PROFINET vs Modbus: Welcher Feldbus passt zu Ihrer Fertigungslinie?

PROFINET ist nach IEC 61158 und IEC 61784-2 standardisiert und kennt drei Echtzeitklassen: NRT (azyklisch, über TCP/IP), RT (Layer-2-Frames mit Ethertype 0x8892, weiche Echtzeit) und IRT (isochrone Echtzeit, hardwarebeschleunigt). Die Conformance Classes ordnen diese Mechanismen in Anwendungsschubladen: CC-A für Gebäudeautomation und Infrastrukturmessungen mit Zykluszeiten über 10 ms, CC-B für 90 Prozent der Fertigungsautomation (Förderlinien, Verpackung, Standardmaschinen) und CC-C für Motion-Control mit garantierten Zykluszeiten ab 31,25 us und einem Jitter unter 1 us. CC-D löst IRT durch TSN (IEEE 802.1Q-Erweiterungen) ab und macht harte Echtzeit auf Standard-Ethernet-Hardware möglich.

Modbus dagegen ist von Natur aus polling-basiert. Der Master fragt jeden Slave sequenziell ab, Antworten kommen mit den Latenzen der seriellen Strecke (bei 19200 Baud rund 5-10 ms pro Telegramm) oder der TCP-Verbindung. Es gibt kein Konzept von Zykluszeitgarantien, kein Slot-basiertes Zeitschlitzverfahren und keine Hardware-Priorisierung. Wer einen Antrieb in einem Bewegungsverbund regeln will, ist mit Modbus chancenlos.

Praktisch heißt das: Eine Wickelmaschine mit 8 Servoachsen, die synchron auf 250 us laufen sollen, bekommt PROFINET IRT oder PROFINET over TSN. Ein Heizungsverteiler mit 12 Temperaturzonen, die im Sekundenraster abgefragt werden, läuft auch in zehn Jahren noch problemlos auf Modbus RTU.

Hier liegt einer der größten Unterschiede in der Inbetriebnahme- und Wartungspraxis. PROFINET liefert über LLDP (Link Layer Discovery Protocol) eine automatische Topologiekarte, über DCP (Discovery and Configuration Protocol) das Auffinden von Geräten ohne IP-Konfiguration und über I&M-Daten (Identification & Maintenance) maschinenlesbare Gerätestammdaten. Diagnose-Alarme werden standardisiert pro Kanal oder Submodul ausgegeben und im TIA Portal in der Online-Sicht direkt visualisiert.

Das Standard-Werkzeug für die Anlageninbetriebnahme ist PRONETA Basic (kostenlos von Siemens). Es liest die Netzwerktopologie automatisch, parametriert IP- und Gerätenamen, führt Verdrahtungstests durch und kann IO-Module ohne SPS prüfen. Für tiefere Paketanalyse greifen Profis zu Wireshark mit dem `pn_io`-Dissector, der RT-Frames, Alarme und Application Relations dekodiert. Im SPS-Forum.de tauchen diese beiden Tools in praktisch jedem Migrations-Thread auf.

Modbus bietet nichts Vergleichbares. Die einzige normierte Diagnose sind die Exception Codes (01 Illegal Function, 02 Illegal Data Address, 03 Illegal Data Value, 04 Slave Device Failure, 06 Slave Device Busy). Eine Topologieerkennung gibt es nicht, einen Stationsstatus auch nicht. CRC-Fehler bei RTU oder TCP-Timeouts erkennt man erst, wenn die Antwort ausbleibt. In der Praxis bedeutet das: Wer eine Modbus-Strecke debuggen will, schließt eine USB-RS485-Brücke an und liest mit Modbus Poll oder einem Wireshark-Mitschnitt mit. Funktioniert, ist aber Handarbeit.

Die IEC 62443 ist die international anerkannte Normenreihe für Cybersecurity in Industrial Automation and Control Systems (IACS). Der Teil 4-2 spezifiziert technische Anforderungen an Komponenten, geordnet nach Security Level 1-4. Das BSI hat 2024 und 2025 mehrere Empfehlungen zur OT-Sicherheit veröffentlicht, die für KRITIS-Betreiber faktisch verbindlich sind und sich auf IEC 62443 stützen.

PROFINET hat darauf mit dem PROFINET Security Profile reagiert. Die neue Generation von Geräten unterstützt drei Security Classes: SC1 für integritätsgeschützte Konfiguration, SC2 für authentifizierte zyklische Kommunikation und SC3 für voll verschlüsselte Datenübertragung. PI Deutschland hat dazu die PROFINET Design Guideline Security veröffentlicht, die konkrete Schritte zur Planung sicherer Netze beschreibt (Zonen- und Conduit-Konzept, Defense-in-Depth, Patch-Management). Damit ist PROFINET nach derzeitigem Stand der einzige weit verbreitete Feldbus, der IEC-62443-4-2-konforme Geräte vom Hersteller out-of-the-box liefert (TÜV-Süd-zertifiziert).

Modbus dagegen bietet in seiner Standardform keine Authentifizierung, keine Integritätsprüfung jenseits der CRC-16, keine Verschlüsselung. Schneider Electric hat 2018 eine Modbus/TCP Security-Variante (Port 802) auf Basis von TLS vorgestellt, die Verbreitung im DACH-Markt ist aber gering. In der Praxis müssen Modbus-Strecken durch Netzsegmentierung, Firewalls (z. B. Hirschmann EAGLE, Phoenix Contact mGuard) und VPN-Tunnel abgesichert werden. Wer eine Maschine 2026 neu in Betrieb nimmt und im Pflichtenheft IEC 62443 stehen hat, kommt um diese Zusatzkomponenten nicht herum.

Eine vollständige Ablösung von Modbus ist in Brownfield-Anlagen selten realistisch. Antriebe von ABB, Lenze oder Danfoss, Energiezähler von Janitza oder Schneider, Heizungsregler und Gebäudeleittechnik sprechen oft nur Modbus. Der pragmatische Ansatz ist daher Koexistenz mit gezieltem Brücken.

Im SPS-Forum.de wird immer wieder das gleiche Setup empfohlen: Eine S7-1500 (oder ET 200SP CPU) fährt PROFINET zur Feldebene und nutzt Modbus TCP über die integrierten PN-Ports, ohne Zusatzhardware. Für Modbus-RTU-Slaves kommt entweder ein CM-PtP-Modul (Punkt-zu-Punkt-Kommunikationsmodul) zum Einsatz oder ein externes Gateway wie der Anybus Communicator AB7650 (Modbus TCP zu PROFINET IO Device), der Wachendorff HD67612-A1 oder die Hilscher netTAP-Serie. Letztere sind im DACH-Maschinenbau sehr verbreitet, weil sie GSDML-Dateien mitliefern und in TIA Portal als normales IO-Device projektiert werden.

Beim Engineering-Aufwand sollte man ehrlich sein: Eine Modbus-RTU-Strecke ist in vier Stunden in Betrieb. Ein PROFINET-IO-Device mit GSDML-Import, Gerätenamen-Vergabe, Topologie-Projektierung und Diagnose-Konfiguration dauert eher einen Tag. Dafür skaliert PROFINET viel weiter (bis 200 Devices pro Controller), ist diagnosefähig, sicher und MES-anbindbar.

Förderpolitisch lohnt sich der Schritt 2026 besonders: Der ERP-Förderkredit Digitalisierung der KfW (seit Juli 2025) deckt Hardware- und Engineering-Kosten für Industrie-4.0-Modernisierungen bis 25 Mio. Euro, was selbst größere Linienumbauten finanzierbar macht.