Datengrundlage
Woher die Meldungen kommen.
Seriax wartet nicht darauf, dass eine Schwachstelle den Umweg über eine amerikanische Datenbank nimmt. Die Sicherheitshinweise der Steuerungshersteller werden dort gelesen, wo sie erscheinen: in deren eigenen Veröffentlichungen, im Format CSAF 2.0.
A
Der kurze Weg statt des langen
Zwischen der Veröffentlichung eines Herstellers und dem Eintrag in einer Schwachstellendatenbank liegen regelmässig Tage. Die Frist des Artikels 14 läuft ab Kenntnis, nicht ab Datenbankeintrag.
Der lange Weg
Ein Hersteller veröffentlicht seinen Hinweis. Irgendwann trägt jemand ihn in die NVD ein. Erst dann sehen ihn Werkzeuge, die nur dort nachsehen.
Der kurze Weg
CSAF 2.0 ist seit November 2022 ein OASIS-Standard. Jeder Herausgeber legt seine Veröffentlichungsdaten an einer festen Stelle ab. Zwei Verzeichnisse führen die Herausgeber: das des BSI und das von CERT@VDE.
Was das ausmacht
Bei einer Meldefrist von 24 Stunden ist der Unterschied zwischen beiden Wegen der Unterschied zwischen rechtzeitig und zu spät.
B
Die Herausgeber im Maschinenbau
Über die Verzeichnisse des BSI und von CERT@VDE erreichbar. Die Zahlen stammen aus einem Abruf vom 8. Oktober 2026 über die vorangegangenen zwölf Monate.
| Herausgeber | Betrifft | Hinweise in zwölf Monaten |
|---|---|---|
| Siemens ProductCERT | SIMATIC, SIMOTION, SINUMERIK, SCALANCE und die übrigen Reihen. | 179 |
| ABB PSIRT | Antriebe, Steuerungen, Leitsysteme, Robotik. | 52 |
| SICK PSIRT | Sensorik und Sicherheitstechnik. | 19 |
| CODESYS | Das Laufzeitsystem, das in Steuerungen vieler Hersteller steckt. | 16 |
| Phoenix Contact | Steuerungen, Netz- und Anschlusstechnik. | 13 |
| Festo | Pneumatik, Antriebe, Steuerungen. | 12 |
| WAGO | Steuerungen und Reihenklemmen. | 12 |
| Helmholz | Zubehör und Erweiterungen für SIMATIC. | 8 |
| Endress+Hauser | Messtechnik für Prozessanlagen. | 8 |
| Mettler-Toledo | Wäge- und Prüftechnik in Fertigungslinien. | 6 |
| MB connect line | Fernwartungszugänge zu Maschinen. | 6 |
| ifm electronic | Sensorik und Steuerungen. | 5 |
| Murrelektronik | Schaltschrank- und Anschlusstechnik. | 5 |
| Pilz | Sicherheitssteuerungen und Schutzeinrichtungen. | 4 |
| Weidmüller | Anschluss- und Netztechnik. | 4 |
| Beckhoff Automation | PC-basierte Steuerung, TwinCAT, EtherCAT. | 2 |
Die Tabelle nennt die grösseren Herausgeber. Insgesamt sind im selben Zeitraum 384 Hinweise von 35 Herausgebern erschienen, 250 davon im Verzeichnis des BSI und 134 bei CERT@VDE. Wer nur eines der beiden abfragt, sieht das andere nicht.
Dazu kommen die allgemeinen Quellen: die Schwachstellendatenbank des NIST, der Katalog der CISA über nachweislich ausgenutzte Schwachstellen und die europäische Schwachstellendatenbank der ENISA. Und weiterhin das, womit alles anfängt: die Meldungen, die Ihre eigenen Zulieferer Ihnen schicken.
C
Warum die Bestellnummer zählt
Eine Beobachtung aus der Praxis, die erklärt, warum viele Werkzeuge bei Maschinensteuerungen nichts finden.
Schwachstellen werden üblicherweise über eine CPE zugeordnet, eine standardisierte Produktkennung. In den 384 Hinweisen des Zeitraums sind 8340 Produkte benannt, und eine solche Kennung trägt davon knapp jedes zehnte. Im Verzeichnis des BSI, wo Siemens, ABB und SICK veröffentlichen, trägt kein einziges Produkt eine. Geführt werden sie dort über die Bestellnummer, bei Siemens die MLFB, und 2145 Produkte tragen auch die nicht, sondern nur ihre Bezeichnung.
Das ist zugleich das Feld, das Sie tatsächlich haben. Eine CPE kennt im Maschinenbau niemand. Die Bestellnummer steht im ERP, auf dem Lieferschein und in jeder Stückliste.
Seriax gleicht deshalb über vier Wege ab: über CPE, über purl, über die Bestellnummer und, wo nichts davon vorliegt, über Hersteller und Bezeichnung. Jeder Treffer trägt seine Güteklasse und eine Begründung in Klartext, damit erkennbar bleibt, worauf er beruht und wie sicher er ist.
D
Was geprüft wird und was nicht
Prüfsumme
Zu jedem Hinweis veröffentlichen die Herausgeber eine SHA-512-Prüfsumme. Sie wird nachgerechnet. Stimmt sie nicht, wird das Dokument verworfen und nicht in eine Akte übernommen.
Signatur
Die OpenPGP-Signaturen der Herausgeber werden derzeit nicht geprüft. Das steht hier, damit niemand mehr Sicherheit annimmt, als vorhanden ist: Die Prüfsumme erkennt beschädigte und veränderte Dateien, nicht aber einen Angreifer, der Dokument und Prüfsumme zugleich austauscht.
Zuordnung
Ein Hinweis wird gegen Ihre Stückliste gehalten, über Kennung, Version und Bestellnummer. Jeder Treffer trägt eine Begründung und eine Güteklasse, damit erkennbar bleibt, worauf er beruht.
Bewertung
Was ein Fund bedeutet und ob er meldepflichtig ist, entscheidet ein Mensch in Ihrem Haus. Ein Fund ist ein Hinweis, er startet keine Frist und erzeugt keinen Vorgang von selbst.
Zu den genannten Namen
Die oben genannten Hersteller und Einrichtungen sind Quellen. Seriax liest ihre öffentlich veröffentlichten Sicherheitshinweise, so wie sie zum Lesen veröffentlicht sind. Eine Zusammenarbeit, eine Beauftragung oder eine Billigung durch sie besteht nicht, und die genannten Namen und Marken gehören ihren jeweiligen Inhabern.
Fehlt eine Quelle, die für Ihre Anlagen wichtig ist? Schreiben Sie uns an anfragen@seriax.eu. Herausgeber, die im CSAF-Format veröffentlichen, lassen sich ohne Aufwand aufnehmen.