Wat is S7 Comm Plus?
S7 Comm Plus (ook S7CommPlus) is het eigen communicatieprotocol van Siemens waarmee de S7-1200- en S7-1500-PLC’s gegevens uitwisselen met TIA Portal, HMI’s, SCADA-systemen en andere clients, met ingebouwde integriteitsbescherming en sinds TIA Portal V17 versleuteling via TLS. Het is de opvolger van het klassieke S7 Comm van de S7-300 en S7-400, dat geen enkele vorm van authenticatie of versleuteling kent. S7 Comm Plus is geen uitbreiding van dat oude protocol maar een apart protocol dat over dezelfde TCP-poort 102 loopt. Wie een moderne Siemens-installatie beheert of de cybersecurity ervan bewaakt, moet weten welke beveiliging het protocol werkelijk biedt en waar de grenzen liggen.
🧠 Hoe werkt S7 Comm Plus?
S7 Comm Plus verscheen met de S7-1200 (2009) en werd de standaardcommunicatie van de S7-1500 (gepresenteerd in 2012). Net als het klassieke protocol gebruikt het ISO-on-TCP volgens RFC 1006 op TCP-poort 102, maar in de pakketkop staat protocol-ID 0x72 in plaats van 0x32. Daaraan herkennen netwerkmonitors en DPI-firewalls het verschil.
Het protocol is objectgeoriënteerd: een client spreekt niet rechtstreeks geheugenadressen aan, maar objecten zoals datablokken, variabelen en programmabouwstenen. Over S7 Comm Plus lopen onder meer:
- Engineering - programma laden en uitlezen, online diagnose en firmware-updates vanaf het engineeringstation met TIA Portal
- Bediening en visualisatie - HMI-panelen en WinCC lezen en schrijven symbolische variabelen
- Diagnose - CPU-status, diagnosebuffer en de bedrijfsstanden RUN en STOP
De beveiliging heeft zich in twee generaties ontwikkeld:
- Legacy-bescherming (vóór V17) - een eigen schema op basis van elliptische-curvecryptografie leidt per verbinding een sessiesleutel af, waarmee berichten een integriteitscontrole krijgen tegen manipulatie en replay-aanvallen. De inhoud zelf is daarbij niet versleuteld, en het schema steunt op een privésleutel die per productlijn in de firmware is ingebouwd.
- Beveiligde PG/PC- en HMI-communicatie (vanaf V17) - sinds TIA Portal V17, S7-1500-firmware V2.9 en S7-1200-firmware V4.5 wordt de verbinding opgebouwd binnen TLS 1.3. De CPU bewijst zijn identiteit met een eigen PLC-certificaat en al het verkeer is versleuteld.
De naam S7 Comm Plus zegt dus weinig over het beveiligingsniveau: pas met firmware en projectinstellingen vanaf V17 is het verkeer echt versleuteld en per apparaat geauthenticeerd.
🔄 Wat is het verschil tussen S7 Comm en S7 Comm Plus?
| Kenmerk | S7 Comm (klassiek) | S7 Comm Plus (legacy) | S7 Comm Plus met TLS |
|---|---|---|---|
| Protocol-ID | 0x32 | 0x72 | 0x72, binnen TLS |
| Poort | TCP 102 | TCP 102 | TCP 102 |
| Typische CPU’s | S7-300, S7-400 | S7-1200, S7-1500 | S7-1200 vanaf FW V4.5, S7-1500 vanaf FW V2.9 |
| Engineering | STEP 7 Classic | TIA Portal | TIA Portal V17 of nieuwer |
| Integriteit en anti-replay | Geen | Eigen schema met sessiesleutel | TLS |
| Versleuteling | Geen | Nee | Ja (TLS 1.3) |
| Identiteit van de PLC | Geen | Gedeelde sleutel per productlijn | Certificaat per PLC |
Een S7-1200 of S7-1500 ondersteunt daarnaast nog klassiek S7 Comm voor PUT/GET-toegang door derden. Die functie staat standaard uit en opent, eenmaal ingeschakeld, een ongeauthenticeerde toegangsweg naast S7 Comm Plus. Omgekeerd spreekt een S7-300 of S7-400 geen S7 Comm Plus.
🔐 Welke zwakheden zijn bekend in S7 Comm Plus?
Ook een protocol met ingebouwde beveiliging is zo sterk als de implementatie. Onderzoekers en Siemens zelf hebben de afgelopen jaren meerdere kwetsbaarheden gepubliceerd:
| Jaar | Onderzoek of CVE | Kern | Oplossing |
|---|---|---|---|
| 2017 | Black Hat Europe | Anti-replaybescherming van een S7-1200 met firmware 4.1 omzeild; PLC op afstand gestart en gestopt | Nieuwere firmware |
| 2019 | Rogue7 (Black Hat USA), CVE-2019-10929 (CVSS 3.7) | Nagebootst engineeringstation en omzeiling van de integriteitscontrole door een man-in-the-middle | S7-1200 V4.4.0, S7-1500 V2.8.1 |
| 2021 | CVE-2020-15782 (CVSS 8.1) | Omzeiling van geheugenbescherming via poort 102 zonder authenticatie | S7-1200 V4.5.0, S7-1500 V2.9.2 |
| 2022 | CVE-2022-38465 (CVSS 9.3) | Ingebouwde globale privésleutel per productlijn te achterhalen met offline toegang tot één CPU; legacy-verkeer en configuratiewachtwoorden te ontsleutelen | S7-1200 V4.5.0, S7-1500 V2.9.2, plus project migreren en alleen beveiligde PG/PC- en HMI-communicatie toestaan |
Vooral de laatste vondst is principieel. Siemens erkende in oktober 2022 dat de globale sleutel niet meer voldoende beschermd is en verwijst naar de TLS-communicatie en de individuele wachtwoorden voor vertrouwelijke configuratiegegevens uit V17 als structurele oplossing. Legacy S7 Comm Plus hoort volgens Siemens alleen nog in een vertrouwd netwerk thuis.
🏭 Waar wordt S7 Comm Plus gebruikt?
- Machinebouw en discrete productie - vrijwel elke nieuwe Siemens-machine met een S7-1200 of S7-1500 communiceert met TIA Portal en het bedienpaneel via S7 Comm Plus
- Procesindustrie en utilities - verbindingen tussen S7-1500-CPU’s en WinCC-stations in waterzuiveringen, energie-installaties en andere kritieke infrastructuur
- Onderhoud en diagnose - servicemonteurs die met een laptop online gaan, lokaal of via toegang op afstand met een VPN
- Koppeling met IT - S7 Comm Plus is niet openbaar gedocumenteerd, dus historians en andere systemen van derden lopen meestal via de geïntegreerde OPC UA-server van de S7-1500 of via PUT/GET in plaats van via S7 Comm Plus zelf
🔧 Hoe schakelt u beveiligde communicatie in?
Een praktische aanpak voor nieuwe en bestaande installaties:
- Inventariseer firmware - controleer per CPU de firmwareversie. Onder S7-1500 V2.9 en S7-1200 V4.5 is geen TLS mogelijk, en onder S7-1500 V2.9.2 en S7-1200 V4.5.0 zijn CVE-2020-15782 en CVE-2022-38465 niet verholpen.
- Werk TIA Portal en firmware bij - migreer het project naar TIA Portal V17 of nieuwer en werk de firmware bij als onderdeel van patchmanagement, na test op een reserve-CPU of in een simulatie.
- Stel de beveiliging in - kies bij de CPU voor “alleen beveiligde PG/PC- en HMI-communicatie toestaan”, stel een wachtwoord in voor de vertrouwelijke PLC-configuratiegegevens en kies een passend toegangsniveau (volledige toegang, lezen, HMI-toegang of geen toegang).
- Regel de certificaten - laat TIA Portal het PLC-certificaat genereren of importeer er een van een eigen CA, en leg vervaldatum en vernieuwing vast in uw certificaatbeheer.
- Werk HMI’s en SCADA bij - oudere panelen en WinCC-versies spreken geen TLS; plan hun upgrade, want een gemengde modus laat het onbeveiligde legacy-verkeer bestaan.
- Laat PUT/GET uit - schakel klassiek S7 Comm alleen in als een systeem van derden het echt nodig heeft, en beperk de uitwisseling dan tot aparte, niet-geoptimaliseerde datablokken met alleen de gegevens die dat systeem nodig heeft.
- Segmenteer en monitor - beperk TCP 102 met een firewall of industriële firewall met toegangscontrole tot bekende engineering-, HMI- en SCADA-adressen, laat engineering op afstand via een jumpserver lopen en meld nieuwe clients via monitoring, anomaliedetectie of een SIEM.
Houd er rekening mee dat netwerkmonitoring na de overstap op TLS minder ziet: een passieve sensor herkent dan nog wel wie met welke PLC praat, maar niet meer welke functie wordt uitgevoerd. Plan uw detectie daarom op verbindingsniveau en op logging in de CPU en TIA Portal.
Nederlandse en Europese context. Organisaties die onder NIS2 en de Cyberbeveiligingswet vallen, die sinds 15 augustus 2026 van kracht is, moeten passende maatregelen nemen voor hun netwerk- en informatiesystemen. Versleutelde en geauthenticeerde PLC-communicatie past bij een Zero Trust-architectuur en bij de eisen van IEC 62443 aan beschermde communicatie tussen zones. Een S7-1500 met verouderde firmware en open legacy-verkeer is bij een audit een concreet verbeterpunt.
❓ Veelgestelde vragen
Welke poort gebruikt S7 Comm Plus?
S7 Comm Plus gebruikt TCP-poort 102, dezelfde poort als het klassieke S7 Comm. Ook met TLS-versleuteling blijft het verkeer op poort 102 lopen. Een firewall die alleen op poortnummer filtert, kan S7 Comm Plus en S7 Comm daarom niet van elkaar onderscheiden.
Is S7 Comm Plus altijd versleuteld?
S7 Comm Plus is niet altijd versleuteld. Oudere firmware gebruikt alleen een eigen integriteitsbescherming zonder versleuteling van de inhoud. Echte TLS-versleuteling vraagt om TIA Portal V17 of nieuwer met S7-1500-firmware V2.9 of S7-1200-firmware V4.5 en hoger.
Kan ik S7 Comm Plus-verkeer analyseren in Wireshark?
S7 Comm Plus-verkeer is in Wireshark te analyseren met een aparte dissector-plugin, omdat de standaardversie alleen klassiek S7 Comm ontleedt. Bij TLS-communicatie ziet u zonder de sessiesleutels alleen versleutelde pakketten. Voor foutzoeken moet u die sleutels uit een sleutellogbestand in de opname laden.
Beschermt S7 Comm Plus tegen een aanval zoals Stuxnet?
Stuxnet richtte zich op S7-300- en S7-400-CPU’s via klassiek S7 Comm, en S7 Comm Plus maakt een vergelijkbare aanval lastiger door integriteitsbescherming en TLS-versleuteling. Een aanvaller die het engineeringstation zelf overneemt, kan via die legitieme verbinding echter nog steeds wijzigingen doorvoeren. Bescherming van het engineeringstation, toegangsniveaus met wachtwoord en monitoring van programmawijzigingen blijven daarom nodig.
Wat is de globale sleutel van S7-1200 en S7-1500?
De globale sleutel is een privésleutel die Siemens per productlijn in de firmware van S7-1200- en S7-1500-CPU’s had ingebouwd voor legacy-communicatie en de bescherming van configuratiegegevens. Onderzoekers lieten in 2022 zien dat deze sleutel te achterhalen is (CVE-2022-38465). Siemens adviseert daarom firmware bij te werken en alleen beveiligde PG/PC- en HMI-communicatie toe te staan.
Kan een S7-300 S7 Comm Plus gebruiken?
Een S7-300 of S7-400 kan geen S7 Comm Plus gebruiken; deze CPU’s spreken alleen klassiek S7 Comm. Beveiliging komt daar volledig uit het netwerk, met segmentatie, filtering en monitoring. Op lange termijn is migratie naar de S7-1500 de oplossing voor deze legacy systemen.
📌 Samengevat
S7 Comm Plus is het Siemens-protocol van de S7-1200 en S7-1500 op TCP-poort 102, met integriteitsbescherming en sinds TIA Portal V17 TLS-versleuteling met een certificaat per PLC.
Het protocol is een flinke stap vooruit ten opzichte van het onbeveiligde S7 Comm, maar de oudere legacy-bescherming is meermaals doorbroken, met als dieptepunt de te achterhalen globale sleutel uit 2022. U haalt de winst pas echt binnen door firmware en TIA Portal bij te werken, alleen beveiligde communicatie toe te staan, certificaten te beheren en de PLC-communicatie te blijven segmenteren en monitoren als onderdeel van een veilig OT-netwerk.