von DerSchneider<\/p>\n\n\n\n
Modbus wird 50 Jahre alt \u2013 ein Alter, in dem in der Technikwelt normalerweise l\u00e4ngst der Ruhestand begonnen hat. Andere Protokolle aus den 1970ern (IEEE 488, HDLC, Bitbus) sind Museumsst\u00fccke oder Nischenl\u00f6sungen. Modbus hingegen ist allgegenw\u00e4rtig. Jeder zweite Frequenzumrichter, jeder dritte Sensor, fast jede speicherprogrammierbare Steuerung (SPS) beherrscht Modbus \u2013 sei es als Modbus RTU \u00fcber RS485 oder als Modbus TCP \u00fcber Ethernet.<\/p>\n\n\n\n
Wie konnte ein so simples, ja primitives Protokoll f\u00fcnf Dekaden \u00fcberleben? Und welche Kosten zahlt die Industrie daf\u00fcr in puncto Sicherheit, Performance und Interoperabilit\u00e4t? Dieser Artikel beleuchtet Modbus aus systemischer Perspektive: seine historischen Wurzeln, seine technischen Eigenheiten, die heutigen Sicherheitsrisiken \u2013 und die Frage, ob es an der Zeit ist, sich von diesem Veteran zu verabschieden.<\/p>\n\n\n\n
Das Jahr ist 1979. Die Firma Modicon (Modular Digital Controller) \u2013 Erfinder der speicherprogrammierbaren Steuerung \u2013 steht vor einem Problem: Ihre SPSen sollen mit anderen Ger\u00e4ten kommunizieren k\u00f6nnen, aber es gibt kein standardisiertes Protokoll. Also entwickelt Modicon ein eigenes, das sie schlicht Modbus<\/strong> nennen (kurz f\u00fcr \u201eModicon Bus\u201c).<\/p>\n\n\n\n Die Designziele sind radikal pragmatisch:<\/p>\n\n\n\n Die urspr\u00fcngliche Modbus\u2011Spezifikation (Modbus Application Protocol Specification V1.1) umfasst gerade einmal ein Dutzend Funktionen: Lesen und Schreiben von einzelnen oder mehreren Coils (digitalen Ausg\u00e4ngen), Diskreten Eing\u00e4ngen, Halteregistern (16\u2011Bit\u2011Daten) und Eingangsregistern. Das war’s. Keine aufwendigen Objektverzeichnisse, keine dynamische Konfiguration, keine Sicherheit \u2013 nur nackte Lese- und Schreibbefehle.<\/p>\n\n\n\n Diese Einfachheit war der Schl\u00fcssel zum Erfolg. Jeder Hersteller, der einen Frequenzumrichter, ein Panel oder einen Sensor baute, konnte Modbus mit wenigen Personentagen implementieren. Die Lizenzkosten waren null. Und weil Modbus so verbreitet war, implementierten es alle Hersteller, um mit den anderen zu kommunizieren \u2013 ein sich selbst verst\u00e4rkender Netzwerkeffekt.<\/p>\n\n\n\n Die klassische Variante l\u00e4uft \u00fcber asynchrone serielle Schnittstellen (RS232, RS485). Ein Datenframe besteht aus:<\/p>\n\n\n\n Die Einfachheit hat einen Preis: Es gibt keine Unterscheidung zwischen Daten und Steuerbefehlen im Frame \u2013 das Protokoll ist nicht \u201eescaping\u201c-f\u00e4hig. Das bedeutet, dass bestimmte Bytewerte (insbesondere 0x11 und 0x16) nicht im Datenfeld auftreten d\u00fcrfen, ohne speziell behandelt zu werden. In der Praxis umgeht man das durch Byte\u2011Stuffing oder verschobene Adressbereiche \u2013 ein notd\u00fcrftiger Flickenteppich.<\/p>\n\n\n\n Die Timing\u2011Falle:<\/strong> Modbus RTU erkennt das Frame-Ende an einer Pause von mindestens 3,5 Zeichen. Das ist auf heutigen Hochgeschwindigkeits-Mikrocontrollern problematisch: Bei 115200 Bit\/s entsprechen 3,5 Zeichen etwa 300 \u00b5s. Ein Interrupt-Latenz von mehr als 300 \u00b5s (durch ein Echtzeitbetriebssystem) kann dazu f\u00fchren, dass das Ende eines Frames falsch erkannt wird. Die L\u00f6sung: Entweder Modbus ASCII (das klare Start\/End-Zeichen verwendet) oder aufw\u00e4ndige Timer-basierte Framing-Erkennung.<\/p>\n\n\n\n Mit dem Siegeszug von Ethernet wurde Modbus auf TCP\/IP portiert. Das Frame ist nahezu identisch, nur ohne CRC (das von TCP\/IP \u00fcbernommen wird) und mit einem 7\u2011Byte\u2011Header (Transaction ID, Protocol ID, Length, Unit ID). Port 502 ist offiziell f\u00fcr Modbus TCP reserviert.<\/p>\n\n\n\n Der Vorteil: Modbus TCP kann \u00fcber existierende Unternehmensnetzwerke laufen, ohne zus\u00e4tzliche Verkabelung. Der Nachteil: Die Sicherheitsprobleme multiplizieren sich, wie wir sp\u00e4ter sehen werden.<\/p>\n\n\n\n Modbus wurde zu einer Zeit entwickelt, als das Wort \u201eCybersicherheit\u201c noch nicht existierte. Die Folge: Modbus ist von Grund auf unsicher. Die Schwachstellen sind systemisch:<\/p>\n\n\n\n 1. Keine Authentifizierung<\/strong> 2. Keine Verschl\u00fcsselung<\/strong> 3. Keine Integrit\u00e4tssicherung (au\u00dfer CRC)<\/strong> 4. Broadcast als Denial\u2011of\u2011Service\u2011Waffe<\/strong> 5. Keine Rate Limiting<\/strong> Die Realit\u00e4t:<\/strong> Sicherheitsvorf\u00e4lle mit Modbus sind keine Theorie. Der Stuxnet\u2011Wurm<\/strong> (2010) nutzte Modbus\u2011Befehle, um die Drehzahlen von Uranzentrifugen zu manipulieren. Die CrashOverride\u2011Malware<\/strong> (2016) schrieb direkt auf Modbus\u2011Halteregister in ukrainischen Umspannwerken, um Leistungsschalter zu \u00f6ffnen. In beiden F\u00e4llen half die Einfachheit von Modbus den Angreifern mehr als den Verteidigern.<\/p>\n\n\n\n \u00dcber die Sicherheitsprobleme hinaus hat Modbus handfeste technische Einschr\u00e4nkungen, die in modernen Automatisierungsarchitekturen schmerzen:<\/p>\n\n\n\n 1. Keine Ger\u00e4teerkennung<\/strong> 2. Begrenzte Datentypen<\/strong> 3. Keine Ereignisbenachrichtigung<\/strong> 4. Keine Priorit\u00e4ten<\/strong> Weil Modbus nicht verschwinden wird (dazu ist es zu tief in der installierten Basis verankert), haben Ingenieure und Normungsgremien Wege gefunden, die schlimmsten Schw\u00e4chen zu mildern:<\/p>\n\n\n\n 1. Modbus Security (Modbus\/TCP Security \u2013 RFC 2025 in Arbeit)<\/strong> 2. Tunneling \u00fcber VPN<\/strong> 3. Application Level Gateways (ALG)<\/strong> 4. Modbus mit Coils als Freigabe<\/strong> Es gibt technisch \u00fcberlegene Feldbusse und Protokolle:<\/p>\n\n\n\n Warum setzt sich keines davon gegen Modbus durch? Die Antwort ist systemisch: Installierte Basis und Kompatibilit\u00e4tszwang.<\/strong> Eine typische Fabrik hat hunderte von Modbus\u2011Ger\u00e4ten, die \u00fcber Jahrzehnte angeschafft wurden. Sie alle zu ersetzen w\u00e4re wirtschaftlicher Wahnsinn. Neue Ger\u00e4te m\u00fcssen aus Kompatibilit\u00e4tsgr\u00fcnden weiterhin Modbus unterst\u00fctzen, auch wenn sie zus\u00e4tzlich moderne Protokolle beherrschen.<\/p>\n\n\n\n Hinzu kommt die Einfachheit f\u00fcr kleine Ger\u00e4te<\/strong>. Ein 8\u2011Bit\u2011Mikrocontroller mit 2 KB RAM kann problemlos einen Modbus\u2011Stack laufen lassen, aber keinen OPC\u2011UA\u2011Stack (der oft 1 MB RAM ben\u00f6tigt). F\u00fcr Sensoren und Aktoren im unteren Preissegment bleibt Modbus die einzige realistische Option.<\/p>\n\n\n\n Die n\u00e4chsten zehn Jahre werden keinen Sieg eines einzigen Protokolls bringen, sondern eine geschichtete Architektur<\/strong>:<\/p>\n\n\n\n Hersteller wie HMS Networks, Moxa oder Anybus bieten solche Gateway\u2011L\u00f6sungen in H\u00fclle und F\u00fclle. Sie sind der Klebstoff, der die alte Modbus\u2011Welt mit der neuen IIoT\u2011Welt verbindet.<\/p>\n\n\n\n Modbus ist 50 Jahre alt, unsicher, technisch r\u00fcckst\u00e4ndig und dennoch unverzichtbar. Das ist kein Widerspruch, sondern eine Lehre \u00fcber die Tr\u00e4gheit industrieller Systeme. Die Fabrik von heute ist eine arch\u00e4ologische Ausgrabung in Betrieb: Schichten von Technologien aus verschiedenen Jahrzehnten, die irgendwie zusammengehalten werden m\u00fcssen.<\/p>\n\n\n\n Modbus ist das Fundament dieser Schichten. Es wird noch lange nicht verschwinden, aber es wird zunehmend hinter Sicherheits\u2011Gateways versteckt, durch Firewalls abgeschottet und durch moderne Protokolle erg\u00e4nzt. Der Erfinder von Modbus, Modicon (heute Teil von Schneider Electric), h\u00e4tte sich vor 50 Jahren wohl nicht tr\u00e4umen lassen, dass sein schmales Protokoll einmal die halbe Industrie zusammenh\u00e4lt \u2013 und zum Sicherheitsalbtraum einer vernetzten Welt wird. Modbus \u00fcber alles? Ja, aber bitte mit Sicherheitsnetz.<\/p>\n\n\n\n <\/p>","protected":false},"excerpt":{"rendered":" von DerSchneider Einleitung: Der Veteran unter den Feldbussen Modbus wird 50 Jahre alt \u2013 ein Alter, in dem in der Technikwelt normalerweise l\u00e4ngst der Ruhestand begonnen hat. Andere Protokolle aus den 1970ern (IEEE 488, HDLC, Bitbus) sind Museumsst\u00fccke oder Nischenl\u00f6sungen. Modbus hingegen ist allgegenw\u00e4rtig. Jeder zweite Frequenzumrichter, jeder dritte Sensor, fast jede speicherprogrammierbare Steuerung (SPS) […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[44,17,46,26],"tags":[2388,3294,4079,4663,4664,5162,6057],"class_list":["post-3118","post","type-post","status-publish","format-standard","hentry","category-ethik-gewissen","category-im-herz","category-industrie-4-0","category-mit-den-handen","tag-feldbus-sicherheitslucken","tag-industrielle-kommunikationsprotokolle","tag-legacy-systeme-in-der-industrie-4-0","tag-modbus-rtu-vs-tcp","tag-modbus-gateway-architektur","tag-ot-sicherheitsrisiken","tag-scada-sicherheit"],"_links":{"self":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/3118","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/comments?post=3118"}],"version-history":[{"count":0,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/3118\/revisions"}],"wp:attachment":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/media?parent=3118"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/categories?post=3118"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/tags?post=3118"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
Technische Anatomie: Wie Modbus funktioniert<\/h2>\n\n\n\n
Modbus RTU (Remote Terminal Unit)<\/h3>\n\n\n\n
\n
Modbus TCP (Modbus\/TCP)<\/h3>\n\n\n\n
Die Schattenseiten: Warum Modbus ein Sicherheitsrisiko ist<\/h2>\n\n\n\n
Jeder Client, der auf das Netzwerk zugreifen kann, kann Modbus\u2011Befehle senden. Es gibt keine Passw\u00f6rter, keine Zertifikate, keine Rollen. Ein Angreifer muss lediglich die Modbus\u2011Adresse des Zielger\u00e4ts kennen (oft der Werksstandard 1) und kann dann beliebig Coils setzen oder Register schreiben.<\/p>\n\n\n\n
Alle Daten \u2013 auch sensible Prozesswerte oder Konfigurationsparameter \u2013 werden im Klartext \u00fcbertragen. Ein Angreifer im Netzwerk kann mith\u00f6ren (Sniffing) und die Kommunikation analysieren, um Schwachstellen zu finden.<\/p>\n\n\n\n
Das CRC im RTU-Modus sch\u00fctzt nur vor zuf\u00e4lligen Bitfehlern, nicht vor gezielter Manipulation. Ein Angreifer kann ein Frame \u00e4ndern und das CRC neu berechnen \u2013 das Protokoll erkennt keine b\u00f6swillige Modifikation.<\/p>\n\n\n\n
Der Broadcast\u2011Befehl (Adresse 0) wird von allen Slaves gleichzeitig ausgef\u00fchrt. Ein Angreifer kann einen Broadcast\u2011Write auf ein kritisches Register senden (z.\u202fB. \u201eMotorfreigabe aus\u201c) und so die gesamte Produktion lahmlegen.<\/p>\n\n\n\n
Modbus hat keine eingebaute Begrenzung der Befehlsh\u00e4ufigkeit. Ein Angreifer kann tausende Lese\u2011\/Schreibbefehle pro Sekunde senden, was die SPS \u00fcberlastet und in einen Reset oder eine Fehlerzustand treiben kann (\u201eModbus\u2011Storm\u201c).<\/p>\n\n\n\nDie unangenehme Wahrheit: Modbus ist auch technisch veraltet<\/h2>\n\n\n\n
Ein Modbus\u2011Master muss die Adressen und Registerzuordnungen der Slaves im Voraus kennen. Es gibt kein \u201ePlug and Play\u201c. Wer einen Sensor austauscht, muss oft die SPS\u2011Programmierung anpassen, weil die Registeradressen abweichen. Das widerspricht dem Gedanken der Industrie 4.0 mit dynamischer Konfiguration.<\/p>\n\n\n\n
Modbus kennt nur 16\u2011Bit\u2011Register (Halteregister) und Bits (Coils). 32\u2011Bit\u2011Gleitkommazahlen (Float) m\u00fcssen \u00fcber zwei aufeinanderfolgende Register abgebildet werden \u2013 mit allen Problemen der Byte-Reihenfolge (Little\u2011 vs. Big\u2011Endian). Strings werden als aufeinanderfolgende 16\u2011Bit\u2011Werte kodiert. Es gibt keine einheitliche Konvention, was zu endlosen Kompatibilit\u00e4tsproblemen f\u00fchrt.<\/p>\n\n\n\n
Modbus ist ein reines Polling\u2011Protokoll. Der Master muss zyklisch alle Slaves abfragen, auch wenn sich deren Werte nicht ge\u00e4ndert haben. Das erzeugt unn\u00f6tigen Netzwerkverkehr. Bei 247 Slaves und einer Zykluszeit von 100 ms pro Slave kommt man auf eine Gesamtzykluszeit von fast 25 Sekunden \u2013 viel zu langsam f\u00fcr viele Regelungen. Modbus kann keine spontanen Nachrichten (\u201eChange of State\u201c) senden.<\/p>\n\n\n\n
Alle Befehle sind gleich wichtig. Ein Lese-Befehl f\u00fcr einen Temperatursensor hat dieselbe Priorit\u00e4t wie ein Schreib-Befehl f\u00fcr einen Not\u2011Aus. Es gibt keine M\u00f6glichkeit, zeitkritische Telegramme zu bevorzugen.<\/p>\n\n\n\nDie Modbus\u2011Rettungsringe: Wie man das Unvermeidbare sicherer macht<\/h2>\n\n\n\n
Eine Erweiterung, die TLS\u2011Verschl\u00fcsselung (Transport Layer Security) \u00fcber Port 802 (statt 502) nutzt. Bietet Authentifizierung (Zertifikate), Verschl\u00fcsselung und Integrit\u00e4tsschutz. Nachteil: Erfordert leistungsf\u00e4higere Hardware in den Slaves \u2013 viele bestehende Ger\u00e4te k\u00f6nnen kein TLS.<\/p>\n\n\n\n
Ein Klassiker: Modbus TCP l\u00e4uft nur innerhalb eines abgeschotteten VLANs oder \u00fcber einen VPN\u2011Tunnel. Das sch\u00fctzt vor externen Angriffen, aber nicht vor Insider\u2011Bedrohungen oder kompromittierten Ger\u00e4ten im selben VLAN.<\/p>\n\n\n\n
Spezielle Firewalls, die Modbus\u2011Telegramme auf Anwendungsebene pr\u00fcfen (Deep Packet Inspection). Sie k\u00f6nnen bestimmte Funktionscodes blockieren (z.\u202fB. Write Multiple Registers), Adressbereiche einschr\u00e4nken oder Ratenbegrenzungen durchsetzen. Ger\u00e4te wie der Hirschmann Eagle oder der Phoenix Contact mGuard sind daf\u00fcr optimiert.<\/p>\n\n\n\n
Eine sichere Programmierpraxis: Kritische Schreibbefehle werden nicht direkt ausgef\u00fchrt, sondern setzen zun\u00e4chst ein Freigabe\u2011Coil, das innerhalb eines kurzen Zeitfensters (z.\u202fB. 100 ms) zur\u00fcckgesetzt werden muss. Das erschwert automatisierte Angriffe.<\/p>\n\n\n\nDie Konkurrenz: Warum Modbus nicht l\u00e4ngst abgel\u00f6st wurde<\/h2>\n\n\n\n
\n
Zukunftsszenarien: Koexistenz statt Abl\u00f6sung<\/h2>\n\n\n\n
\n
Fazit: Der Veteran bleibt \u2013 aber mit Orden und Kr\u00fccken<\/h2>\n\n\n\n
Quellen<\/h2>\n\n\n\n
\n