Was ist eine SPS?

Speicherprogrammierbare Steuerung (SPS) einfach erklärt

Denken Sie an eine Waschmaschine: Je nach Programm lässt sie Wasser ein, heizt, wäscht und schleudert. Ein kleines Steuergerät entscheidet, was wann passiert. Eine SPS erfüllt dieselbe Aufgabe in der Industrie – nur robuster, schneller und frei programmierbar. Auf Englisch heißt sie Programmable Logic Controller, kurz PLC.

SPS stecken in Verpackungsmaschinen, Abfüllanlagen, Kläranlagen, Aufzügen und in der Gebäudetechnik. Sie gehören zu den industriellen Steuerungssystemen, kurz ICS, und sind ein zentraler Baustein der OT (Operational Technology). Gemeint ist die Technik, die physische Prozesse steuert, statt Daten zu verarbeiten.

So funktioniert eine SPS

Eine SPS arbeitet in einem festen Kreislauf, der sich oft viele Male pro Sekunde wiederholt:

1. Eingänge lesen: Sensoren melden z. B. Temperatur, Druck, Füllstand oder ob eine Lichtschranke unterbrochen ist.
2. Programm ausführen: Das Steuerungsprogramm entscheidet nach festen Regeln, was zu tun ist – etwa „Wenn der Behälter voll ist, Ventil schließen“.
3. Ausgänge schalten: Die SPS steuert Aktoren an, also Motoren, Ventile, Pumpen oder Signallampen.

Programmiert wird die SPS über eine spezielle Software auf einem gewöhnlichen PC, der sogenannten Engineering-Workstation. Die gängigen Programmiersprachen beschreibt die Norm IEC 61131-3. Über das Netzwerk tauscht die SPS Daten mit Bedienpanels (HMI) und Leitsystemen wie SCADA aus.

Genau hier liegt das Sicherheitsproblem. Viele Steuerungen und Industrieprotokolle wie Modbus/TCP wurden für abgeschottete Netze entwickelt. Sie prüfen oft nicht, wer einen Befehl sendet. Wer Zugang zum Netzwerk hat, kann dann Werte lesen und verändern, das Steuerungsprogramm überschreiben oder die Steuerung anhalten.

Ein Beispiel aus der Praxis

Ein Lebensmittelhersteller lässt seine Netze im Rahmen eines Penetrationstests prüfen. Laut Netzplan ist die Produktion vom Büronetz getrennt. Im Test zeigt sich jedoch: Über eine vergessene Firewall-Regel für die Fernwartung erreicht ein Büro-PC die Steuerungen der Abfüllanlage direkt.

Die Tester können das Steuerungsprogramm einer SPS ohne Passwort auslesen. Die Konfiguration zeigt außerdem, dass die Steuerung auch Programmänderungen ohne Passwort annehmen würde. Ein Angreifer hätte so Sollwerte wie Temperaturen oder Füllmengen verändern können. Das Unternehmen schließt die Firewall-Regel, richtet eine abgesicherte Fernwartung ein und aktiviert den Zugriffsschutz der Steuerungen.

Warum ist das für Unternehmen wichtig?

Wird eine SPS manipuliert, geht es nicht nur um Daten. Es drohen Produktionsausfälle, fehlerhafte Produkte und im schlimmsten Fall Gefahren für Menschen und Umwelt. Spätestens seit dem Computerwurm Stuxnet, der 2010 bekannt wurde, ist belegt, dass Schadsoftware Steuerungen gezielt sabotieren kann.

Hinzu kommt: SPS laufen oft viele Jahre, manchmal Jahrzehnte. Updates lassen sich nicht einfach einspielen, weil jede Änderung die Produktion betrifft und häufig mit dem Hersteller abgestimmt werden muss.

Auch die Regulierung zieht an. Die EU-Maschinenverordnung (EU) 2023/1230, die ab dem 20. Januar 2027 gilt, verlangt von Maschinenherstellern unter anderem, Maschinen und ihre Steuerungen gegen Manipulationen zu schützen, die zu gefährlichen Situationen führen können. Orientierung für die Absicherung bietet die Normenreihe IEC 62443.

So schützen Sie sich

• Netze trennen: Steuerungen gehören in eigene, streng abgeschottete Netzbereiche. Zwischen Produktions- und Büronetz sind nur ausdrücklich erlaubte Verbindungen möglich – Stichwort Segmentierung.
• Nie direkt ins Internet: Eine SPS darf nicht aus dem Internet erreichbar sein.
• Fernwartung absichern: Zugänge für Dienstleister nur mit Multi-Faktor-Authentifizierung, zeitlich begrenzt und protokolliert.
• Schutzfunktionen nutzen: Viele Steuerungen bieten einen Passwortschutz für Programmzugriffe, Zugriffsstufen oder einen Schreibschutz. Aktivieren Sie diese Funktionen. Bei manchen Modellen verhindert zusätzlich ein Schlüsselschalter am Gerät Programmänderungen im laufenden Betrieb.
• Engineering-Workstations härten: Diese PCs erreichen alle Steuerungen. Sie sollten nicht gleichzeitig für E-Mail und Internet genutzt werden.
• Inventar und Sicherungen pflegen: Wissen Sie, welche Steuerungen mit welcher Firmware, also welcher Gerätesoftware, laufen? Sichern Sie die Steuerungsprogramme regelmäßig.
• Updates planen: Spielen Sie Firmware-Updates nach Freigabe durch den Hersteller in Wartungsfenstern ein.

Wie Rootsektor unterstützt

Mit einem Penetrationstest für OT, ICS/SCADA & IoT prüfen wir, ob Angreifer aus dem Büronetz oder über die Fernwartung bis zu Ihren Steuerungen gelangen und wie gut diese geschützt sind. Wir beginnen passiv, ohne Datenverkehr ins Steuerungsnetz zu senden. Aktive Tests an Steuerungen erfolgen nur nach Ihrer Freigabe – bevorzugt in Wartungsfenstern oder an einem Testaufbau. Mehr zu den Anforderungen Ihrer Branche lesen Sie unter Industrie & Produktion.