Siemens-Steuerungen: Warum die Linux-Version entscheidend ist
Aktuelle Herstellerhinweise betreffen Zusatzsysteme bestimmter SIMATIC-Geräte. Schweizer Betriebe müssen Modell, Firmware und erreichbare Schnittstellen prüfen – eine Warnung ist noch kein Nachweis eines Angriffs.
Die US-Cybersicherheitsbehörde CISA hat am 22. Oktober 2026 einen Sicherheitshinweis zu zusätzlichen GNU/Linux-Systemen bestimmter SIMATIC-S7-1500-Steuerungen weiterverbreitet. Grundlage ist ein Siemens-Dokument vom 13. Oktober. Betroffen sind unter anderem Varianten der CPU 1518(F)-4 PN/DP MFP. Entscheidend ist der genaue Firmwarestand: Der neue Hinweis SSA-457936 behandelt Version V3.1.7, andere Dokumente beziehen sich auf ältere Stände. Aus der Modellfamilie allein lässt sich die Betroffenheit einer Anlage nicht ablesen.
Für Schweizer Industriebetriebe ist deshalb zunächst Bestandsaufnahme gefragt. Eine Warnung über Softwarelücken ist kein Beleg, dass eine Maschine bereits manipuliert wurde. Ebenso wenig weist sie nach, dass die betroffenen Komponenten in einem bestimmten Schweizer Betrieb installiert oder von aussen erreichbar sind. Diese Fragen müssen die Verantwortlichen vor Ort beantworten.
Das Zusatzsystem ist nicht die ganze Steuerung
Der Hersteller bezeichnet den betroffenen Bereich ausdrücklich als zusätzliches GNU/Linux-Subsystem. Diese Eingrenzung darf in einer Schlagzeile nicht verloren gehen. Wer daraus ein allgemeines Versagen aller S7-1500-Steuerungen ableitet, vermischt unterschiedliche Produkte, Softwarestände und Angriffsflächen.
Auch die zeitliche Einordnung zählt. Der Hinweis SSA-398330 wurde ursprünglich im Dezember 2023 veröffentlicht und zuletzt am 13. Oktober 2026 aktualisiert. Er behandelt Firmware ab V3.1.0 und vor V3.1.5. Ein neuer Meldungstag bedeutet somit nicht zwingend, dass jede aufgeführte Schwachstelle gerade erst entdeckt wurde.
CISA kennzeichnet ihre Veröffentlichung als wörtliche Übernahme des Siemens-Hinweises. Sie ist damit keine unabhängige zweite Untersuchung. Eine separate CISA-Meldung behandelt das zusätzliche GNU/Linux-Subsystem des TM MFP V1.1.1. Dessen Versionsangaben dürfen nicht auf die CPU-Varianten übertragen werden.
Für V3.1.5 weist Siemens inzwischen auf das Ende der Pflege dieser Version hin. Eine nicht mehr aktualisierte Fehlerliste ist keine Entwarnung. Für Betreiber folgt daraus die Aufgabe, den Lebenszyklus der eingesetzten Software zusammen mit dem Lieferanten zu klären, statt lediglich die Zahl der jüngsten Meldungen zu vergleichen.
Priorisieren statt blind aktualisieren
Im Hinweis für V3.1.7 erklärt Siemens, weitere Korrekturen vorzubereiten. Als konkrete Risikominderung nennt der Hersteller, nur Anwendungen aus vertrauenswürdigen Quellen auszuführen und den Zugang zur interaktiven Linux-Kommandozeile auf vertrauenswürdiges Personal zu begrenzen. Das ist keine allgemeine Freigabe zum Weiterbetrieb unter beliebigen Bedingungen.
Auch Bewertungen brauchen ihren Massstab: Siemens nennt für SSA-457936 einen höchsten Basiswert von 10,0 nach CVSS 3.1 und 8,7 nach CVSS 4.0. Das sind unterschiedliche Bewertungssysteme. Die beiden Zahlen belegen deshalb keine nachträgliche Entschärfung derselben Lage.
Eine sinnvolle Prüfung verbindet drei Ebenen: Welche Komponente ist vorhanden? Welche Schwachstelle trifft genau diesen Stand? Und welche Zugriffsbedingungen bestehen tatsächlich? Erst daraus ergibt sich eine belastbare Priorität. Ein hoher technischer Schweregrad allein beschreibt weder die Architektur des Betriebsnetzes noch die Folgen eines geplanten Wartungsunterbruchs.
Die Schweizer Empfehlungen beginnen beim Inventar
Das Bundesamt für Cybersicherheit verlangt in seinen Schutzempfehlungen eine vollständige Übersicht der industriellen Geräte, Umsysteme und Endgeräte. Hinzu kommt ein Softwareinventar mit systematischer Pflege von Aktualisierungen und Produktlebenszyklen. Ohne diese Grundlage bleibt unklar, wer von einer konkreten Herstellermeldung überhaupt betroffen ist.
Das BACS empfiehlt zudem, industrielle Netze von Büronetzen zu trennen oder mit klaren Sicherheitszonen abzuschotten. Administrationsoberflächen sollen nicht direkt aus dem Internet erreichbar sein. Für Fernzugriffe nennt die Behörde VPN und Zwei-Faktor-Authentisierung. Diese Massnahmen ersetzen die Behebung einer Schwachstelle nicht, können aber erreichbare Angriffswege einschränken.
Gerade Wartungszugänge verdienen Aufmerksamkeit. Sie werden für einen legitimen betrieblichen Zweck eingerichtet, bleiben aber sicherheitsrelevante Übergänge. Das BACS weist bei Fernzugriffen unter anderem auf gestohlene Zugangsdaten und ungesicherte Zugangsstellen hin. Technische Kontrollen und klare organisatorische Regeln müssen deshalb zusammenwirken.
Zur Vorbereitung gehört ausserdem eine überprüfte Wiederherstellung. Das BACS empfiehlt klare Sicherungsprozesse und Tests der Rücksicherung mindestens halbjährlich. Auch Konfigurationen sollen gesichert werden. Ein vorhandenes Backup allein zeigt noch nicht, dass nach einem Fehler die korrekte Anlagenkonfiguration rechtzeitig wieder bereitsteht.
Verfügbarkeit und Sicherheit gemeinsam planen
Das KMU-Portal des Bundes betont für industrielle Umgebungen, dass zunächst die gesamte technische Ausstattung, die Firmwarestände und die Netzwerkverbindungen erfasst werden müssen. Danach folgen Segmentierung und Zugangsbeschränkungen. Eine reine Liste installierter Büroprogramme reicht für diese Aufgabe nicht aus.
Praktisch sollten Betrieb, Automatisierung und IT gemeinsam festhalten, wer eine Meldung bewertet, wer den Hersteller kontaktiert und wie eine Änderung getestet wird. Ein dokumentierter Wiederanlauf gehört in dieselbe Planung. So wird aus einer allgemeinen Warnung eine überprüfbare Entscheidung für die eigene Anlage – ohne unbelegte Alarmmeldungen und ohne gefährliche Selbstberuhigung.
Quellen
- Siemens ProductCERT: SSA-457936 für Firmware V3.1.7
- Siemens ProductCERT: SSA-398330 für ältere Firmwarestände
- Siemens ProductCERT: SSA-082556 für Firmware V3.1.5
- CISA: ICSA-26-295-11, Weiterveröffentlichung vom 22. Oktober 2026
- CISA: ICSA-26-295-16 für das TM-MFP-Subsystem
- BACS: Massnahmen zum Schutz industrieller Kontrollsysteme
- BACS: Sicherer Umgang mit Fernzugriffen
- KMU-Portal des Bundes: Schutz der industriellen Umgebung
