Der Zugriff per VNC aus der Ferne auf ein Bedienpanel funktioniert, indem ein VNC-Server auf dem Panel oder dem angeschlossenen Rechner läuft und ein VNC-Client von einem beliebigen Standort aus eine Verbindung zu diesem Server aufbaut. Der Client empfängt dabei den Bildschirminhalt des Panels und überträgt Maus- und Tastatureingaben zurück. Damit das sicher und zuverlässig funktioniert, müssen Netzwerk, Protokoll und Sicherheitsarchitektur sorgfältig aufeinander abgestimmt sein. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Voraussetzungen, Technik, Risiken und sinnvolle Alternativen.
Welche Voraussetzungen braucht ein Bedienpanel für den VNC-Fernzugriff?
Ein Bedienpanel benötigt für den VNC-Fernzugriff einen laufenden VNC-Server, eine aktive Netzwerkverbindung sowie eine erreichbare IP-Adresse. Zusätzlich muss das Betriebssystem des Panels VNC-Software unterstützen, und das Netzwerk muss den entsprechenden Port freigeben. Ohne diese Grundvoraussetzungen ist kein Fernzugriff möglich.
Im Detail bedeutet das: Die meisten industriellen Bedienpanels laufen unter Windows CE, Windows Embedded, Linux oder einem proprietären Betriebssystem. Nicht alle davon unterstützen gängige VNC-Server-Software wie TightVNC, RealVNC oder LibVNCServer. Bevor Sie einen VNC-Fernzugriff einrichten, sollten Sie prüfen, ob Ihr Panel-Hersteller eine kompatible VNC-Implementierung anbietet oder ob eine Drittanbieter-Lösung installiert werden kann.
Folgende Voraussetzungen sollten Sie im Vorfeld klären:
- Betriebssystem-Kompatibilität: Unterstützt das Panel-OS einen VNC-Server? Viele Siemens-, Beckhoff- oder Weintek-Panels bringen eine integrierte VNC-Funktion mit.
- Netzwerkanbindung: Das Panel muss über Ethernet oder WLAN erreichbar sein. Eine statische IP-Adresse oder ein zuverlässiger DNS-Eintrag vereinfacht die Verbindung erheblich.
- Portfreigabe: VNC nutzt standardmäßig Port 5900. Dieser Port muss in der Firewall des lokalen Netzwerks freigegeben sein.
- Ausreichende Rechenleistung: Ältere Panels mit schwacher CPU können bei der Bildschirmübertragung spürbare Verzögerungen zeigen.
- Authentifizierung: Ein Passwortschutz für den VNC-Zugang ist keine optionale Ergänzung, sondern eine Mindestanforderung.
Wie funktioniert VNC technisch bei industriellen Panels?
VNC (Virtual Network Computing) überträgt den Bildschirminhalt eines Geräts pixelweise über das Netzwerk an einen Client. Der VNC-Server auf dem Panel erfasst kontinuierlich Änderungen im Bildschirmbild und sendet nur die geänderten Bereiche. Der Client stellt diese Bilddaten dar und leitet Eingaben des Benutzers zurück an den Server.
Das zugrundeliegende Protokoll heißt RFB (Remote Framebuffer Protocol). Es ist bewusst einfach gehalten und betriebssystemunabhängig, was es für den industriellen Einsatz attraktiv macht. Allerdings bringt diese Einfachheit auch Einschränkungen mit sich: RFB überträgt Pixeldaten, keine Vektorgrafiken oder strukturierten Daten. Das bedeutet, dass bei schlechter Netzwerkverbindung die Bildqualität sinkt und die Reaktionszeit steigt.
In der industriellen Praxis unterscheidet man zwei typische Szenarien:
- Panel mit integriertem VNC-Server: Viele HMI-Hersteller bauen VNC-Funktionalität direkt in ihre Geräte ein. Sie aktivieren den Server in den Systemeinstellungen und können sofort per VNC-Client zugreifen. Siemens Comfort Panels oder Beckhoff CP-Serien sind bekannte Beispiele.
- PC-basierte Panels: Läuft auf dem Panel ein vollwertiges Windows- oder Linux-System, installieren Sie einen VNC-Server wie RealVNC oder TigerVNC als Softwarekomponente. Hier haben Sie mehr Konfigurationsfreiheit, tragen aber auch mehr Verantwortung für Sicherheit und Wartung.
Die Übertragungsqualität hängt stark von der verfügbaren Bandbreite ab. Im lokalen Netzwerk funktioniert VNC flüssig. Über das Internet oder Mobilfunkverbindungen kann die Latenz spürbar werden, besonders wenn das Panel eine hochauflösende Visualisierung anzeigt.
Welche Sicherheitsrisiken entstehen beim VNC-Zugriff über das Internet?
Der direkte VNC-Zugriff über das Internet ist mit erheblichen Sicherheitsrisiken verbunden. Ohne zusätzliche Schutzmaßnahmen ist der VNC-Port öffentlich erreichbar, Passwörter können durch Brute-Force-Angriffe geknackt werden, und die Datenübertragung erfolgt bei älteren VNC-Implementierungen unverschlüsselt. Industrielle Steuerungsumgebungen sind damit ein attraktives Ziel für Angreifer.
Die konkreten Risiken im Überblick:
- Unverschlüsselte Übertragung: Das RFB-Protokoll selbst verschlüsselt Daten nicht. Wer den Netzwerkverkehr abfängt, kann Bildschirminhalte und Eingaben mitlesen. Neuere VNC-Implementierungen unterstützen TLS-Verschlüsselung, aber nicht alle Panels setzen das um.
- Schwache Authentifizierung: Viele VNC-Installationen sind nur durch ein einfaches Passwort geschützt. Ohne Begrenzung der Anmeldeversuche sind Brute-Force-Angriffe realistisch.
- Offene Ports als Angriffsfläche: Wer Port 5900 direkt ins Internet freigibt, macht das Panel für automatisierte Scans und Angriffe sichtbar. Suchmaschinen wie Shodan indexieren solche offenen Ports systematisch.
- Fehlende Netzwerksegmentierung: Gelangt ein Angreifer über VNC auf das Panel, hat er oft Zugriff auf das gesamte Maschinennetzwerk dahinter.
- Keine Zwei-Faktor-Authentifizierung: Standard-VNC unterstützt keine mehrstufige Authentifizierung, was den Schutz bei kompromittierten Passwörtern erheblich schwächt.
Die Empfehlung der IT-Sicherheitsexperten ist eindeutig: Niemals VNC direkt und ungeschützt über das Internet betreiben. Stattdessen sollte VNC immer durch einen verschlüsselten Tunnel, etwa per VPN oder über eine gesicherte Cloud-Plattform, abgesichert werden.
Wie lässt sich VNC-Fernzugriff sicher über eine Cloud-Plattform realisieren?
Sicherer VNC-Fernzugriff über eine Cloud-Plattform funktioniert, indem die Verbindung nicht direkt über das Internet aufgebaut wird, sondern über einen verschlüsselten Tunnel, der durch die Cloud-Infrastruktur vermittelt wird. Das Panel bleibt dabei hinter der Firewall, ohne eingehende Ports freigeben zu müssen. Die Cloud-Plattform übernimmt Authentifizierung, Verschlüsselung und Zugriffskontrolle.
Dieses Architekturprinzip löst die größten Sicherheitsprobleme des direkten VNC-Zugriffs. Der Cloud Adapter baut eine ausgehende, verschlüsselte Verbindung zur Cloud-Plattform auf. Eingehende Verbindungen aus dem Internet auf das Maschinennetzwerk sind nicht erforderlich. Das bedeutet: keine Portfreigaben in der Firewall, keine öffentlich sichtbaren IP-Adressen, keine direkte Angriffsfläche.
Für die praktische Umsetzung gibt es zwei bewährte Wege:
VNC über einen VPN-Tunnel
Sie bauen zunächst eine VPN-Verbindung zum Maschinennetzwerk auf und greifen dann über diese verschlüsselte Verbindung per VNC-Client auf das Panel zu. Der VPN-Tunnel schützt die gesamte Kommunikation. Dieser Ansatz eignet sich besonders, wenn Sie ohnehin Zugriff auf die SPS oder andere Netzwerkgeräte benötigen. Mehr zu diesem Ansatz finden Sie unter VPN-Fernzugriff auf Maschinen und Steuerungen.
VNC direkt in die Cloud-Visualisierung einbetten
Einige Cloud-Plattformen ermöglichen es, den VNC-Stream eines Panels direkt in eine webbasierte Ansicht einzubetten. Der Benutzer öffnet einen Browser, meldet sich an der Cloud-Plattform an und sieht das Panel-Bild direkt im Browser, ohne einen separaten VNC-Client installieren zu müssen. Die Plattform übernimmt dabei die sichere Weiterleitung. Einen Überblick über die verschiedenen Möglichkeiten für sicheren Fernzugriff bietet die entsprechende Dokumentation.
Beide Ansätze haben gemeinsam, dass die Authentifizierung zentral über die Cloud-Plattform erfolgt. Benutzerrechte lassen sich granular vergeben, Zugriffe werden protokolliert, und bei Bedarf kann der Zugang sofort gesperrt werden.
Was sind die Grenzen von VNC im Vergleich zu nativen Cloud-Visualisierungen?
VNC überträgt immer nur Pixelbilder, keine strukturierten Daten. Das bedeutet: Sie sehen das Panel, aber Sie können keine Messwerte auswerten, keine Alarme filtern und keine Berichte erstellen. Native Cloud-Visualisierungen hingegen arbeiten direkt mit den Prozessdaten und bieten deutlich mehr Funktionalität als eine reine Bildschirmspiegelung.
Die Unterschiede werden in der täglichen Arbeit schnell spürbar:
- Bandbreitenbedarf: VNC überträgt kontinuierlich Bildschirmdaten, auch wenn sich nichts ändert. Native Cloud-Lösungen übertragen nur geänderte Datenpunkte und benötigen deutlich weniger Bandbreite, was besonders bei Mobilfunkverbindungen relevant ist.
- Reaktionszeit: Bei schlechter Verbindung wird VNC träge und unbrauchbar. Optimierte Cloud-Protokolle sind für genau diese Szenarien ausgelegt und bleiben auch bei schwachem Signal nutzbar.
- Analysefunktionen: VNC zeigt nur den aktuellen Bildschirmzustand. Historische Daten, Trendanalysen oder automatisierte Reports sind damit nicht möglich. Native Cloud-Plattformen speichern Prozessdaten und machen sie auswertbar.
- Mobilgeräte-Tauglichkeit: Ein VNC-Client auf einem Smartphone ist umständlich zu bedienen. Webbasierte Cloud-Visualisierungen sind für Touch-Bedienung optimiert und auf jedem Gerät ohne App-Installation nutzbar.
- Alarmierung: VNC kann keine Push-Benachrichtigungen senden. Überschreitet ein Messwert einen Grenzwert, erfahren Sie das nur, wenn Sie gerade auf den Bildschirm schauen.
VNC ist dennoch kein veraltetes Konzept. Es hat seinen festen Platz dort, wo eine vorhandene Panel-Visualisierung schnell und ohne Neuprogrammierung remote zugänglich gemacht werden soll. Als ergänzende Funktion innerhalb einer Cloud-Plattform, nicht als alleinige Lösung, entfaltet VNC seinen größten Nutzen. Einen direkten Vergleich von VPN, VNC und webbasiertem Visualisierungs-Routing finden Sie im Artikel zu sicherem Fernzugriff über VPN, VNC und Visu-Routing.
Wie wir VNC-Fernzugriff und Cloud-Visualisierung verbinden
Wir bei AnyViz haben uns genau mit dieser Frage beschäftigt: Wie lässt sich der Fernzugriff auf vorhandene Panels so gestalten, dass er sicher, einfach und gleichzeitig erweiterbar ist? Unser Ansatz kombiniert VNC-Integration mit nativer Cloud-Visualisierung, sodass Sie beides nutzen können, ohne sich für eine Seite entscheiden zu müssen.
- VNC direkt einbetten: Vorhandene Bedienpanels lassen sich in AnyViz-Ansichten einbinden, sodass Sie per Browser sicher auf die lokale Visualisierung zugreifen, ohne Ports in der Firewall freizugeben.
- VPN ohne Zusatzkosten: Über unseren Cloud-basierten VPN-Zugriff verbinden Sie sich mit zwei Klicks mit dem Maschinennetzwerk, ohne feste IP-Adressen, DNS-Konfiguration oder Port-Forwarding.
- Native Prozessdaten parallel nutzen: Während Sie per VNC das Panel bedienen, erfasst AnyViz gleichzeitig Messwerte, speichert Historien und sendet Alarme, was mit reinem VNC nicht möglich ist.
- Keine neue Hardware erforderlich: Der AnyViz Cloud Adapter lässt sich auf vorhandenen Geräten installieren und ermöglicht sofort VPN, VNC-Routing und Datenerfassung.
- Verschlüsselte Verbindung ab Steuerungsebene: Unser Kommunikationsprotokoll verschlüsselt Daten bereits auf der Steuerung, nicht erst im Netzwerk.
Wenn Sie sehen möchten, wie das in der Praxis aussieht, können Sie AnyViz ohne Vorkenntnisse und ohne Installationsaufwand direkt ausprobieren. Jetzt kostenlos registrieren und den Funktionsumfang selbst entdecken, entwickelt von der Mirasoft GmbH & Co. KG.