SPS (Speicherprogrammierbare Steuerung)

Was ist eine SPS?

Eine speicherprogrammierbare Steuerung (SPS, englisch PLC) ist der Industrierechner, der die Steuerungslogik einer Maschine oder Anlage ausführt. Das Programm läuft in einem festen Zyklus: alle Eingänge lesen, Logik abarbeiten, alle Ausgänge schreiben, typischerweise innerhalb weniger Millisekunden, und von vorn. Gebaut ist die SPS für die Fertigungshalle: große Temperaturbereiche, Vibration, 24-V-E/A, Jahrzehnte im Einsatz. Von der Verpackungsmaschine bis zum Wasserwerk wird alles von einer oder mehreren SPS gesteuert.

Nach unten ist eine SPS über E/A-Module und Feldbusse (PROFINET, EtherNet/IP, EtherCAT, Modbus) mit Sensoren, Aktoren und Antrieben verbunden, nach oben mit HMIs und SCADA, zur Seite mit dem Engineering-Arbeitsplatz, von dem aus sie programmiert wird. Sicherheits-SPS führen Sicherheitsfunktionen wie Not-Halt und Schutztürüberwachung mit redundanter Hardware aus.

Wo ist es definiert?

Die Normenreihe IEC 61131 definiert speicherprogrammierbare Steuerungen. Teil 3 standardisiert die fünf Programmiersprachen: Kontaktplan, Funktionsbausteinsprache, Strukturierter Text, Anweisungsliste und Ablaufsprache. Sicherheitsanforderungen an die SPS als Komponente kommen aus IEC 62443-4-2 (Identifikation und Authentifizierung, Nutzungskontrolle, Integrität, Vertraulichkeit, eingeschränkter Datenfluss, rechtzeitige Reaktion auf Ereignisse, Verfügbarkeit der Ressourcen), der Entwicklungsprozess des Herstellers aus IEC 62443-4-1. Viele Hersteller zertifizieren aktuelle SPS-Familien nach beiden. Das IT-Grundschutz-Kompendium des BSI hat mit IND.2.2 einen eigenen Baustein für die SPS. Für Betreiber und Integratoren sammelt das Community-Dokument Top 20 Secure PLC Coding Practices Maßnahmen, die sich im Steuerungsprogramm selbst umsetzen lassen. Neue SPS, die auf den EU-Markt kommen, fallen unter den Cyber Resilience Act.

Was es in der Praxis bedeutet

Typische Findings, wenn wir SPS in Anlagen und im Labor anschauen:

• Kein Zugriffsschutz. Die Schutzstufe steht auf keine oder auf Lesezugriff mit einem Passwort, das in der Projektdatei liegt. Wer den Engineering-Port erreicht, kann das Programm hochladen, ändern und zurückspielen.
• Stopp und Start aus dem Netz. Das Engineering-Protokoll erlaubt einen CPU-Stopp ohne Authentifizierung. Ein einzelnes Paket hält die Maschine an.
• Keine Integritätsprüfung der Logik. Die SPS prüft nicht, wer das Programm wann geändert hat; das HMI zeigt den Prozess, nicht den Code.
• Webserver und Dienste. Eingebaute Webserver mit jahrealter Firmware, SNMP mit Standard-Communities, FTP für Rezeptdateien, alles aus dem Büronetz erreichbar, weil die SPS in einem flachen Netz steht.
• Geheimnisse im Projekt. Fest codierte Passwörter und IP-Adressen im Steuerungsprogramm und im HMI-Projekt, die auf jedem Integrator-Laptop landen.
• Debug-Schnittstellen. Auf der Hardwareseite erlauben Serviceports und ungeschützte Firmware-Images, die Firmware am Labortisch auszulesen und zu verändern.

Die Fixes beginnen beim Netz: SPS gehören in eine eigene Zone, erreichbar nur vom Engineering-Arbeitsplatz und vom HMI über einen Conduit mit Protokollfilter. Dann das Gerät: Zugriffsschutz auf der höchsten Stufe, mit der die Anlage leben kann, Programm und Firmware signiert, wo der Hersteller es unterstützt, Protokollierung von Logikänderungen, Firmware-Updates im Wartungsfenster. Zyberum testet SPS in Testzellen und im Hardware-Labor (Firmware-Extraktion, Protokoll-Fuzzing an Laborgeräten), prüft Steuerungsprogramme gegen die Secure Coding Practices und macht IEC-62443-4-2-Gap-Analysen für Steuerungshersteller.

Häufige Missverständnisse

Ein Passwort in der Engineering-Software ist kein Schutz auf der SPS, solange die Steuerung es nicht selbst durchsetzt. Steuerungslogik ist Angriffsfläche: Vorfälle seit Stuxnet haben SPS-Programme manipuliert, nicht nur IT-Systeme. Und eine sicherheitsgerichtete SPS ist keine sichere SPS; die beiden Zertifizierungen prüfen unterschiedliche Dinge.