Am 30. Oktober hat die Sicherheitsfirma VulnCheck auf einem ihrer Lockvogel-Server die ersten Angriffe auf eine Lücke in Node-RED gesehen, bis zum 1. November waren es 16 Versuche von derselben Adresse (VulnCheck). Die Lücke hat die Nummer CVE-2026-58115 und ist mit 10 von 10 bewertet, also so schlimm, wie es auf der Skala geht. Gemeldet hat sie Siemens schon im August, für das Industriegerät SIMATIC IoT2050 Advanced, auf dem Node-RED mitläuft (Siemens). Der Angreifer schickt eine einzige Anfrage, legt damit in Node-RED einen kleinen Ablauf an, der ein Programm von seinem Server holt und startet, und bei einigen Versuchen blieb danach eine Hintertür für weitere Befehle zurück (Help Net Security).

Was Node-RED ist und warum es bei euch laufen könnte, ohne dass ihr es wisst

Node-RED ist ein Werkzeug, mit dem man Abläufe zusammenklickt. Kästchen auf eine Fläche ziehen, verbinden, fertig. Wenn die Maschine einen Wert meldet, schreib ihn in die Tabelle, wenn der Wert zu hoch ist, schick eine Mail. Ist super praktisch. Und deshalb steckt es halt auch an Stellen, wo man es nicht vermutet. In der Fertigung an einem kleinen Rechner neben der Anlage, in Gebäudetechnik, bei Leuten, die ihr Smart Home damit steuern.

Und meistens hat das jemand mal schnell aufgebaut. Der Instandhalter, der Elektriker, der Integrator vom Maschinenbauer. „Sach mal Kalle, wo kommen eigentlich die Stückzahlen im Dashboard her?“ „Da hängt so ein Kästchen an der Linie, hat Ulf damals eingerichtet.“ Und Ulf ist inzwischen woanders. Kennt man.

Der eigentliche Fehler ist der Standard ohne Anmeldung

Was mich an der Sache am meisten stört, hab ich in der Anleitung von Node-RED selbst gefunden. Da steht sinngemäß, dass der Editor in der Grundeinstellung nicht gesichert ist (Node-RED). Wer die Anmeldung will, muss sie in der Einstellungsdatei selbst einschalten, das Ding heißt adminAuth. Und die Installationen ohne diese Anmeldung werden laut VulnCheck gerade automatisch gefunden und übernommen. Also ja, das ist im Grunde der Normalfall. Ob die Lücke über die Siemens-Geräte hinaus auch andere Produkte betrifft, ist übrigens noch nicht klar. Emerson nutzt Node-RED in eigenen Produkten, geprüft hat das aber noch keiner, schreibt VulnCheck. Ich würde da ehrlich gesagt nicht drauf warten. Bringt ja nix.

Und noch ein Detail, das man nicht überlesen sollte. Die Adresse, von der die Angriffe kamen, liegt in der Cloud von Microsoft, vermutlich ein gemieteter oder gekaperter Rechner. Dieselbe Adresse hat in den letzten Tagen acht verschiedene Lücken in ganz verschiedenen Programmen ausprobiert, unter anderem in Joomla und Gitea. Da sitzt also keiner, der sich gezielt eure Firma ausgesucht hat. Das läuft automatisch über alles, was im Netz erreichbar ist. Das Argument „wir sind doch viel zu klein, uns greift keiner an“ zieht da halt einfach nicht.

Wie ich das bei mir zu Hause gemacht habe

Ich nutze Node-RED selbst nicht, aber ich hab bei mir zu Hause Home Assistant laufen, das Licht, Heizung und Saugroboter steuert. Liegt auf unserem Server, und für Home Assistant gibt es Node-RED übrigens als beliebte Erweiterung. Als ich das eingerichtet habe, war meine erste Frage, wer von außen da eigentlich drankommt. Die Lampen kamen später. Home Assistant ist jetzt nur auf dem Server selbst erreichbar, nach außen geht es nur über eine Adresse mit Anmeldung, und wer fünfmal falsch anfragt, dessen IP-Adresse wird gesperrt.

Klingt nach viel. War es aber nicht. Das sind ein paar Einstellungen, die man einmal macht. Das Problem ist eher, dass man sie machen muss, weil es von allein nicht so kommt. Und wenn jemand unter Zeitdruck an einer Anlage steht und das Kästchen soll heute noch Werte liefern, dann wird das halt gern auf später geschoben. Und später kommt nie.

So könnt ihr Node-RED absichern

1. Rausfinden, ob es bei euch überhaupt läuft. Instandhaltung, IT und die Dienstleister fragen, die Maschinen oder Gebäudetechnik angebunden haben. Ein Hinweis ist eine Adresse mit :1880 am Ende, das ist der übliche Anschluss von Node-RED.
2. Klären, ob das von außen erreichbar ist. Das kann eure IT oder der Dienstleister am Router oder der Firewall sehen. Node-RED gehört nicht offen ins Internet, auch nicht „nur kurz für die Fernwartung“.
3. Die Anmeldung einschalten lassen. Das ist eine Einstellung in Node-RED (adminAuth), die der Dienstleister in ein paar Minuten setzen kann. Schriftlich bestätigen lassen, dass sie aktiv ist.
4. Bei Siemens SIMATIC IoT2050 auf die Version 4.3.4.1 oder neuer aktualisieren. Das empfiehlt Siemens, alternativ Node-RED vom Gerät runternehmen, wenn es keiner braucht.
5. Die Abläufe in Node-RED ansehen lassen. VulnCheck rät, nach Bausteinen zu suchen, die Befehle auf dem Rechner ausführen oder eine Adresse von außen anbieten, die keiner kennt. Taucht sowas auf, würde ich das Gerät vom Netz nehmen und als übernommen behandeln. Den Baustein einfach löschen reicht dann nicht.
6. Eine Person festlegen, die für das Kästchen zuständig ist. Mit Namen, und mit dem Wissen, wer das Gerät eingerichtet hat und wo die Zugangsdaten liegen.

Schritt sechs ist der, den die meisten auslassen. Ist aber der wichtigste, weil die nächste Lücke garantiert kommt. Fachleute rechnen gerade sogar mit mehr solcher Störungen, weil KI viele Lücken in Software aufspürt (All About Security). Das wird also eher mehr als weniger, glaub ich.

Was davon bei euch eigentlich ein Ablauf ist

Am Ende ist die Lücke in Node-RED das kleinere Problem. Das größere ist, dass bei vielen keiner weiß, was da an der Linie oder im Technikraum überhaupt läuft und wer sich drum kümmert, wenn so eine Meldung rausgeht. Wer das bei sich mal sortiert angucken will, kann mit dem Prozess-Check anfangen.