Am Rand der Fabrik steht eine Steuerung und schaut so unschuldig, wie Steuerungen eben schauen, wenn irgendwo ein Kabel im Bordstein verschwindet. Drinnen klackt eine SPS. Draußen regnet es. Dazwischen liegt diese Sorte Vertrauen, die früher mal nach Schaltschrank roch und heute nach offenem Netzwerkport.
Die Meldung kommt nicht vom Stammtisch mit Lötkolben, sondern von CISA: Für die Delta Electronics DVP12SE PLC beschreibt die Behörde zwei Schwachstellen, CVE-2026-12819 und CVE-2026-12818. Betroffen sind laut Advisory alle Versionen der DVP12SE PLC. Erfolgreiche Ausnutzung könne einem Angreifer erlauben, Befehle aus der Ferne abzusetzen, operative Werte zu verändern, Kontrolllogik zu stören und Geräteverhalten ohne Authentifizierung oder saubere Rechteprüfung umzubiegen.
Wenn die Produktionslinie höflicher ist als gesund
Das ist der Moment, in dem die Blechpresse den Schraubenzieher weglegt und kurz die Augenbraue hebt. Eine SPS ist kein dekorativer Blechwürfel für die Vitrine. Sie sitzt dort, wo Förderbänder, Ventile, Motoren und kleine Produktionsentscheidungen nicht diskutieren, sondern laufen. Wenn so ein Ding Befehle annimmt, ohne vorher ordentlich zu fragen, wer da eigentlich am Hebel steht, dann wird aus Automatisierung schnell eine offene Tür mit Hutschnur.
CISA bewertet die Sache mit CVSS 9.8. Das ist keine feine Werkstattnote mit Goldrand, sondern das rote Warnlämpchen, das schon leicht warm wird. Der betroffene Bereich ist laut Advisory die kritische Fertigung; eingesetzt wird das Produkt weltweit. Man muss also nicht besonders poetisch werden, um zu verstehen: Hier geht es nicht um ein blinkendes Spielzeug, sondern um Steuerungslogik mit echten Händen an echten Maschinen.
Der alte Fehler: innen Fabrik, außen Welt
In der Theorie wohnt industrielle Steuerung in einem ordentlichen Netz, hinter Segmentierung, Firewall, VPN, Inventarliste und einem Admin, der seinen Kaffee nicht über die Patchnotizen kippt. In der Praxis findet man manchmal noch einen Schlauch nach draußen, einen Wartungszugang, eine vergessene Verbindung, einen kleinen digitalen Seiteneingang mit Spinnwebe. Genau dort wird aus „läuft doch“ ein „wer hat gerade die Produktionswerte angefasst?“
Die nüchterne Lehre ist alt und trotzdem nicht erledigt: Steuerungen brauchen keine höfliche Offenheit, sondern klare Grenzen. Netzexposition minimieren. Kontrollsysteme von Büronetzen trennen. Fernzugriff nur mit aktueller, abgesicherter Technik. Vor allem: wissen, was überhaupt im Schaltschrank lebt. Inventar ist nicht sexy. Aber ein unbekanntes Gerät im Produktionsnetz ist auch nicht sexy, nur teurer.
Kein Cyberdrama, nur Maschinenrealität
Man muss daraus kein Kino machen. Keine dunkle Kapuze, kein grüner Regen auf dem Bildschirm, kein dramatischer Bass. Es reicht ein Steuergerät, das mehr annimmt, als es sollte. Es reicht eine Produktionsumgebung, in der „später patchen“ ein Betriebszustand geworden ist. Und es reicht ein Angreifer, der merkt, dass der Hebel außen leichter geht als gedacht.
Die Blechpresse notiert: Wenn die SPS Befehle vom Straßenrand nimmt, sollte nicht der Straßenrand das Problem sein. Sondern die Frage, warum dort überhaupt ein Befehlsfenster offensteht.