Roboter über ein Fabriknetz manipuliert: Die TSN-Lücke, die die Synchronisierung untergräbt

Eine Schwachstelle im Echtzeitprotokoll

Eine von Nozomi Networks auf der diesjährigen Black Hat USA vorgestellte Untersuchung zeigt, dass Schwachstellen in den Time-Sensitive-Networking-Protokollen (TSN) ausgenutzt werden können, um jede Prozessvariable eines TSN-Netzes zu verändern. Die von Senior Security Researcher Luca Cremona durchgeführte Arbeit demonstrierte, wie sich Roboterarme steuern und die Synchronisierungsuhren der OT-Systeme manipulieren lassen.

Das analysierte Protokoll ist CC-Link IE TSN, eine von Mitsubishi Electric entwickelte TSN-Implementierung, die in der Industrieautomation weit verbreitet ist. Die Schwachstelle wurde in einem CISA-Advisory vom 30. Juli 2026 mit der Kennung ICSA-26-211-07 veröffentlicht. Mitsubishi Electric hatte die Übernahme von Nozomi Networks im Januar 2026 mit einer Transaktion von rund einer Milliarde US-Dollar abgeschlossen. Nozomi agiert als hundertprozentige, aber unabhängige Tochtergesellschaft mit einer herstellerneutralen Roadmap.

Weder die Untersuchung noch das Advisory nennen eine bestimmte Protokollversion: Die Schwachstelle liegt im Protokoll selbst. Für die an einer zweiten Schwachstellenreihe beteiligten Phoenix-Contact-TSN-Switches wurden die genauen Modelle nicht öffentlich aufgeführt.

TSN-Präzision und die Ähnlichkeit mit GOOSE

TSN ist eine relativ junge Familie von Timing-Protokollen, die als Reihe von Ergänzungen zu den IEEE-Bridging-Spezifikationen entstand. Ziel ist die deterministische Kommunikation über Standard-Ethernet in der Industrieautomation. Das Problem, das sie löst, ist kritisch: Wenn OT-Sicherheitssignale und synchronisierte Steuerungsnachrichten dieselbe Ethernet-Infrastruktur mit Best-Effort-IT-Datenverkehr teilen, können Kollisionen ungeplante Stillstände mit physischen Folgen in den Anlagen verursachen.

Kritische Nachrichten müssen innerhalb von Mikrosekunden zwischen Steuerungen und Feldgeräten zugestellt werden. Kommen sie nicht rechtzeitig an, lösen Watchdog-Timer aus und die Maschinen fahren in einen Schutzstopp. TSN weist den kritischsten Flüssen absolute Priorität zu, etwa den Signalen der Not-Aus-Taster, die selbst bei Netzüberlastung unter allen Umständen übertragen werden müssen.

Bei der Analyse bemerkte Cremona eine Ähnlichkeit zwischen CC-Link IE TSN und dem GOOSE-Protokoll, das in der Energieverteilung verwendet wird und für Probleme mit vorhersagbarem Zeitablauf bekannt ist. Durch die Nachbildung bereits gegen GOOSE eingesetzter Angriffstechniken führte das Team ein Reverse Engineering des Synchronisierungsverhaltens von CC-Link IE TSN durch. Es gelang, gültige Werte vorherzusagen und zyklische I/O-Signale zu manipulieren.

Die Injektion von Frames in den richtigen Zeitschlitz

Die Schwachstelle ermöglicht es, speziell konstruierte Frames im korrekten Zeitschlitz einzuschleusen, sodass sie als legitime geplante Kommunikation akzeptiert werden. Für die Ausnutzung ist Zugriff auf das TSN-Netz erforderlich, das normalerweise nicht nach außen exponiert ist. Von dort aus unterzog das Team die TSN-Switches von Phoenix Contact Stresstests und entdeckte Bugs, mit denen sich der Prozess-Port über die von Ingenieuren genutzte Remote-Management-Schnittstelle erreichen lässt.

Der wichtigste Einstiegspunkt ist die Management-Schnittstelle des TSN-Switches. Sie kann über ein größeres Netzwerk exponiert oder von einem gefälschten oder manipulierten Gerät in der Nähe des Netzes erreicht werden. Sobald Zugriff auf diese Schnittstelle besteht und der Switch verwundbar ist, hat der Angreifer die Kontrolle. Zwar verfügt CC-Link IE TSN über ein Sicherheitsmodell und optionalen kryptografischen Schutz der Nutzdaten, doch die Schwächen in den Layer-2-Abwehrmaßnahmen bieten einen einfacheren Weg, um Datenverkehr in den Kommunikationsfluss einzuschleusen.

Physische Folgen: Roboter, Greifer und stille Abweichungen

Die Auswirkungen gehen über das bloße Auslesen von Daten hinaus. Die Untersuchung zeigt die Möglichkeit, jede Prozessvariable im TSN-Netz zu verändern. Das eindrücklichste gezeigte Szenario umfasst das Starten und Stoppen von Roboterarmen, das Öffnen von Greifern und das Herunterfallen transportierter Objekte.

Daneben gibt es stille Angriffe. Die subtile Veränderung der OT-Synchronisierungsuhren kann kaum wahrnehmbare Abweichungen einführen. Die Auswirkungen auf die Prozessplanung zeigen sich erst nach einer gewissen Zeit und erschweren die Rückverfolgung des Angriffszeitpunkts. Zu den physischen Folgen in Industrieanlagen zählen plötzliche Stillstände, Manipulation sicherheitskritischer Prozesse und der Verlust der Kontrolle über Maschinen.

Abwehr und Behebung: Was jetzt zu tun ist

Kurzfristig wird empfohlen, die Firmware aller OT-Netzwerkgeräte auf dem neuesten Stand zu halten. Für die Schwachstellen in der Management-Schnittstelle der Phoenix-Contact-TSN-Switches ist bereits ein Firmware-Patch verfügbar. Die Netzwerksegmentierung bleibt derzeit die wirksamste Verteidigung: TSN-Netze müssen strikt getrennt gehalten werden, damit Angreifer nicht ohne die entsprechenden Berechtigungen von einem Netz in ein anderes springen können.

Nozomi arbeitet mit der Muttergesellschaft Mitsubishi Electric an einer langfristigen Behebung der zugrunde liegenden TSN-Schwäche. Es wird geprüft, kryptografische Primitive hinzuzufügen, um das Netz zu schützen und nachzuweisen, dass Nachrichten vom korrekten Absender stammen. Die Herausforderung liegt im Spannungsfeld zwischen Leistung und Sicherheit: Kryptografie in ein System zu integrieren, das eine Zeitgenauigkeit von unter einer Mikrosekunde erfordert, ist komplex. Erste Tests deuten jedoch darauf hin, dass die vorgeschlagene kryptografische Lösung machbar ist.

Die Untersuchung beschränkt sich auf ein einziges TSN-Protokoll, wird aber als Ausgangspunkt für die Branche betrachtet. Ziel ist es, die Schwächen anderer Protokolle zu analysieren, die auf TSN-Primitiven aufbauen. Die aufgezeichnete Black-Hat-Session bleibt für Teilnehmer bis zum 14. September on-demand verfügbar.