OT & Automation

OT-Portscan nach einem Umbau: Vorher-nachher mit OT Port Checker

Nach einem Eingriff an einer Maschine will ich wissen, welche Dienste an Steuerung und Bedienpanel erreichbar sind und ob sich gegenüber vorher etwas geändert hat. Für genau diese Kontrolle habe ich den OT Port Checker entwickelt. Hier zeige ich den Ablauf an einem Beispiel: ein Referenzscan vor dem Tausch eines Bedienpanels, ein zweiter danach und der Vergleich beider Stände.

6 Min. Lesezeit

Vorher-nachher-Scan
TCP-Ports
Projektprofile

Das Wichtigste in KürzeEin OT-Portscan vor und nach einem Eingriff zeigt, ob an Steuerung, Panel oder Switch neue Dienste antworten. Im OT Port Checker speicherst du dafür ein Projektprofil, scannst einmal als Referenz und vergleichst nach dem Umbau. Scanne nur Netze, für die du zuständig bist, und lege aktive Scans möglichst in Stillstände. Die App prüft TCP-Dienste; UDP und Profinet-Echtzeitverkehr erfasst sie nicht.

Der Anlass: ein getauschtes Bedienpanel

Ein Fall, wie ich ihn oft erlebe: An einer Verpackungsmaschine tauscht der Service des Maschinenlieferanten das Bedienpanel, das Ersatzgerät kommt mit neuerer Firmware. Danach läuft die Maschine wieder, die Schicht ist zufrieden. Offen bleibt eine Frage, die bei der Abnahme gern untergeht: Welche Dienste bietet das neue Panel im Netz an, und hat sich an der Steuerung etwas verändert?

Diese Frage beantworte ich mit einem gezielten Scan vorher und nachher. Alle Adressen und Ergebnisse in diesem Ablauf sind Beispielwerte, keine Daten einer realen Anlage. Sie folgen dem Plan für Linie 3 aus meinem Artikel IP-Adressplan für eine Produktionslinie erstellen: Zelle 2 liegt in 10.20.49.0/24, die Bedienpanels der Linie in 10.20.56.0/24.

OT Port Checker: Scan-Maske mit Profil Standard, eingeschalteter Ping-Prüfung und den neun Standardports von Siemens S7 bis RDP — Vor dem Start: Profil wählen, Ping zuschalten und unten ablesen, welche Ports der Scan abfragt.

Vor dem ersten Scan: Freigabe und Zeitfenster

Ein Portscan erzeugt aktiven Netzverkehr. Der NIST-Leitfaden SP 800-82 zur OT-Sicherheit warnt, dass aktive Scans empfindliche Geräte instabil machen oder ihren Prozesszustand stören können, und empfiehlt, sie wenn möglich in geplante Stillstände zu legen. Ich habe die App für Netze gebaut, die du besitzt oder wartest. Einen Scan startet sie nur, wenn du ihn ausdrücklich anforderst.

Praktisch heißt das bei mir: Der Scan ist mit dem Anlagenverantwortlichen abgesprochen, die Maschine steht für den Paneltausch ohnehin still, und ich frage nur Adressen ab, die zur Zelle gehören. Ganze Netze auf Verdacht abzuklopfen, ist auch nicht vorgesehen, denn Bereiche prüft die App nur mit begrenzter Host-Anzahl.

Schritt für Schritt: Referenz, Umbau, Vergleich

Projektprofil anlegen. Ziel, Portset, Scan-Profil und Ping-Option sichere ich als Profil „Linie 3 – Zelle 2“. So ist beim zweiten Durchlauf garantiert, dass exakt dasselbe abgefragt wird. Projektprofile gehören zu Premium.
Ziele festlegen. Steuerung 10.20.49.10, Zellen-Switch 10.20.49.2 und Panel 10.20.56.21 trage ich als einzelne Hosts ein. Ein kleiner Bereich wäre ebenso möglich.
Profil wählen. Zur Auswahl stehen Schnell, Standard, gründlich, nur Ping, Web/HMI und OT-Protokolle. Für die Referenz nehme ich Standard; die abgefragten Ports zeigt die App direkt unter dem Ziel an.
Referenz sichern. Vor dem Tausch läuft der erste Scan. Das Ergebnis geht als PDF in die Maschinenakte, als CSV, wenn ich es weiterverarbeiten will. Beide Exporte sind Premium.
Nach dem Tausch wiederholen. Gleiches Profil, gleiche Ziele. Das Ersatzpanel hat die Adresse des alten Geräts übernommen.
Scans vergleichen. Der Vergleich hebt geänderte offene Ports hervor. Im Beispiel antwortet das neue Panel zusätzlich auf Port 80, also mit einer unverschlüsselten Weboberfläche.
Notiz am Host hinterlegen. „Panel getauscht, Port 80 neu offen, Rückfrage beim Lieferanten läuft.“ Auch Host-Notizen sind Teil von Premium.

Ergebnisliste eines Bereichsscans im OT Port Checker mit mehreren aktiven Hosts und der Zahl offener und geschlossener Ports — Ergebnisliste eines Bereichsscans: pro Host offene, geschlossene und unbeantwortete Ports.

Detailansicht eines Hosts: HTTP auf Port 80 und HTTPS auf Port 443 offen, sieben OT- und Fernwartungsports geschlossen — Host im Detail: Nur HTTP und HTTPS antworten, alle OT-Ports bleiben zu.

Was das Ergebnis bedeutet

Ein offener Port ist zunächst nur eine Antwort. Ob der Webzugang auf Port 80 gebraucht wird, steht nicht in der App; das klärt das Gespräch mit dem Lieferanten und ein Blick in die Konfiguration des Panels. Was der OT Port Checker liefert, ist die Grundlage für dieses Gespräch: ein datierter Vorher-nachher-Stand, der in die Übergabe gehört. Welches Gerät an welchem Switch-Port hängt, hältst du in OT SwitchPort fest.

Zur Einordnung der Nummern im Bericht hier die Ports aus dem Standardkatalog mit ihren Einträgen im IANA-Register:

102: registriert als ISO-TSAP, beschrieben in RFC 1006. Die App ordnet ihn der Siemens-S7-Kommunikation zu.
502: Modbus Application Protocol, also Modbus TCP.
4840: OPC UA Connection Protocol.
44818: EtherNet/IP Messaging.
80 und 443: HTTP und HTTPS, bei OT-Geräten meist Web-HMI oder Konfigurationsoberfläche.
22 und 3389: SSH und RDP (bei der IANA als ms-wbt-server geführt), also Fernzugänge.
161: SNMP, dazu gleich mehr.

Port-Infos im OT Port Checker mit Erklärungen zu Siemens S7, Modbus TCP, OPC UA, EtherNet/IP, HTTP, HTTPS, SNMP und SSH — Die Port-Infos erklären, wofür ein Standardport typischerweise steht.

Was die App nicht kann

UDP-Dienste prüfen: Ich habe den OT Port Checker für TCP-Dienste gebaut, UDP prüft er nicht. SNMP-Agenten lauschen nach RFC 3417 üblicherweise auf UDP-Port 161. Ein geschlossener TCP-Port 161 beweist also nicht, dass kein SNMP läuft.
Profinet-Echtzeitdaten sehen: Den zyklischen Datenaustausch beschreibt die PI-Systembeschreibung als Verkehr ohne TCP/IP direkt auf Schicht 2 (Ethertype 0x8892). Ein Gerät kann im Scan unauffällig wirken und trotzdem ständig Prozessdaten senden.
Schwachstellen bewerten: Du erfährst, ob ein Dienst antwortet. Ob die Software dahinter aktuell oder angreifbar ist, beantwortet die App nicht.
Ein Werk inventarisieren: Für eine vollständige Bestandsaufnahme sind passive Verfahren oder spezialisierte Werkzeuge besser geeignet als ein mobiler Check mit begrenzter Host-Anzahl.
Android: Erhältlich ist die App derzeit nur im App Store. Android ist geplant, einen Termin gibt es noch nicht.

Kostenlos, Premium und Datenschutz

Der Download ist kostenlos. Im App Store heißt die App „OT Checker: Netzwerkdiagnose“. Premium schaltet eigene Ports und Portsets, Projektprofile, Host-Notizen, Scan-Vergleiche sowie CSV- und PDF-Exporte frei. Für den beschriebenen Vorher-nachher-Ablauf brauchst du also Premium. Scan-Ziele, Profile, Portsets, Ergebnisse, Einstellungen und der Premium-Status liegen lokal auf dem Gerät; Gerätenamen zeigt die App an, sofern sie verfügbar sind.

Fragen zum OT-Portscan mit der App

Darf ich ein Produktionsnetz einfach scannen?

Nur mit Freigabe und nur in Netzen, die du betreibst oder wartest. NIST SP 800-82 rät zu großer Vorsicht bei aktiven Scans im laufenden Betrieb und empfiehlt, sie möglichst in geplante Stillstände zu legen.

Warum ist Port 161 geschlossen, obwohl das Gerät SNMP spricht?

SNMP nutzt nach RFC 3417 üblicherweise UDP-Port 161. Der OT Port Checker prüft TCP-Dienste, deshalb sagt ein geschlossener TCP-Port 161 nichts über einen SNMP-Agenten aus.

Erkennt die App Profinet-Geräte?

Hat ein Gerät eine IP-Adresse, kann es auf Ping antworten oder offene TCP-Ports zeigen, etwa eine Weboberfläche. Den zyklischen Profinet-Verkehr selbst sieht ein TCP-Scan nicht, weil er ohne TCP/IP auf Schicht 2 läuft.

Welche Funktionen brauchen Premium?

Eigene Ports und Portsets, Projektprofile, Host-Notizen, Scan-Vergleiche sowie CSV- und PDF-Exporte. Der Download selbst ist kostenlos.

Wo landen die Scan-Ergebnisse?

Lokal auf deinem Gerät, zusammen mit Zielen, Profilen, Portsets und Einstellungen. Ein Bericht verlässt das Gerät erst, wenn du ihn exportierst und teilst.

Quellen

Stand: 21.10.2026.

Aktualisiert am 21. Oktober 2026.

OT Port Checker ansehen

Auf der App-Seite stehen Funktionsübersicht, Screenshots und Datenschutzhinweise. Geladen wird die iOS-App gratis über den App Store.

Zur App-Seite Im App Store öffnen