UniFi-Controller:
wo hosten?

UniFi-Netzwerke von Ubiquiti sind überall: Büros, Kanzleien, Hotellerie, Produktion. Und überall wird dieselbe Frage aufgeschoben: Wo soll der Controller laufen? Auf dem CloudKey im Rack, auf einer virtuellen Maschine, im offiziellen Hosting von Ubiquiti oder bei einem Managed Service? Das ist kein Detail für Bastler: Der Controller ist die Management-Ebene des gesamten Netzwerks, und sein Standort bestimmt, wer ihn aktualisiert, wer ihn sichert und wo seine Daten landen. Sehen wir uns die vier Optionen mit ehrlichen Vor- und Nachteilen an — und die Kriterien für die Wahl.

Der Controller ist ein kritischer Asset, kein Zubehör

Es lohnt sich, explizit zu sein, was wirklich in einem UniFi-Controller steckt — denn „die Netzwerkkonfiguration“ wird der Sache nicht gerecht. Drinnen liegen drei Kategorien heikler Dinge:

• Die Menschen. Jedes verbundene Gerät wird per MAC-Adresse und zugeordnetem Access Point erfasst, mit Zeitstempeln: Der Controller weiß, wer im Haus ist, seit wann, und in welchem Bereich des Gebäudes — Mitarbeitende, Inhaber, Gäste. Das ist keine abstrakte Telemetrie: Es ist eine Anwesenheits- und Bewegungskarte von Personen, mit DSGVO-Implikationen und heiklen Aspekten bei den Regeln zur Mitarbeiterüberwachung.
• Die Kameras. Wo das Ökosystem UniFi Protect umfasst, ist der Zugriff auf die Konsole auch Zugriff auf die Videoüberwachung: Live-Bilder und Aufzeichnungen. Wer in die Managementplattform gelangt, sieht, was die Kameras sehen.
• Die Verteidigung. Firewall-Regeln, Routing-Regeln, Zugriffs-Policies, VPN, Segmentierung: Controller und Gateway sind die vollständige Karte, wie sich das Unternehmen verteidigt — und, rückwärts gelesen, wie man es angreift. Dazu die Netzwerkkonfiguration: SSIDs, VLANs, Benutzer, Captive Portal.

Wer den Controller kompromittiert, hat nicht „eine Verwaltungssoftware“ verletzt: Er weiß, wo die Menschen sind, sieht die Kameras und kennt die Verteidigung. Wer ihn ohne Backup verliert, baut alles von Hand wieder auf. Das ist das Kritikalitätsniveau, mit dem zu entscheiden ist, wo er läuft und wer dafür einsteht.

Dass das kein theoretisches Risiko ist, zeigt der Operational Summary Mai 2026 des CSIRT Italia, der fünf kritische CVE in UniFi OS meldet — der Plattform hinter UDM, UDM-Pro, UDM-SE, UDR, UNVR und Cloud Gateway. Wie jede Verwaltungssoftware braucht der Controller diszipliniertes Patching: Ein einmal installierter und im Rack vergessener Controller ist genau die Art von Legacy-System, nach der Angreifer suchen.

Die vier Optionen im Vergleich

Die ersten beiden Optionen passen in eine Zeile: Hardware vor Ort ist ein weiteres Gerät, das gewartet werden muss (und verschlüsselt Ransomware das Netzwerk, ist die Management-Ebene mit weg); Self-Hosting macht Sie zum Dienstleister — tragfähig nur, wenn diese Verantwortung einen expliziten Eigentümer hat. Für die meisten Unternehmen fällt die eigentliche Wahl zwischen den letzten beiden — und dort ist der Unterschied nicht technisch: Es ist die Jurisdiktion.

Die Jurisdiktion: Ubiquiti ist amerikanisch, und das zählt

Ubiquiti ist ein US-Unternehmen. Das Official UniFi Hosting ist damit ein Dienst eines Anbieters unter US-Jurisdiktion — mit einer präzisen Konsequenz: Der CLOUD Act, das Bundesgesetz von 2018, erlaubt es US-Behörden, einem Anbieter unter ihrer Jurisdiktion die Herausgabe der Daten anzuordnen, die er hält — unabhängig davon, wo die Server physisch stehen. Das ist keine juristische Haarspalterei: Gelesen mit der Liste von oben — Anwesenheitskarte der Personen, Kameras, Firewall-Regeln — bedeutet es, dass diese Daten letztlich einer außereuropäischen Rechtsordnung unterliegen.

Was ändert sich, wenn man den Controller einem italienischen oder europäischen Unternehmen anvertraut, zertifiziert nach ISO/IEC 27001, 27017 und 27018, mit Daten in EU-Rechenzentren? Drei konkrete Dinge. Erstens: Der Anbieter untersteht europäischer Jurisdiktion — das Ersuchen einer ausländischen Behörde kann ihm nicht direkt auferlegt werden und läuft über die Kanäle der Rechtshilfe. Zweitens: Die Verarbeitung bleibt vollständig im DSGVO-Perimeter, ohne zu rechtfertigenden Drittlandtransfer — einfacher im Verarbeitungsverzeichnis und in einer DSFA zu vertreten. Drittens: Die ISO/IEC 27018 regelt spezifisch den Schutz personenbezogener Daten in der Cloud — genau die Datenkategorie, die der Controller verwahrt.

Ohne Fahnenschwenken gesagt: Für viele Unternehmen ist die Jurisdiktion des Anbieters gleichgültig, und das ist eine legitime Wahl. Aber für alle mit Vorgaben — Enterprise-Kunden mit Due Diligence, öffentliche Hand, Anwesenheitsdaten und Videoüberwachung der Beschäftigten — ist das Wissen, welches Recht die eigenen Daten erreichen kann, das entscheidende Kriterium, vor jedem technischen Vergleich. Eine operative Anmerkung: Auch mit dem Controller in Europa läuft der Fernzugriff über unifi.ui.com über das Ubiquiti-Cloud-Konto — er ist optional, und wer den vollen Perimeter will, deaktiviert ihn und greift lokal oder per VPN zu.

Die Kriterien, die wirklich zählen

Die praktischen Fallen, aus der Felderfahrung

Vier Dinge, die man beim Verwalten von UniFi-Netzwerken lernt — nicht aus Broschüren.

• Die Autobackups leben auf dem Controller. Automatische Backups bleiben standardmäßig auf der Festplatte des Controllers selbst: Verlieren Sie die Maschine, verlieren Sie auch sie. Sie müssen herauskopiert werden — auf separaten Storage oder in die Cloud — nach Plan, nicht von Hand, wenn jemand daran denkt.
• Controller und Firmware müssen in der richtigen Reihenfolge aktualisiert werden. Zuerst der Controller, dann die Geräte-Firmware: Ein zu alter Controller erkennt neue Access Points nicht, und zu neue Firmware spricht womöglich nicht mit einem jahrelang eingefrorenen Controller. Deshalb geht „ich aktualisiere nicht, damit nichts kaputtgeht“ irgendwann kaputt.
• Die Migration ist nur schmerzlos, wenn sie vorbereitet ist. Den Controller umziehen (CloudKey auf VM, VM in die Cloud) erfolgt mit Site-Export und Neuadoption der Geräte; greift die automatische Adoption nicht, hilft set-inform via SSH auf dem einzelnen Gerät. Mit einem guten Backup ist es ein halber Tag; ohne ist es eine Neukonfiguration.
• Das WLAN überlebt ohne Controller, die Dienste nicht. Stoppt der Controller, funken die Access Points mit der letzten Konfiguration weiter — genau deshalb bleibt das Problem wochenlang unbemerkt. Aber Captive Portal, Voucher, Statistiken und Provisioning stehen sofort still: Sie merken es an dem Tag, an dem Sie sie brauchen.

Die vierte Option, konsequent zu Ende gedacht

Der Vollständigkeit halber unser Modell: der Controller in unserer europäischen Cloud auf ISO/IEC-27001-Infrastruktur, darum herum das Management des Netzwerks — und die Controller-Backups behandelt wie jedes ernsthafte Backup: außerhalb der Maschine, verifiziert, wiederherstellbar. Für Kunden mit Managementvertrag ist das Controller-Hosting inklusive.