Im Simulationsraum tropft es blau. Keine Wasserleitung, sagt die Netzwerktruppe, sondern Multicast. Das beruhigt ungefähr so sehr wie ein Hausmeister, der bei Rauchentwicklung erklärt, die Nebelmaschine sei doch normgerecht angeschlossen.
CISA hat am 28. Juli 2026 die ICS-Warnung ICSA-26-209-03 zu Siemens SIMATIC S7-PLCSIM Advanced veröffentlicht. Die dazugehörige Schwachstelle CVE-2026-54429 beschreibt, dass betroffene Instanzen hohen Multicast-Netzwerkverkehr nicht sauber genug verarbeiten. Ergebnis: Speicherressourcen können erschöpfen, die Anwendung wird unzugänglich und braucht einen manuellen Neustart.
Der Simulator als Auffangwanne
Das Gemeine daran ist nicht der große Hollywood-Hack, sondern die sehr werkstattnahe Mechanik. Ein SPS-Simulator soll eigentlich Fabriklogik nachspielen, ohne echte Förderbänder, Ventile oder Nervenbahnen der Produktion zu gefährden. Wenn aber ein bestimmter Projektzustand aktiv ist und auf dem lokalen Netzwerksegment genug Multicast angerollt kommt, wird aus der sicheren Sandkiste eine Auffangwanne mit schlechter Abflussplanung.
Die CVE-Beschreibung nennt keine verlorenen Projektdaten. Das ist die gute Nachricht. Die schlechte: Ein nicht mehr erreichbarer Simulator in der Entwicklungs- oder Testumgebung ist trotzdem ein Ausfall. Wer an Inbetriebnahme, Abnahme oder Fehlersuche hängt, hat dann keine Sicherheitslücke mit Feuerwerk, sondern einen rostigen Stillstand mit Neustartkurbel.
Multicast ist kein Konfetti
Technisch liegt der Fall bei CWE-770: Ressourcen werden ohne ausreichende Begrenzung oder Drosselung beansprucht. CISA bewertet die Schwachstelle nach CVSS 3.1 mit 7.4 High. Der Angriff braucht laut Beschreibung lokalen Netzwerkzugang und eine passende aktive Projektkonfiguration; er ist also kein weltweiter Knopf im Internet, aber im falschen Segment reicht auch der Werkstattflur.
Siemens bereitet laut CISA Fix-Versionen vor. Bis dahin stehen Gegenmaßnahmen im Vordergrund: die S7-PLCSIM-Virtual-Switch-Bindung auf dem betroffenen Netzwerkadapter deaktivieren, Multicast-Verkehr auf dem Segment begrenzen und den Softbus– beziehungsweise PLCSIM-Netzwerkmodus nutzen, der keine Pakete aus dem Netzwerk annimmt. In Blechpresse-Sprache: Schlauch ab, Ventil zu, Testbecken hinter Glas.
Testumgebungen sind auch Umgebung
Die kleine Lehre quietscht zwischen den Racks: Entwicklungs- und Simulationsplätze gehören nicht in die Restekiste der Netzplanung. Sie sehen harmlos aus, tragen Demo-Namen und stehen gern neben dem Kaffeeautomaten der Automatisierung. Aber sobald sie auf echten Segmenten lauschen, bekommen sie echte Störungen serviert.
Also: Projektzustände prüfen, Netzwerkmodi bewusst setzen, Multicast nicht als bunte Hintergrundmusik laufen lassen und den Neustart nicht als Betriebskonzept verkaufen. Ein Simulator darf die Fabrik nachspielen. Er muss nicht gleich bei der ersten Paketdusche so tun, als wäre Feierabend.