Modbus-Sicherheit: Segmentierung statt falscher Versprechen
Modbus RTU und klassisches Modbus TCP wurden nie für Authentifizierung oder Verschlüsselung entworfen — jedes Gerät, das den Bus oder das Netzwerk erreicht, kann einen gültigen Befehl senden. Echten Schutz bietet nicht das Protokoll, sondern wie Sie diesen Zugriff isolieren und kontrollieren.
So gehen wir eine Modbus-Sicherheitsprüfung an
Bus und Netzwerk kartieren
Wir dokumentieren RTU-Segmente und TCP/Ethernet-Pfade, listen jedes angeschlossene Gerät auf und notieren, welche Funktionscodes und Register tatsächlich genutzt werden.
Automatisierungsnetz segmentieren
Das Modbus-Netz erhält ein eigenes VLAN oder ein physisch getrenntes Segment von der Büro-IT — ein kompromittierter Laptop oder Gäste-WLAN kommt so gar nicht an den Bus.
Am Gateway einschränken
Ein protokollbewusstes Gateway oder eine Modbus-Firewall begrenzt, welche Funktionscodes und Registerbereiche durchgelassen werden; wo kein Schreibzugriff nötig ist, wird nur gelesen (Read-Only-Polling).
Physischen Zugang kontrollieren und dokumentieren
Wir halten fest, wer physisch an RS-485-Verkabelung, Schaltschrankklemmen oder Ethernet-Ports gelangen kann, und pflegen diese Liste bei jeder Änderung der Anlage.
Was Segmentierung leisten kann — und was nicht
Eingebaute Authentifizierung
Weder Modbus RTU noch klassisches Modbus TCP kennen Login oder Zugangsdaten. Ein Gerät, das Telegramme auf den Bus senden oder Port 502 erreichen kann, gilt per Design als vertrauenswürdig — Segmentierung ersetzt diese fehlende Prüfung.
Keine Authentifizierung im Protokoll
Modbus wurde 1979 für geschlossene, vertrauenswürdige Industrienetze spezifiziert. Im Telegramm gibt es kein Feld für Passwort oder Zertifikat — jede Anfrage wird ohne Prüfung akzeptiert.
Eigenes Automatisierungs-VLAN
Das Modbus-Segment von Büro-IT und Gäste-WLAN zu trennen, ist die wirksamste praktische Maßnahme. Kryptografie fügt das nicht hinzu, aber es beseitigt die meisten Wege, über die ein Angreifer oder ein fehlkonfiguriertes Gerät den Bus erreichen könnte.
Protokollbewusstes Gateway, ehrlich betrachtet
Eine 'Modbus-Firewall' kann den Verkehr auf bestimmte Funktionscodes oder Registerbereiche beschränken — etwa Schreibzugriffe von einer Überwachungsstation blockieren. Sie filtert Verkehrsmuster, sie authentifiziert nicht den Absender.
Standardmäßig nur lesen
Die meisten Überwachungs- und Zählpunkte müssen nur Holding- oder Input-Register lesen. Schreibfähige Funktionscodes (05, 06, 15, 16) auf die Geräte zu beschränken, die sie wirklich brauchen, verkleinert die Angriffsfläche.
Physische Zugangskontrolle
An einem RS-485-Bus ist jeder mit Schraubendreher und Zugang zu den Klemmen faktisch im Netz. Verschlossene Schaltschränke und eine dokumentierte Zugangsliste zählen genauso viel wie jede Netzwerkeinstellung.
Modbus-Segmentierungsprüfung
Eine praxisnahe, ingenieurgeführte Bewertung Ihres Modbus-Netzes und des zugehörigen Schaltschranks — zugeschnitten auf Ihre Anlage, keine generische Checkliste.
- Bestandsaufnahme der bestehenden Modbus-RTU- und TCP/Ethernet-Topologie
- VLAN- oder physischer Segmentierungsplan für das Automatisierungsnetz
- Empfehlungen zu Funktionscodes und Registerzugriff für Gateways und Firewalls
- Zuordnung von Lese-/Schreibrechten je angeschlossenem Gerät
- Übergabedokumentation für Schaltschrankbauer oder Integrator
Häufige Fragen
Lässt sich Modbus-Verkehr verschlüsseln?
Nicht durch das Protokoll selbst — klassisches Modbus RTU und Modbus TCP senden alles im Klartext. Wo Vertraulichkeit tatsächlich wichtig ist, muss Verschlüsselung außerhalb des Protokolls ergänzt werden, meist über einen VPN-Tunnel oder ein segmentiertes, zugangskontrolliertes Netz — nicht durch etwas, das Modbus selbst mitbringt.
Wovor schützt eine 'Modbus-Firewall' wirklich?
Sie kann einschränken, welche Funktionscodes und Registerbereiche durchgelassen werden — etwa ein Gerät lesen lassen, aber Schreibzugriff auf Coils blockieren. Sie prüft nicht, wer die Anfrage sendet; sie ist Verkehrsfilterung, keine Authentifizierung.
Braucht ein RS-485-Bus auch ein VLAN?
Ein serieller RS-485-Bus kennt keine VLANs — das Äquivalent ist physische Trennung: eigene Verkabelung, verschlossene Schaltschränke und eine klare Liste, wer Zugang zu den Klemmen hat. Die Sicherheitsfrage ist dieselbe, nur der Mechanismus ist physisch statt netzwerkbasiert.
Sollte jedes Gerät am Bus Schreibrechte haben?
Nein. Die meisten Zähl- und Überwachungspunkte müssen nur Register lesen. Schreibfähige Funktionscodes auf Geräte zu beschränken, die wirklich etwas steuern, begrenzt den Schaden, den ein einzelnes kompromittiertes oder fehlerhaftes Gerät anrichten kann.
Ist Modbus TCP riskanter als Modbus RTU?
Modbus TCP über Port 502 ist über jedes routingfähige IP-Netz erreichbar — eine unsegmentierte Installation kann daher potenziell von deutlich mehr Stellen aus erreicht werden als ein physischer serieller Bus. Bei RTU ist der physische Zugang zur Verkabelung das Hauptrisiko. Keine der beiden Varianten hat eingebaute Authentifizierung, beide brauchen dieselbe Segmentierungsdisziplin.
Sprechen Sie mit unseren Ingenieuren über Ihr Modbus-Netz
Wir prüfen Ihre Topologie und Schaltschrankplanung und sagen ehrlich, was Segmentierung leisten kann — ohne eine Sicherheitsfunktion zu verkaufen, die das Protokoll nicht bietet.