Werkspilot
    ← Blog

    SBOM je Hersteller: Was Siemens, Beckhoff, Rockwell und zehn weitere tatsächlich liefern

    Kurz gefasst · Stand: Oktober 2026

    Bei jedem der dreizehn Hersteller hängt ein Teil der Geräte hinter der Steuerung, wo kein Netzwerkscan hinsieht: EtherCAT-Klemmen, Rack-Module, Klemmenbus, IO-Link. Welcher Weg sie in die Liste bringt, steht je Hersteller in der Tabelle. Neun von dreizehn veröffentlichen Advisories als CSAF, fünf davon über CERT@VDE, vier nur als PDF oder HTML. Keiner identifiziert Hardware über CPE; der Schlüssel ist überall die Bestellnummer, Artikel-, Material-, Teile- oder Katalognummer plus Firmwarebereich. Für die Anlagen-SBOM heißt das: Die Geräteliste entsteht beim Anlagenbauer, auf Geräteebene, mit genau diesen Nummern. Eine SBOM je Produkt gibt keiner frei heraus; für die Anlage braucht man sie nicht.

    Dreizehn Hersteller, gemessen am 07.10.2026

    Alle Zahlen stammen aus eigenen Messungen: ROLIE-Feeds und Verzeichnisse vollständig geladen und ausgezählt, Advisory-Listen ohne Feed aus dem HTML gezählt. Jeder Beitrag beschreibt Quelle, Befehl und Einschränkungen.

    HerstellerAdvisories gesamt / neu 2026CSAFProdukt-IdentifikatorGeräte hinter der Steuerung
    Siemens841 / 81 (132 neu oder aktualisiert)eigener Provider, BSI-AggregatorMLFB als model_numbers; 0 CPE/PURLPROFINET-I&M0 je Slot, auch modulare Geräte (Stufe 1)
    Beckhoff17 / 2CERT@VDESoftware-Pakete mit PURL/CPE (2026), sonst Name + VersionEtherCAT-Klemmen nur über IPC und ADS (Stufe 3)
    B&R29 / 10ABB-PSIRT-Feed (14 Dokumente)Name + AR-Versionsbereich; 0 CPE/PURLX20-Module und POWERLINK nur über die Systemdiagnose (Stufe 3)
    Rockwell337 / 35angekündigt, nicht auffindbarKatalognummer + Firmware in HTMLRack- und Adaptermodule per CIP-Routing (Stufe 2)
    Schneider Electric291 / 30eigener Provider ohne ROLIE, Bot-SperreFamilie + Version; M580 ohne HelperX80- und TM3-Module über CPU-Diagnose und Control Expert (Stufe 2)
    WAGO82 / 8CERT@VDEBestellnummer mit Platzhalter + FW-ReleaseKlemmenbus-Module über Koppler-Submodule (Stufe 1) oder Controller (Stufe 3)
    Phoenix Contact113 / 9CERT@VDEsiebenstellige Artikelnummer + FWAxioline hinter Kopplern per I&M0 je Slot (Stufe 1), IO-Link über Master (Stufe 3)
    Bosch Rexroth42 / 2keines (HTML, Atom)Materialnummer R911… + VersionEtherCAT-Teilnehmer über Data Layer der CORE (Stufe 3), S20-PN per I&M0 (Stufe 1)
    Omron25 / 0 (1 Update)keines (PDF, JVN, CISA)Serie + Unit-VersionEtherCAT-Units und Servos über NJ/NX und Sysmac Studio (Stufe 3)
    Mitsubishi Electric~140 / 6 (CISA: 10 neu)keines (PDF; CISA-CSAF)Modultyp + FirmwarestringRack-Module und CC-Link-Stationen über GX Works3 (Stufe 3)
    Pilz20 / 3CERT@VDEBestellnummer als model_numbersErweiterungsmodule über Configurator und PAS4000 (Stufe 3), PROFINET-Modul per I&M0 (Stufe 1)
    Festo18 / 1CERT@VDETeilenummer (skus) + BestellcodeAP-Module hinter PN-Köpfen per I&M0 (Stufe 1), EtherCAT und IO-Link über Master (Stufe 3)
    SICK71 / 13eigener Provider, BSI-AggregatorTeilenummer (skus), oft „alle Versionen“Flexi-Soft-Module über Safety Designer, IO-Link über SIG-Master (Stufe 3)

    Das Volumen ist ungleich verteilt: Siemens, Rockwell und Schneider Electric veröffentlichen zusammen mehr als alle anderen zehn, mit Patch-Tuesday-Schüben von acht Advisories an einem Tag. Die Nischenhersteller sind dafür in den Geräte­listen häufiger vergessen: Sicherheitstechnik von Pilz und SICK, IO-Link-Master von Phoenix Contact.

    Das Protokoll der Anlage bestimmt, wie die Geräteliste entsteht

    Weil die Hersteller über Bestell- und Teilenummern identifizieren, genügt die Geräteebene, und die liefern die Industrieprotokolle ab Werk. Welche Felder welches Protokoll preisgibt und wo die Lücken liegen, steht in den Protokoll-Beiträgen:

    • PROFINET: I&M0 mit OrderID, Seriennummer, Hardware- und Firmwarestand, Pflicht für jedes zertifizierte Gerät; DCP findet, PNIO-CM liest.
    • EtherNet/IP: ListIdentity-Broadcast liefert Vendor ID, Product Code, Revision, Seriennummer und Produktname für das ganze Subnetz.
    • EtherCAT: Identität im EEPROM und Objekt 0x1018, nur über den Master lesbar, Klemmen sind im Netz unsichtbar.
    • Modbus TCP: Funktionscode 43 mit Hersteller, Produktcode und Revision, optional und ohne Discovery.
    • OPC UA: BuildInfo je Server, DI-Typenschild je Gerät, Steuerungsebene, nicht Feldgeräte.
    • SNMP: sysDescr und ENTITY-MIB für Switches, Router, IPCs und PROFINET-CC-B-Geräte.
    • IO-Link: Vendor-ID, Device-ID, Produktname Pflicht; Seriennummer und Firmware optional; alles über den Master.

    Wie die Verfahren je Steuerungswelt zusammenspielen, steht im Beitrag zum Netzwerkscan für die Anlagen-SBOM; welche drei bis fünf Quellen eine Anlagen-SBOM speisen, im Beitrag zur SBOM-Erstellung im Anlagenbau.

    Was daraus für den Anlagenbauer folgt

    • Auf SBOMs der Hersteller zu warten bringt nichts. Keiner der dreizehn gibt sie frei heraus, und der CRA verpflichtet Komponentenhersteller nicht zur Weitergabe an Kunden. Die Geräteliste der Anlage lässt sich dagegen heute schon erheben.
    • CPE taugt nicht als Schlüssel. Siemens 0 von 841, ABB/B&R 0 von 74, SICK 0, Schneider in der Stichprobe 0; WAGO und Phoenix nur auf dem Betriebssystem oder in wenigen jungen Dokumenten. Ein Werkzeug, das über CPE sucht, prüft bei Industriekomponenten nichts.
    • Die Advisories kommen auf drei Wegen. Neun Hersteller liefern CSAF, direkt oder über CERT@VDE und den BSI-Aggregator. Für Mitsubishi und Rockwell liefert die CISA CSAF. Bei Bosch Rexroth, Omron und dem Rockwell-Archiv bleiben HTML und PDF. Alle drei Wege müssen in dieselbe Geräteliste laufen, sonst hält die Meldefrist bei Lieferanten ohne CSAF nicht.

    Leitfaden: Anlagen-SBOM in fünf Schritten.

    Welche Quellen die Geräteliste speisen, welches Scan-Verfahren welche Geräte erreicht und wie der Abgleich mit Hersteller-Advisories ohne CPE funktioniert, kompakt als PDF mit Checkliste je Schritt.

    Leitfaden anfordern →

    Werkspilot gleicht die Geräteliste ausgelieferter Anlagen laufend mit den Advisories und CSAF-Feeds der Komponentenhersteller ab. Die Zahlen in diesem Beitrag sind eigene Messungen vom 07.10.2026; die Hersteller ändern Feeds und Seiten ohne Ankündigung.

    Häufige Fragen

    Alles, was keine eigene Netzidentität hat: EtherCAT-Klemmen bei Beckhoff, Omron, Festo und Bosch Rexroth, X20-Module und POWERLINK-Teilnehmer bei B&R, Rack-Module bei Rockwell, Schneider und Mitsubishi, Klemmenbus-Module bei WAGO, Erweiterungsmodule der Sicherheitssteuerungen von Pilz und SICK, IO-Link-Sensoren hinter jedem Master. Sie kommen nur über die Steuerung oder den Master in die Liste, bei PROFINET-Köpfen als Submodule mit I&M0 je Slot. Welcher Weg je Hersteller trägt, steht in der Tabelle und im jeweiligen Beitrag.

    Siemens und SICK mit eigenem Provider (beide im BSI-Aggregator), Schneider Electric mit eigenem Provider ohne ROLIE-Feed, B&R über den Feed von ABB PSIRT, Beckhoff, WAGO, Phoenix Contact, Pilz und Festo über CERT@VDE. Rockwell kündigt CSAF an, ein Provider ist nicht auffindbar. Bosch Rexroth, Omron und Mitsubishi veröffentlichen nur HTML oder PDF; für Mitsubishi und Rockwell liefert die CISA CSAF-Dokumente.

    Weil die Hersteller Hardware nicht über CPE identifizieren: Siemens nutzt die MLFB, Phoenix Contact die Artikelnummer, WAGO Bestellnummern mit Platzhaltern, Festo und SICK Teilenummern, Rockwell Katalognummern, Bosch Rexroth Materialnummern, jeweils mit Firmwarebereich. CPE kommt nur vereinzelt vor, bei Beckhoff für Software-Pakete, bei WAGO und Pilz für Betriebssysteme. Die Geräteliste muss deshalb diese Nummern und den Firmwarestand führen.