Zum Inhalt

Netzwerk

Netzwerk Sicherheit

Das Gerät kommuniziert über eine Ethernet-Verbindung mit anderen Systemen und externen Diensten. Für den normalen Betrieb in typischen Heimnetzwerken sind keine besonderen Maßnahmen erforderlich.

In Netzwerken mit höheren Sicherheitsanforderungen kann es sinnvoll sein, den Netzwerkzugriff gezielt zu steuern. Die folgenden Informationen dienen zur Übersicht und zur optionalen Anpassung an individuelle Netzwerkumgebungen.

Bereitgestellte Netzwerkdienste

Das Gerät stellt folgende Netzwerkdienste im lokalen Netzwerk zur Verfügung.
Ports, die mit (default) gekennzeichnet sind, können vom Anwender bei Bedarf geändert werden.

Dienst Protokoll Port
Web (HTTP) TCP 80
Web (HTTPS) TCP 443 (default)
Modbus TCP TCP 502 (default) (nur WTR102 / WTR202)

Die Weboberfläche dient zur Konfiguration und Überwachung des Geräts. Für die Verwendung von HTTPS können Zertifikate eingerichtet werden. Der HTTP-Zugriff kann in der Konfiguration deaktiviert oder auf HTTPS umgeleitet werden. Bei Geräten mit Ethernet-LAN-Anschluss kann HTTP im Rahmen des Ethernet-Wiederherstellungsmodus vorübergehend wieder aktiviert werden.

Ethernet-Wiederherstellungsmodus

Bei Geräten mit Ethernet-LAN-Anschluss steht ein physisch auslösbarer Wiederherstellungsmodus zur Verfügung. Dieser kann verwendet werden, wenn das Gerät aufgrund einer ungeeigneten Netzwerk- oder Webserverkonfiguration nicht mehr erreichbar ist.

Der Wiederherstellungsmodus kann beispielsweise erforderlich sein, wenn:

  • eine statische IP-Adresse eingestellt wurde, die nicht zum vorhandenen Netzwerk passt,
  • die aktuelle IP-Adresse des Gerätes nicht mehr bekannt ist,
  • ausschließlich HTTPS aktiviert wurde und darüber kein Zugriff mehr möglich ist.

Der Wiederherstellungsmodus verändert ausschließlich Einstellungen, die für die erneute Erreichbarkeit des Gerätes erforderlich sind. Benutzerkonten und Kennwörter werden nicht zurückgesetzt. Für den Zugriff auf die Weboberfläche ist daher auch nach einer Wiederherstellung weiterhin eine Anmeldung erforderlich.

Wiederherstellungsmodus aktivieren

Der Wiederherstellungsmodus setzt einen direkten physischen Zugriff auf das Gerät voraus.

Gehe wie folgt vor:

  1. Trenne das Ethernet-Netzwerkkabel vom Gerät.
  2. Unterbrich kurzzeitig die Stromversorgung.
  3. Starte das Gerät ohne angeschlossenes Ethernet-Netzwerkkabel.
  4. Lasse das Gerät mindestens 20 Minuten ohne Ethernet-Verbindung eingeschaltet.
  5. Unterbrich anschließend erneut kurzzeitig die Stromversorgung.
  6. Schließe das Ethernet-Netzwerkkabel wieder an und starte das Gerät.

Nach Ablauf der 20 Minuten werden folgende Einstellungen für den nächsten Start angepasst:

Einstellung Wiederhergestellter Wert
IP-Konfiguration DHCP
Webzugriff HTTP + HTTPS
HTTP-Weiterleitung auf HTTPS deaktiviert

Das Gerät versucht anschließend, automatisch eine IP-Adresse über DHCP zu beziehen.

Kann keine DHCP-Adresse bezogen werden, verwendet das Gerät als Rückfallebene die statische IP-Adresse:

192.168.127.250

Sicherheit des Wiederherstellungsmodus

Durch den Wiederherstellungsmodus wird ausschließlich die Netzwerkerreichbarkeit des Gerätes wiederhergestellt.

Die Zugriffskontrolle der Weboberfläche bleibt erhalten:

  • vorhandene Benutzerkonten bleiben bestehen,
  • Kennwörter werden nicht verändert,
  • geschützte Seiten erfordern weiterhin eine Anmeldung,
  • es wird kein anonymer Zugriff auf die Gerätekonfiguration ermöglicht.

Da während der Wiederherstellung HTTP zusätzlich aktiviert wird, sollte nach erfolgreichem Zugriff die Netzwerk- und Webserverkonfiguration geprüft werden.

Für den regulären Betrieb wird die Verwendung von HTTPS empfohlen. Wird HTTP nicht benötigt, sollte der Webzugriff anschließend wieder auf HTTPS beschränkt werden.

Nur für Geräte mit Ethernet-LAN-Anschluss

Dieser Wiederherstellungsmechanismus gilt ausschließlich für Wetterrelais-Geräte mit Ethernet-LAN-Anschluss. Geräte mit WLAN verwenden für die Einrichtung und Wiederherstellung den WLAN-Einrichtungsmodus.

Ausgehende Netzwerkverbindungen

Für bestimmte Funktionen baut das Gerät selbstständig ausgehende Netzwerkverbindungen auf.
Auch hier können Ports, die mit (default) gekennzeichnet sind, angepasst werden.

Dienst Protokoll Port Zweck
DNS UDP / TCP 53 Namensauflösung
NTP UDP 123 Zeitsynchronisation
Web (HTTPS) TCP 443 Kommunikation mit Serverdiensten
MQTT TCP 8883 Diagnose
Web (HTTP) TCP 80 optional
Mail (SMTP) TCP 465 (default) E-Mail-Versand

Verwendete Zieladressen

Die ausgehende Kommunikation des Geräts erfolgt zu folgenden Zieladressen:

  • *.wetterrelais.de
  • de.pool.ntp.org (default)
  • *.accuweather.com
  • *.dwd.de
  • *.openweather.org
  • oder Andere

Diagnose

Für die Diagnose- und Sicherheitsfunktionen der Geräte ist eine ausgehende Verbindung über MQTT over TLS auf dem standardisierten TCP-Port 8883 erforderlich.

Der Port 8883 ist der von der IANA definierte Standardport für verschlüsseltes MQTT und wird ausschließlich in Verbindung mit TLS verwendet. Eine Kommunikation über unverschlüsselte Ports (z. B. 1883) findet nicht statt.

Die Verbindung ist durch Ende-zu-Ende-Verschlüsselung (TLS) sowie zertifikatsbasierte Authentifizierung (mTLS) abgesichert. Dadurch wird sichergestellt, dass:

  • ausschließlich autorisierte Geräte eine Verbindung aufbauen können,
  • die Geräte nur mit einem vertrauenswürdigen Broker kommunizieren,
  • die übertragenen Daten vor Mitlesen, Manipulation und unautorisiertem Zugriff geschützt sind.

Die Freigabe dieses Ports dient nicht der Fernwartung oder Datensammlung, sondern ausschließlich der Sicherstellung der Betriebs- und IT-Sicherheit der Geräte.
Insbesondere unterstützt diese Maßnahme die Umsetzung von Security-by-Design und Secure Communication gemäß den Anforderungen des EU Cyber Resilience Act (CRA).

Die Freigabe kann auf ausgehende Verbindungen, definierte Zieladresse und den Port 8883/TCP beschränkt werden, wodurch die Angriffsfläche minimal bleibt.

Empfehlungen für den Netzwerkbetrieb

In den meisten Netzwerken kann das Gerät ohne zusätzliche Konfiguration betrieben werden.

Wenn gewünscht, können folgende Maßnahmen die Übersicht und Kontrolle im Netzwerk erhöhen:

  • Nutzung einer Firewall mit gezielten Freigaben
  • Betrieb in einem separaten Netzwerksegment oder VLAN
  • Einschränkung des Zugriffs auf die Weboberfläche auf bekannte Geräte
  • Bevorzugte Nutzung von HTTPS

Diese Maßnahmen sind optional und richten sich an Anwender, die ihr Netzwerk bewusst strukturieren oder zusätzliche Sicherheitsanforderungen umsetzen möchten.