Wenn von Sicherheit im Firmennetz mit Unitree Robotern die Rede ist, beginnt man bei der vom Hersteller dokumentierten Architektur, nicht bei der Abteilung, in der der Roboter später läuft. Ein G1 oder Go2 ist kein isoliertes Haushaltsgerät: Er hat ein Betriebssystem, ein Konto, einen Update-Kanal und beim G1 EDU einen SSH-Zugang für die Entwicklung. Die Aufgabe der IT ist zu entscheiden, welche dieser Kanäle offen bleiben, in welchem Segment und mit welchen Zugangsdaten.
Allgemeine Informationen, keine Rechts- oder Cybersicherheitsberatung. Die Konfigurationen müssen an Netz, Vertrag und Roboterversion angepasst werden; für einen konkreten Fall braucht es den Anbieter und, wo nötig, einen Berater.
Sicherheit im Firmennetz: die drei Ebenen, die getrennt werden müssen
Die erste Ebene ist das Netz: Wer mit dem Roboter sprechen darf und wohin. Die zweite ist der Endpunkt: Zugangsdaten, offene Dienste, Bluetooth, USB-Ports und Konten. Die dritte sind die Daten: Video, Audio, Karten, Telemetrie und Backups. Wer nur eine der drei Ebenen absichert, lässt die anderen zwei offen.
Die entscheidende Frage ist, welche Kanäle wirklich gebraucht werden. Ein Go2 mit Fernbedienung braucht keine Remote-Teleoperation; ein G1 EDU für ROS 2 braucht Zugang zum Roboternetz und SSH, nicht zwingend die App über das Internet.
Welche Apps und Cloud-Dienste ein Unitree Roboter nutzt
Die Entwicklerdokumentation beschreibt eine Architektur, die Go2 und G1 gemeinsam haben. Der Roboter verbindet sich erst nach Freigabe durch den Nutzer mit den Cloud-Diensten. Die Cloud dient drei Zwecken: Telemetrie und Diagnose, Systemupdates und Teleoperation über WebRTC. Als Kanäle nennt die Dokumentation MQTT für die IoT-Kommunikation und die Updates, HTTP für Konto und Geräteverknüpfung, TURN/STUN für die Videoübertragung, wenn die direkte Verbindung nicht funktioniert. Bluetooth LE dient der Netzkonfiguration und der Sicherheitsüberprüfung; innerhalb des Roboters läuft die Kommunikation zwischen den Modulen über DDS.
| Kanal | Wofür | Hinweis für die IT |
|---|---|---|
| Ethernet und DDS | Lokale Steuerung und Entwicklung, ROS-2-Themen | Eigenes Roboternetz, ohne Routing zu den Nutzern |
| WLAN im Infrastrukturmodus | App, Telemetrie und Cloud-Dienste | Eigene SSID und eigenes Roboter-VLAN |
| WLAN im AP-Modus | Ersteinrichtung: Der Roboter erstellt einen Hotspot | Nur beim Onboarding, in einem kontrollierten Bereich |
| Bluetooth LE | Netzkonfiguration und Sicherheitsüberprüfung | Begrenzter physischer Zugang, dokumentiertes Onboarding |
| MQTT und HTTP zur Cloud | OTA, Diagnose, Konto und Geräteverknüpfung | Ausgang nur bei Bedarf erlaubt, mit Logs |
| WebRTC, TURN und STUN | Video und Befehle aus der Ferne | Blockieren, wenn keine Teleoperation genutzt wird |
Das lokale Netz: Ethernet, DDS und 192.168.123.x
Zwei Details verändern das Projekt. Erstens: Das interne Netz des Roboters nutzt das Subnetz 192.168.123.x; der Entwicklungsrechner des G1 antwortet auf 192.168.123.164, der Rechner an Bord des Go2 auf 192.168.123.161. Es darf im Firmennetz nicht erreichbar sein. Zweitens: Bei den Versionen Go2 Air und Pro sind die Ethernet- und SBUS-Schnittstellen nicht verfügbar; sie sind der EDU vorbehalten. Braucht das Projekt ein Kabel, muss die Version vor der Bestellung gewählt werden, nicht danach.
Ein isoliertes VLAN einrichten, Schritt für Schritt
Es gibt keine Konfiguration, die für jeden Standort passt, aber die Reihenfolge der Schritte ist immer dieselbe. Beispiel mit fiktiven Nummern: VLAN 210 für die Roboter, Subnetz 192.168.210.0/24, Gateway 192.168.210.1, reservierte Adressen von .10 bis .30; VLAN 200 für die Administration, mit einem Jump Host.
- Trennen Sie den Verkehr. Erstellen Sie ein eigenes VLAN und eine eigene SSID. Verwenden Sie nicht das VLAN der PCs oder das Management-VLAN.
- Blockieren Sie das laterale Routing. Das Roboter-VLAN darf das Nutzernetz nicht erreichen. Der einzige administrative Zugang läuft über einen Jump Host im VLAN 200, mit Regeln pro Benutzer und Logs.
- Vergeben Sie stabile Adressen. DHCP-Reservierungen oder statische IPs pro Roboter, mit MAC-Adresse und Seriennummer im Inventar.
- Setzen Sie ausgehend auf Default Deny. Öffnen Sie nur die Ziele, die für OTA, App und Teleoperation nötig sind, und nur in den Zeitfenstern, in denen sie gebraucht werden.
- Halten Sie DDS im VLAN. Die lokale Kommunikation zwischen Entwicklungs-PC und Roboter nutzt DDS; das Discovery-Multicast darf ohne spezielle Konfiguration keine Router oder Firewalls passieren. Für die ersten Tests folgen Sie der Anleitung ROS 2 auf Unitree Robotern.
- Exponieren Sie das Subnetz 192.168.123.x nicht. Wenn ein Anbieter Fernzugriff verlangt, planen Sie eine temporäre, protokollierte Sitzung.
- Messen Sie, bevor Sie schließen. Lassen Sie den Verkehr einige Tage laufen, zeichnen Sie Ziele und Volumen auf und bauen Sie dann die Regel. Ohne Baseline wird die Allowlist zu einer Liste von Ausnahmen.
Was Sie abschalten oder einschränken können, wenn es nicht nötig ist
| Element | Wann nötig | Was tun, wenn nicht nötig |
|---|---|---|
| WLAN-Hotspot des Roboters | Ersteinrichtung oder Umgebungen ohne WLAN | Ethernet oder Infrastruktur-WLAN nutzen; AP im Produktivbetrieb vermeiden |
| App und Cloud-Konto | Geräteverknüpfung, OTA, Teleoperation | Ausgang blockieren; lokale Steuerung und DDS bleiben |
| 4G-Modul mit eSIM (integrierte SIM) | Einsatz außer Haus oder Mobilität | Version ohne Modul wählen oder die Konnektivität beim Mobilfunkanbieter einschränken |
| Bluetooth LE | Einrichtung und Erstprüfung | Kein Betriebskanal: Onboarding in einem kontrollierten Bereich bündeln |
| SSH bei EDU-Versionen | Entwicklung und Wartung | Passwort geändert, Schlüssel, Zugang nur über den Jump Host |
| WebRTC und TURN | Remote-Teleoperation | Ausgehend blockieren, wenn der Roboter nur vor Ort arbeitet |
| USB-Ports und Dockingstation | Updates und Entwicklung | Kontrollierter physischer Zugang und Protokoll der Eingriffe |
Die Entwicklerdokumentation nennt für den G1 EDU den Benutzer unitree und ein bekanntes Anfangspasswort; dasselbe gilt für die Dockingstation des Go2. Das sind Labor-Zugangsdaten: Sie müssen geändert werden, bevor der Roboter ans Netz geht, zusammen mit den Hotspot-Zugangsdaten. Mit einem gemeinsam genutzten Konto lässt sich ein Zugang keiner Person zuordnen.
Die App nutzt Bluetooth, um das Netz zu konfigurieren und die Verbindungssicherheit zu prüfen. Die sinnvolle Maßnahme ist physisch: Einrichtung in einem reservierten Bereich, Firmenhandy und dokumentierter Vorgang. Danach bleiben der Zugang zum Bereich und zu den Ports beschränkt.
Updates: verwalten, ohne alles zu öffnen
Unitree nennt OTA über die Cloud für den G1 und den Go2; die Go2-Seite präzisiert, dass sich der Roboter nur mit Freigabe des Nutzers verbindet, und die Architektur nennt MQTT für die Updates. Ein VLAN ohne Internet erhält kein OTA: Das muss vor der Installation im Projekt stehen.
Ein tragfähiges Verfahren im Unternehmen hat sechs Schritte:
- Versionsinventar. Notieren Sie Roboter-Firmware, App-Version und, falls vorhanden, die Version des Docks oder des Rechenmoduls.
- Update-Fenster. Öffnen Sie den Ausgang zu den Diensten des Herstellers nur im vereinbarten Fenster, mit einem Roboter nach dem anderen.
- Test an einem Exemplar. Aktualisieren Sie zuerst einen Laborroboter und prüfen Sie Bewegung, Sensoren, Netz und Ihre Anwendung.
- Prüfung nach dem Update. Kontrollieren Sie die installierte Version und wiederholen Sie den Netztest. Ändert das Update das Verhalten, halten Sie an und eröffnen Sie ein Ticket.
- Protokoll. Bewahren Sie Version, Datum, Ergebnis und Bearbeiter auf.
- Plan B für die vollständige Isolation. Hat das Netz keinen Ausgang, verlangen Sie vom Anbieter das Offline-Verfahren und die offiziellen Pakete. Keine Firmware von Drittanbietern.
Für den G1 finden Sie das Verfahren über die App, die Prüfungen vor dem Start und die typischen Fehler in der Anleitung zum Firmware-Update des G1. Grundsätzlich gilt: Akku geladen, Netz stabil, keine Unterbrechung und ein mit dem Anbieter abgestimmtes Rollback-Verfahren.
Daten: Video, Audio und Telemetrie
Ein G1 hat eine Tiefenkamera, LiDAR, vier Mikrofone und einen Lautsprecher; ein Go2 hat Kamera, LiDAR und je nach Version Sprache und Gegensprechanlage. Das sind nützliche Sensoren für die Anwendung, sie erfassen aber auch die Umgebung des Roboters. Nimmt der Roboter identifizierbare Personen auf oder zeichnet sie auf, fällt die Verarbeitung in den Anwendungsbereich der DSGVO und der Hinweise der Datenschutzaufsichtsbehörden zur Videoüberwachung (Beispiel: die FAQ des Garante privacy): Zweck, Datenminimierung, Information, Aufbewahrungsfristen und, wo die Voraussetzungen vorliegen, eine Datenschutz-Folgenabschätzung.
Unitree erklärt, dass die über die Cloud erhobenen Betriebsdaten die Privatsphäre nicht betreffen und dass der WebRTC-Verkehr vom Server weder erhoben noch analysiert wird. Das sind nützliche Erklärungen für den Vertrag, sie ersetzen aber nicht die Bewertung durch den Verantwortlichen. Entscheiden Sie vor der Teleoperation, wo die Aufzeichnungen landen und wer sie sehen darf.
Fragen Sie nach, ob die Festplatte des Roboters verschlüsselt ist und wie die Daten vor Tausch oder Reparatur gelöscht werden. Ist das nicht dokumentiert, behandeln Sie ihn wie einen Laptop.
Cyber Resilience Act: die Fakten, die man kennen sollte
Die Verordnung (EU) 2024/2847, der Cyber Resilience Act, gilt seit dem 10. Dezember 2024. Die Meldepflichten gelten seit dem 11. September 2026, die zentralen Pflichten ab dem 11. Dezember 2027. Sie betrifft Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden, also auch einen vernetzten Roboter.
Nach dem Überblick der Europäischen Kommission muss der Hersteller Sicherheit ab Werk gewährleisten, Schwachstellen für den Supportzeitraum verwalten, das Ende des Supports erklären, Anleitungen für den sicheren Gebrauch liefern und die CE-Kennzeichnung anbringen. Für Käufer ist das keine automatische Pflicht.
Für Käufer ist der CRA eine Fragenliste vor der Bestellung: Ende des Supports, Kanal für Schwachstellen, Updates, Anleitungen für die sichere Installation. Diese Informationen stellt der Hersteller bereit, der Käufer prüft sie im Angebot. Wer Produkte unter eigenem Markennamen in Verkehr bringt, kann Herstellerpflichten übernehmen.
Der CRA ersetzt nicht die Maschinenverordnung (EU) 2023/1230: Die Maschinensicherheit bleibt in dieser Verordnung geregelt. Die Anleitung zur Maschinenverordnung 2027 erklärt den Maschinenteil.
Checkliste, bevor der Roboter in die Abteilung geht
- Eigenes VLAN und eigene SSID, ohne Routing zum Nutzernetz.
- Stabile Adressen und Inventar mit MAC, Seriennummer und Firmware-Version.
- Passwörter für Roboter, Hotspot und Konto geändert; keine persönlichen Konten.
- Internetzugang standardmäßig geschlossen, nur für OTA und Teleoperation geöffnet.
- Schriftliches Update-Verfahren, mit Test an einem Exemplar und Protokoll.
- Datenschutzbewertung, wenn der Roboter Personen aufnimmt oder aufzeichnet.
- Vertrag mit Supportzeitraum und Meldekanal für Schwachstellen.
- Ausmusterungsplan: Daten löschen, Konten widerrufen, aus dem VLAN entfernen.
Häufige Fragen
Darf ein Unitree Roboter im selben VLAN wie die Firmen-PCs stehen?
Nein. Er gehört in ein eigenes VLAN, ohne Routing zum Nutzernetz; der administrative Zugang läuft über einen Jump Host. So legt ein Problem am Roboter nicht den Rest des Netzes offen.
Welche Ports muss ich für einen Unitree öffnen?
Öffnen Sie keine eingehenden Ports. Der Roboter baut ausgehende Verbindungen zu den Cloud-Diensten für OTA, App und Teleoperation auf; erlauben Sie nur diese Ziele und nur, wenn sie gebraucht werden. Für den lokalen Betrieb reicht das Roboternetz.
Kann ich einen Unitree ohne Cloud-Verbindung nutzen?
Ja, für die lokale Steuerung über Ethernet und DDS, bei den EDU-Versionen. OTA und Teleoperation über die App entfallen; das Offline-Update-Verfahren müssen Sie beim Anbieter erfragen.
Wie aktualisiere ich die Firmware in einem isolierten Netz?
Mit einem Update-VLAN, das nur während des Fensters ausgehenden Zugang hat, einem Roboter nach dem anderen und einem Versionsprotokoll. Bei vollständiger Isolation brauchen Sie ein Verfahren des Anbieters.
Betrifft der Cyber Resilience Act auch das Unternehmen, das den Roboter nutzt?
Die zentralen Pflichten liegen beim Hersteller. Käufer müssen Supportzeitraum, Kanal für Schwachstellen und Updates verlangen. Wer Produkte unter eigenem Markennamen in Verkehr bringt, kann Herstellerpflichten übernehmen.
Quellen
- Unitree, Systemarchitektur Go2 (Cloud nach Freigabe, MQTT, HTTP, WebRTC, BLE): support.unitree.com
- Unitree, Systemarchitektur G1 (Cloud nach Freigabe, MQTT, HTTP, TURN/STUN, BLE, DDS): support.unitree.com
- Unitree, offizielle Go2-Seite (Wi-Fi 6, Bluetooth, 4G-Modul, OTA über Cloud mit Freigabe): unitree.com/go2
- Unitree, offizielle G1-Seite (Wi-Fi 6, Bluetooth 5.2, OTA): unitree.com/g1
- Unitree, elektrische Schnittstellen und Go2-Versionen (Ethernet und SBUS nur bei EDU): support.unitree.com
- Unitree, FAQ für G1-Entwickler (Benutzer und Anfangspasswort, IP von PC1 und PC2): support.unitree.com
- Unitree, Go2-Schnellstart (Netz 192.168.123.x und IP des Rechners an Bord): support.unitree.com
- Unitree, Dockingstation des Go2 (Benutzer und Anfangspasswort): support.unitree.com
- Europäische Kommission, Überblick zum Cyber Resilience Act: digital-strategy.ec.europa.eu
- Europäische Kommission, Herstellerpflichten nach dem CRA: digital-strategy.ec.europa.eu
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), amtlicher Text: EUR-Lex
- Garante per la protezione dei dati personali, FAQ zur Videoüberwachung: garanteprivacy.it