Recht, Sicherheit, Förderung
Cyber Resilience Act: Meldepflicht ab 11. September 2026
Ab 11.09.2026 gilt die CRA-Meldepflicht — auch für Maschinen, die längst ausgeliefert sind. Was Artikel 14 verlangt, wen er trifft, was bis dahin zu tun ist.
Betrieb · Bestandsaufnahme
Bestandsaufnahme im Produktionsnetz ohne Stillstand
Warum ein gewöhnlicher Netzwerkscan eine Anlage anhalten kann, was stattdessen geht und welche Angaben eine OT-Inventarliste tragfähig machen.
Stand:
Wer heute wissen will, was in seinem Produktionsnetz steht, hat einen guten Grund dafür: Der Cyber Resilience Act verlangt von Herstellern eine belastbare Übersicht ihrer Produkte, und Betreiber brauchen dieselbe Übersicht, um Meldepflichten, Wartungsplanung und Ersatzteilbevorratung überhaupt beantworten zu können.
Der naheliegende erste Schritt ist zugleich der gefährlichste: ein Netzwerkscan.
GrundlageNIST SP 800-82 Rev. 3BSI ICS-Security-KompendiumIEC 62443-2-1IEC 62443-3-3
Dieser Artikel beschreibt die Aufnahme im eigenen Netz: was ohne eine einzige gesendete Anfrage sichtbar wird, wann aktives Nachfragen vertretbar ist und welche Angaben aus einer Geräteliste eine Entscheidungsgrundlage machen.
- Passiver Weg an den Verkehr
- Findet nicht statt: senden in Richtung Anlage
- Anlagenteil, unverändert im Betrieb
Eigene Darstellung.
Warum ein Suchlauf hier gefährlich ist
In der Büro-IT ist ein Suchlauf über das Netz ein Routinevorgang. In der Automatisierung ist er es nicht.
Die einschlägige Leitlinie für OT-Sicherheit des US-amerikanischen NIST beschreibt das nicht als theoretisches Risiko, sondern anhand tatsächlicher Vorfälle: ein Handhabungsgerät, das nach einem Suchlauf unkontrolliert reagierte; eine Halbleiterfertigung, in der derselbe Vorgang die Geräte zum Stillstand brachte und die Charge verloren war. Beide Male war die Absicht harmlos.
Der Grund dafür liegt in der Bauart der Geräte — und er entscheidet, womit eine Bestandsaufnahme anfängt.
Zwei Wege zur selben Liste
Was der Unterschied im laufenden Betrieb bedeutet.
Aktiv
Suchlauf über einen Adressbereich
Das Werkzeug sendet Anfragen und wertet aus, wer antwortet.
- Eine Steuerung bearbeitet den Netzwerkverkehr mit demselben Prozessor, der auch das Anwenderprogramm rechnet
- Ältere Kommunikationsprozessoren haben sehr kleine Puffer: Was ein PC nebenbei wegsteckt, bringt sie an ihre Grenze
Sendet und wartet auf Antwort
Passiv
Mitlesen am Spiegelport oder Abgriff
Es wird ausschließlich gelesen; kein Paket verlässt den Beobachtungsplatz.
- Der zyklische Prozessdatenverkehr nennt seine Teilnehmer von selbst
- Nachbarschaftsmeldungen zeichnen die Topologie nach — welches Gerät an welchem Port welches anderen Geräts hängt
- Am Verkehr der Anlage ändert sich durch das Mitlesen nichts
Liest nur mit
Der aktive Suchlauf ist nicht verboten. Die Bestandsaufnahme fängt aber passiv an und fragt erst dort aktiv nach, wo passiv nichts mehr kommt.
Was ein Mitschnitt zeigt
Ein Produktionsnetz redet ununterbrochen über sich selbst. Wer eine halbe Stunde an einem Spiegelport mitschneidet, hat den Anlagenteil weitgehend beschrieben, ohne ein einziges Paket gesendet zu haben.
Praktisch geht das auf zwei Wegen.
Zugang zum Verkehr
Kopie im Switch oder Abgriff in der Leitung.
Weg 1
Spiegelport
Der Switch kopiert den Verkehr eines oder mehrerer Ports auf einen Beobachtungsport. Das ist der bequemere Weg: Er wird im Switch eingestellt, die Anlage bleibt verkabelt, wie sie ist.
Ohne Eingriff in die Verkabelung
Weg 2
Passiver Abgriff
Er sitzt zwischen zwei Teilnehmern und macht den Verkehr mitlesbar, ohne ihn zu verändern. Aufwendiger einzubringen — dafür ohne die Eigenheiten des Spiegelports.
In der Leitung, nicht im Switch
Grenze
Was der Spiegelport nicht kann
Er verwirft bei Überlast stillschweigend Pakete, und er verändert das Zeitverhalten — beides macht ihn für Laufzeitmessungen untauglich. Für eine Bestandsaufnahme ist er dennoch ausreichend; für Messungen an PROFINET-Grenzwerten ist er es nicht.
Für die Bestandsaufnahme genügt der Spiegelport.
Der Abgleich ist das eigentliche Ergebnis
Die Liste aus dem Mitschnitt ist Rohmaterial. Ihren Wert bekommt sie erst im Vergleich mit dem, was in den Unterlagen steht.
Abgleich
Vier Befunde, die regelmäßig auftauchen.
- Im Netz, nicht im Plan
- Nachgerüstete Sensorik, Diagnosegeräte, ein vergessenes Wartungsnotebook mit fester Adresse
- Im Plan, nicht im Netz
- Geräte, die es nicht mehr gibt
- Firmware weicht ab
- Beim Gerätetausch übernommener Stand des Neugeräts — in der Anlage, nicht in der Dokumentation
- Adresse doppelt vergeben
- In getrennten Anlagenteilen unauffälligfällt spätestens beim Zusammenschluss zweier Netze auf
Gehalten wird der Mitschnitt gegen Projektstände, Topologiepläne, Ersatzteillisten und Wartungsverträge.
Diese Abweichungen sind der eigentliche Ertrag. Sie sind gleichzeitig der Grund, warum eine Bestandsaufnahme nicht an eine Software delegiert werden kann: Ein Werkzeug findet die Geräte, aber nur jemand mit Anlagenkenntnis erkennt, welche Abweichung harmlos ist und welche eine Geschichte hat.
Was Neugeräte lösen — und was nicht
Aktuelle Steuerungsgenerationen kommen mit deutlich strengeren Voreinstellungen als ihre Vorgänger: Schreibzugriffe sind ohne Berechtigung nicht möglich, Altprotokolle sind abgeschaltet, Kommunikationswege müssen bewusst freigegeben werden.
Der Haken ist die Migration.
Projektherkunft
Wie eine fabrikneue Steuerung zu alten Freigaben kommt.
Bestand
Altprojekt
Freigaben und Protokolleinstellungen aus der Zeit seiner Erstinbetriebnahme.
Vorgang
Migration
Programm und Konfiguration werden auf die neue Steuerung umgestellt.
Neu
Aktuelle Steuerung
Ab Werk mit strengeren Voreinstellungen, die hier aber nicht zum Zug kommen.
Ergebnis
Alte Konfiguration, neue Hardware
Es gilt das, was das Projekt mitgebracht hat.
Die strengeren Voreinstellungen wirken bei einem neu angelegten Projekt — nicht bei einem übernommenen.
Der Prüfpunkt ist damit nicht die Hardware-Generation, sondern die Projektherkunft. Bei jedem migrierten Projekt gehören die Sicherheitsparameter einmal bewusst durchgesehen — was bei einer Migration ohnehin ansteht, aber gerne untergeht, weil die Anlage ja läuft.
Was eine Liste tragfähig macht
Eine Bestandsaufnahme, die nur Gerätetyp, Adresse und Firmware enthält, ist eine Gerätesammlung. Zur Entscheidungsgrundlage wird sie erst mit den Angaben, die nicht im Netz stehen.
Inventarliste
Sechs Angaben je Gerät.
Eindeutige Kennung
Eine Bezeichnung, die das Gerät im ganzen Werk nur einmal trägt.
Physischer Ort
Schaltschrank, Anlagenteil, Halle. Ohne Ortsangabe ist die Liste im Störungsfall wertlos.
Verantwortlichkeit
Wer entscheidet über Änderungen an diesem Gerät.
Schutzbedarf
Was passiert bei Ausfall, Manipulation oder Datenabfluss.
Abhängigkeiten
Was steht mit still, wenn dieses Gerät steht.
Zugangswege
Wer kommt von wo an das Gerät heran, einschließlich Fernwartung.
Diese Struktur entspricht dem, was das ICS-Security-Kompendium des BSI für eine Inventarisierung verlangt, und sie ist zugleich die Vorlage für die Zonen-Einteilung nach IEC 62443. Der Aufwand fällt also nur einmal an.
Die Aufnahme selbst, Schritt für Schritt
Anleitung
Von der ersten Leitung bis zur belastbaren Liste.
Die Reihenfolge ist der eigentliche Schutz: Jeder Schritt verkleinert das, was im nächsten noch aktiv geklärt werden muss.
Den Beobachtungsplatz einrichten
Vor OrtMitgeschnitten wird dort, wo der Verkehr des Anlagenteils zusammenläuft: am Switch, über einen Spiegelport oder einen Abgriff. Über die Ausbeute entscheidet der Zeitpunkt: Ein Mitschnitt, der einen Anlauf enthält, ist mehr wert als ein längerer im eingeschwungenen Betrieb — beim Anlauf lösen die Geräte ihre Namen auf, und die Zuordnung von Name zu Gerät wird sichtbar.
Und der Beobachtungsrechner selbst muss passiv bleiben, sonst ist ausgerechnet er der erste, der unerwartete Anfragen ins Netz stellt.
Offene Punkte einzeln klären
Im StillstandManches bleibt passiv offen: der genaue Firmware-Stand eines Geräts, das gerade nicht kommuniziert, oder ein Anlagenteil, der nur im Rüstbetrieb aktiv ist. Für diese Reste gilt:
- Im Stillstand, nicht im laufenden Betrieb. Ein geplanter Wartungsstopp ist der richtige Zeitpunkt.
- Einzeln und gezielt, nicht als Suchlauf über einen Adressbereich. Die Frage lautet „welche Firmware hat dieses Gerät“, nicht „was ist alles da“.
- Mit Protokoll: Was wurde wann von welcher Adresse aus abgefragt. Das schützt beim nächsten unerklärlichen Stillstand vor der falschen Vermutung.
Herstellerseitige Diagnosewerkzeuge sind hier fast immer die bessere Wahl als allgemeine Netzwerkwerkzeuge: Sie sprechen das Protokoll, das das Gerät erwartet, statt es mit unerwarteten Anfragen zu konfrontieren.
Die Liste um das ergänzen, was nicht im Netz steht
GesprächeDie sechs Angaben aus der Prüfliste oben stehen in keinem Paket. Sie kommen aus Gesprächen: mit der Instandhaltung, mit dem Anlagenverantwortlichen, mit der Person, die eine Fernwartungsfreigabe erteilt hat.
Dieser Schritt bleibt am häufigsten liegen, weil die Geräteliste nach der Auswertung bereits vollständig aussieht. Sie ist es nicht: Eine Liste ohne Verantwortlichkeit und ohne Abhängigkeiten beantwortet im Störungsfall keine einzige Frage.
Zur Aktualität
Eine Bestandsaufnahme veraltet ab dem Tag ihrer Fertigstellung. Der übliche Fehler ist ein Kalenderintervall — einmal im Jahr, meist im Dezember, meist abgeschrieben. Tragfähiger ist die Kopplung an Ereignisse.
Wann muss die Liste angefasst werden?
Nicht nach Kalender, sondern nach Anlass. Der erste zutreffende Fall ist die Antwort.
Wenn
Gerätetausch im Anlagenteil
Dann
Vor der Rückgabe an die Produktion
Der Firmware-Stand des Neugeräts steht sonst nur in der Anlage und sonst nirgends.
Wenn
Umbau eines Anlagenteils
Dann
Mit der Wiederinbetriebnahme
Topologie, Adressen und Abhängigkeiten ändern sich im Umbau — und mit ihnen jede Zeile, die daran hängt.
Wenn
Neue Fernwartungsfreigabe
Dann
Sofort, mit Datum und Grund
Ein Zugangsweg, der nicht in der Liste steht, wird auch nicht wieder geschlossen.
Wenn
Jede Änderung am Netz, bis hin zum Zusammenschluss zweier Netze
Dann
Vor der Änderung
Doppelt vergebene Adressen aus getrennten Anlagenteilen fallen spätestens beim Zusammenschluss auf.
Jeder dieser Anlässe ist ein Vorgang, der ohnehin dokumentiert wird. Die Liste hängt sich daran, statt einen eigenen Termin zu brauchen.
Wenn die Liste im Änderungsprozess mitläuft, bleibt sie richtig. Wenn sie ein eigener Vorgang bleibt, wird sie es nie wieder.
Fahrplan
Bestandsaufnahme im Produktionsnetz
Vier Schritte von der passiven Beobachtung bis zur belastbaren Liste — ohne aktive Suchläufe im laufenden Betrieb.
Zuerst passiv mitlesen
Über einen Spiegelport oder einen passiven Abgriff mitschneiden, statt Anfragen zu senden. Der zyklische Datenverkehr nennt Teilnehmer, Namen und Beziehungen von selbst.
Unterlagen gegen die Wirklichkeit halten
Projektstände, Topologiepläne und Ersatzteillisten mit dem Mitschnitt abgleichen. Die Abweichungen sind das eigentliche Ergebnis dieses Schritts.
Aktives Nachfragen nur geplant
Was passiv offenbleibt, gezielt und einzeln klären — im Stillstand, mit Ansprechpartner vor Ort und mit vorher verabredetem Abbruchpunkt. Nie als breiter Suchlauf über das Netz.
Liste um Betriebsangaben ergänzen
Zu jedem Gerät gehören Verantwortlichkeit, Schutzbedarf und Abhängigkeiten. Ohne diese Angaben ist die Liste eine Gerätesammlung, aber keine Entscheidungsgrundlage.
FAQ
Häufige Fragen.
Warum kann ein Netzwerkscan eine Anlage anhalten?
Weil Automatisierungsgeräte für zyklische, vorhersagbare Kommunikation ausgelegt sind. Unerwartete Anfragen kosten Rechenzeit im selben Prozessor, der die Steuerungsaufgabe erledigt. Dokumentierte Fälle reichen von blockierten Handhabungsgeräten bis zum Anlagenstillstand.
Was heißt passive Bestandsaufnahme genau?
Es wird ausschließlich mitgelesen, nicht gesendet — über einen Spiegelport im Switch oder einen Abgriff in der Leitung. Der laufende Verkehr identifiziert die Teilnehmer bereits; zusätzliche Anfragen sind dafür meist nicht nötig.
Ist eine neue Steuerung automatisch sicher eingestellt?
Neue Geräte kommen mit strengeren Voreinstellungen als früher. Ein migriertes Altprojekt bringt seine Einstellungen aber mit — die alte Konfiguration wird übernommen, nicht durch die neuen Voreinstellungen ersetzt.
Welche Angaben gehören in eine OT-Inventarliste?
Über die Gerätedaten hinaus: eindeutige Kennung, physischer Ort, Netzanbindung, Firmware- und Projektstand, Verantwortlichkeit, Schutzbedarf und die Abhängigkeiten zu anderen Anlagenteilen.
Wie oft muss die Liste erneuert werden?
Sie sollte an Änderungen hängen, nicht an einem Kalenderintervall. Jeder Umbau, jeder Gerätetausch und jede Fernwartungsfreigabe ist ein Anlass. Eine jährlich abgeschriebene Liste beschreibt eine Anlage, die es so nicht mehr gibt.
Weiterlesen
Kommunikation & Daten
OPC UA auf der S7-1500: Grenzen, die selten dabeistehen
Strukturen sind nicht konsistent lesbar, der Server läuft im CPU-STOP weiter, Zeitstempel meinen etwas anderes: Was vor einer MES-Anbindung zu klären ist.
Kommunikation & Daten
PROFINET-Analyse: Welche Grenzwerte wirklich gelten
Jitter und CRC-Fehler stehen in jedem Messbericht — als Abnahmekriterium kennt die PI-Richtlinie sie nicht. Die vier Pflichtgrößen und ihre Zahlenwerte.
Kontakt
Stellen Sie Ihr Vorhaben vor.
Eine erste Einschätzung zu Ihrem Vorhaben ist kostenfrei und unverbindlich.
Zum Kontaktformular
Antwort innerhalb von zwei Werktagen