Wie lässt sich eine Siemens S7-SPS im Jahr 2025 mit der Cloud verbinden?

· 13 Minuten Lesezeit
13 min read
Lucas Moreau
Lucas Moreau
OT/IT-Netzwerkingenieur

Siemens S7-Steuerungen kommen in Zehntausenden von Industrieanlagen in Frankreich zum Einsatz – in Produktionslinien, Aufbereitungsanlagen und Energieinfrastrukturen. Jahrelang arbeiteten diese Steuerungen isoliert und kommunizierten ausschließlich mit einem lokalen SCADA-Leitsystem. Heute besteht ein starker Druck, sie mit der Cloud zu verbinden: Fernüberwachung, vorausschauende Wartung, Zentralisierung der Produktionsdaten, Zugriff für Wartungsteams von jedem Ort aus.

Die Anbindung einer S7 an die Cloud lässt sich jedoch nicht einfach so bewerkstelligen. Die verfügbaren Protokolle variieren je nach SPS-Generation, die Netzwerkkonfiguration vor Ort kann bestimmte Vorgehensweisen ausschließen, und die Sicherheit des Fernzugriffs auf eine Produktions-SPS ist ein Thema für sich.

Dieser Leitfaden beschreibt drei bewährte Methoden zur Anbindung einer Siemens S7-SPS an die Cloud im Jahr 2025, einschließlich ihrer Vorteile, Einschränkungen und konkreter Konfigurationsbeispiele.

Warum sollte man eine S7 mit der Cloud verbinden?​

Bevor wir auf die technischen Details eingehen, wollen wir zunächst die Grundlagen des ROI klären. Unternehmen, die diesen Schritt wagen, nennen durchweg drei wesentliche Vorteile:

Fernüberwachung. Zugriff auf Prozesswerte, Alarme und den Anlagenstatus über einen Computer oder ein Smartphone – ohne komplexes, von der IT-Abteilung konfiguriertes VPN und ohne den Teamleiter vor Ort anrufen zu müssen. Für einen Maschinenbauer bedeutet dies, den Status jeder Anlage bei seinen Kunden in Echtzeit einsehen zu können.

Vorausschauende Wartung. Durch die Speicherung der SPS-Daten in einer zeitbasierten Datenbank (InfluxDB, TimescaleDB, Azure Time Series Insights) lassen sich Abweichungen erkennen, bevor sie zu einem Ausfall führen. Ein Motor, dessen Verbrauch über einen Zeitraum von drei Wochen hinweg allmählich ansteigt, lässt sich bereits lange vor dem Ausfall erkennen.

Weniger Fahrten. Eine Ferndiagnose erspart eine Anfahrt vor Ort. Bei einer Anlage, die 500 km vom technischen Büro entfernt ist, bedeutet dies eine direkte und sofortige Kostenersparnis.

Die auf einer Siemens S7-Steuerung verfügbaren Protokolle​

Zunächst sollten Sie herausfinden, was Ihre Steuerung von Haus aus unterstützt. Die Antwort hängt stark von der Generation ab.

ProtokollS7-300 / S7-400S7-1200 (FW ≥ 4.x)S7-1500
S7COMM (natives Protokoll)Ja (Port 102/TCP)JaJa
Modbus TCPÜber CP oder FB von DrittanbieternJa (natives FB)Ja (natives FB)
OPC-UA-ServerNicht nativNein (nur Client, FW 4.x)Ja (nativer Server)
PUT/GETJaJa (muss aktiviert werden)Ja (muss aktiviert werden)
MQTTNeinNicht nativ (über Gateway)Über LHTTP oder Gateway

S7COMM: das native Siemens-Protokoll​

S7COMM ist das proprietäre Protokoll, das vom TIA Portal für die Kommunikation zwischen dem Programmier-PC und der SPS verwendet wird. Es läuft über den TCP-Port 102 und kann von Drittanbieter-Clients (libnodave, python-snap7) zum Lesen und Schreiben von Variablen genutzt werden. Dieses Protokoll wird jedoch für eine Cloud-Anbindung nicht empfohlen: Es unterstützt keine Authentifizierung, und die Öffnung von Port 102 für das Internet stellt ein schwerwiegendes Sicherheitsrisiko dar.

PUT/GET: Direktes Auslesen durch einen Dritten​

Die PUT/GET-Funktion ermöglicht es einem externen Client, Datenblöcke in der SPS zu lesen oder zu schreiben. Sie ist bei den Modellen S7-1200 und S7-1500 standardmäßig deaktiviert und muss in den CPU-Eigenschaften im TIA Portal ausdrücklich aktiviert werden. Aus Sicherheitsgründen gilt dasselbe: Die Funktion darf nur hinter einem VPN verwendet werden und darf niemals direkt zugänglich sein.

OPC-UA und Modbus TCP: die beiden empfohlenen Protokolle​

Für eine sichere Cloud-Integration werden die beiden Ansätze OPC-UA (auf S7-1500) und Modbus TCP (S7-1200 und S7-1500) empfohlen. Für diese Protokolle gibt es bewährte Bibliotheken, Cloud-Konnektoren und Gateway-Lösungen.

Methode 1 – Über OPC-UA (S7-1500)​

OPC-UA ist das Referenzprotokoll für die industrielle Interoperabilität. Seit der Firmware-Version V2.0 der S7-1500 ist der OPC-UA-Server nativ in die CPU integriert. Dies ist die sauberste und zukunftssicherste Methode für Neuinstallationen oder S7-1500-Steuerungen.

Aktivierung des OPC-UA-Servers im TIA-Portal​

Schritt 1 – Die Eigenschaften der CPU öffnen. Wählen Sie im TIA-Portal-Projekt die CPU S7-1500 aus und wechseln Sie zu Propriétés > OPC UA > Serveur.

Schritt 2 – Den Server aktivieren. Aktivieren Sie das Kontrollkästchen „Activer le serveur OPC UA“. Behalten Sie den Standardport (4840) bei. Sie können einen benutzerdefinierten Port festlegen, falls Ihre Netzwerkinfrastruktur dies erfordert.

Schritt 3 – Sicherheit konfigurieren. Wählen Sie mindestens den Sicherheitsmodus SignAndEncrypt mit Basic256Sha256 aus. Verwenden Sie None niemals in der Produktion – dies würde bedeuten, die Variablen der SPS ohne Authentifizierung offenzulegen.

Schritt 4 – OPC-UA-Knoten erstellen. Markieren Sie im Datenblock (DB) die Variablen, die über OPC-UA (Accessible depuis OPC UA) verfügbar gemacht werden sollen. Nicht markierte Variablen sind von außen nicht sichtbar – dies ist eine erste Filterstufe.

Schritt 5 – Bereitstellung und Test. Laden Sie das Projekt auf die CPU hoch. Testen Sie es über das lokale Netzwerk mit einem OPC-UA-Client wie UaExpert (kostenlos), bevor Sie das Cloud-Gateway konfigurieren.

OPC-UA-Gateway → Cloud​

Der OPC-UA-Server der S7-1500 wartet auf eingehende Verbindungen. Um die Daten in die Cloud zu übertragen, ohne einen eingehenden Port zu öffnen (Sicherheitsempfehlung), verbindet sich ein lokales IoT-Gateway als Client mit dem OPC-UA-Server und leitet die Daten über eine ausgehende HTTPS/MQTT-Verbindung an die Cloud weiter.

# Beispiel für eine Eziwan-Gateway-Konfiguration – OPC-UA-Quelle
sources:
  - type: opcua
    endpoint: opc.tcp://192.168.1.10:4840
    security_mode: SignAndEncrypt
    security_policy: Basic256Sha256
    certificate: /etc/eziwan/opcua_client.pem
    polling_interval: 5s
    nodes:
      - node_id: "ns=3;s=DB1.temperature_process"
        name: temperature_process
        unit: °C
      - node_id: "ns=3;s=DB1.pression_bar"
        name: pression_bar
        unit: bar
      - node_id: "ns=3;s=DB1.etat_ligne"
        name: etat_ligne

destinations:
  - type: mqtt
    broker: mqtt.eziwan.cloud:8883
    tls: true
    topic_prefix: "usine/ligne1"

Methode 2 – Über Modbus TCP (S7-1200 / S7-1500)​

Modbus TCP wird auf der S7-1200 (Firmware 4.x und höher) und der S7-1500 nativ über in das TIA Portal integrierte Funktionsblöcke (FB) unterstützt. Dies ist der bevorzugte Ansatz, wenn Ihr IoT-Gateway oder Ihr SCADA-System Modbus TCP unterstützt oder wenn Sie eine Integration in ein bestehendes System vornehmen müssen, das dieses Protokoll bereits unterstützt.

Konfiguration des Modbus-TCP-Servers auf der S7-1200​

Schritt 1 – Erstellen eines Datenblocks für die Register. Erstellen Sie eine Datenbank Modbus_Holding_Registers mit einem WORD-Array der gewünschten Größe (z. B. 100 Register). Auf dieses Array kann der Modbus-Client im Lese- und Schreibmodus zugreifen.

Schritt 2 – Instanziieren des FB MB_SERVER. Instanziieren Sie im Block OB1 oder in einer zyklischen Aufgabe das FB MB_SERVER (verfügbar in der TIA-Portal-Bibliothek).

// Exemple d'instanciation MB_SERVER en SCL
#MB_SERVER_Instance(
    EN_R_JMP    := TRUE,
    DISCONNECT  := FALSE,
    MB_HOLD_REG := "Modbus_Holding_Registers".data,
    NDR         := #NDR,
    DR          := #DR,
    ERROR       := #ERROR,
    STATUS      := #STATUS,
    CONNECT     := #TCON_Param
);

Schritt 3 – Konfigurieren Sie die Verbindungseinstellungen. Geben Sie im Datenblock TCON_Param Folgendes an:

  • InterfaceId: ID der Ethernet-Schnittstelle der CPU (in der Regel 64)
  • ID: Verbindungs-ID (z. B. 1)
  • ActiveEstablished: FALSE (die S7 wartet auf Verbindungen)
  • RemotePort: 0 (akzeptiert alle Clients)
  • LocalPort: 502 (Standard-Modbus-Port)

Schritt 4 – Zuordnung der Variablen in der Registerdatenbank. Schreiben Sie die Prozesswerte vom SPS-Programm in die Registertabelle. Das IoT-Gateway liest diese Register über Modbus TCP aus und leitet sie an die Cloud weiter.

Wichtige Konfigurationseinstellungen​

ParameterEmpfohlener WertAnmerkung
Port502Modbus-TCP-Standard
Gleichzeitige VerbindungenMaximal 3Standardwert S7-1200
Verbindungszeitlimit30 sJe nach Netzwerk anpassen
RegisterStrukturierte DatenbankZugriffe auf den M-Speicher vermeiden
RegisteraktualisierungZyklisch (100 ms)An die Prozessdynamik anpassen

Methode 3 – Über ein RS-485-IoT-Gateway (alle Steuerungen)​

Diese Methode kommt zum Einsatz, wenn die S7-Steuerung nicht direkt über das IP-Netzwerk erreichbar ist (keine Ethernet-Schnittstelle verfügbar, isoliertes OT-Netzwerk, ältere S7-300 ohne Ethernet-CP) oder wenn bereits ein RS-485-Modbus-RTU-Bus vorhanden ist, über den die SPS als Slave oder Master erreichbar ist.

Architektur​

In diesem Schema wird ein IoT-Gateway (z. B. Eziwan Gateway) physisch an den RS-485-Anschluss der SPS oder des Feldnetzwerks angeschlossen und kommuniziert über Modbus RTU. Das Gateway wandelt die Modbus-RTU-Daten in MQTT oder HTTP um und überträgt sie über seine 4G- oder Ethernet-Verbindung an die Cloud.

Modbus-RTU-Konfiguration auf der S7-300​

Bei einem S7-300 mit dem Kommunikationsmodul CP 340 oder CP 341 wird die RS-485-Modbus-RTU-Kommunikation über die Siemens-Parametrierungssoftware konfiguriert (je nach Modul entweder USS-Protokoll oder Modbus RTU). Die freizugebenden Register werden in der Kommunikations-DB des CP definiert.

Diese Methode hat einen großen Vorteil: Es sind keine Änderungen am bestehenden SPS-Programm erforderlich, sofern dieses bereits als Modbus-RTU-Master oder -Slave konfiguriert ist. Das IoT-Gateway ist für die SPS transparent.

Den Fernzugriff auf den S7 sichern​

Die Absicherung des Zugriffs auf eine Produktionssteuerung ist ein kritisches Thema. Eine fehlerhafte Konfiguration kann den industriellen Prozess unbefugten Zugriffen oder sogar Angriffen aussetzen (siehe dokumentierte Vorfälle in Industrieanlagen).

Grundsatz: Keine zum Internet hin offenen Ports​

Der Port der Steuerung (TCP 102, TCP 502, TCP 4840) darf niemals direkt ins Internet freigegeben werden, auch nicht hinter einem NAT. Die richtige Vorgehensweise ist ein ausgehender VPN-Tunnel.

Das IoT-Gateway stellt eine verschlüsselte ausgehende Verbindung zu einem Cloud-VPN-Hub her. Die SPS hingegen sieht nur das lokale Netzwerk. Von außen erfolgt der Zugriff über den VPN-Hub, der jede Verbindung authentifiziert und autorisiert.

OpenVPN-Konfiguration​

OpenVPN ist das empfohlene VPN-Protokoll für industrielle IoT-Implementierungen: Es durchläuft Firewalls über TCP 443, stellt nach einem Netzwerkausfall schnell wieder eine Verbindung her (entscheidend bei 4G) und authentifiziert sich über ein X.509-Zertifikat. IPSec (IKEv2) steht weiterhin für regulierte Umgebungen zur Verfügung.

# OpenVPN-Konfiguration auf der Seite des Feldgateways (.ovpn-Profil)
client
dev tun
proto udp
remote vpn.eziwan.cloud 1194
remote-cert-tls server
cipher AES-256-GCM
auth SHA256
keepalive 10 60
persist-tun
# Vom Server übertragene Routen: 10.10.1.0/24
# X.509-Client-Zertifikat, das automatisch durch Zero-Touch-Provisioning eingefügt wird

Bei dieser Konfiguration unterhält das Gateway einen permanenten Tunnel zur Cloud. Die S7-Steuerung verbleibt im lokalen Netzwerk 192.168.x.x und ist zu keinem Zeitpunkt direkt nach außen exponiert. Der Wartungstechniker verbindet sich mit dem Cloud-VPN-Konzentrator und greift über den Tunnel auf die Steuerung zu.

Netzwerksegmentierung​

Das OT-Netzwerk (SPS) ist durch eine industrielle Firewall oder ein dediziertes VLAN vom IT-Netzwerk (Büroautomation, Cloud) zu trennen. Das IoT-Gateway ist die einzige zulässige Brücke zwischen den beiden Zonen, wobei strenge Datenflussregeln gelten (nur die erforderlichen Protokolle und Ziele).

Beispiel für eine vollständige Bereitstellung​

Hintergrund: Eine Produktionslinie, die mit einer S7-1500 ausgestattet ist und bei der etwa hundert Prozessvariablen von der Zentrale (in 300 km Entfernung) aus überwacht und zur Leistungsanalyse protokolliert werden sollen.

Eingesetzte Architektur:

  1. S7-1500 in der Anlage — OPC-UA-Server aktiviert, 87 Variablen in 3 Datenblöcken verfügbar. OPC-UA-Sicherheit im Modus SignAndEncrypt.

  2. Eziwan Gateway im Schaltschrank – über lokales Ethernet mit der S7-1500 verbunden. OPC-UA-Client, der die Variablen alle 5 Sekunden abfragt. Permanente OpenVPN/IPSec-VPN-Verbindung zur Eziwan-Cloud. Dual-SIM-Failover, falls die Ethernet-Verbindung im Werk ausfällt.

  3. Cloud Eziwan – MQTT-Empfang der Daten, Speicherung in einer Zeitdatenbank, stündliche/tägliche Aggregation. REST-API für Systeme von Drittanbietern verfügbar.

  4. Grafana-Dashboard in der Zentrale – Anbindung an die Eziwan-Cloud-API, Anzeige der Produktions-KPIs (TRS, Taktzahl, OEE), E-Mail- und SMS-Benachrichtigungen bei Überschreitung von Schwellenwerten.

  5. Fernwartungszugang – Die Wartungstechniker stellen von ihrem Arbeitsplatz aus eine Verbindung zum Eziwan-VPN her. Sie sehen die S7-1500 so, als befänden sie sich im lokalen Netzwerk der Fabrik, und haben über das TIA-Portal direkten Zugriff für die Diagnose.

Ergebnis: Inbetriebnahme innerhalb von 4 Stunden. Keine Änderungen am bestehenden SPS-Programm. Keine offenen Ports in der Firewall des Kunden.

Häufige Fehler​

  1. PUT/GET ohne VPN aktivieren. Die PUT/GET-Funktion ermöglicht einen direkten Zugriff auf die Datenbanken der SPS. Ohne VPN kann jeder, der Zugang zum OT-Netzwerk hat, die Produktionsvariablen lesen und schreiben. Dies ist die gefährlichste Konfiguration, die in der Praxis anzutreffen ist.

  2. S7COMM über die Cloud nutzen. Das native Siemens-Protokoll (Port 102) ist nicht für den externen Zugriff ausgelegt. Bibliotheken von Drittanbietern, die dieses Protokoll implementieren, unterstützen keine modernen Sicherheitsmechanismen.

  3. Den Rückmeldungsfluss vernachlässigen. Eine Cloud-Überwachung, die Befehle an die SPS sendet (Sollwerte, Startbefehle), erfordert eine verstärkte Sicherheitsanalyse. Legen Sie im OPC-UA-Server oder im Modbus-Mapping klar fest, welche Variablen schreibgeschützt sind und welche sowohl gelesen als auch geschrieben werden können.

  4. Firmware-Version der S7 beachten. Der integrierte OPC-UA-Server ist je nach Modell erst ab einer bestimmten Firmware-Version verfügbar. Bei der S7-1500 ist vor der Planung einer OPC-UA-Integration zu überprüfen, ob die Firmware ≥ V2.0 ist.

  5. Das Gateway unterdimensionieren. Ein Gateway, das jede Sekunde 500 OPC-UA-Variablen abruft und gleichzeitig einen VPN-Tunnel aufrechterhält sowie eine 4G-Verbindung verwaltet, benötigt ausreichende CPU- und Speicherressourcen. Überprüfen Sie die Leistung vor der Inbetriebnahme im Produktivbetrieb mit einem Lasttest.

FAQ​

Kann mein S7-300 mit Ethernet-CP an die Cloud angeschlossen werden? Ja, allerdings sind die Möglichkeiten dabei eingeschränkter. Die S7-300 unterstützt OPC-UA nicht nativ. Mögliche Ansätze sind: Modbus TCP über eine FB eines Drittanbieters oder eine dedizierte CP, S7COMM über eine Bibliothek eines Drittanbieters (nur hinter einem VPN zu verwenden) oder RS-485 Modbus RTU mit einem IoT-Gateway (Methode 3).

Kann man eine S7 mit der Cloud verbinden, ohne das SPS-Programm zu ändern? Oftmals ja, insbesondere über die RS-485/Gateway-Methode (sofern die SPS bereits über einen RS-485-Modbus-Anschluss verfügt) oder über OPC-UA im schreibgeschützten Modus (die vorhandenen Variablen werden ohne Programmänderung bereitgestellt). Die Modbus-TCP-Server-Methode erfordert nur geringfügige Änderungen (Hinzufügen des FB MB_SERVER und einer Register-DB).

Wie hoch ist die Latenz zwischen einem Prozesswert und dessen Anzeige auf dem Cloud-Dashboard? Bei einem OPC-UA-Polling im 5-Sekunden-Takt, einer MQTT-Übertragung und einer Dashboard-Aktualisierung alle 5 Sekunden beträgt die Gesamtlatenz unter normalen Bedingungen 5 bis 15 Sekunden. Dies ist nicht für die Echtzeitregelung geeignet (die weiterhin Aufgabe der SPS ist), reicht jedoch für die Überwachung und Wartung vollkommen aus.

Ist für den Fernzugriff über VPN das TIA Portal auf dem PC des Ingenieurs erforderlich? Ja, um das SPS-Programm zu bearbeiten (wofür das TIA Portal erforderlich ist). Nein, für die Überwachung der Variablen, die über das Cloud-Dashboard erfolgen kann, ohne dass eine Siemens-Software installiert sein muss.

Weiterführende Informationen​

Möchten Sie Ihre Siemens S7-Steuerungen mit der Cloud verbinden, ohne Ports zu öffnen oder Ihr Programm zu ändern? Kontaktieren Sie unser Team – kostenlose Kompatibilitätsprüfung innerhalb von 48 Stunden.

Weitere Ressourcen​