Cybersecurity voor je IP-camera netwerk: Hoe voorkom je dat je bespied wordt?

Joost van Leeuwen

Woontechnologie Ingenieur

Een IP-camera die je eigenlijk niet in de gaten hebt? Dat is de nachtmerrie van elke high-end woningbezitter.

Je hebt geïnvesteerd in een prachtig KNX-systeem, misschien een Crestron of Control4 hub en een perfecte home cinema. Je beveiliging hoort daar naadloos op aan te sluiten. Maar als die camera's niet goed beveiligd zijn, kijkt er een vreemde met je mee.

Dat voelt niet alleen smerig, het is een directe aanval op je privacy en veiligheid. Laten we dat voorkomen. Samen.

Wat je nodig hebt voordat we beginnen

Voordat je inlogt op je camera of recorder, zorg je dat je de juiste tools en kennis bij de hand hebt. Dit is geen rocket science, maar het zijn de basisprincipes van elke netwerkbeveiliging, specifiek voor jouw high-end setup.

• Toegang: De inloggegevens van je router (meestal achterop) en je IP-camera of Network Video Recorder (NVR). Weet je het wachtwoord niet meer? Reset de fabrieksinstellingen.
• Apparatuur: Een laptop of tablet met een moderne webbrowser (Chrome, Firefox, Safari).
• Tijd: Reken op een uurtje voor de eerste keer. De volgende camera's gaan veel sneller.
• Network Knowledge: Een basiskennis van je netwerk. Weet je hoe je je router instellingen inkomt? Als je een Control4 of Crestron installateur hebt, overleg dan even met hem/haar. Zij hebben vaak al VLAN's of specifieke netwerksegmenten ingericht.

Stap 1: Verander die fabriekswachtwoorden. Nu meteen.

Elke camera, elke NVR, elke router wordt geleverd met een standaard wachtwoord. 'admin', '12345', 'password'.

Dit zijn de eerste deuren die hackers proberen. Ze hebben lijsten met deze combinaties en proberen die constant op het internet.

Je doel is om unieke, sterke wachtwoorden in te stellen voor elk apparaat. Denk aan een mix van hoofdletters, cijfers en symbolen, minimaal 12 tekens lang. Gebruik geen adressen of namen van gezinsleden. Start met je camera of NVR.

Log in via de webinterface of app. Zoek naar 'System', 'User Management' of 'Gebruikersbeheer'.

Verander het standaard 'admin' wachtwoord naar iets unieks. Doe dit ook voor eventuele andere gebruikersprofielen.

Veelgemaakte fout: Alleen het wachtwoord van de camera veranderen, maar die van de recorder (NVR) en de router hetzelfde laten. Behandel elk apparaat als een apart fort. Gebruik een wachtwoordmanager om je wachtwoorden bij te houden.

Stap 2: Maak een apart netwerk (VLAN) voor je camera's

Dit is het allerbelangrijkste voor een high-end installatie. Je wilt niet dat je camera zomaar kan praten met je persoonlijke laptop, je Crestron processor of je domotica systeem. Als een camera gehackt wordt, mag de hacker niet verder komen dan die camera.

Een VLAN (Virtual Local Area Network) scheidt je netwerk. Je maakt een 'eilandje' voor je beveiliging.

1. Log in op je router of managed switch.
2. Maak een nieuw VLAN aan, bijvoorbeeld VLAN 20.
3. Geef dit VLAN een eigen IP-range, bijvoorbeeld 192.168.20.x.
4. Wijs de poorten waar je camera's op aangesloten zijn toe aan dit VLAN.
5. Belangrijkste stap: Zet een firewall-regel die het verkeer vanuit het camera-VLAN naar je hoofdnetwerk (waar je computer en domotica zitten) blokkeert. Alleen je NVR of de benodigde apparaten (zoals je Control4 hub als die de camera's uitleest) mogen dit.

Dit vereist een router die VLAN's ondersteunt, zoals Ubiquiti, TP-Link Omada, of de high-end routers die vaak bij KNX/Crestron installaties horen. Een goed managed switch kost tussen de €80 en €250. De tijd investering is een uur, maar de veiligheidswinst is enorm.

Veelgemaakte fout: Een 'Guest Network' gebruiken en denken dat dat hetzelfde is als een VLAN. Een guest network is vaak alleen gescheiden op WiFi-niveau, maar zit nog steeds op hetzelfde netwerksegment. Vraag je installateur naar een 'professioneel VLAN'.

Stap 3: De poorten dicht, behalve de juiste

Je router heeft standaard veel poorten openstaan. Dit noem je 'poorten open zetten' (port forwarding).

Je camera heeft dit eigenlijk niet nodig voor de basis. Gebruik je de camera-app op je telefoon als je thuis bent?

Dan werkt dat via je lokale netwerk. Gebruik je de app onderweg? Dan is de veiligste optie een VPN-verbinding (Virtual Private Network) naar je eigen netwerk. Dit is de gouden standaard voor high-end systemen.

Je 'tunnelt' dan veilig je telefoon naar binnen, alsof je thuis bent.

Veel fabrikanten bieden een cloud-dienst aan. Handig, maar een extra risico. Wil je dit gebruiken?

Zorg dan dat je tweestapsverificatie (2FA) inschakelt. Bijvoorbeeld via de Reolink, Hikvision of Dahua app.

Check je router. Ga naar 'Port Forwarding' of 'NAT'.

Verwijder alle regels die specifiek naar je camera's verwijzen, tenzij je een specifieke reden hebt en op de hoogte bent van de juridische regels voor camerabewaking rondom je eigen perceel.

Veelgemaakte fout: Zomaar poorten openzetten ('Port Forwarding') naar je camera om hem via internet te benaderen. Dit is als een gat in je muur maken met een bordje 'hallo hacker, hier ben ik'. Gebruik een VPN of een veilige cloud-dienst met 2FA.

Stap 4: Firmware updaten en onnodige diensten uitzetten

Software heeft fouten. Fabrikanten brengen updates uit om deze te repareren.

Als je een camera van een paar jaar oud is, loop je risico. Log in op je camera of NVR en check de firmware versie.

Je vindt dit meestal onder 'System Information' of 'About'. Ga naar de website van de fabrikant (bijvoorbeeld Axis, Bosch, of een merk als Ubiquiti) en zoek de nieuwste firmware voor jouw model. Download het bestand en upload het via de webinterface. Schakel ook onnodige diensten uit.

• UPnP (Universal Plug and Play): Zet dit uit op je camera en je router. Dit is een open deur voor malware.
• SSH/Telnet: Tenzij je een IT'er bent die deze commando's nodig heeft, zet deze uit.
• Onbekande gebruikers: Verwijder alle standaard of onbekende accounts.

Updates duren 5 tot 15 minuten per apparaat. Doe dit bij voorkeur als je thuis bent en niet afhankelijk bent van de camera's.

Veelgemaakte fout: De automatische update functie aanzetten. Soms brengt een update nieuwe bugs. Check zelf de release notes en update handmatig na een paar dagen als er geen problemen gemeld worden.

Stap 5: Verificatie-checklist: Is je netwerk waterdicht?

Check je werk. Ga deze lijst af.

• Wachtwoorden: Is het standaard wachtwoord van elke camera, NVR en router veranderd?
• VLAN: Zitten mijn camera's op een apart netwerk (VLAN) en kunnen ze niet bij mijn persoonlijke data?
• Firewall: Blokkeert mijn router onnodig verkeer van en naar de camera's?
• Updates: Draaien de nieuwste firmware versies?
• Cloud: Is tweestapsverificatie (2FA) ingeschakeld bij de cloud-dienst?
• Logging: Weet je wie er wanneer inlogt? (Dit is vaak te zien in de NVR logs).

Als je overal 'Ja' kunt antwoorden, ben je al een stuk veiliger.

Een veilig IP-camera netwerk is geen 'set and forget' verhaal. Net als je KNX installatie of je Crestron systeem verdient het onderhoud, en daarom is het slim om te begrijpen waarom je beveiligingsbedrijf ook je netwerkbeheerder moet zijn.

Waarom dit essentieel is voor je high-end woning

Jij hebt gekozen voor topkwaliteit. Crestron of Control4 die je verlichting, HVAC en domotica aanstuurt.

Je wilt geen zwakke schakel. Je beveiligingscamera's zijn de ogen van je huis. Goedkope camera's van de Action vormen een risico; als die gehackt worden, is je privacy weg.

Maar erger nog: een hacker kan je camera's gebruiken om je te observeren en te bepalen wanneer je huis leeg is voor een inbraak.

Of ze gebruiken je camera om je netwerk binnen te komen en je domotica over te nemen. Denk aan de integratie. Als je DALI verlichting reageert op beweging van je camera, wil je niet dat een hacker deze triggers kan nabootsen. Of erger, je HVAC systeem uitzet op een koude dag.

De veiligheid van je IP-camera's is direct verbonden met de veiligheid van je complete smart home ecosysteem. Een hack is niet alleen digitaal, het voelt alsof er iemand in je huis is geweest.

Door bovenstaande stappen te volgen, bouw je een digitale muur om je woning heen. Net als de fysieke muren van je huis, verdient die digitale muur aandacht. Neem de tijd.

Begin vandaag met het veranderen van de wachtwoorden. Morgen plan je een uurtje in voor het instellen van het VLAN.

Je investering in je woning is pas compleet als die ook veilig is van binnenuit.