Im Netzwerkschrank liegt heute so ein Geräusch, das erst nach Lüfter klingt, dann nach Papierstapel und am Ende nach: bitte nicht schon wieder alle Schrauben einzeln.
Der Schalter sitzt auf seiner Hutschiene, tut industriell, trägt Kühlrippen wie ein kleiner Panzer und schaut unschuldig in die Schaltschrankluft. Dann kommt CISA mit dem Laufzettel vorbei: Siemens SINEC OS vor V4.0 für RUGGEDCOM RST2428P, Advisory ICSA-26-188-05, veröffentlicht am 7. Juli 2026. Eine ganze Kiste Schwachstellen. Nicht eine Schraube locker. Eher: der Schraubeneimer hat einen Arbeitskreis gegründet.
Der Update-Tresen macht Klack, Klack, Klack
Der offizielle Kern ist trocken genug, um damit Kabelbinder zu etikettieren: SINEC OS vor V4.0 enthält multiple Schwachstellen; betroffen ist laut CISA der RUGGEDCOM RST2428P (6GK6242-6PA00); Siemens hat eine neue Version veröffentlicht und empfiehlt das Update. In der CISA-Tabelle steht ein CVSS-v3-Maximalwert von 9.8. Das ist die Art Zahl, bei der der Schaltschrank kurz so tut, als hätte er den Termin im Kalender übersehen.
Beim Durchzählen der Advisory-Seite kamen 77 CVE-Kennungen zusammen. Da sind Speichergrenzen, Pfadgeschichten, Race Conditions, XSS, Authentifizierungsärger und allerlei Bibliotheksrost dabei. Nicht jeder Splitter ist gleich scharf, manche brauchen Umwege, manche lokale Nähe, manche Benutzerinteraktion. Aber als Paket ist das kein schöner Schraubensatz. Das ist so ein Sortimentkasten, den man nur öffnet, wenn die Kaffeemaschine schon kapituliert hat.
Industrienetz heißt nicht: bitte ins Internet hängen
CISA schreibt nicht: Weltuntergang, Sirene, alle Ventile tanzen. Gut so. Die Behörde empfiehlt die bekannten, langweiligen, deshalb oft richtigen Dinge: Steuerungssysteme nicht ans offene Internet stellen, Netze trennen, Firewalls nutzen, Fernzugriff sauber und aktuell halten, Risiken vor Änderungen prüfen. Siemens verweist ebenfalls auf industrielle Security-Leitlinien und ProductCERT-Advisories; die frei erreichbaren Einstiegsseiten liegen bei Siemens ProductCERT und Siemens Industrial Cybersecurity.
Man kann das als Routine lesen. Man sollte es nur nicht als Entwarnung lesen. In Industrienetzen ist Routine manchmal der dünne Blechdeckel zwischen „läuft seit Jahren“ und „warum spricht die Anlage plötzlich mit einem Scanner aus dem Nachbarsegment“. Ein Switch ist kein Drama-Monster. Aber er ist die Stelle, an der Drama sehr gern durchmarschiert, wenn jemand die Tür offen lässt.
Die Blechpresse sortiert: erst patchen, dann wieder würdevoll blinken
Der praktische Satz passt auf einen öligen Zettel: prüfen, ob RUGGEDCOM RST2428P mit SINEC OS unter V4.0 im Bestand steht; Siemens-Updatepfad kontrollieren; Wartungsfenster nicht mit Heldentum verwechseln; Segmentierung ansehen; Fernzugriffe zählen, nicht nur segnen. Und bitte die Ersatzteile nicht neben den alten Schrauben lagern, sonst findet später wieder jemand „historische Kompatibilität“ und nennt es Architektur.
Am Ende bleibt der kleine industrielle Schalter im Schrank, etwas beleidigt, aber besser sortiert. Vier grüne Lämpchen wären schön. Ein Log ohne Überraschungen auch. Die Blechpresse wischt derweil 77 rostige Unterlegscheiben vom Tisch und schreibt auf den Rand: Nicht jedes Update ist Glamour. Manche sind einfach der Unterschied zwischen Werkbank und Trümmerfach.