Kurz gefasst · Stand: Oktober 2026
SICK-Technik in einer Anlage besteht aus Flexi-Soft-Sicherheitssteuerungen (FX3-CPU mit Erweiterungsmodulen am internen Bus und einem Gateway-Modul), Sicherheitslaserscannern (microScan3, nanoScan3) an PROFINET, EtherNet/IP oder EtherCAT, SIG200/SIG350-IO-Link-Mastern mit Sensoren, Kameras und Lidar am Netz. Vom Wartungs-PC aus liefern PROFINET-Varianten per I&M0 Teilenummer, Seriennummer und Firmware, EtherNet/IP-Varianten per ListIdentity, Kameras und Lidar per Web-Kennung; die Flexi-Soft-Module hinter dem Gateway, EtherCAT-Scanner und IO-Link-Sensoren sieht erst die Steuerung oder der Master: Safety Designer, SOPAS oder die REST-Schnittstelle des SIG-Masters. SICK meldet als CSAF im eigenen Provider mit der Teilenummer als skus, oft für „alle Versionen“: 71 Advisories, 13 neu in 2026. Eine SBOM haben wir nicht gefunden; für die Anlage brauchen Sie sie nicht.
Was an einer Flexi-Soft-Steuerung hängt und was davon im Netz sichtbar ist
Eine Flexi Soft besteht aus dem Hauptmodul FX3-CPU, Erweiterungsmodulen (Ein-/Ausgänge, Drehzahl, Relais) am internen Bus und einem Gateway (FX3-GPNT PROFINET, FX3-GEPR EtherNet/IP, FX3-GECA EtherCAT). Daran hängen über EFI-pro oder direkt am Netz Sicherheitslaserscanner, über SIG200/SIG350-Master IO-Link-Sensoren, dazu Kameras (InspectorP, Lector), Lidar (LMS, MRS, multiScan) und Encoder.
- Über IP vom Wartungs-PC sichtbar: FX3-GPNT-Gateways, microScan3- und nanoScan3-PROFINET-Varianten und SIG-Master per DCP und I&M0 (OrderID = Teilenummer, Seriennummer, Firmware); EtherNet/IP-Varianten per ListIdentity; Kameras und Lidar per Web-Kennung oder SOPAS-Protokoll.
- Nur über die Steuerung oder den Master: FX3-CPU und Erweiterungsmodule hinter dem Gateway (das Gateway meldet nur sich selbst), EtherCAT-Scanner hinter einem fremden Master und IO-Link-Sensoren hinter SIG-Mastern.
- Nur aus dem Engineering: Sensoren ohne Firmware und ohne IO-Link; sie stehen in der Stückliste, nicht in der Anlagen-SBOM.
Wie Flexi-Soft-Module und IO-Link-Sensoren in die Liste kommen: Safety Designer, SOPAS, SIG-Master
Der Safety Designer zeigt online die Modulliste der Flexi Soft mit Typ, Teilenummer, Seriennummer und Firmware je Modul; SOPAS liefert dasselbe für Scanner und Sensoren. Der SIG-Master listet seine IO-Link-Ports mit Vendor-ID, Device-ID und Produktname über die Weboberfläche, als PROFINET-Submodule oder über seine REST-Schnittstelle. Vom Netz aus kommen dazu:
- SOPAS Engineering Tool und Safety Designer (Flexi Soft, Flexi Compact, microScan3): Projekte mit Gerätetyp, Teilenummer und Firmware.
- PROFINET-I&M0: microScan3-PROFINET/PROFIsafe-Varianten, Flexi-Soft-Gateways FX0-GPNT und SIG200/SIG350-IO-Link-Master sind PI-zertifiziert und liefern OrderID, Seriennummer und Firmware per DCP.
- EtherNet/IP (CIP Safety) und EtherCAT (FSoE) je nach Variante, EtherCAT-Scanner nur über den Master. IO-Link-Sensoren hinter SIG-Mastern über deren Schnittstelle. Hintergrund im Beitrag zum Netzwerkscan.
- Kameras (InspectorP, Lector) und Lidar (LMS, MRS, multiScan) sind IP-Geräte mit Weboberfläche; die Firmware steht dort, nicht in der SPS.
Wie SICK meldet und worüber der Abgleich läuft
Das SICK PSIRT verlinkt Security Advisories, RSS-Feed und „Security Advisory CSAF-Feed“ direkt; die provider-metadata.json nennt SICK PSIRT als Trusted Provider und deckt auch das Joint Venture mit Endress+Hauser ab. Der Feed enthielt am Messtag 77 Einträge, davon sechs Dubletten durch Groß-/Kleinschreibung der IDs, ein Detail, das ein Abgleich berücksichtigen muss.
| Messwert (07.10.2026) | Ergebnis |
|---|
| Eindeutige CSAF-Advisories | 71 (2019–2026) |
| davon 2026 neu | 13 (SCA-2026-0001 bis -0013, jüngstes 11.09.2026) |
| 2026 veröffentlicht oder aktualisiert | 15 |
| Neue Dokumente 2022 / 2023 / 2024 / 2025 | 15 / 11 / 7 / 14 |
| Dokumente mit CPE / PURL / model_numbers (Stichprobe) | 0 / 0 / 0 – Identifikation über skus |
| CISA-OT-Feed: Einträge mit SICK | 1 (keiner aus 2026) |
Ein früherer Blick auf denselben Feed (2025) ergab rund 258 verschiedene CVEs über 71 Advisories, ein Hinweis darauf, dass SICK auch Drittkomponenten wie CodeMeter (sca-2026-0011) konsequent nachführt. Betroffene Produkte stehen mit Name und Teilenummer, der Versionsbereich lautet häufig vers:all/*, also „alle Versionen“.
Die SICK-Teilenummer steht auf jedem Typenschild und in jeder EPLAN-Stückliste; der Abgleich über skus ist deshalb robust. Zwei Eigenheiten: Erstens kann dasselbe Produkt unter mehreren Teilenummern je Variante laufen (microScan3 Core, Pro, EtherCAT), und ein Advisory listet sie einzeln. Zweitens bedeutet vers:all/*, dass kein Firmwarestand frei ist. Hier gibt es nichts zu patchen, sondern eine Bewertung der Ausnutzbarkeit je Anlage und gegebenenfalls eine Maßnahme im Netz.
Dass Sicherheitslaserscanner und Sicherheitssteuerungen in vielen Gerätelisten fehlen, obwohl sie Firmware tragen und im Advisory-Feed stehen, ist der häufigste Befund bei Abnahmen. 13 Advisories in neun Monaten sind kein Hersteller, den man weglassen kann.
Eine SBOM-Bereitstellung haben wir bei SICK nicht gefunden; für die Anlage brauchen Sie sie nicht, die Advisories nennen die Teilenummer.
Was das für Anlagen mit SICK-Komponenten heißt
- Teilenummer und Firmware je Scanner, Sicherheitssteuerung, Kamera, Lidar und IO-Link-Master erfassen, aus SOPAS/Safety Designer und per I&M0.
- Bei
vers:all/* die Bewertung je Anlage dokumentieren; es gibt keinen Zielstand, den man abwarten könnte.
13 Advisories in neun Monaten, häufig für „alle Versionen“, und die Sicherheitssteuerung zeigt im Netz nur ihr Gateway. In Werkspilot Scan ist SICK Stufe 1 für Gateways, PROFINET-Scanner und SIG-Master über I&M0 und ListIdentity, und Stufe 3 für die Flexi-Soft-Module und IO-Link-Sensoren dahinter über Steuerung und Master. Wir erproben die dritte Stufe derzeit mit Entwicklungspartnern an deren Anlagen.
Alle 13 Hersteller im Vergleich: SBOM je Hersteller →
Werkspilot Scan an Ihrer eigenen Anlage erproben.
Wir erproben die Erfassung mit wenigen Anlagenbauern an deren Test- oder Referenzanlagen, vier Monate lang, Stufe für Stufe um ihre Steuerungen erweitert. Der Partner bekommt eine Anlage seiner Wahl als Anlagen-SBOM: jedes erreichbare Gerät mit Hersteller, Bestellnummer und Firmwarestand, offene Positionen einzeln ausgewiesen.
Entwicklungspartnerschaft anfragen →
Werkspilot führt diese Geräte je Anlage und meldet, wenn ein Advisory eines davon trifft. Die Zahlen in diesem Beitrag sind eigene Messungen vom 07.10.2026; die Hersteller ändern Feeds und Seiten ohne Ankündigung.
