Der summierte Datentransfer über die LAN-Kabel beträgt etwa 1.000 Gigabyte (GB) pro Monat (z. B. automatisiertes Backupsystem).
Netzwerkkabel
Netzwerkkabel
Hotspot / Switch
Netzwerkdose
Netzwerkdose
Fehlalarm
Das wichtigste bei dieser Alarmanlage ist die Ausrichtung der einzelnen IP-Kameras. Diese dürfen (Datenschutz) und sollen auch nicht öffentliche Bereiche erfassen. Dies hätte bei jeglicher Bewegung einen Fehlalarm zur Folge.
Bei häufigen Fehlalarmen wird meist die Alarmanlage nicht mehr aktiviert. Die beste Anlage ist nutzlos, wenn sie abgeschaltet bleibt.
Datenschutz
Niemand sollte überstürzt handeln und ein Überwachungssystem in Betrieb nehmen, ohne sich zuvor mit dem Datenschutz befasst zu haben. Aus datenschutzrechtlicher Sicht gilt das Themengebiet Videoüberwachung als anspruchsvoll, es existieren zahlreiche Auflagen und Einschränkungen. Bleiben diese unberücksichtigt, drohen Datenschutzverstöße, welche die zuständige Aufsichtsbehörde mit einem hohen Bußgeld ahndet.
Der Einsatz von Videosystemen zur Überwachung von öffentlichen Bereichen sowie in Unternehmen ist nicht ohne weiteres gestattet. Die wesentlichen Rechtsvorschriften gehen aus der Datenschutz-Grundverordnung (DSGVO) hervor. Auch wenn ein Warnschild „ACHTUNG VIDEOÜBERWACHUNG“ angebracht ist, gilt dies nicht als Genehmigung für private Personen allgemeine zugängliche Bereiche zu überwachen.
Tipps
Eingangstür
Eine Eingangstür mit einem mechanischen Aufbohrschutz bietet eine zusätzliche Sicherheit, denn dadurch lässt sich das Türschloss nicht ohne weiteres aufbohren.
Fahrzeug
Bei Fahrzeugen kommt oftmals ein Jammer zum Einsatz. Dieser überlagert das Signal vom Autoschlüssel zur Zentralverriegelung und das Fahrzeug wird nicht verriegelt. Bei vielen Fahrzeugmodellen leuchtet die Warnblinkanlage nur auf, wenn die Zentralverriegelung das Fahrzeug korrekt verschlossen hat.
Ob eine Alarmanlage im Fahrzeug vorhanden ist und diese auch funktioniert, kann man mit einem simplen Trick feststellen. Einfach sich im Auto einschließen und die Motorhaube öffnen.
Fenster
Die Fenster mit einer Pilzkopfverriegelung sind zwar teurer aber lassen sich sehr schwer oder gar nicht aushebeln. Ein Profi kann ein Fenster ohne Pilzkopfverriegelung mit einer Brechstange oder mit einem großen Schraubenzieher in wenigen Sekunden nahezu lautlos öffnen.
Hausbau
Beim Bau der eigenen vier Wände sollten einige Fotos der verschiedenen Installationen erstellt werden. Diese können im Nachhinein sehr nützlich sein. Bei einer Montage wie z. B. der Küche können sich die Monteure zusätzlich absichern, dass keine Elektro- oder Wasserleitungen angebohrt werden. Auch bei einer Erweiterung der Elektroinstallation (z. B. Steckdose) kann der Elektriker die PVC-Rohre leichter finden, da ein Ortungsgerät nur bei Leitungen, die unter Spannung stehen funktioniert. In vielen Ländern ist es üblich, dass die Kabel direkt Unterputz verlegt werden. Eine Erweiterung der Elektroinstallation ist dadurch sehr aufwändig und kostspielig.
Zusätzlich sollte man sich von vorne herein einige PVC-Leerrohre, Abzweigdosen und Blinddosen montieren lassen. Die drahtlose Stromversorgung wird es in naher Zukunft nicht geben.
Kabelbinder
Bis die Elektroinstallation (Verkabelung) abgeschlossen ist, sollten wiederverschließbare Kabelbinder verwendet werden. Ein Isolierband ist dazu nicht geeignet, denn wird es nach längerer Zeit wieder entfernt, so kleben die Kabel.
Lärm
In einem bewohnten Gebiet kann auch eine gewisse Geräuschkulisse die Einbrecher abschrecken. Das Aufbohren eines Türschlosses oder einschlagen eines Fensters kann die Aufmerksamkeit anderer Personen auf sich ziehen.
Deshalb sollte man auch die Rollläden schließen. Diese stellen zwar kein Hindernis dar, aber sind nicht lautlos zu überwinden. Die Rollläden sollen sich im Notfall mit Gewalt öffnen lassen, denn sie können als Fluchtweg dienen.
Eine kostenlose Möglichkeit ist, das Fensterbrett mit Dekorationsartikel z. B. aus Glas zu verschönern. Die Fenster können immer noch gekippt werden jedoch von außen nicht ohne zusätzlichen Lärm aufgebrochen werden.
Aufbohrschutz
Autoschlüssel
Pilzkopfverriegelung
Pilzkopfverriegelung
Wasserrohre
Abzweigdose
PVC Wellschläuche
PVC Wellschläuche
Ortungsgerät
Kabelbinder
Fazit
Als erstes nach dem Einzug wurde der Überspannungsschutz installiert und anschließend die Unterbrechungsfreie Stromversorgung (USV). Die restliche Hardware (NVR, IP-Kameras, Netzwerkkabel, Crimpstecker usw.) kostete etwa 350 Euro.
Eine Alarmanlage kann nur als sicher bezeichnet werden, wenn ein Techniker mit den Installationsplänen, sie selbst nicht umgehen kann.
Bei dieser Anlage gibt es nur den Weg direkt durch den Boden oder durch die Decke (Stahlbeton). Ebenso ein Durchbruch durch die Seitenmauern wäre möglich, wird aber eine elektrische Leitung beschädigt (Kurz- oder Erdschluss), übernimmt die sekundäre Stromversorgung und es wird ebenso eine Mitteilung versendet. Dies gilt auch, wenn die Alarmanlage aktiviert oder deaktiviert wird.
