WAGO SBOM: Controller, Koppler und K-Bus-Module in die Geräteliste bekommen

Was an einem WAGO-Controller hängt und was davon im Netz sichtbar ist

Ein WAGO-Knoten ist ein Controller (PFC100, PFC200, CC100) oder ein Feldbuskoppler mit bis zu 64 I/O-Modulen der Serie 750 am Klemmenbus. Die Module sind keine Netzteilnehmer; der Controller oder Koppler spricht für sie. Dazu kommen Managed Switches, Touch Panels und, in Mischanlagen, WAGO-Koppler an einer fremden Steuerung.

• Über IP vom Wartungs-PC sichtbar: Controller und Koppler per SNMP (sysDescr nennt Bestellnummer, Hardware- und Firmwarestand, sysObjectID unter IANA 13576), PROFINET-Koppler zusätzlich per DCP/I&M0, EtherNet/IP-Koppler per Identity Object; Switches per SNMP, Panels per Web-Kennung.
• Nur über den Controller oder Koppler: alle I/O-Module am Klemmenbus. Ein PROFINET-Koppler meldet die Module als Submodule je Slot, dann liefert I&M0 je Slot die Bestellnummer; bei Controllern und anderen Kopplern kennt nur der Kopf die Modulliste.
• Nur aus dem Engineering: einfache Digital- und Analogmodule ohne Firmware. Sie stehen in der Stückliste, nicht in der Anlagen-SBOM.

Wie die Klemmenbus-Module in die Liste kommen: WAGO-I/O-CHECK, CODESYS-Projekt, Web-Based Management

WAGO-I/O-CHECK liest den Klemmenbus eines Knotens aus und listet jedes Modul mit Bestellnummer; das CODESYS-Projekt (ab Firmware-Release 23, vorher e!COCKPIT) führt dieselbe Liste als Soll-Zustand; das Web-Based Management des Controllers zeigt Firmware-Release und Bestellnummer des Kopfes. Bei PROFINET-Kopplern liest der Scan die Module direkt als Submodule mit I&M0 aus. Vom Netz aus kommen dazu:

• Engineering: e!COCKPIT ist abgekündigt (Support-Ende 31.03.2025), Nachfolger ist CODESYS V3.5 ab Firmware-Release 23. Das Projekt führt Controller und Koppler mit Bestellnummer; der Firmware-Release steht am Gerät.
• Netz: PFC100/200 und CC100 antworten per SNMP (sysDescr, sysObjectID unter der IANA-Nummer 13576), über die Web-Based-Management-Oberfläche und, je nach Variante, über PROFINET-DCP/I&M0 (750-37x-Koppler, PN-Varianten) oder das EtherNet/IP Identity Object. Welche Abfrage welche Geräte erreicht, steht im Beitrag zum Netzwerkscan.
• Firmware-Release als Zahl führen (FW30, FW32), denn die Advisories nennen beide Schreibweisen, semantische Version und Release-Nummer.

Wie WAGO meldet und worüber der Abgleich läuft

Die PSIRT-Seite verweist für alle Advisories auf CERT@VDE; einen eigenen Provider unter wago.com gibt es nicht (.well-known/csaf leitet auf die Startseite). Der CERT@VDE-Provider bietet ROLIE-Feed, index.txt und changes.csv und ist für die Spiegelung auf Aggregatoren freigegeben. Im Aggregator des BSI war WAGO am Messtag trotzdem nicht gelistet.

Beispiel VDE-2025-081: „CC100 0751-9x01“ wird zu model_numbers: ["0751-9?01"], „PFC200 G2 750-821x-xxx-xxx“ zu 750-821?-????-????, die Firmware als Bereich >=1.0.0 | <4.10.0 mit dem Zusatz „FW32“. CPE kommt nur auf dem Zweig wago_os_linux vor, nie auf der Hardware.

Das Platzhalter-Schema ist für den Abgleich ein Vorteil, wenn das Werkzeug es versteht: 750-821?-????-???? trifft jede PFC200-G2-Variante, egal welche Anschluss- oder Ausstattungsvariante im Feld steht. Ein Werkzeug, das Bestellnummern nur exakt vergleicht, verfehlt dagegen fast jedes WAGO-Advisory. Wer über CPE sucht, findet nur die zehn Dokumente mit Betriebssystem-CPE und ordnet sie keinem Gerät zu, weil die Hardware keinen CPE trägt. Mehr zu diesem Muster im Beitrag zur Tool-Auswahl.

43 der 82 Dokumente tragen einen Aktualisierungsstempel aus 2025: WAGO hat das Archiv in einem Schub nachgezogen. Wer nur auf „neu“ filtert, sieht solche Re-Releases nicht.

Eine SBOM je Produkt haben wir bei WAGO nicht gefunden; für die Anlage brauchen Sie sie nicht, die Advisories nennen Bestellnummer und Release.

Was das für Anlagen mit WAGO-Komponenten heißt

• Je WAGO-Controller und -Koppler die vollständige Bestellnummer (mit Varianten-Suffix) und den Firmware-Release erfassen.
• Den Abgleich auf Platzhalter-Muster auslegen, exakte Vergleiche treffen bei WAGO nicht.
• Managed Switches (852-xxxx) und Touch Panels (762-xxxx) als eigene Positionen führen; 2026 gab es Advisories für beide.

Ein Werkzeug, das Bestellnummern nur exakt vergleicht, verfehlt fast jedes WAGO-Advisory, und die Modulliste hinter dem Controller steht nur im Kopf des Knotens. In Werkspilot Scan ist WAGO Stufe 1 bis 3: Controller, Koppler und Switches kommen über SNMP und I&M0 in einem Lauf vom Wartungs-PC, Module hinter PROFINET-Kopplern als Submodule gleich mit, die Module hinter Controllern nach Freischaltung über den Knoten. Wir erproben die dritte Stufe derzeit mit Entwicklungspartnern an deren Anlagen.