Modbus TCP, OPC UA, Profinet: Welche Dienste im OT-Netz laufen und wie du sie prüfst

Warum du die Protokolle kennen solltest

Ein Portscan liefert eine Liste von Nummern. Ob „502/tcp offen“ harmlos, gewollt oder ein Risiko ist, lässt sich erst beurteilen, wenn du weißt, welcher Dienst dahintersteckt, wie er sich absichern lässt und wer ihn braucht. Bei industriellen Protokollen kommt hinzu: Viele davon stammen aus einer Zeit, in der Produktionsnetze als abgeschottet galten, und einige laufen gar nicht über IP-Ports. Ein Blick auf drei verbreitete Protokolle zeigt die Unterschiede.

Modbus TCP: Port 502

Modbus ist eines der ältesten und einfachsten Industrieprotokolle. In der TCP/IP-Variante wird jede Nachricht mit einem eigenen Kopf versehen, dem MBAP-Header (Modbus Application Protocol). Daher stammt auch der Dienstname im IANA-Register: „mbap“ auf Port 502. Laut Modbus Organization wurde das Protokoll 1996 bei der IANA registriert.

Der Implementierungsleitfaden der Modbus Organization legt fest, dass Server standardmäßig auf Port 502 lauschen müssen. Hersteller sollen zwar die Möglichkeit bieten, einen anderen Port einzustellen, Port 502 muss aber zusätzlich verfügbar bleiben. In der Praxis findest du Modbus TCP deshalb fast immer auf 502. Registerwerte aus Modbus wandelst du mit dem Modbus- und Hex-Umrechner in meinen Online-Tools in lesbare Zahlen um.

Modbus/TCP Security: Port 802

Für mehr Schutz hat die Modbus Organization die Variante Modbus/TCP Security entwickelt. Dabei kapselt TLS die Modbus-Pakete, sorgt für Authentifizierung und Integritätsschutz und nutzt X.509v3-Zertifikate, um Client und Server zu authentifizieren. Die IANA hat dafür Port 802 („mbap-s“) vergeben. Klassisches Modbus TCP auf Port 502 bringt diese Schutzmechanismen nicht mit. Wenn deine Geräte die gesicherte Variante unterstützen, lohnt sich ein Blick darauf.

OPC UA: Port 4840 – meistens

OPC UA (Unified Architecture) ist ein deutlich jüngeres und umfangreicheres Protokoll der OPC Foundation, das Daten samt Bedeutung modelliert und Sicherheit von Anfang an vorsieht. Im IANA-Register stehen:

• 4840/tcp „opcua-tcp“: OPC UA Connection Protocol
• 4840/udp „opcua-udp“: OPC UA Multicast Datagram Protocol
• 4843/tcp „opcua-tls“: OPC UA über TLS

Die OPC-UA-Spezifikation nennt opc.tcp://localhost:4840/UADiscovery als festgelegte Adresse für einen Local Discovery Server, verlangt aber, dass Administratoren solche Adressen ändern können. Ein OPC-UA-Dienst kann also auch über einen anderen Port erreichbar sein. Ein geschlossener Port 4840 heißt also nicht, dass im Netz kein OPC UA spricht.

Sicherheitsmodus beachten

Jeder Endpunkt eines OPC-UA-Servers hat einen Sicherheitsmodus: None, Sign oder SignAndEncrypt. Die Spezifikation rät ausdrücklich davon ab, den Modus None zu verwenden, außer in physisch isolierten Netzen mit extrem geringem Eindringrisiko. Ein offener Port 4840 sagt allein also noch wenig – entscheidend ist, welche Endpunkte und Sicherheitsrichtlinien der Server anbietet.

Profinet: vieles läuft ohne Port

Profinet funktioniert grundlegend anders. Laut PI North America, dem regionalen Ableger von Profibus & Profinet International, nutzt Profinet drei Kommunikationskanäle:

• TCP/IP bzw. UDP/IP für nicht zeitkritische Aufgaben wie Konfiguration, Parametrierung und Diagnose.
• RT (Real-Time) für den zeitkritischen Datenaustausch. Diese Frames tragen den EtherType 0x8892 und gehen direkt von Schicht 2 an die Anwendung, ohne TCP/IP. Laut PI läuft fast der gesamte Profinet-Verkehr auf diesem Weg.
• IRT (Isochronous Real-Time) für besonders anspruchsvolle Anwendungen mit zusätzlichen Regeln für die Weiterleitung im Switch.

Im IANA-Register sind für Profinet zusätzlich die Ports 34962 bis 34964 eingetragen („profinet-rt“, „profinet-rtm“, „profinet-cm“). Die Konsequenz für dich: Ein Portscanner arbeitet auf IP-Ebene und sieht den zyklischen RT-Verkehr nicht. Ein Profinet-Gerät kann also im Scan unauffällig wirken und trotzdem permanent Prozessdaten austauschen. Um Profinet zu verstehen, brauchst du die Switch- und Port-Dokumentation und gegebenenfalls eine passive Mitschnittanalyse.

Weitere typische Ports im OT-Netz

Neben den drei Protokollen begegnen dir im IANA-Register weitere industrielle Dienste:

• EtherNet/IP: 44818 (Messaging) und 2222 (I/O)
• DNP3: 20000

Dazu kommen allgemeine IT-Dienste, die auch auf Industriegeräten laufen können, etwa HTTP (80) und HTTPS (443) für Weboberflächen, SNMP (161) oder SSH (22) und Telnet (23) für Fernzugriff. Gerade unverschlüsselte Fernzugänge wie Telnet verdienen bei einer Prüfung besondere Aufmerksamkeit.

Dienste verantwortungsvoll prüfen

Bevor du ein Werkzeug startest, gilt eine Grundregel: Prüfe nur Netze und Geräte, für die du zuständig bist oder einen ausdrücklichen Auftrag hast, und stimme dich mit dem Anlagenbetrieb ab. In Produktionsnetzen kommt ein technisches Risiko hinzu, auf das der NIST-Leitfaden SP 800-82 deutlich hinweist: Aktive Scans können empfindliche Geräte instabil machen oder ihren Prozesszustand stören und damit Sicherheit und Integrität beeinträchtigen. NIST empfiehlt, aktive Scans möglichst in geplanten Stillständen durchzuführen.

Ein vorsichtiges Vorgehen in fünf Schritten

1. Passiv beginnen: Vorhandene Dokumentation, Switch-Konfigurationen und Anlagenlisten auswerten. Passive Verfahren erzeugen keinen zusätzlichen Verkehr, brauchen laut NIST aber oft Tage, weil sie vom vorhandenen Datenverkehr abhängen.
2. Erwartung festlegen: Für jedes Gerät notieren, welche Dienste es laut Projektierung anbieten soll.
3. Gezielt aktiv prüfen: Nur ausgewählte Geräte und bekannte Ports prüfen, nicht ganze Netze mit allen Ports, und das möglichst im Wartungsfenster.
4. Abweichungen bewerten: Jeder offene Port, der nicht in der Erwartung steht, braucht eine Erklärung oder wird abgeschaltet bzw. per Firewall gesperrt.
5. Absicherung verbessern: Wo möglich gesicherte Varianten nutzen (Modbus/TCP Security, OPC UA mit SignAndEncrypt) und den Zugriff zwischen Segmenten auf das Notwendige beschränken.

Ergebnisse festhalten

Eine Prüfung ist nur so gut wie ihre Dokumentation. Halte für jedes geprüfte Gerät fest, von welchem Standort und Netzsegment aus du geprüft hast, welche Ports offen, geschlossen oder gefiltert waren und welche davon laut Projektierung erwartet werden. Notiere auch Datum, Werkzeug und Firmware-Stand, soweit bekannt. So kannst du spätere Prüfungen vergleichen und erkennst, wenn nach einem Update oder einem Gerätetausch plötzlich ein neuer Dienst auftaucht. Gerade bei Profinet-Geräten lohnt es sich, die IP-Ergebnisse mit der Switch- und Port-Dokumentation zusammenzuführen, weil der Scan allein nur einen Teil des Bildes zeigt.

Für die gezielte Prüfung im lokalen Netz habe ich den OT Port Checker entwickelt: Prüfungen starten nur, wenn du sie selbst auslöst, und konzentrieren sich auf typische OT- und Industrie-Ports. Wenn dir einzelne Begriffe aus diesem Artikel neu sind, hilft das OT Lexikon. Die Grundlagen zu Ports und Scan-Ergebnissen erkläre ich im Artikel TCP vs. UDP und Ports verstehen.

Häufige Fragen zu OT-Protokollen

Quellen

• IANA: Service Name and Transport Protocol Port Number Registry
• Modbus Organization: Modbus Specifications
• Modbus Organization: MODBUS Messaging on TCP/IP Implementation Guide
• Modbus Organization: MODBUS/TCP Security
• OPC Foundation: OPC UA Part 6, Well known addresses
• OPC Foundation: OPC UA Part 4, Discovery Service Set
• PI North America: PROFINET Communication Channels
• NIST SP 800-82 Rev. 3: Guide to OT Security

Stand: 15. Oktober 2026.