OPC UA verbindet nicht? Die 6 üblichen Ursachen

Fast jeder Fall von "der OPC-UA-Client verbindet sich nicht" läuft auf eines von sechs Dingen hinaus: den falschen Endpunkt, einen blockierten Port, einen nicht passenden Sicherheitsmodus, ein nicht vertrauenswürdiges Zertifikat, falsche Anmeldedaten oder ein Problem beim Knotenzugriff. Arbeiten Sie diese Liste der Reihe nach ab, und Sie beheben die große Mehrheit der Fehler.

1. Falsche Endpunkt-URL

Der Endpunkt muss exakt stimmen, einschließlich Schema, Host und Port:

opc.tcp://192.168.10.20:4840        # correct
opc.tcp://plc-server:4840/UADiscovery
http://192.168.10.20:4840           # wrong scheme
192.168.10.20                        # missing scheme/port

• Nehmen Sie die routbare IP oder den auflösbaren Hostnamen des Servers, nicht localhost, außer Sie sind auf dem Server.
• Prüfen Sie, dass der Endpunkt vom tatsächlichen Standort des Gateways erreichbar ist, nicht nur vom Engineering-Laptop.
• Manche Server kündigen einen Hostnamen an, den der Client nicht auflösen kann. Versuchen Sie es ausdrücklich mit der IP.

2. Port blockiert / Firewall

OPC UA Binary läuft üblicherweise auf TCP 4840 (Server können abweichen). Ein TCP-Timeout oder „connection refused“ liegt fast immer am Netz oder an der Firewall:

# is the port open from where the client runs?
nc -vz 192.168.10.20 4840
# or
Test-NetConnection 192.168.10.20 -Port 4840   # PowerShell

Wenn das scheitert: Port auf der Server- bzw. Betriebssystem-Firewall öffnen, VLAN und Routing prüfen und sicherstellen, dass kein NAT die angekündigte Adresse umschreibt.

3. Sicherheitsmodus-Konflikt

Client und Server müssen sich auf eine SecurityPolicy und einen Modus einigen (None, Sign oder Sign&Encrypt). Fordert der Client eine Policy an, die der Server nicht anbietet (oder umgekehrt), scheitert der Handshake. Listen Sie zuerst die Endpunkte des Servers auf und wählen Sie einen passenden.

4. Zertifikat nicht vertrauenswürdig (am häufigsten)

Bei Sign oder Sign&Encrypt tauschen Client und Server X.509-Zertifikate aus und jeder muss dem anderen vertrauen. Die erste Verbindung schlägt typischerweise fehl, weil das Zertifikat des Clients im Ordner rejected des Servers liegt (und/oder umgekehrt).

1. Versuchen Sie die Verbindung einmal (sie wird abgewiesen).
2. Verschieben Sie auf dem Server das Zertifikat des Clients von pki/rejected nach pki/trusted/certs.
3. Vertrauen Sie auf dem Client dem Serverzertifikat, wenn Sie gefragt werden.
4. Neu verbinden.

Prüfen Sie außerdem, ob das Zertifikat nicht abgelaufen ist und ob seine Application URI übereinstimmt. Ausführlich: OPC UA Sicherheit & Zertifikate.

5. Falsche oder fehlende Zugangsdaten

Verlangt der Server eine Benutzerauthentifizierung, wird eine anonyme Verbindung abgewiesen. Klären Sie, ob er anonym, Benutzername/Passwort oder ein Benutzerzertifikat erwartet, und liefern Sie das Richtige.

6. Knotenzugriff & Erwartungen

Verbindung steht, aber Lesen/Schreiben schlägt fehl? Stellen Sie sicher, dass die Knotenliste vollständig und stabil ist, und klären Sie vorab, ob die Anforderung nur lesend ist oder der Client auch schreiben soll, denn Schreibzugriff ist oft eingeschränkt und muss ausdrücklich freigegeben werden.

Kurz-Checkliste

Zuletzt aktualisiert am 4. September 2026 · Lernressource.