Fernwartung ohne Portfreigabe am Router ist möglich, indem die Steuerung oder das Gateway eine ausgehende, verschlüsselte Verbindung zur Cloud aufbaut, anstatt eingehende Verbindungen von außen zuzulassen. Damit entfällt die Notwendigkeit, Ports in der Firewall zu öffnen. Diese Methode funktioniert für SPS-Anlagen, Maschinen und Gebäudetechnik gleichermaßen und gilt heute als sicherere Alternative zur klassischen Portweiterleitung. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um portfreie Fernwartung, Sicherheit und Voraussetzungen.
Warum ist eine Portfreigabe am Router ein Sicherheitsrisiko?
Eine Portfreigabe am Router öffnet einen direkten Kanal von außen in das interne Netzwerk. Jeder, der die öffentliche IP-Adresse und den freigegebenen Port kennt, kann Verbindungsversuche starten. Das macht das Netzwerk anfällig für Brute-Force-Attacken, Exploits bekannter Schwachstellen und unautorisierten Zugriff auf Steuerungen oder Anlagen.
In industriellen Umgebungen wiegt dieses Risiko besonders schwer. Viele SPS-Systeme und HMI-Panels wurden nicht mit Blick auf direkte Internetexposition entwickelt. Ihre Protokolle und Weboberflächen setzen oft voraus, dass sie sich in einem geschützten Netzwerk befinden. Sobald ein Port geöffnet wird, sind diese Systeme potenziell für automatisierte Scans und gezielte Angriffe sichtbar.
Hinzu kommt der Verwaltungsaufwand: Statische IP-Adressen müssen gepflegt werden, Firewall-Regeln können sich gegenseitig beeinflussen, und jede Änderung am Router erfordert Koordination mit der IT-Abteilung oder dem Netzbetreiber. In der Praxis bleiben Portfreigaben oft länger aktiv als nötig, weil niemand den Überblick behält, welche Freigaben noch gebraucht werden.
Wie funktioniert Fernwartung ohne Portfreigabe technisch?
Portfreie Fernwartung funktioniert über ausgehende Verbindungen: Eine Software-Komponente auf der Steuerungsseite baut aktiv eine verschlüsselte Verbindung zu einem Cloud-Server auf. Der Server vermittelt dann den Datenverkehr zwischen dem Techniker und der Anlage, ohne dass jemals eine eingehende Verbindung durch die Firewall zugelassen werden muss.
Das Prinzip ähnelt dem, was Browser täglich tun: Auch eine Webseite wird abgerufen, indem der Client eine ausgehende Anfrage stellt, nicht indem der Server eine Verbindung zum Browser aufbaut. Genau dieses Modell übertragen moderne Fernwartungslösungen auf die industrielle Kommunikation.
Technisch gesehen baut ein sogenannter Cloud Adapter eine TCP-Verbindung zum Cloud-Portal auf. Diese Verbindung bleibt dauerhaft bestehen und wird vom Server genutzt, um Daten und Steuerbefehle zu übermitteln. Für die Firewall sieht das aus wie normaler ausgehender Internetverkehr, weshalb keine zusätzlichen Regeln notwendig sind. Statische IP-Adressen, DNS-Einträge oder Port-Forwardings werden nicht benötigt.
Welche Technologien ermöglichen portfreie Fernwartung?
Portfreie Fernwartung lässt sich mit verschiedenen Technologien umsetzen, die alle auf dem Prinzip ausgehender Verbindungen basieren. Die wichtigsten Ansätze sind Cloud-basierte Adapter, VPN über Cloud-Vermittler, VNC-Tunneling und MQTT-basierte Kommunikation.
- Cloud Adapter: Eine leichtgewichtige Software-Komponente wird auf der Steuerung oder einem Gateway installiert. Sie baut die ausgehende Verbindung zur Cloud auf und ermöglicht Datenerfassung, Visualisierung und Fernsteuerung ohne Portöffnung.
- VPN über Cloud-Vermittler: Statt eines klassischen VPN-Servers im eigenen Netzwerk übernimmt ein Cloud-Dienst die Vermittlung. Beide Seiten, also Techniker und Anlage, verbinden sich mit dem Cloud-Server. Dieser stellt den verschlüsselten Tunnel bereit, ohne dass eine Seite eingehende Verbindungen akzeptieren muss. Mehr dazu finden Sie unter VPN-Fernzugriff über die Cloud.
- VNC-Tunneling: Der Bildschirminhalt eines Panels oder Computers wird über einen verschlüsselten Cloud-Kanal übertragen. Der Techniker sieht die Oberfläche in Echtzeit und kann Maus und Tastatur fernsteuern, ohne direkten Netzwerkzugriff zu benötigen.
- MQTT: Dieses leichtgewichtige Publish-Subscribe-Protokoll eignet sich besonders für Geräte mit begrenzter Rechenleistung oder langsamen Verbindungen. Auch hier baut das Gerät eine ausgehende Verbindung zum Broker auf.
Alle diese Technologien haben gemeinsam, dass die Initiative zur Verbindung vom Gerät im Feld ausgeht, nicht vom Techniker außerhalb. Das ist der entscheidende Unterschied zur klassischen Portweiterleitung.
Was sind die Voraussetzungen für portfreie Fernwartung an einer SPS?
Für portfreie Fernwartung an einer SPS benötigen Sie im Wesentlichen drei Dinge: einen Internetzugang am Standort der Anlage, eine kompatible Software-Komponente auf der Steuerungsseite sowie ein Cloud-Portal, das die Verbindung vermittelt. Spezielle Hardware oder Netzwerkänderungen sind in den meisten Fällen nicht erforderlich.
Im Detail sehen die Voraussetzungen so aus:
- Internetzugang: Ein einfacher Breitband- oder Mobilfunkanschluss reicht aus. Auch langsame Verbindungen sind geeignet, wenn das Übertragungsprotokoll entsprechend optimiert ist.
- Cloud Adapter: Die Software-Komponente muss auf einem Gerät im Anlagennetzwerk laufen. Das kann die SPS selbst sein, ein Gateway, ein Industrie-PC oder ein Einplatinencomputer. Unterstützte Plattformen umfassen häufig Linux, Windows sowie spezialisierte Steuerungsumgebungen wie CODESYS oder Beckhoff.
- Unterstützte Protokolle: Die SPS muss über ein gängiges Protokoll ansprechbar sein. OPC-UA, Modbus, Siemens TCP, Beckhoff ADS, EtherNet/IP, BACnet, M-Bus und MQTT werden von modernen Lösungen typischerweise unterstützt.
- Benutzerverwaltung: Für den sicheren Betrieb sollte das Portal eine rollenbasierte Benutzerverwaltung und Mehrfaktorauthentifizierung bieten.
Was Sie ausdrücklich nicht benötigen: eine statische IP-Adresse, eine Portfreigabe in der Firewall, DNS-Einträge oder zusätzliche Hardware, wenn ein geeignetes Gerät bereits im Netzwerk vorhanden ist.
Wie sicher ist Fernwartung ohne Portfreigabe im Vergleich zu VPN?
Fernwartung ohne Portfreigabe über einen Cloud-Vermittler ist in der Praxis mindestens genauso sicher wie ein klassisches VPN, in vielen Fällen sogar sicherer. Beide Ansätze verschlüsseln die Datenübertragung und erfordern eine Benutzerauthentifizierung. Der entscheidende Unterschied liegt in der Angriffsfläche und im Verwaltungsaufwand.
Ein klassisches VPN erfordert einen VPN-Server, der aus dem Internet erreichbar sein muss. Dieser Server ist ein potenzielles Angriffsziel. Bekannte Schwachstellen in VPN-Software wurden in der Vergangenheit aktiv ausgenutzt, besonders wenn Updates nicht zeitnah eingespielt wurden. Außerdem müssen Zertifikate, Zugangsdaten und Firewall-Regeln dauerhaft gepflegt werden.
Bei der Cloud-vermittelten Lösung ohne Portfreigabe gibt es keinen exponierten Server im eigenen Netzwerk. Die Anlage baut nur ausgehende Verbindungen auf. Selbst wenn ein Angreifer die öffentliche IP-Adresse des Standorts kennt, findet er keinen offenen Port, über den er eindringen könnte. Die Sicherheit liegt beim Cloud-Anbieter, der kontinuierlich Updates einspielt und auffällige Aktivitäten überwacht.
Für einen detaillierten Vergleich der verschiedenen Fernzugriffsmethoden lohnt sich ein Blick auf den Überblick zu sicherem Fernzugriff über VPN, VNC und Visu-Routing.
Wann ist Fernwartung ohne Portfreigabe die richtige Wahl?
Fernwartung ohne Portfreigabe ist die richtige Wahl, wenn Sie Sicherheit und einfache Einrichtung priorisieren, keinen dedizierten IT-Administrator für die Netzwerkkonfiguration haben oder Anlagen an Standorten betreuen, an denen Sie keinen Einfluss auf die Firewall-Konfiguration haben. Sie eignet sich für nahezu alle industriellen Szenarien.
Besonders sinnvoll ist dieser Ansatz in folgenden Situationen:
- Mehrere verteilte Standorte: Wenn Sie Maschinen oder Anlagen bei verschiedenen Kunden oder an unterschiedlichen Standorten betreuen, ist eine einheitliche Cloud-Lösung deutlich einfacher zu verwalten als individuelle VPN-Konfigurationen je Standort.
- Mobilfunkanbindung: An Standorten ohne Festnetz, etwa auf Baustellen, in der Landwirtschaft oder auf Schiffen, ist Mobilfunk oft die einzige Option. Portfreie Lösungen mit optimierten Protokollen kommen auch mit langsamen oder instabilen Verbindungen zurecht.
- Restriktive IT-Umgebungen: In Unternehmen mit strengen IT-Richtlinien ist es oft schwierig oder unmöglich, Portfreigaben zu erhalten. Eine ausgehende Verbindung wird in den meisten Netzwerken ohne Genehmigungsverfahren zugelassen.
- As-a-Service-Geschäftsmodelle: Maschinenbauer, die ihren Kunden ein Rundum-sorglos-Paket anbieten möchten, benötigen dauerhaften Fernzugriff auf die ausgelieferten Anlagen. Portfreie Cloud-Lösungen ermöglichen diesen Zugriff, ohne auf die Kooperation der IT-Abteilung des Kunden angewiesen zu sein.
- Schnelle Inbetriebnahme: Wenn eine Anlage schnell in Betrieb genommen werden soll, ohne wochenlange Abstimmung mit Netzwerkverantwortlichen, bietet die portfreie Variante den kürzesten Weg zum Ziel.
Klassisches VPN bleibt sinnvoll, wenn Sie vollständigen Netzwerkzugriff auf den entfernten Standort benötigen, etwa um SPS-Programme zu aktualisieren oder auf Geräte zuzugreifen, die nicht direkt an die Cloud angebunden sind. Viele moderne Cloud-Lösungen bieten jedoch auch integrierte VPN-Funktionalität, sodass Sie beides kombinieren können.
Wie wir portfreie Fernwartung bei AnyViz umsetzen
Wir haben AnyViz von Grund auf so entwickelt, dass Fernwartung ohne Portfreigabe nicht nur möglich, sondern der Standard ist. Unser VPN-Cloud-Zugriff basiert auf dem Prinzip ausgehender Verbindungen: Der AnyViz Cloud Adapter baut eine verschlüsselte TCP-Verbindung zur Cloud auf, die Firewall muss keine eingehenden Ports öffnen, und statische IP-Adressen oder DNS-Einträge werden nicht benötigt.
Was uns dabei besonders wichtig ist:
- Verschlüsselung beginnt bereits auf der Steuerung, nicht erst im Netzwerk
- Bei Verbindungsunterbrechung speichert der Adapter Daten lokal und synchronisiert sie nach Wiederherstellung der Verbindung automatisch
- Das Übertragungsprotokoll ist so optimiert, dass auch langsame Mobilfunkverbindungen problemlos funktionieren, mit durchschnittlich nur 2 bis 10 MB pro Datenpunkt und Monat
- VPN-Zugriff auf das gesamte Netzwerk vor Ort ist mit zwei Klicks aktivierbar, ohne zusätzliche Kosten oder Konfiguration
- VNC-Integration und Visu-Routing ermöglichen den Fernzugriff auf vorhandene Panels und Webvisualisierungen, ohne bestehende Lösungen zu ersetzen
- Unterstützt werden gängige Protokolle wie OPC-UA, Modbus, Siemens TCP, Beckhoff ADS, EtherNet/IP, BACnet, M-Bus, CODESYS und MQTT
Entwickelt und betrieben wird AnyViz von der Mirasoft GmbH & Co. KG. Wenn Sie sehen möchten, wie portfreie Fernwartung in der Praxis aussieht, können Sie die Plattform direkt ausprobieren: Jetzt kostenlos registrieren und alle Funktionen ohne Verpflichtung testen.