Die US-Behörden NSA, CISA, FBI, DOE und EPA haben am 18. August 2026 eine gemeinsame Warnung veröffentlicht. Sie beschreibt eine aktive Bedrohung gegen Siemens S7-Steuerungen der Serien S7-200 bis S7-1500. Angreifer nutzen KI-generierte Skripte, die sich als legitime Monitoring-Tools tarnen, um ungeschützte oder aus dem Internet erreichbare SPS aufzuspüren und anzugreifen. Betroffen sind vor allem Fertigung, Energie, Wasser- und Lebensmittelwirtschaft in den USA. Siemens S7-Steuerungen sind jedoch weltweit im Einsatz, die beschriebenen Schwachstellen und Angriffsmuster betreffen jede ungeschützte Anlage unabhängig vom Standort. Die Behörden stufen dies ausdrücklich nicht als theoretisches Risiko ein, sondern als aktive Bedrohung.
Die vollständige Warnung steht hier als PDF zur Verfügung.
Die Behörden empfehlen sieben Maßnahmen, die zusammen die Grundlage für ein sicheres S7-Umfeld bilden:
Diese Maßnahmen sind unabhängig voneinander wichtig und sollten parallel umgesetzt werden. Der vorliegende Beitrag konzentriert sich bewusst auf den Aspekt, der am engsten mit der Datenanbindung Ihrer Anlage zusammenhängt: die sichere Kommunikation zwischen Steuerung und übergeordneten Systemen über OPC UA. Für die übrigen Maßnahmen, etwa Patch-Management oder Zugriffskontrollen, ist in der Regel Ihre IT- beziehungsweise OT-Sicherheitsabteilung oder Siemens ProductCERT der richtige Ansprechpartner.
Für Betreiber stellt sich damit eine konkrete Frage. Wie geht man mit der eigenen S7-Flotte um, ohne den Betrieb zu unterbrechen und ohne unnötig hohe Kosten zu verursachen? Ein zentraler Baustein der Antwort ist das Kommunikationsprotokoll OPC UA, das genau für diesen abgesicherten Datenaustausch entwickelt wurde. Wir sehen dabei in der Praxis drei typische Ausgangslagen.
Ist die Anlage konsequent vom Internet und von der IT-Ebene getrennt, bleibt die bestehende S7-Kommunikation grundsätzlich weiter nutzbar. Dennoch empfiehlt es sich, die Sicherheitshinweise nochmals zu prüfen. Die CISA-Warnung richtet sich in erster Linie an exponierte Systeme. Eine gute Netzwerksegmentierung reduziert das Risiko erheblich. Falls Sie sich nicht sicher sind, wie Ihre Anlage aktuell aufgestellt ist, unterstützen wir Sie gerne bei der Einschätzung.
Mittelfristig kann sich trotzdem ein Wechsel auf eine neuere, besser abgesicherte Protokollgeneration lohnen.
Diese Steuerungen bringen ab bestimmten Firmware-Versionen eine eigene OPC-UA-Server-Schnittstelle mit. Voraussetzung ist eine Firmware-Version, ab V2.6 bei der S7-1500 und ab V4.4 bei der S7-1200. Die Schnittstelle lässt sich aktivieren und ersetzt damit die unverschlüsselte S7-Kommunikation durch einen abgesicherten, standardisierten Kanal.
Zu beachten ist, dass dafür Lizenzkosten von Siemens anfallen können und die Steuerung entsprechend programmiert und aktualisiert werden muss. Der Aufwand ist überschaubar, sollte aber eingeplant werden. Für zusätzlichen Schutz lässt sich die Verbindung außerdem über ein Client-Zertifikat absichern.
Hier finden Sie eine Anleitung zur Aktivierung der OPC UA Schnittstelle an einer S7-1500. Ein bedeutender Vorteil gegenüber dem S7-Protokoll ist die feingranulare Freigabe von Lese- und Schreibrechten pro Variable.
In diesem Fall ist eine OPC-UA-Schnittstelle firmwareseitig grundsätzlich nicht verfügbar. Hier bietet sich ein Hardware-Gateway an, das zwischen S7 und OPC UA übersetzt. Die bestehende Steuerung bleibt im Einsatz. Die Kommunikation nach außen läuft über einen abgesicherten, standardisierten Weg.
Läuft dagegen eine S7-1200 oder S7-1500 mit veralteter Firmware-Version, lohnt sich oft der einfachere Weg: ein Update auf eine aktuelle Firmware-Version, um anschließend die native Schnittstelle aus Fall 2 zu nutzen.
Unabhängig davon, welcher Fall zutrifft: Eine Umstellung auf OPC UA verbessert nicht nur die Sicherheit, sondern auch die Grundlage für eine stabile und zukunftssichere Anlagenanbindung. Auch Siemens selbst empfiehlt in seinem aktuellen Security Bulletin SSB-104599, betroffene Systeme zu prüfen und abzusichern. Wenn Sie prüfen möchten, welcher der drei Wege für Ihre Anlage passt, sprechen Sie uns an. Wir begleiten Sie von der ersten Bestandsaufnahme bis zur technischen Umsetzung.
