Das Wichtigste in Kürze Stand: 04.11.2026 Angreifer nutzen die Sicherheitslücke CVE-2026-58115 für SIMATIC IoT2050 Geräte aus, um Siemens-Gateways mit Node-RED zu übernehmen. Betroffen ist das SIMATIC IoT2050 Advanced mit Firmware unter V4.3.4.1. Siemens hat den Fix am 11. August 2026 veröffentlicht. Betreiber müssen ihn selbst einspielen. Prüfen Sie jetzt, ob solche Geräte aus dem Internet erreichbar sind, und aktualisieren oder härten Sie ihre Node-RED Umgebung. Offen sind die Zahl betroffener Geräte und die Funktion der eingesetzten Schadsoftware. Jetzt prüfen: Läuft auf Ihren IoT2050-Geräten Node-RED, und ist die Oberfläche von außen erreichbar? Die SIMATIC IoT2050 Sicherheitslücke CVE-2026-58115 zeigt ein bekanntes Muster: Ein Fix existiert, aber nicht jedes Gerät ist aktualisiert. Dieser Beitrag benennt gesicherte Infos und leitet Lehren für den Betrieb von OT-Gateways ab, die über diesen Einzelfall hinausgehen. Was ist bei der SIMATIC IoT2050 Sicherheitslücke passiert? Siemens hat am 11. August 2026 eine kritische Schwachstelle in SIMATIC-IoT2050-Advanced-Geräten geschlossen (Siemens ProductCERT, SSA-834709). Seit dem 30. Oktober 2026 beobachtet VulnCheck Angriffe, die genau diese Lücke ausnutzen. Zwischen Fix und erstem beobachtetem Angriff liegen 80 Tage (eigene Berechnung aus Siemens- und VulnCheck-Daten). Zeitleiste 11.08.2026 Siemens veröffentlicht Advisory SSA-834709 und den Fix (Firmware V4.3.4.1) Siemens ProductCERT 2 25.08.2026 CISA veröffentlicht das Siemens-Advisory erneut als ICSA-26-237-03 CISA 3 27.10.2026 VulnCheck veröffentlicht eine Detection für die Lücke VulnCheck 4 30.10.2026 Erster beobachteter Angriff in einem VulnCheck-Canary-System VulnCheck 5 01.11.2026 Zweiter Payload-Server und persistente Webshells beobachtet; bis dahin 16 Angriffsereignisse derselben IP VulnCheck 6 03.11.2026 heise berichtet über die Angriffe heise (Dirk Knop) Was ist bestätigt, was ist offen? Nicht jede Information zu CVE-2026-58115 ist gleich belastbar. Die Tabelle trennt bestätigte Fakten von offenen und nicht belegten Punkten. KEV steht für „Known Exploited Vulnerabilities“, also Kataloge aktiv ausgenutzter Schwachstellen. VulnCheck und die US-Behörde CISA führen jeweils einen eigenen.AussageQuelleStatusNode-RED-Weboberfläche auf IoT2050 Advanced ohne AuthentifizierungSiemens ProductCERT, SSA-834709BestätigtCVSS-Wert 10.0 (v3.1 und v4.0), der Höchstwert der Skala von 0 bis 10Siemens ProductCERTBestätigt16 Angriffsereignisse derselben IP bis 01.11.2026VulnCheckBestätigtPersistente Webshells seit 01.11.2026VulnCheckBestätigtAufnahme in den VulnCheck-KEV-Katalog; nicht im CISA-KEV (Stand 02.11.2026)VulnCheckBestätigtFunktion des eingesetzten Linux-BotsVulnCheck hat die Datei nicht analysiertOffenZahl kompromittierter oder öffentlich erreichbarer Gerätekeine AngabeOffenAufnahme in den CISA-KEV-Katalogkeine AngabeOffenBetroffenheit weiterer Hersteller mit eingebettetem Node-REDVulnCheck hat sie nicht geprüftOffenIdentität der Angreiferkeine AngabeNicht belegtZusammenhang mit den Kühlanlagen-Angriffenkeine AngabeNicht belegt Welche Geräte sind betroffen und wie prüfe ich das? Betroffen ist das SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) mit Industrial OS und installiertem Node-RED. Das gilt für alle Firmware-Versionen unter V4.3.4.1 (Siemens, SSA-834709). Das Standard-Modell ohne „Advanced“ ist im Advisory nicht aufgeführt. Das ist allerdings keine Entwarnung für andere Produkte mit Node-RED. Der CVSS-Wert ist eine Skala von 0 bis 10 für den Schweregrad einer Schwachstelle. Siemens bewertet die Lücke mit 10.0, dem Höchstwert. Wie sich die Bewertung in Version 4.0 verändert hat, erklärt der Beitrag zu CVSS 4.0. So prüfen Sie Ihren Bestand:Gerätetyp: Erfassen Sie alle SIMATIC-IoT2050-Geräte inklusive Modellvariante.Firmware: Prüfen Sie, ob die Version niedriger als V4.3.4.1 ist.Node-RED: Stellen Sie fest, ob Node-RED auf dem Gerät installiert ist.Erreichbarkeit: Klären Sie, ob die Oberfläche aus dem Internet oder aus Fremdnetzen erreichbar ist.Prüfen Sie die Erreichbarkeit nur im eigenen Netz oder mit ausdrücklicher Freigabe. Portscans gegen fremde Systeme sind nicht zulässig. Wie funktioniert der Angriff auf Node-RED? Ein einziger HTTP-Request genügt, um auf einem ungeschützten Node-RED-System Befehle auszuführen (VulnCheck, 02.11.2026). Node-RED ist ein Werkzeug, mit dem sich Datenflüsse grafisch zusammenstecken lassen. Ein „exec-Node“ führt dabei Systembefehle aus, laut Siemens mit höchsten Rechten. Der beobachtete Ablauf, beschrieben als Prinzip:Der Angreifer sendet einen Request an die Flow-Schnittstelle von Node-RED.Ein neuer Flow mit inject- und exec-Node entsteht und startet.Ein mehrfach kodierter Dropper lädt eine Linux-Binärdatei von einem externen Server.Die Datei läuft im Arbeitsspeicher (/dev/shm). Was dieser Bot tut, hat VulnCheck nicht analysiert.Seit dem 1. November 2026 legen die Angreifer zusätzlich eine Webshell an. Das ist ein versteckter HTTP-Zugang, über den sich später Befehle ausführen lassen. Die Webshell überlebt einen Neustart, auch wenn der Bot im Arbeitsspeicher verschwindet (VulnCheck). Wie sichere ich Node-RED ab? Die wichtigste Maßnahme ist das Firmware-Update auf V4.3.4.1 oder höher. Wo das nicht sofort geht, nennt Siemens zwei Alternativen: Node-RED deinstallieren oder die Installation härten. Firmware aktualisieren: Node-RED deinstallieren, Node-RED härten, wenn Sie es brauchen: Erreichbarkeit schließen: Flows prüfen: Zugriffe protokollieren, Was ist ein IoT-Gateway und warum ist es ein attraktives Ziel? Ein IoT-Gateway verbindet Feldgeräte, Sensoren oder Maschinen mit IT-Netzen oder der Cloud. Es sitzt damit an der Grenze zwischen OT und IT, und Daten fließen in beide Richtungen. Nach unserer Einschätzung laufen solche Geräte oft lange im Feld und werden seltener gepatcht als Geräte der Office-IT (klassisches Notebook zum Beispiel). Hinzu kommt noch eine installierte OS-Standardsoftware wie Node-RED. Das ist eine allgemeine Beobachtung und auch keine dedizierte Aussage zum konkreten Fall. Ob sich ein Angreifer von einem übernommenen Gateway aus im Netz weiter ausbreiten kann, ist hier noch nicht belegt. Was verbindet die OT-Vorfälle der letzten Wochen? Die drei Vorfälle zeigen ähnliche Muster, aber keinen belegten Zusammenhang. Der Vergleich ordnet Gemeinsamkeiten ein. Er benennt keine Verursacher.VorfallBetroffene TechnikBekannte SchwächeWirkungStand der UrsachenklärungKühlanlagen Frankreich (11./12.10.2026)Steuerungen von Danfoss, Copeland und Dixell (CERT-FR)Viele Geräte aus dem Internet erreichbar, überwiegend Altsysteme ohne Support (Danfoss)Erzwungener Abtaubetrieb, bis 50 °C; rund 700 von etwa 10.000 Märkten laut RegierungsangabeEinstiegsweg und Täter offenKühlanlagen, zweite Welle Europa (02.11.2026)überwiegend Danfoss-SteuerungenLaut Danfoss in den Niederlanden: ungesichertes Netz, StandardpasswörterErhöhte Temperaturen, Ware entsorgtEinstiegswege uneinheitlich, nicht abschließend geklärtSiemens IoT2050 (30.10.–03.11.2026)SIMATIC IoT2050 Advanced mit Node-REDFehlende Authentifizierung (CWE-306), Fix seit 11.08.2026Ausführung von Befehlen, Linux-Bot, WebshellsSchwachstelle bekannt, Bot-Funktion und Täter offenDie Angaben zu den Kühlanlagen stammen aus unseren Artikeln Cyberangriff auf Kühlanlagen in Frankreich (16.10.2026) und Kühlanlagen vor Cyberangriffen schützen (03.11.2026). Dort finden Sie die Primärquellen. Gemeinsam ist den Fällen: Die Geräte hingen am Netz, und aktualisierte Patches oder Updates, sowie ein Zugangsschutz fehlten teilweise. Der Unterschied liegt im Vorgehen. Bei Siemens scannte dieselbe IP mehrere CVEs, was für ein opportunistisches Vorgehen spricht (VulnCheck, 02.11.2026). Bei den Kühlanlagen sind Täter und Motiv immer noch offen. Fünf Lehren für OT-Betreiber Ein Patch schützt nur, wenn er eingespielt wird. Zwischen dem Siemens-Fix am 11. August 2026 und dem ersten beobachteten Angriff am 30. Oktober 2026 liegen 80 Tage (eigene Berechnung). Ein definierter OT-Patch-Prozess mit Risikopriorisierung verkürzt dieses Fenster. Kriterien sind etwa CVSS 10 und aktive Ausnutzung. Verwaltungsoberflächen ohne Login sind eine offene Tür. CVE-2026-58115 beruht auf CWE-306, der fehlenden Authentifizierung. Jede Web-Administration in OT und IoT gehört hinter einen Login und sollte nicht aus dem Internet erreichbar sein. In OT-Produkten steckt Software, die Sie nicht auf dem Schirm haben. Node-RED ist in kommerzielle ICS- und OT-Produkte eingebettet (VulnCheck, 02.11.2026). Ein Software-Inventar (SBOM) zeigt, wo Betroffenheit entsteht. Hersteller müssen aktiv ausgenutzte Schwachstellen seit dem 11. September 2026 nach dem Cyber Resilience Act melden. Betreiber sollten diese Informationen aktiv einfordern. Massenscanner fragen nicht nach Unternehmensgröße. Laut VulnCheck (02.11.2026) registrierte dieselbe Angriffs-IP in wenigen Tagen 125 Treffer gegen acht verschiedene CVEs. Sieben davon betreffen andere Produkte, etwa Apache Solr, Gitea und Joomla. Wer erreichbar und verwundbar ist, wird getroffen, unabhängig von Branche und Größe. Patchen ist nicht gleich bereinigt. Persistente Webshells überleben einen Neustart (VulnCheck). Nach dem Update gehören Flows, ausgehende Verbindungen und Zugangsdaten auf den Prüfstand. „ Ein Fix nützt nichts, solange das Gerät ungepatcht im Feld steht. In der OT liegen zwischen Advisory und Update oft Monate. Genau dieses Fenster wird ausgenutzt. Frank Sommerhoff Program Lead OT-Security bei Axians Was Betreiber jetzt tun sollten Beginnen Sie heute mit Bestandsaufnahme und Sichtung der Erreichbarkeit. Die Tabelle ordnet die Maßnahmen nach Zeitraum, Zuständigkeit und Aufwand.ZeitraumMaßnahmeZuständigAufwandHeuteAlle IoT2050-Geräte und Node-RED-Installationen erfassenIT und OT gemeinsamgeringHeuteFirmware prüfen und auf V4.3.4.1 oder höher aktualisierenOT-AdministrationmittelHeuteOhne Update-Möglichkeit: Node-RED deinstallieren oder härtenOT-AdministrationmittelHeuteErreichbarkeit aus Internet und Fremdnetzen schließenNetzwerkteamgeringDiese WocheFlows auf unbekannte exec-Nodes und http-in-Endpunkte prüfenOT-AdministrationmittelDiese WocheAusgehende Verbindungen gegen die genannten IoCs prüfenSecurity-Team oder SOCmittelDiese WocheZugangsdaten bei Verdacht rotierenIT-Sicherheitgering30 TageOT-Inventar um Software-Komponenten erweiternOT- und IT-Leitunghoch30 TageGateways in eigene Zone, Egress-Filter für OT-NetzeNetzwerkteamhoch30 TageFernzugriff nur über VPN mit MFA oder OT-DMZIT-Sicherheitmittel30 TageOT-Patch-Prozess mit Priorisierung nach aktiver AusnutzungOT- und IT-LeitungmittelDen übergreifenden Plan für 72 Stunden bis 12 Monate finden Sie im Maßnahmenplan für 72 Stunden bis 12 Monate. Ergänzend lohnt der Blick auf die fünf Maßnahmen zum Schutz von OT-Systemen. Was tun, wenn das Gerät bereits kompromittiert sein könnte? Trennen Sie ein verdächtiges Gerät vom Netz, statt es nur neu zu starten. Webshells überstehen einen Neustart. Setzen Sie das Gerät im Zweifel komplett neu auf oder tauschen sie es aus. Sichern Sie vorher Logs und Node-RED-Flows für die Analyse. Tauschen Sie danach alle Zugangsdaten, die mit dem Gerät in Verbindung stehen, und prüfen Sie die Nachbarsysteme. Binden Sie bei Verdacht frühzeitig ihren Incident Response mit ein. Ob eine Meldepflicht besteht, etwa nach NIS2, hängt vom Einzelfall ab. Eine erste Einschätzung liefert der NIS2 Self Check. Woran erkenne ich einen Befall? Laut VulnCheck (02.11.2026) sind diese Indikatoren bekannt:Payload-Server: 85.215.73[.]250 (Port 8080)Angriffsquelle: 4.201.105[.]116Zweiter Payload-Server: 45.194.90[.]57 (Port 38472)Download-Pfade: /bot-linux-amd64 und /wget.sh auf dem ersten, /.sys_update auf dem zweiten Payload-ServerDateien: /dev/shm/.b, /tmp/.s, /tmp/.kworkerIn Node-RED: unerwartete exec-Nodes oder http-in-Endpunkte, etwa unter /cmdDie Liste kann sich ändern. Prüfen Sie den VulnCheck-Blog auf neue Einträge, bevor Sie nach Indikatoren suchen. Wie sichern Sie OT- und IoT-Gateways dauerhaft ab? Dauerhaft reduzieren fünf Bausteine die Angriffsfläche von Gateways:OT-Inventar und Visibility: Eine vollständige Übersicht über Geräte, Firmware und installierte Software ist die Basis. Mehr dazu unter OT-Asset-Inventarisierung und Network Visibility.Zonenkonzept nach IEC 62443: Segmentierung begrenzt die Reichweite eines übernommenen Geräts. Siehe Zonenkonzept nach IEC 62443 und die Seite zu IEC 62443.Sichere Fernwartung: Fernzugänge zu Gateways laufen über ein OT-Gateway oder eine OT-DMZ, nicht direkt aus dem Internet.OT-Monitoring mit Managed SOC: Auffälligkeiten im Datenverkehr werden erkannt und bewertet.Schwachstellenmanagement mit OT-Kontext: Neue Lücken werden mit dem Inventar abgeglichen und nach Risiko priorisiert (Vulnerability Management).Mögliches Schutzszenario (kein realer Fall): Ein Gateway lädt plötzlich eine Datei von einem unbekannten Server. Im OT-Monitoring fällt dieser ausgehende Download auf, und das SOC kann den Verbindungsaufbau früh prüfen. „ Gateways sind die Schnittstelle zwischen zwei Welten. Wer nicht weiß, welche Software dort läuft und wer darauf zugreifen kann, kann sie nicht absichern. Frank Sommerhoff Program Lead OT-Security bei Axians Axians und Actemium gehören beide zu VINCI Energies. Gemeinsam bündeln wir IT- und OT-Know-how in einem Ansatz, den wir auf der Seite OT-Security bei Axians beschreiben. Häufige Fragen Welche Siemens-Geräte sind von CVE-2026-58115 betroffen? Betroffen ist laut Siemens-Advisory SSA-834709 (11.08.2026) das SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) mit Industrial OS und installierter Node-RED, Firmware unter V4.3.4.1. Das Standard-Modell ohne „Advanced“ ist im Advisory nicht aufgeführt. Was ist Node-RED und warum ist es in OT-Geräten ein Risiko? Node-RED ist ein Werkzeug zur grafischen Programmierung von Datenflüssen und ist in der Regel in kommerzielle ICS- und OT-Produkte eingebettet (VulnCheck, 02.11.2026). Ohne Authentifizierung lassen sich darüber Systembefehle ausführen (CVE-2026-58115). Wie prüfe ich, ob mein SIMATIC IoT2050 angegriffen wurde? Prüfen Sie Flows auf unbekannte exec-Nodes und http-in-Endpunkte sowie Dateien wie /dev/shm/.b (VulnCheck, 02.11.2026). Prüfen Sie außerdem ausgehende Verbindungen zu den bekannten Payload-Servern. Reicht das Firmware-Update, wenn das Gerät schon kompromittiert ist? Nein. Persistente Webshells überstehen laut VulnCheck (01.11.2026) einen Neustart. Isolieren und untersuchen Sie ein betroffenes Gerät, statt es nur zu aktualisieren. Was kann ich tun, wenn kein Update möglich ist? Siemens nennt zwei Alternativen: Node-RED deinstallieren oder die Installation härten (SSA-834709). Schließen Sie in jedem Fall den Zugriff aus dem Internet und aus Fremdnetzen. Haben die Angriffe auf IoT2050-Gateways mit den Kühlanlagen-Angriffen zu tun? Ein Zusammenhang ist nicht belegt (Stand 04.11.2026). Die Fälle teilen ein Muster aus vernetzten Geräten und fehlendem Updatestand oder Zugangsschutz. Die betroffene Technik und der Angriffsweg unterscheiden sich. Was ist ein IoT-Gateway und warum ist es in der OT sensibel? Ein IoT-Gateway verbindet Feldgeräte, Sensoren, Aktoren mit typischen IT-Netzen oder der Unternehmenscloud und sitzt an der Grenze zwischen OT und IT. Nach unserer Einschätzung laufen solche Geräte oft viel zu lange ohne jegliche Updates. Muss ich den Vorfall melden (NIS2)? Das hängt von Ihrer Einstufung und vom konkreten Vorfall ab und ist im Einzelfall zu prüfen. Eine erste Einschätzung liefert der NIS2 Self Check. Wie sichere ich IoT-Gateways in der OT ab? Kurzfristig helfen ein Update, keine Erreichbarkeit aus dem Internet und Node-RED-Authentifizierung. Dauerhaft braucht es OT-Asset Inventarisierung, Netzwerk Segmentierung nach IEC 62443, abgesicherte Fernwartung, OT-Monitoring und ein Schwachstellenmanagement. Nächster Schritt: Gateways, Fernzugänge und OT-Software prüfen lassen Unser OT-Security-Team unterstützt Sie bei drei Punkten:einer vollständigen OT-Inventarisierung inklusive eingesetzter Softwareabgesicherten Fernzugängen statt offener VerwaltungsoberflächenÜberwachung mit Alarmierung bei auffälligem VerhaltenGespräch mit dem OT-Security-Team anfragen Weiterführend: Wer zuerst nur den Bestand sichtbar machen will, findet auf der OT-Security-Seite den OT-Security-Check zu OT-Assets. Ob NIS2 für Sie gilt, klärt der NIS2 Self Check. Quellen Stand: 04.11.2026Siemens ProductCERT, SSA-834709: https://cert-portal.siemens.com/productcert/html/ssa-834709.htmlCISA, ICS Advisory ICSA-26-237-03 (25.08.2026): https://www.cisa.gov/news-events/ics-advisories/icsa-26-237-03VulnCheck, „Exploitation Targeting Node-RED, a Tool Embedded in ICS Products“ (02.11.2026): https://www.vulncheck.com/blog/exploitation-targeting-node-redheise online, Dirk Knop (03.11.2026): https://www.heise.de/news/Internet-of-Things-Siemens-Simatic-IoT2050-angegriffen-11509246.htmlNVD, CVE-2026-58115: https://nvd.nist.gov/vuln/detail/cve-2026-58115Node-RED, „Securing Node-RED“: https://nodered.org/docs/user-guide/runtime/securing-node-redCERT-FR, CERTFR-2026-ALE-012: https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/SecurityWeek (15.10.2026): https://www.securityweek.com/supermarket-refrigeration-attack-widens-to-copeland-dixell-controllers/Änderungsprotokoll 04.11.2026: Erstveröffentlichung. Fakten am 04.11.2026 mit Siemens, VulnCheck, heise und CISA abgeglichen. < Zurück zur Übersicht OT Security
Ein Patch schützt nur, wenn er eingespielt wird. Zwischen dem Siemens-Fix am 11. August 2026 und dem ersten beobachteten Angriff am 30. Oktober 2026 liegen 80 Tage (eigene Berechnung). Ein definierter OT-Patch-Prozess mit Risikopriorisierung verkürzt dieses Fenster. Kriterien sind etwa CVSS 10 und aktive Ausnutzung.
Verwaltungsoberflächen ohne Login sind eine offene Tür. CVE-2026-58115 beruht auf CWE-306, der fehlenden Authentifizierung. Jede Web-Administration in OT und IoT gehört hinter einen Login und sollte nicht aus dem Internet erreichbar sein.
In OT-Produkten steckt Software, die Sie nicht auf dem Schirm haben. Node-RED ist in kommerzielle ICS- und OT-Produkte eingebettet (VulnCheck, 02.11.2026). Ein Software-Inventar (SBOM) zeigt, wo Betroffenheit entsteht. Hersteller müssen aktiv ausgenutzte Schwachstellen seit dem 11. September 2026 nach dem Cyber Resilience Act melden. Betreiber sollten diese Informationen aktiv einfordern.
Massenscanner fragen nicht nach Unternehmensgröße. Laut VulnCheck (02.11.2026) registrierte dieselbe Angriffs-IP in wenigen Tagen 125 Treffer gegen acht verschiedene CVEs. Sieben davon betreffen andere Produkte, etwa Apache Solr, Gitea und Joomla. Wer erreichbar und verwundbar ist, wird getroffen, unabhängig von Branche und Größe.
Patchen ist nicht gleich bereinigt. Persistente Webshells überleben einen Neustart (VulnCheck). Nach dem Update gehören Flows, ausgehende Verbindungen und Zugangsdaten auf den Prüfstand.