Am Werkstor steht heute eine Prüfmaschine, die sehr ernst schaut. Sie wiegt den Ausweis, riecht am Stempel, nickt mechanisch — und lässt dann ausgerechnet den falschen Schlüssel durch. So beginnt Sicherheit oft nicht mit einem Knall, sondern mit einem höflichen Klack.
CISA hat am 21. Juli 2026 eine Siemens-ProductCERT-Meldung zu Siemens Opcenter X republiziert. Betroffen sind Versionen vor V2604. Der Kern: Die Anwendung validiert den im JSON-Web-Token-Header angegebenen Algorithmus nicht korrekt. Laut Advisory kann ein unauthentifizierter Angreifer dadurch ein beliebiges JWT fälschen, die Authentifizierung umgehen und sich bis hin zu administrativen Konten ausgeben.
Wenn der Token den Türsteher überredet
Das klingt nach Kryptografie-Fachregal, ist aber im Fabrikalltag ziemlich handfest. Opcenter X sitzt im Manufacturing-Umfeld, also dort, wo Produktionsdaten, Abläufe und Zugriffsrechte nicht nur hübsche Dashboard-Kacheln sind. Wenn der digitale Ausweis falsch geprüft wird, steht nicht irgendein Webformular schief, sondern die Werkhalle bekommt Besuch durch den Nebeneingang.
CISA führt die Schwachstelle als CVE-2026-56451; die Einstufung ist mit CVSS 3.1: 10.0 maximal kritisch. Der zugehörige Schwachstellentyp ist CWE-347, also eine fehlerhafte Prüfung kryptografischer Signaturen. Übersetzt in Blech: Die Maschine schaut, ob ein Siegel rund ist, aber nicht, ob es überhaupt vom Amt kommt.
Das Update ist der eigentliche Schraubenschlüssel
Siemens nennt laut CISA V2604 oder neuer als Korrektur. Zusätzlich empfiehlt Siemens, industrielle Systeme nur in geschützten IT-Umgebungen zu betreiben und Netzzugriffe entsprechend zu begrenzen. CISA wiederholt die bekannten, aber nicht deshalb überflüssigen Werkstattregeln: ICS-Systeme nicht offen ins Internet stellen, Netze segmentieren, Fernzugriffe absichern und vor Gegenmaßnahmen eine Risikoanalyse machen.
Das ist keine glamouröse Abwehr, eher der ölverschmierte Teil der Sicherheit: Version prüfen, Update planen, Zugriffspfade ansehen, Token- und Identitätsgrenzen nicht als Deko behandeln. Wer Produktionssoftware betreibt, sollte jetzt nicht nur in die CVE-Tabelle schauen, sondern in den eigenen Leitstand. Vielleicht steht dort schon ein Drehkreuz und wartet auf einen Schlüssel, der viel zu selbstbewusst klappert.