Ein UniFi-Controller ist der Generalschlüssel zum Firmennetz: Wer ihn übernimmt, kann WLANs anlegen, VLANs umbiegen, Firewall-Regeln entschärfen und Datenverkehr umleiten. Trotzdem hängt er in vielen Installationen mit weitergeleitetem Port am Internet, verwaltet von einem einzigen Konto ohne zweiten Faktor. Dieser Ratgeber zeigt, woran UniFi Controller Sicherheit in der Praxis hängt – Konto, Ports, Fernzugriff, Rollen, Updates – und was die eingebauten Schutzfunktionen leisten und was nicht.

Erst die Angriffsfläche verstehen

Bevor man Regeln schreibt, lohnt der nüchterne Blick darauf, worüber ein Controller überhaupt angreifbar ist. Es sind im Wesentlichen vier Wege:

  • Das UI-Konto – der Login, mit dem du dich an der Konsole oder am Site Manager anmeldest.
  • Die Weboberfläche – erreichbar über das Netz, oft per Port-Forwarding auch aus dem Internet.
  • Die Geräte-Kommunikation – der Kanal, über den Access Points und Switches ihren Status melden.
  • Der Host selbst – Betriebssystem, SSH-Zugang und die darunterliegende Infrastruktur bei selbst gehosteten Installationen.

Jeder dieser Wege braucht eine eigene Antwort. Ein starkes Passwort deckt genau einen davon ab.

1. Das UI-Konto absichern: MFA ist inzwischen Pflicht

Ubiquiti hat die Entscheidung an dieser Stelle abgenommen: Seit dem 22. Juli 2024 müssen alle Nutzer Multi-Faktor-Authentifizierung (MFA) für ihr UI-Konto aktivieren. Konten, für die bis dahin kein anderes Verfahren eingerichtet war, haben automatisch die E-Mail-Authentifizierung erhalten – die Bestätigungsanfragen gehen dann an die hinterlegte Hauptadresse.

E-Mail als zweiter Faktor ist besser als nichts, aber der schwächste der angebotenen Wege: Wer das Postfach kompromittiert, hat beide Faktoren. Eingerichtet und gewechselt wird MFA unter account.ui.com im Bereich My Security.

Diese Verfahren stehen zur Wahl

  • UI Verify App (iOS/Android) – von Ubiquiti empfohlen, Bestätigung per Klick auf dem Mobilgerät.
  • Authenticator-Apps von Drittanbietern – etwa Google Authenticator, Microsoft Authenticator oder Authy.
  • E-Mail-Authentifizierung – der Fallback, der automatisch greift.
  • Backup-Recovery-Codes – für den Fall, dass das Gerät weg ist.

Der Punkt, den viele übersehen

Ubiquiti kann die Multi-Faktor-Authentifizierung nicht zurücksetzen. Wer den Zugriff auf sämtliche hinterlegten Verfahren verliert, muss ein neues Konto anlegen. Für Firmennetze heißt das konkret: Recovery-Codes ausdrucken oder in den Passwort-Manager legen, mindestens zwei Verfahren hinterlegen und niemals ein einziges privates Handy zum Single Point of Failure für die Netzverwaltung machen.

2. Nur die Ports öffnen, die wirklich gebraucht werden

Viele Installationen sind großzügiger freigeschaltet als nötig – meist, weil die Adoption einmal nicht funktioniert hat und dann pauschal Ports aufgemacht wurden. Für einen selbst gehosteten UniFi Network Server nennt Ubiquiti diese lokal freizugebenden Ports:

PortProtokollWofür
8080TCPKommunikation zwischen Geräten und Anwendung („Inform“) – ohne diesen Port keine Adoption
8443TCPWeboberfläche und API der Network-Anwendung
8843TCPGäste-Portal über HTTPS
3478UDPSTUN – hält die Verbindung zwischen Geräten und Anwendung offen
10001UDPGeräteerkennung (Discovery)

Entscheidend ist die Unterscheidung zwischen lokaler Firewall und Internet. Auf dem Host müssen diese Ports erreichbar sein. Aus dem öffentlichen Internet muss davon im Regelfall keiner frei zugänglich sein – mit einer Ausnahme: Melden sich Geräte über eine Layer-3-Adoption von außen an, brauchen sie den Weg zu Port 8080. Und selbst dann gilt: eingehend auf die bekannten Quell-IPs der Standorte beschränken, statt die halbe Welt zuzulassen.

Die Weboberfläche auf 8443 gehört dagegen unter keinen Umständen offen ins Internet. Dafür gibt es bessere Wege.

3. Fernzugriff: VPN oder Site Manager statt Port-Forwarding

Ubiquiti stellt die beiden Optionen in der eigenen Dokumentation direkt gegenüber. Bei einem VPN müssen sich Clients erst authentifizieren, der Datenverkehr ist verschlüsselt und das interne Netz bleibt nach außen unsichtbar. Beim Port-Forwarding liegt die gesamte Sicherheitsverantwortung auf dem freigegebenen Dienst, und der Verkehr ist nicht automatisch verschlüsselt.

Für die reine Verwaltung ist der bequemere Weg ohnehin der UniFi Site Manager unter unifi.ui.com: Remote Management ist bei der Einrichtung standardmäßig aktiv und lässt sich unter Settings > Control Plane > Console ein- und ausschalten. Damit brauchst du für den Admin-Zugriff überhaupt keine eingehende Freigabe an der Firewall. Wie das im Detail aussieht, steht im Ratgeber zum UniFi Fernzugriff.

Eine bewusste Entscheidung ist die Funktion Direct Remote Connection: Sie beschleunigt Remote-Verbindungen, setzt aber ein UniFi-Gateway mit öffentlicher IP voraus, bei dem TCP-Port 443 nicht schon durch eine Port-Weiterleitung belegt ist. Wer sie nicht braucht, lässt sie aus.

4. Admin-Rollen sauber trennen

In vielen kleineren Umgebungen arbeiten alle Beteiligten mit demselben Konto und vollen Rechten. Das ist bequem – und macht jede Nachvollziehbarkeit unmöglich. UniFi unterscheidet klar zwischen dem Owner, also dem Konto, das die Konsole ursprünglich eingerichtet hat und die höchste Zugriffsstufe besitzt, und weiteren Admins, die über den Site Manager oder direkt über die lokale Oberfläche zugreifen.

Ein Super Admin hat vollen administrativen Zugriff auf eine Site und darf unter anderem Backups einspielen und SSH konfigurieren – einzelne Funktionen in UniFi OS und in der Mobile App bleiben dem Owner vorbehalten. Aus Sicherheitssicht ist ein Super Admin praktisch einem Owner gleichzusetzen; die Rolle sollte also sparsam vergeben werden.

Drei Regeln, die sich in der Praxis bewähren:

  • Jede Person bekommt ihr eigenes UI-Konto – keine geteilten Logins.
  • Admins nur den Sites zuordnen, für die sie zuständig sind.
  • Dienstleister und Aushilfen bekommen eine eingeschränkte Rolle, keinen Super Admin. Und: Zugänge beim Ausscheiden sofort entfernen.

5. SSH: standardmäßig geschlossen lassen

Hier gibt es einen Unterschied, der regelmäßig für Verwirrung sorgt: UniFi-OS-Konsolen haben SSH standardmäßig deaktiviert (aktivierbar unter UniFi OS > Console Settings > SSH), während UniFi-Netzwerkgeräte SSH standardmäßig aktiviert haben. Die Zugangsdaten dafür findest du unter UniFi Network > Settings > Advanced > Device Authentication. Beide Einstellungen sind unabhängig voneinander.

Ubiquiti selbst empfiehlt SSH nur, wenn der Support es im Rahmen einer Fehlersuche anweist – unbedachte Änderungen können die Performance beeinträchtigen oder das Deployment beschädigen. Praktische Konsequenz: Konsolen-SSH aus lassen, das Geräte-Passwort in Device Authentication auf einen zufälligen Wert setzen und im Passwort-Manager ablegen, und SSH niemals aus dem Internet erreichbar machen.

6. IDS/IPS und die Sache mit DDoS

UniFi bringt am Gateway eine Angriffserkennung mit. Ein IDS (Intrusion Detection System) überwacht den Datenverkehr auf verdächtige Aktivitäten und alarmiert, ein IPS (Intrusion Prevention System) blockiert zusätzlich aktiv. Erkannt wird anhand von Signaturen, per Deep Packet Inspection. In aktuellen Versionen wird die Funktion unter Settings > CyberSecure > Protection über Intrusion Prevention eingeschaltet; wählbar sind „Detect Only“ (nur melden) und „Detect and Block“ – dabei wird die Quelle einer erkannten Bedrohung für 300 Sekunden blockiert.

Zwei Dinge sollte man dazu wissen. Erstens: Falschmeldungen lassen sich gezielt entschärfen, indem Signaturen in die Signature Suppression aufgenommen oder Quell-IPs auf die Security Detection Allow List gesetzt werden. Zweitens – und das ist die ehrlichere Botschaft: Ein IPS ist keine DDoS-Abwehr. Signaturbasierte Erkennung hilft gegen Exploits und bekannte Angriffsmuster. Ein volumetrischer Angriff dagegen sättigt die Internetleitung, bevor irgendein Paket das Gateway erreicht – gegen den kann ein Gerät hinter dieser Leitung prinzipiell nichts ausrichten. Volumetrische Angriffe müssen upstream abgefangen werden, also beim Provider oder im Rechenzentrum.

Genau das ist ein struktureller Vorteil, wenn der Controller nicht im Büro, sondern im Rechenzentrum steht: Er hängt dann nicht am selben Anschluss wie das Tagesgeschäft. Fällt die Büroleitung aus, bleibt die Verwaltungsebene erreichbar – und umgekehrt.

7. Updates und Backups sind Teil der Sicherheit

Zwei unspektakuläre Punkte, die im Ernstfall den Unterschied machen. Updates schließen bekannte Lücken, und zwar sowohl in der Network-Anwendung als auch in der Firmware der Geräte – ein Controller, der seit zwei Jahren nicht aktualisiert wurde, ist unabhängig von allen Firewall-Regeln ein Risiko. Und ein geprüftes Backup ist die einzige Antwort, die auch dann noch funktioniert, wenn etwas wirklich schiefgeht. Wie Sicherung und Wiederherstellung in UniFi funktionieren, beschreibt der Ratgeber zum UniFi Controller Backup. Wichtig ist der Test: Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung, kein Plan.

Kurzcheck: die wichtigsten Punkte

  • MFA am UI-Konto aktiv, möglichst per App statt E-Mail – Recovery-Codes sicher hinterlegt.
  • Jede Person hat ein eigenes Konto; Super-Admin-Rechte nur, wo sie gebraucht werden.
  • Keine Weboberfläche im Internet – Fernzugriff über Site Manager oder VPN.
  • Eingehende Freigaben auf das Nötige beschränken und, wo möglich, auf bekannte Quell-IPs.
  • SSH auf der Konsole aus; Geräte-Passwort zufällig und dokumentiert.
  • Updates regelmäßig einspielen, Backups regelmäßig testen.

Fazit

Die meisten Sicherheitsprobleme rund um UniFi entstehen nicht durch exotische Schwachstellen, sondern durch drei alte Bekannte: ein Konto ohne zweiten Faktor, eine offen ins Internet gestellte Verwaltungsoberfläche und Updates, die niemand einspielt. Alle drei sind mit Bordmitteln lösbar – man muss es nur einmal sauber machen und danach dranbleiben.

Genau dieses Dranbleiben nehmen wir dir ab: Beim gemanagten UniFi Cloud Controller von clevendo läuft die Verwaltungsebene in einem deutschen Rechenzentrum, getrennt vom Büroanschluss, mit gepflegten Updates und regelmäßigen Backups – ohne dass du dafür einen einzigen Port in deiner Firewall öffnen musst. Sprich uns an, wenn du deine Installation absichern oder verlagern willst.

Häufige Fragen

Ist MFA für UniFi verpflichtend?

Ja. Seit dem 22. Juli 2024 müssen alle Nutzer Multi-Faktor-Authentifizierung für ihr UI-Konto aktivieren. Konten ohne eingerichtetes Verfahren haben automatisch die E-Mail-Authentifizierung erhalten. Empfehlenswert ist stattdessen eine Authenticator-App.

Was passiert, wenn ich meinen zweiten Faktor verliere?

Ubiquiti kann MFA nicht zurücksetzen. Wenn du den Zugriff auf alle hinterlegten Verfahren verlierst, musst du ein neues Konto anlegen. Deshalb: Backup-Recovery-Codes sicher aufbewahren und mindestens ein zweites Verfahren hinterlegen.

Muss ich Port 8443 aus dem Internet erreichbar machen?

Nein. Für den Admin-Zugriff von unterwegs reichen der UniFi Site Manager oder ein VPN – beides kommt ohne eingehende Freigabe der Weboberfläche aus. Port-Forwarding auf die Verwaltungsoberfläche ist der riskanteste der möglichen Wege.

Schützt UniFi IDS/IPS vor DDoS-Angriffen?

Nicht wirklich. IDS/IPS erkennt Bedrohungen anhand von Signaturen und kann Quellen blockieren – bei „Detect and Block“ für 300 Sekunden. Ein volumetrischer DDoS-Angriff sättigt aber die Internetleitung, bevor das Gateway überhaupt eingreifen kann. Solche Angriffe müssen upstream beim Provider oder im Rechenzentrum abgefangen werden.

Sollte ich SSH auf meinen UniFi-Geräten deaktivieren?

Auf UniFi-OS-Konsolen ist SSH standardmäßig aus – lass es aus, solange du es nicht brauchst. Auf UniFi-Netzwerkgeräten ist SSH dagegen standardmäßig aktiv; setze dort unter Settings > Advanced > Device Authentication ein starkes, zufälliges Passwort. Ubiquiti empfiehlt SSH ohnehin nur für die Fehlersuche mit dem Support.

Reicht ein sicheres Passwort nicht aus?

Nein. Ein Passwort schützt genau einen der vier Angriffswege – das Konto. Offene Ports, veraltete Software und zu weit vergebene Admin-Rechte bleiben davon unberührt. Sicherheit entsteht erst aus der Kombination.