Inhaltsverzeichnis
Am 14. Juli 2026 hat Siemens an einem einzigen Tag neun Security Advisories veröffentlicht (SecurityWeek, 15. Juli 2026). Für einen großen Hersteller ist das kein Ausreißer, sondern ein ganz normaler Monat. Wer Siemens-Steuerungen verbaut, muss danach jedes Mal dieselbe Frage beantworten: In welchen unserer ausgelieferten Maschinen stecken diese überhaupt?
Angreifer kennen die Antwort oft schneller. Sie scannen Ports, lesen Banner und Firmware-Versionen aus und wissen danach über eine Anlage im Feld häufig mehr, als im PLM-System (Product Lifecycle Management) des Herstellers steht. Der Hersteller setzt die Antwort ohne Stückliste aus Erinnerung, Schaltplänen und Rückfragen bei Lieferanten zusammen, und das dauert Wochen.
Seit September läuft dafür eine Frist: Nach Artikel 14, Absatz 2, Buchstabe a der Verordnung (EU) 2024/2847 muss der Hersteller eine aktiv ausgenutzte Schwachstelle unverzüglich, spätestens aber innerhalb von 24 Stunden nach Kenntnisnahme, als Frühwarnung melden. Verlangt ist darin zwar noch nicht die Liste aller betroffenen Kundenanlagen, sondern die der Mitgliedstaaten, in denen das Produkt bereitgestellt wurde. Aber auch die bekommt in 24 Stunden nur zusammen, wer die Zuordnung schon vorher kennt.
Im Maschinenbau gibt es keinen Build
In der Softwareentwicklung fällt die SBOM nebenbei ab. Der Paketmanager weiß, welche Bibliotheken eingebunden sind, und Werkzeuge wie Syft oder Trivy lesen das aus. Im Maschinenbau gibt es diesen Moment nicht. Es gibt Konstruktion, Projektierung und Inbetriebnahme, aber keinen reproduzierbaren Build.
Dazu kommt, dass bei einem typischen Maschinenbauer 80 bis 90 Prozent der Software von Dritten stammen: Firmware in Steuerung, Antrieben und Netzwerkkomponenten, das Betriebssystem des Industrie-PCs, Bibliotheken im Steuerungsprojekt. Die Stückliste muss deshalb aus Quellen zusammengesetzt werden, die nie dafür gedacht waren, etwa aus Steuerungsprojekt, E-CAD (elektrotechnische Konstruktionssoftware), ERP (Warenwirtschaftssystem) und den Diagnose-Tools der Steuerungshersteller. Keine dieser Quellen ist vollständig. Brauchbar wird die Liste erst, wenn man sie kombiniert.
Eine Steuerung, drei Namen
Selbst eine formal korrekte SBOM kann praktisch wertlos sein. Dieselbe Siemens-Steuerung heißt in der Schwachstellendatenbank als CPE (Common Platform Enumeration) cpe:2.3:o:siemens:simatic_s7-1500_firmware:3.1.5, als Package-URL (purl) pkg:generic/siemens/simatic-s7-1500@3.1.5 und im ERP 6ES7516-3AN02-0AB0. Nur die erste Bezeichnung findet die Datenbank, nur die letzte steht auf dem Lieferschein.
Die Folge sind Fehler in beide Richtungen: Treffer für Komponenten, die gar nicht verbaut sind, und kein Treffer für die, die wirklich betroffen ist. Außerdem sind Marke, Hersteller, Rechtsträger und Herausgeber der Advisories selten dieselben. Auf dem Gerät steht Hirschmann, dahinter steht Belden. Viele mittelständische Automatisierungshersteller veröffentlichen ihre Advisories über CERT@VDE, das Industrial-Security-CERT des VDE (VDE Verband der Elektrotechnik Elektronik Informationstechnik e.V.). Wer nur nach Herstellernamen sucht, schaut an den falschen Stellen.
Die SBOM stellt die Frage, VEX gibt die Antwort
Wie wenig eine SBOM allein bringt, zeigt ein Beispiel aus einem unserer Projekte. Die SBOM eines einzigen Antriebs umfasste 340 Komponenten, der Abgleich mit den Schwachstellendatenbanken ergab 180 CVE-Treffer (Common Vulnerabilities and Exposures). Nach Ausschluss der Codepfade, die im Gerät gar nicht erreichbar sind, blieben 26. Wirklich bewerten musste am Ende jemand drei.
Den Schritt von 180 auf 26 kann der Maschinenbauer nicht selbst gehen, denn ihm fehlt der Quellcode. Das kann nur der Lieferant, und er hält das Ergebnis in einer Betroffenheitsaussage fest, dem VEX (Vulnerability Exploitability eXchange). Ohne sie triagiert der Maschinenbauer fremden Code auf eigene Kosten und kommt über „vermutlich nicht betroffen“ nicht hinaus.
Was ins Lastenheft gehört
Der CRA verpflichtet jeden Hersteller, gemäß Anhang I Teil II Nr. 1 der Verordnung (EU) 2024/2847 eine SBOM zu erstellen. Herausgeben muss er sie aber nur an die Marktüberwachungsbehörden, nicht an seine Kunden. Was ein Maschinenbauer von seinen Zulieferern bekommt, regelt also der Vertrag. Wir empfehlen sechs Punkte für jede Bestellung und jeden Rahmenvertrag:
- eine SBOM (Software Bill of Materials) zur gelieferten Komponente in CycloneDX ab 1.6 oder SPDX ab 3.0.1, aktualisiert bei jedem Firmware-Release
- eine Betroffenheitsaussage im VEX-Format, mit Begründung, wo „nicht betroffen“ behauptet wird
- einen benannten Sicherheitskontakt, idealerweise ein PSIRT (Product Security Incident Response Team)
- einen maschinenlesbaren Advisory-Kanal nach CSAF 2.0 (Common Security Advisory Framework)
- einen zugesagten Supportzeitraum für Sicherheitsupdates
- die Pflicht, aktiv ausgenutzte Schwachstellen unverzüglich weiterzugeben
Der zweite Punkt entscheidet über den Nutzen aller anderen. Freiwillig bietet ihn heute kaum ein Lieferant an.
Wo man anfängt
Für den Einstieg braucht es weder eine Tool-Entscheidung noch einen Budgetantrag. Eine reale Maschine, eine Tabelle und jemand, der zwei Tage pro Woche dafür Zeit hat, reichen für die ersten 90 Tage. Wichtig ist die Reihenfolge: erst die Fähigkeit, Treffer zu bewerten und die Bewertung festzuhalten, dann die Tiefe der Stückliste. Wer zuerst in die Tiefe geht, produziert eine Liste, die niemand abarbeiten kann.
Auch der Feldbestand gehört dazu. Die technischen Anforderungen des CRA gelten weitgehend für neue Produkte, die Meldepflichten aber auch für Maschinen, die schon seit Jahren laufen. Sinnvoll ist es, bei Neuprodukten anzufangen und sich über die Baureihen mit der größten installierten Basis rückwärts vorzuarbeiten.
Am Ende zählt nicht, ob eine SBOM vorliegt, sondern wie lange es vom Advisory bis zur Antwort an den Kunden dauert. Bei Complioty setzen wir dafür beim Steuerungsprojekt an, das es in jedem Maschinenbauunternehmen ohnehin gibt, und führen von dort über die Bewertung bis zum veröffentlichten Advisory. Den ganzen Weg beschreiben wir ausführlich in unserem Whitepaper „O’zapft is. SBOMs für den Maschinenbau“, zu finden unter: go.complioty.de/sbom-whitepaper
