Kurz gefasst · Stand: Oktober 2026
Eine Rexroth-Anlage besteht aus ctrlX CORE als EtherCAT-Master mit ctrlX DRIVE, ctrlX I/O (S20-Module an S20-Kopplern) und Fremdgeräten am EtherCAT, oder aus IndraControl und IndraDrive über SERCOS III, dazu HMIs und Switches. Vom Wartungs-PC aus antwortet die ctrlX CORE über OPC UA (BuildInfo), als PROFINET-Device über I&M0 und als EtherNet/IP-Adapter über das Identity Object; die EtherCAT- und SERCOS-Teilnehmer dahinter sieht nur der Master. In die Geräteliste kommen sie über den ctrlX Data Layer beziehungsweise die EtherCAT-Diagnose der CORE (Produktcode, Seriennummer, Firmware je Slave) oder aus IndraWorks, mit der Materialnummer R911… je Gerät. Rexroth meldet über das Bosch PSIRT als HTML, ohne [CSAF](/glossar/#csaf): 42 Advisories, zwei aus 2026, Produkte als Materialnummer und Versionsbereich. Eine SBOM haben wir nicht gefunden; für die Anlage brauchen Sie sie nicht.
Was an einer ctrlX-Steuerung hängt und was davon im Netz sichtbar ist
Die Steuerung ist eine ctrlX CORE mit ctrlX OS und Apps (PLC auf CODESYS-Basis, MOTION, EtherCAT-Master) oder eine IndraControl mit IndraLogic. Daran hängen ctrlX DRIVE und IndraDrive, S20-Koppler mit S20-I/O-Modulen (technisch Axioline von Phoenix Contact mit Rexroth-Materialnummer) und Fremdgeräte über EtherCAT oder SERCOS III; dazu ctrlX HMI, Engineering-PCs mit ctrlX WORKS oder IndraWorks und Switches.
- Über IP vom Wartungs-PC sichtbar: ctrlX CORE über OPC UA BuildInfo (ctrlX-OS-Version), als PROFINET-Device über I&M0, als EtherNet/IP-Adapter über ListIdentity, dazu die Weboberfläche; S20-PN-Koppler an PROFINET per I&M0 mit ihren Modulen als Submodule; Switches per SNMP.
- Nur über den Master: alle EtherCAT-Teilnehmer der CORE (ctrlX DRIVE, S20-EtherCAT-Koppler mit Modulen, Fremdslaves) und alle SERCOS-III-Teilnehmer einer IndraControl. Ihre Identität (Vendor ID, Product Code, Revision, Seriennummer) liest der Master aus EEPROM und Objekt 0x1018.
- Nur aus dem Engineering: die App-Liste der CORE als Software-Inventur und die Antriebsparameter mit Firmwarestand, wenn der Master nicht erreichbar ist.
Wie EtherCAT-Antriebe und S20-Koppler in die Liste kommen: ctrlX Data Layer, IndraWorks, I&M0
Die ctrlX CORE stellt ihren EtherCAT-Baum im Data Layer bereit, erreichbar über die Weboberfläche und nach Freischaltung über die REST-Schnittstelle: je Slave Hersteller, Produktcode, Revision, Seriennummer und, soweit vorhanden, Firmware; dazu ctrlX-OS-Version und App-Liste. Für IndraControl liefert IndraWorks online dieselbe Liste für SERCOS. Vom Netz aus kommen dazu:
- ctrlX WORKS / ctrlX OS: Betriebssystem-Version und installierte Apps (ctrlX PLC auf CODESYS-Basis, ctrlX MOTION) je ctrlX CORE. Das ist die Software-Inventur, auf die die ctrlX-Advisories zielen.
- IndraWorks für IndraControl, IndraLogic und IndraDrive: Projekt mit Gerätetyp und Materialnummer; der IndraWorks-Stand selbst ist Advisory-Ziel (< 15V24 im Februar 2026).
- Netz: ctrlX CORE ist EtherCAT-Master, PROFINET-Device, EtherNet/IP-Adapter und OPC-UA-Server, also über I&M0, CIP Identity oder OPC UA BuildInfo erreichbar; Antriebe hinter EtherCAT nur über den Master. Details im Beitrag zum Netzwerkscan.
Wie Bosch Rexroth meldet und worüber der Abgleich läuft
Die Produktsicherheitsseite von Bosch Rexroth verlinkt auf das Bosch PSIRT und einen Rexroth-Atom-Feed, der nur die zehn jüngsten Einträge enthält. Wir haben alle Pfade geprüft: .well-known/csaf antwortet bei psirt.bosch.com, boschrexroth.com und bosch.com mit 404; bei CERT@VDE gibt es keinen Rexroth-Provider, nur HTML-Bulletins als Nachveröffentlichung; der Advisory-Text enthält das Wort „csaf“ nicht. Bosch Rexroth ist damit der einzige Hersteller dieser Reihe ganz ohne maschinenlesbare Advisories.
| Messwert (07.10.2026) | Ergebnis |
|---|
| Advisories auf der Rexroth-Seite | 42 (2016–2026) |
| Bosch-weit im PSIRT | 103, davon 39 mit Rexroth-Bezug |
| 2026 veröffentlicht | 2 – BOSCH-SA-591522 IndraWorks (13.02.), BOSCH-SA-466086 PRI7000/7-Zip (22.07.) |
| 2025 veröffentlicht | 3 – ctrlX OS (2×), Rexroth-Feldbuskoppler |
| CSAF-Provider | keiner |
| CPE / PURL | keine (kein maschinenlesbares Format) |
Beispiel BOSCH-SA-757244 (Feldbuskoppler, August 2025): „Bosch Rexroth AG S20-ETH-BK (R911173905) | CVE-2025-2813 | Version(s): < 1.34“, dazu „S20-PN-BK+ (R911173359) … all versions“. Die Koppler sind zugekaufte Phoenix-Contact-Geräte mit Rexroth-Materialnummer. Das Advisory erscheint bei Bosch, der Ursprung liegt bei Phoenix.
Ohne CSAF gibt es keinen Produktbaum, der sich maschinell gegen die Geräteliste prüfen ließe. Der Abgleich läuft über die Materialnummer R911… beziehungsweise den Produktnamen mit Versionsbereich aus der Advisory-Tabelle, per Scraping oder von Hand. Mit zwei bis drei Advisories pro Jahr ist das tragbar; das Risiko liegt woanders: Wer nur den Rexroth-Atom-Feed abonniert, sieht die PRI7000-Meldung vom Juli 2026 nicht, denn sie stand am Messtag nur im konzernweiten PSIRT.
Zugekaufte Komponenten (MGUARD, S20-Koppler) erscheinen doppelt: bei Phoenix Contact als CSAF, bei Bosch als HTML mit anderer Nummer. Die Geräteliste sollte beide Nummern führen, sonst wird dasselbe Gerät zweimal oder gar nicht bewertet. Wie man Lieferanten ohne CSAF überhaupt in ein Monitoring bekommt, steht im eigenen Beitrag.
Eine SBOM haben wir bei Bosch Rexroth nicht gefunden, auch die ctrlX-OS-Pressemitteilung zum CRA nennt keine; für die Anlage brauchen Sie sie nicht.
Was das für Anlagen mit Rexroth-Komponenten heißt
- ctrlX-OS-Version und App-Liste je CORE als Software-Inventur führen; IndraWorks-Stand je Engineering-PC.
- Materialnummer R911… je Antrieb, Koppler und Steuerung erfassen. Das ist der einzige Schlüssel, den die Advisories bieten.
- Zugekaufte Phoenix-Geräte unter beiden Nummern führen und die Phoenix-CSAF-Quelle als primäre nutzen.
Ohne CSAF bleibt jedes Rexroth-Advisory Lesearbeit, zugekaufte Koppler tauchen unter zwei Nummern auf, und die Antriebe hinter der CORE kennt nur die CORE. In Werkspilot Scan ist Bosch Rexroth Stufe 2 für die Steuerung (OPC UA, I&M0, Weboberfläche) und Stufe 3 für die EtherCAT-Teilnehmer dahinter über den Data Layer der CORE. Wir erproben die dritte Stufe derzeit mit Entwicklungspartnern an deren Anlagen.
Alle 13 Hersteller im Vergleich: SBOM je Hersteller →
Werkspilot Scan an Ihrer eigenen Anlage erproben.
Wir erproben die Erfassung mit wenigen Anlagenbauern an deren Test- oder Referenzanlagen, vier Monate lang, Stufe für Stufe um ihre Steuerungen erweitert. Der Partner bekommt eine Anlage seiner Wahl als Anlagen-SBOM: jedes erreichbare Gerät mit Hersteller, Bestellnummer und Firmwarestand, offene Positionen einzeln ausgewiesen.
Entwicklungspartnerschaft anfragen →
Werkspilot führt diese Geräte je Anlage und meldet, wenn ein Advisory eines davon trifft. Die Zahlen in diesem Beitrag sind eigene Messungen vom 07.10.2026; die Hersteller ändern Feeds und Seiten ohne Ankündigung.
