IP-Adressplan für eine Produktionslinie erstellen

Schritt 1: Den Rahmen klären

Bevor du rechnest, brauchst du drei Informationen. Erstens: Gibt es schon einen Adressplan für den Standort oder das Unternehmen? Dann bekommt die Linie einen Bereich daraus und nichts Eigenes. Zweitens: Welche Netze existieren bereits, auch bei Maschinenlieferanten, Fernwartungsdiensten und in der Büro-IT? Drittens: Wie soll die Linie segmentiert werden, also welche Bereiche sollen voneinander getrennt sein?

Der dritte Punkt ist keine reine Adressfrage. Segmente sind die Grundlage dafür, dass Firewalls und Zugriffsregeln sinnvoll greifen können. Ein Adressplan, der die Segmentierung abbildet, macht Regeln später einfacher und lesbarer.

Schritt 2: Einen privaten Adressbereich wählen

RFC 1918 reserviert drei Blöcke für private Netze:

• 10.0.0.0/8: 10.0.0.0 bis 10.255.255.255
• 172.16.0.0/12: 172.16.0.0 bis 172.31.255.255
• 192.168.0.0/16: 192.168.0.0 bis 192.168.255.255

Für ein Werk ist 10.0.0.0/8 meist die praktischste Wahl, weil der Block groß genug für eine klare Hierarchie ist. Meide in der Produktion möglichst 192.168.0.0/24 und 192.168.1.0/24: Diese Netze sind als Werkseinstellung von Geräten und in Heimnetzen so verbreitet, dass Konflikte bei Inbetriebnahme und Fernwartung absehbar sind. Ebenfalls nicht für die Planung geeignet ist 169.254.0.0/16, denn dieser Bereich ist nach RFC 3927 für automatisch vergebene Link-Local-Adressen vorgesehen.

Schritt 3: Hierarchie festlegen

Eine Hierarchie macht Adressen lesbar. Im Beispiel gilt:

• Standort: 10.20.0.0/16 (10.20.0.0 bis 10.20.255.255) für die Produktion am Standort.
• Linie: Jede Linie bekommt ein /20 mit 4096 Adressen. Linie 3 erhält 10.20.48.0/20, also 10.20.48.0 bis 10.20.63.255.
• Segment: Innerhalb der Linie bekommt jedes Segment ein eigenes Subnetz.

Ein /20 lässt sich in genau 16 Netze der Größe /24 teilen: von 10.20.48.0/24 bis 10.20.63.0/24. Das dritte Oktett zeigt dann direkt, zu welchem Segment eine Adresse gehört.

Schritt 4: Segmente und Größen bestimmen

Liste für jedes Segment auf, wie viele Geräte heute vorhanden sind, und rechne mit Reserve. Eine feste Regel gibt es nicht; 50 Prozent Reserve plus eine Adresse für das Gateway ist ein vernünftiger Ausgangspunkt.

Rechenbeispiel Zelle 2

Zelle 2 hat heute 70 Geräte: Steuerungen, Antriebe, dezentrale Peripherie, Sensoren. Mit 50 Prozent Reserve sind das 105 Geräte, dazu kommt das Gateway, macht 106 benötigte Adressen.

• Ein /26 hat 64 Adressen, davon 62 nutzbar. Zu klein.
• Ein /25 hat 128 Adressen, davon 126 nutzbar (Maske 255.255.255.128). Das reicht: 10.20.49.0/25 mit den Hosts 10.20.49.1 bis 10.20.49.126 und dem Broadcast 10.20.49.127.
• Ein /24 hat 256 Adressen, davon 254 nutzbar (Maske 255.255.255.0): 10.20.49.1 bis 10.20.49.254, Broadcast 10.20.49.255.

Rechnerisch genügt also ein /25. Im Beispiel bekommt jede Zelle trotzdem ein volles /24, weil die Linie mit 16 /24-Netzen genug Platz hat und eine einheitliche Maske Konfigurationsfehler bei der Inbetriebnahme reduziert. Wenn der Adressraum knapper ist, teilst du stattdessen auf /25 oder /26 auf. Wichtig ist nur, dass Netze an ihren Grenzen beginnen: Ein /25 beginnt immer bei .0 oder .128, ein /26 bei .0, .64, .128 oder .192. Wie du ein Netz in passende Teilnetze aufteilst, rechnest du mit VLSM und Subnetz-Aufteilung in meinen Online-Tools nach.

Der Plan für Linie 3

• 10.20.48.0/24 – VLAN 301: Zelle 1, Steuerung und Feldgeräte
• 10.20.49.0/24 – VLAN 302: Zelle 2, Steuerung und Feldgeräte
• 10.20.50.0/24 – VLAN 303: Zelle 3, Steuerung und Feldgeräte
• 10.20.51.0/24 bis 10.20.55.0/24: Reserve für weitere Zellen
• 10.20.56.0/24 – VLAN 310: Bedienung (HMI, Bedienpanels)
• 10.20.57.0/24 – VLAN 320: Leitebene der Linie (Linienrechner, Datensammler)
• 10.20.58.0/24 – VLAN 330: Bildverarbeitung und Kameras
• 10.20.59.0/24: Reserve
• 10.20.60.0/24 – VLAN 390: Netzwerkmanagement (Switches, Firewalls)
• 10.20.61.0/24 bis 10.20.63.0/24: Reserve

Die VLAN-IDs folgen der Liniennummer: Alles, was mit 3 beginnt, gehört zu Linie 3. Das ist keine technische Pflicht, aber es hilft beim Lesen von Switch-Konfigurationen.

Schritt 5: Konventionen innerhalb eines Subnetzes

Damit eine Adresse etwas über das Gerät verrät, legst du für jedes /24 dieselbe Aufteilung fest. Ein Vorschlag:

• .1: Gateway
• .2 bis .9: Netzwerkinfrastruktur in der Zelle
• .10 bis .49: Steuerungen und Sicherheitssteuerungen
• .50 bis .99: Antriebe und dezentrale Peripherie
• .100 bis .149: Sensoren, Leser, Kameras in der Zelle
• .150 bis .199: Reserve
• .200 bis .239: Service- und Engineering-Zugänge, zeitlich begrenzt
• .240 bis .254: Reserve für Sonderfälle

Wer eine Adresse wie 10.20.49.52 sieht, weiß damit: Linie 3, Zelle 2, Antrieb oder Peripherie. Lege außerdem fest, wo DHCP erlaubt ist, und reserviere dafür einen eigenen Bereich, der sich nicht mit festen Adressen überschneidet.

Schritt 6: Prüfen und dokumentieren

1. Überschneidungen ausschließen: Gleiche den Plan mit allen bekannten Netzen ab, inklusive VPN- und Fernwartungsnetzen der Lieferanten.
2. Netzgrenzen nachrechnen: Netzadresse, Broadcast und nutzbarer Bereich jedes Subnetzes, am besten mit einem Werkzeug wie dem OT Subnet Calculator.
3. Zentral dokumentieren: Subnetz, VLAN, Zweck, Gateway, verantwortliche Person und jede vergebene Adresse mit Gerät und Standort. Ein Plan, der nur in einer Excel-Datei auf einem Notebook liegt, ist bei der nächsten Störung nicht da.
4. Port-Belegung verknüpfen: Welches Gerät hängt an welchem Switch-Port? Das beschleunigt die Fehlersuche erheblich; dafür eignet sich OT SwitchPort.
5. Änderungen pflegen: Jede Neuvergabe wird sofort eingetragen. Ein veralteter Plan ist gefährlicher als gar keiner, weil man ihm vertraut.

Eine fertige Struktur mit Netzbereichen, VLANs, Gateways, Adressliste und Namensschema findest du im IP-Adressplan meiner OT-Vorlagen, ausgefüllt mit Beispieldaten einer fiktiven Anlage.

Typische Fehler

• Jede Maschine bringt ihr eigenes 192.168.0.0/24 mit, und später sollen alle miteinander reden.
• Subnetze sind exakt auf den heutigen Bestand zugeschnitten, und die erste Erweiterung sprengt sie.
• Die Maske ist in einem Gerät anders eingetragen als im Plan, und Kommunikation über Zellgrenzen funktioniert nur zufällig.
• Reserveadressen werden „mal eben“ für Testgeräte genutzt und nie wieder freigegeben.

Mit einem sauberen Plan wird auch die Prüfung einfacher, welche Dienste in welchem Segment erreichbar sind, etwa mit dem OT Port Checker. Und für die strukturierte Fehlersuche im Ernstfall gibt es OT Erste-Hilfe.

Häufige Fragen zum IP-Adressplan

Quellen

• RFC 1918: Address Allocation for Private Internets
• RFC 3927: Dynamic Configuration of IPv4 Link-Local Addresses
• BSI: Empfehlungen für Betreiber von ICS

Stand: 15. Oktober 2026.