Siemens-S7-Anlagen sicher fernwarten? WZ-IT baut souveräne Remote-Management-Plattformen - SPS und HMI im Browser erreichbar, ohne einen einzigen offenen Port an der Anlage.
S7-/SPS-Fernzugriff ohne offene Ports funktioniert, indem die Steuerung niemals selbst ins Internet exponiert wird. Statt am Anlagen-Router einen Port freizugeben, baut der Standort einen ausgehenden WireGuard-Tunnel zu einem zentralen Gateway auf - kein eingehender Port, keine Portweiterleitung. Der Servicetechniker erreicht HMI und Steuerung nur über dieses Gateway: das HMI clientlos im Browser (Apache Guacamole/VNC), den TIA-Portal-Zugriff über denselben verschlüsselten Tunnel. So ersetzen Sie Hardware-Router wie Ewon, IXON oder Secomea durch eine souveräne, self-hosted und herstellerunabhängige Plattform.
Das Problem: SPS und HMI gehören nicht ins Internet
Eine SPS ist kein gehärteter Webserver. Die Siemens-S7-Kommunikation (S7comm bzw. S7commPlus) läuft über ISO-on-TCP nach RFC 1006 auf TCP-Port 102; STEP 7, das TIA Portal und WinCC sprechen die Steuerung über genau diesen Port an (S7comm, Wireshark-Wiki). Wer diesen Port per Portweiterleitung ins Internet stellt, macht die Steuerung weltweit erreichbar - und automatisierte Scan-Dienste finden solche Hosts in Minuten.
Genau davor warnen Hersteller und Behörden konsequent. CISA empfiehlt in jeder ICS-Advisory, die Netzwerk-Exposition von Steuerungen zu minimieren, sie nicht aus dem Internet erreichbar zu machen und hinter Firewalls von den Büronetzen zu trennen (CISA-Advisory Siemens SIMATIC, 2026). Auch HMIs sind betroffen: Das eingebaute VNC (Remote Framebuffer, RFC 6143) ist im Auslieferungszustand unverschlüsselt und gehört nie direkt ins Netz. Ein offener Port 102 oder 5900 ist damit kein Komfort, sondern ein Einfallstor.
Die Lösung: ausgehender WireGuard-Tunnel statt Portfreigabe
Der Schlüssel ist die Richtung des Verbindungsaufbaus. Bei einem ausgehenden Tunnel initiiert der Standort die Verbindung - nicht das Internet die Verbindung zum Standort. WireGuard ist dafür ideal: ein schlankes, modernes VPN-Protokoll, seit Linux 5.6 (2020) fest im Mainline-Kernel, mit fester moderner Kryptografie (Curve25519, ChaCha20-Poly1305) und ausschließlich über UDP.
So bleibt am Anlagen-Router kein eingehender Port offen:
- Der Standort baut den Tunnel aktiv nach außen zu einem zentralen Konzentrator auf.
PersistentKeepalivehält die Verbindung durch NAT und Firewall hindurch offen.- Nur der zentrale Konzentrator braucht einen erreichbaren UDP-Endpunkt - die Anlage selbst nicht.
- Die Angriffsfläche aus dem Internet auf die Steuerung ist damit null.
Wie Sie eine Anlage Schritt für Schritt outbound-only anbinden, zeigt der Artikel zur WireGuard-Standortanbindung. Der Tunnel ist die Transportschicht; alles Weitere - HMI-Bild, Engineering-Zugriff - läuft darin verschlüsselt.
HMI im Browser: Guacamole und VNC ohne Client
Über den Tunnel erreicht der Techniker das HMI, ohne lokal Software zu installieren. Ein clientloses Gateway wie Apache Guacamole (Version 1.6.0, veröffentlicht am 22.06.2025, Apache License 2.0) baut die VNC-Sitzung serverseitig auf und rendert das Panel-Bild per HTML5 (Canvas und WebSockets) in einem normalen Browser-Tab. Siemens Comfort Panels stellen über den integrierten Sm@rtServer einen VNC-Server auf Port 5900 bereit; Bediengeräte von B&R und Beckhoff sowie SCADA-Software bringen VNC ebenfalls mit.
Der Ablauf: Techniker meldet sich am Guacamole-Portal an (TLS, MFA), wählt die Maschine, Guacamole baut die VNC-Sitzung über den WireGuard-Tunnel auf Port 5900 auf. Das Panel-Bild landet als Stream im Browser, Eingaben gehen denselben Weg zurück - und jede Sitzung lässt sich aufzeichnen und im Browser abspielen. Details dazu im Artikel VNC im Browser.
TIA-Portal- und Engineering-Zugriff über den Tunnel
Reine Sicht aufs HMI reicht für Bedienung und Diagnose. Für echtes Engineering - Bausteine laden, Online-Diagnose, Force-Tabellen - braucht das TIA Portal Zugriff auf Port 102 der SPS. Über den Tunnel gibt es zwei saubere Wege:
- Engineering-VM am Standort (empfohlen): Eine Windows-VM mit TIA Portal liegt nahe der Anlage im OT-Segment. Der Techniker bedient sie per RDP clientlos über Guacamole. Der S7-Verkehr (Port 102) verlässt das lokale OT-Netz nie - über den Tunnel reist nur das RDP-Bild. Das ist auditierbar, latenzarm und entkoppelt die Engineering-Version von der Hardware des Technikers.
- Geroutetes Workstation-Subnetz: Über
AllowedIPswird das OT-Subnetz in den Tunnel geroutet, sodass das TIA Portal auf dem Technik-Laptop die SPS direkt auf Port 102 erreicht. Flexibel, aber das Engineering-Werkzeug läuft dann außerhalb der kontrollierten Zone.
In beiden Fällen gilt: Port 102 bleibt im internen OT-Segment, der Zugriff ist authentifiziert, rollenbasiert und protokolliert. Das passt zum Zonen-und-Conduit-Modell der IEC 62443, das Fernzugriff als kontrollierten Conduit mit VPN und MFA vorsieht - nicht als offenen Durchgriff.
Ewon, IXON, Secomea - und die souveräne Alternative
Hardware-Router wie Ewon (mit der Talk2M-Cloud), IXON oder Secomea lösen dasselbe Grundproblem mit einem ausgehenden Tunnel - allerdings in die Cloud des Herstellers und gebunden an dessen Hardware. Für eine einzelne Maschine ist das schnell installiert. Über mehrere Standorte, mit eigenen Audit- und Souveränitätsanforderungen, wird die Abhängigkeit zum Problem.
| Kriterium | Self-hosted (WireGuard + Guacamole) | Hardware-Router (Ewon/Talk2M, IXON, Secomea) |
|---|---|---|
| Tunnel-Endpunkt | Eigene EU-Infrastruktur | Cloud des Herstellers |
| Vendor-Lock-in | Keiner (Open Source) | Hardware + Cloud des Herstellers |
| Offener Inbound-Port | Keiner (outbound-only) | Keiner (outbound-only) |
| HMI im Browser | Ja, clientlos (HTML5) | Teils App/Client nötig |
| TIA-Portal-Zugriff | Über Tunnel, Port 102 intern | Über Cloud-Tunnel |
| RBAC / Audit | Frei, feingranular, lückenlos | Vorgegeben, herstellerabhängig |
| Skalierung über Standorte | Mandantenfähig, zentral | Pro Gerät / pro Verbindung |
| Datenhoheit | Vollständig bei Ihnen | Beim Cloud-Anbieter |
Die souveräne Alternative dreht die Abhängigkeit um: WireGuard und Guacamole sind Open Source, der Tunnel zur Anlage endet auf Ihrer eigenen EU-Infrastruktur, und es gibt keinen Pfad, der zwingend über einen externen SaaS-Anbieter läuft. Die Bausteine und das Zusammenspiel zu einer Plattform beschreibt der Überblick Sichere Fernwartung von Maschinen und Anlagen.
Rechtlicher Rahmen: NIS2 und IEC 62443
Sicherer, protokollierter Fernzugriff ist für viele Betreiber inzwischen auch regulatorisch relevant. Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 06.12.2025 in Kraft getreten und verlangt unter anderem Risikomanagement, Zugriffskontrolle, MFA und Protokollierung; die ursprüngliche BSI-Registrierungsfrist (06.03.2026) wurde wegen geringer Registrierungszahlen bis zum 31.07.2026 verlängert. Die IEC 62443 liefert den technischen Rahmen mit ihrem Zonen-und-Conduit-Modell und der Forderung, Remote-Zugriff über kontrollierte Conduits zu führen.
Der hier beschriebene Aufbau - kein offener Port, verschlüsselter Tunnel, Browser-Gateway mit RBAC und Audit - deckt diese Erwartungen technisch ab. Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Wir sind Ingenieure, keine Juristen - die rechtliche Einordnung im Einzelfall gehört in fachkundige Hände.
So setzt WZ-IT das in der Praxis um
Wir bauen souveräne Remote-Management-Plattformen, bei denen SPS- und HMI-Zugriffe gebündelt über ein Browser-Portal laufen: WireGuard verbindet die Standorte ausgehend, Guacamole stellt VNC und RDP über TLS bereit, jede Sitzung ist rollenbasiert berechtigt und protokolliert. Für ABCO Water Systems in Australien betreiben wir genau so den Fernzugriff auf verteilte Wasseraufbereitungsanlagen samt HMI-Bedienung im Browser - ohne Einzel-VPN-Clients, ohne offene Ports an den Anlagen, mit zentralem Audit-Trail.
Wird für den Netzzugang ein Mesh-VPN benötigt, betreibt WZ-IT es als Managed NetBird ab 349,90 € netto im Monat; das Basispaket enthält Monitoring, Updates, Backups und Support.
Möchten Sie Ihren S7-/SPS-Fernzugriff ohne offene Ports aufstellen oder einen Hardware-Router ablösen? Lernen Sie uns kennen.
