Beckhoff SBOM: EtherCAT-Klemmen und IPC in die Geräteliste bekommen

Was an einem Beckhoff-IPC hängt und was davon im Netz sichtbar ist

Die Steuerung ist ein Industrie- oder Embedded-PC (CX, C6) mit TwinCAT als EtherCAT-Master. Daran hängen EK-Koppler, EL-/ELX-Klemmen, EP-Box-Module, AX-Antriebe und Antriebsklemmen (EL7xxx), teils mit Gateways in andere Netze (EL6631 PROFINET, EL6652 EtherNet/IP). Nicht alles davon trägt Firmware: Einfache Digital- und Analogklemmen haben keine, komplexe Klemmen (Kommunikation, Antrieb, Safety) und Koppler schon.

• Über IP vom Wartungs-PC sichtbar: der IPC (Windows- oder BSD-Inventur, Device Manager, OPC UA), Gateways mit eigener I&M0- oder CIP-Identität (EL6631, EL6652, EK9300, EK9000), Switches und Panels.
• Nur über den Master: alle EtherCAT-Klemmen, Koppler und Antriebe. Ihre Identität (Vendor ID, Product Code, Revision, Seriennummer) liegt im SII-EEPROM und im CoE-Objekt 0x1018, die Firmware komplexer Klemmen im Objekt 0x100A. Von außen gibt es keinen Weg dorthin, auch nicht passiv.
• Nur aus dem Engineering: Klemmen ohne Firmware und ohne digitale Schnittstelle. Sie gehören nicht in die Anlagen-SBOM, wohl aber in die Stückliste.

Wie die Klemmen in die Liste kommen: TwinCAT-Projekt, ADS-Route, Device Manager

Es gibt drei Wege zur Klemmenliste, mit unterschiedlicher Aussagekraft. Das Projekt zeigt, was geplant war; die ADS-Route und der Device Manager zeigen, was läuft:

• TwinCAT-Projekt (.sln + .tsproj): die konfigurierte I/O-Kette mit Typ und Revision je Klemme. Beim „Scan Boxes“ liest TwinCAT die Identität aus dem EEPROM. Das ist die Referenz für „was läuft“.
• ADS-Route zum IPC: nach einmaliger Freischaltung lassen sich Klemmenliste, Firmware der Klemmen (Objekt 0x100A, soweit vorhanden) und der TwinCAT-Stand auslesen, ohne das Projekt zu öffnen. So verfährt der Netzwerkscan in Mischanlagen.
• Beckhoff Device Manager (MDP, Web/REST/OPC UA) für den IPC selbst: Gerätetyp, Betriebssystem, TwinCAT-Version.
• Seriennummern sind bei vielen Klemmen nur ein Datumscode (Jahr/Woche), kein Einzelgerät-Identifier. Für die Nachweisführung zählt das Typenschild.

Wie Beckhoff meldet und worüber der Abgleich läuft

Beckhoff betreibt seit über zehn Jahren ein PSIRT und veröffentlicht Advisories „als Teil von CERT@VDE gemeinsam mit anderen Herstellern“ (Infosys-Seite „Security Advisories“). Der CSAF Trusted Provider liegt deshalb nicht unter beckhoff.com, sondern bei CERT@VDE: provider-metadata.json mit ROLIE-Feed, index.txt und changes.csv. Im CSAF-Aggregator des BSI ist Beckhoff nicht gelistet.

Die 15 älteren Dokumente führen nur Produktname und Versionsbereich („TwinCAT/BSD <14.1.2.0_153968“). Die beiden Dokumente aus 2026 gehen weiter als jeder andere Hersteller in dieser Reihe: PURL-Typen für TwinCAT-Pakete, BSD- und Debian-Pakete (pkg:tcpkg, pkg:bsd, pkg:deb), CPE für das Diagnose-Paket, dazu SHA-256-Hashes betroffener Dateien. Das ist Identifikation auf Paketebene, gedacht für eine Software-Inventur des IPC, nicht für eine Geräteliste.

Alle 17 Advisories betreffen Software: TwinCAT-Komponenten, TwinCAT/BSD, Device Manager, HMI Server. Die Klemmenliste ist für die Zuordnung deshalb zweitrangig. Gebraucht wird die Software-Inventur des IPC: TwinCAT-Version, installierte Pakete (TwinCAT Package Manager), Betriebssystem und Patchstand. Genau die Dinge, die ein Netzwerkscan nicht liefert und eine Windows- oder BSD-Inventur über ein Lesekonto schon.

Wer mit einem CPE-basierten Werkzeug arbeitet, findet bei Beckhoff immerhin die beiden neuesten Advisories; die 15 älteren bleiben unsichtbar. Für ein Werkzeug, das Name und Versionsbereich vergleicht, sind alle 17 auswertbar.

Eine SBOM je Produkt gibt Beckhoff nicht heraus; die beiden Advisories aus 2026 identifizieren ohnehin auf Paketebene, das genügt der Software-Inventur des IPC.

Was das für Anlagen mit Beckhoff-Komponenten heißt

• Den IPC als eigenes Produkt mit Software-Inventur führen: TwinCAT-Version, Pakete, Betriebssystem. Das ist die Fläche, die die Advisories treffen.
• Die Klemmenliste aus dem TwinCAT-Projekt oder per ADS übernehmen und mit Typ und Revision in die Geräteliste aufnehmen, statt sie per Portscan zu suchen.
• PROFINET- oder EtherNet/IP-Gateways (EL6631, EL6652) erscheinen zusätzlich mit I&M0- beziehungsweise CIP-Identität im Netz und werden dort erfasst.

Ohne ADS-Route bleibt die Klemmenliste im Projekt, und das Projekt zeigt, was geplant war, nicht, was läuft. In Werkspilot Scan ist Beckhoff deshalb Stufe 3: Der Lauf vom Wartungs-PC erfasst IPC, Gateways und Switches über IP, und nach einmaliger Freischaltung die Klemmenliste mit Firmware über ADS. Wir erproben diese Stufe derzeit mit Entwicklungspartnern an deren Anlagen.