Kurz gefasst · Stand: Oktober 2026
Eine Rockwell-Anlage besteht aus ControlLogix- oder CompactLogix-Steuerungen im Rack, I/O-Modulen im Chassis und an POINT-I/O-Adaptern, Kinetix- und PowerFlex-Antrieben, PanelView-Terminals und Stratix-Switches, alles über EtherNet/IP. Ein ListIdentity-Broadcast vom Wartungs-PC liefert jedes Gerät mit eigener IP samt Katalognummer (im Produktnamen), Revision und Seriennummer; Module im Chassis und hinter Adaptern antworten nicht selbst, sondern nur über CIP-Routing durch die Steuerung oder den Adapter. Rockwell meldet im Advisory-Portal: 337 Advisories, 35 aus 2026, jedes mit Katalognummern und Firmwareständen, ohne abrufbaren CSAF-Provider. Eine SBOM je Produkt stellt Rockwell nicht bereit; für die Anlage brauchen Sie sie nicht.
Was an einer Logix-Steuerung hängt und was davon im Netz sichtbar ist
Die Steuerung ist eine ControlLogix 5580 oder CompactLogix 5380/5480, mit Modulen im Chassis (1756) oder am lokalen Bus (5069). Daran hängen über EtherNet/IP POINT-I/O- und FLEX-Adapter mit ihren Modulen, Kinetix-Servos, PowerFlex-Frequenzumrichter, PanelView-Terminals und Stratix-Switches. Alles spricht CIP, aber nicht alles hat eine eigene IP-Adresse.
- Über IP vom Wartungs-PC sichtbar: jedes Gerät mit eigener Adresse antwortet auf ListIdentity (UDP 44818): Steuerungen, Ethernet-Module (1756-EN2T), Adapter, Antriebe, Terminals. Stratix-Switches zusätzlich per SNMP mit ENTITY-MIB.
- Nur über die Steuerung oder den Adapter: Module im ControlLogix-Chassis, lokale 5069-Module und die I/O-Module hinter einem POINT-I/O-Adapter. Sie haben eine Identität (Identity Object), aber keine IP; erreichbar sind sie per CIP-Routing über Backplane-Port und Slot, so wie RSLinx sie im Browse-Baum zeigt.
- Nur aus dem Engineering: Module ohne Firmware und die Zuordnung zur Teilanlage; beides steht im Studio-5000-Projekt.
Wie Rack- und Adaptermodule in die Liste kommen: CIP-Routing und Studio 5000
Das Identity Object jedes Moduls ist per CIP erreichbar, wenn die Anfrage über die Steuerung oder den Adapter geroutet wird (Port 1 = Backplane, dann Slot). Ein Scan, der nach ListIdentity je gefundenem Chassis die Slots durchgeht, bekommt Katalognummer, Revision und Seriennummer aller Module, ohne Projekt und ohne Steuerungseingriff. Das Studio-5000-Projekt liefert dieselbe Liste als Soll-Zustand:
- Studio-5000-Projekt (
.ACD, Export .L5X): die I/O-Konfiguration mit Katalognummer und Major Revision je Modul, geplant, nicht gemessen. - CIP Identity Object per ListIdentity: ein UDP-Broadcast auf Port 44818 im Subnetz, und jedes EtherNet/IP-Gerät antwortet mit Vendor ID, Device Type, Product Code, Revision (Major.Minor), Seriennummer und Produktname. Der Produktname enthält bei Rockwell meist die Katalognummer („1756-L83E/B“). Das ist exakt, was RSLinx beim „Browse“ tut. Hintergrund im Beitrag zum Netzwerkscan.
- Module im Rack antworten nicht einzeln: ControlLogix-Chassis und POINT-I/O zeigen eine Identität je IP; die Module dahinter sind nur über CIP-Routing (Port/Slot) erreichbar.
- Stratix-Switches zusätzlich per SNMP (Cisco-Basis, ENTITY-MIB mit Seriennummer und Firmware).
Wie Rockwell meldet und worüber der Abgleich läuft
Rockwell veröffentlicht Advisories im Trust Center mit einer Tabelle je Advisory: betroffenes Produkt, CVE, betroffene Firmware-Version, korrigiert in, betroffene Katalognummern. Beispiel SD1795 (01.09.2026): ControlLogix 5580, GuardLogix 5580, CompactLogix 5380/5480, „Versions prior to 36.013, 35.014, 34.015“, Katalog 1756-L8z, 1756-L8zS, 5069-L3z, 5069-L3zS, 5069-L4. Das z ist ein Platzhalter für die Variante.
Das Portal schreibt: „Security advisories now include Common Security Advisory Framework 2.0 (CSAF) content“. Wir haben das geprüft: Es gibt keine provider-metadata.json unter rockwellautomation.com/.well-known/csaf/, keinen Eintrag im BSI-Aggregator, keinen bei CERT@VDE, und die Advisory-Seiten SD1700, SD1795 und SD1800 bieten unter „Downloads“ nur Links auf CVE-Datensätze bei MITRE. Ob CSAF-Dokumente hinter einem Login liegen, ist offen. Den CSAF-Umweg gibt es über CISA, die ICS-Advisories zu Rockwell als CSAF veröffentlicht.
| Messwert (07.10.2026) | Ergebnis |
|---|
| Advisories im Portal gesamt | 337 (2010–2026) |
| 2026 veröffentlicht | 35 |
| 2026 veröffentlicht oder aktualisiert | 39 |
| Veröffentlichungen 2023 / 2024 / 2025 | 36 / 55 / 52 |
| Advisories allein am 01.09.2026 | 8 (SD1793–SD1800) |
| RSS-Feed | nur die letzten 51 Einträge, kein Archiv |
| Abrufbarer CSAF-Provider | keiner gefunden |
Produktname aus dem Identity Object gegen die Katalognummern-Spalte des Advisories, Revision gegen „prior to 36.013“: das ist der Abgleich. Zwei Fallen: Rockwell schreibt Firmware als „36.013“, das Identity Object liefert Major 36 und Minor 13. Die führende Null muss ergänzt werden. Und der Platzhalter z in „1756-L8z“ deckt alle Varianten ab; die Geräteliste muss die konkrete Variante führen, der Abgleich das Muster.
Ohne CSAF-Feed bleibt die Beobachtung Handarbeit oder Scraping: RSS deckt nur 51 Einträge, das Archiv steckt im HTML des Portals. Wer 35 Advisories pro Jahr mit Patch-Tuesday-Schüben von acht Stück an einem Tag manuell verfolgt, verliert die 24-Stunden-Frist schon im ersten Monat.
Eine SBOM je Produkt stellt Rockwell nicht bereit; für die Anlage brauchen Sie sie nicht, jedes Advisory nennt Katalognummer und Firmware.
Was das für Anlagen mit Rockwell-Komponenten heißt
- Bei der Abnahme einen ListIdentity-Scan je Subnetz fahren und Katalognummer, Revision und Seriennummer je Gerät übernehmen; Rack-Module aus dem Studio-5000-Projekt ergänzen.
- Firmware als Major.Minor mit dreistelliger Minor führen (36.013), damit der Vergleich mit den Advisory-Angaben ohne Nacharbeit klappt.
- FactoryTalk-Software (View, Linx, AssetCentre) als Software-Inventur der Bedien- und Engineering-PCs führen; ein großer Teil der 35 Advisories aus 2026 betrifft Software, nicht Steuerungen.
35 Advisories in neun Monaten, acht an einem Tag, und die Module im Rack antworten nur, wenn jemand den Slot anspricht. In Werkspilot Scan ist Rockwell Stufe 2: Der Lauf vom Wartungs-PC erfasst alle EtherNet/IP-Geräte per ListIdentity, geht Chassis und Adapter per CIP-Routing durch und führt Katalognummer und Revision je Modul in der Schreibweise der Advisories. Wir erproben diese Stufe derzeit mit Entwicklungspartnern an deren Anlagen.
Alle 13 Hersteller im Vergleich: SBOM je Hersteller →
Werkspilot Scan an Ihrer eigenen Anlage erproben.
Wir erproben die Erfassung mit wenigen Anlagenbauern an deren Test- oder Referenzanlagen, vier Monate lang, Stufe für Stufe um ihre Steuerungen erweitert. Der Partner bekommt eine Anlage seiner Wahl als Anlagen-SBOM: jedes erreichbare Gerät mit Hersteller, Bestellnummer und Firmwarestand, offene Positionen einzeln ausgewiesen.
Entwicklungspartnerschaft anfragen →
Werkspilot führt diese Geräte je Anlage und meldet, wenn ein Advisory eines davon trifft. Die Zahlen in diesem Beitrag sind eigene Messungen vom 07.10.2026; die Hersteller ändern Feeds und Seiten ohne Ankündigung.
