Im Maschinen- und Gerätebau ist heute nicht mehr nur die Fertigung vernetzt, sondern auch das Produkt, das sie verlässt. Fast jeder deutsche Hersteller von Produkten mit digitalen Elementen bietet inzwischen Geräte an, die sich nach der Auslieferung aktualisieren lassen. Jedes dieser Geräte verlängert die Verantwortung des Herstellers über das Werkstor hinaus, und jedes ist ein möglicher Angriffspunkt.
Europa antwortet darauf mit fünf Rechtsakten auf einmal. In fast jedem Projekt, das wir bei RUBINLAKE in den letzten Jahren begleitet haben, kam deshalb dieselbe Frage, meist zu spät, wenn die Hardware schon feststand: Was kostet Sicherheit, und wer bezahlt sie? Eine belastbare Zahl hatte bislang niemand. Deshalb haben wir sie ausgerechnet. Das Ergebnis ist unser freier Industriereport Vernetzte Produkte DACH 2027, und dieser Beitrag fasst zusammen, was er zeigt.
Fünf Gesetze, eine Frist, und die erste Pflicht gilt schon
Der Cyber Resilience Act (CRA), der Data Act, die Maschinenverordnung, die Cybersicherheitsregeln der Funkanlagenrichtlinie und die Batterieverordnung greifen zwischen August 2025 und Dezember 2027. Zusammen machen sie Sicherheit, Updates und Datenzugang zur Bedingung dafür, dass ein vernetztes Produkt überhaupt auf den EU-Markt darf[1]. Die Europäische Kommission beziffert die Schäden, die allein der CRA Unternehmen in der EU ersparen könnte, auf 180 bis 290 Milliarden Euro im Jahr[2].
Das ist keine Zukunftsmusik. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden über die zentrale Meldeplattform der ENISA melden, und diese Pflicht trifft auch Geräte, die längst im Einsatz sind[1]. Allein in den deutschen Mobilfunknetzen waren Ende 2025 rund 86 Millionen M2M-SIM-Profile aktiv, 17 % mehr als ein Jahr zuvor[3]. Der Bestand ist groß, und er wächst schnell.
Die Vorbereitung hinkt weit hinterher. Nur 3 % der befragten deutschen Industrieunternehmen halten sich für vollständig CRA-konform, und die Hälfte hat noch keine eigene externe Meldestelle für Schwachstellen, obwohl die Meldepflicht bereits gilt[4].
Das Dilemma: Entwerfen ohne Normen
Hier liegt der eigentliche Konflikt, mit dem jeder Produktverantwortliche gerade lebt. Die Hardware der Produkte, die 2027 auf den Markt kommen, muss jetzt feststehen. Für den CRA steht aber noch keine einzige der 41 beauftragten harmonisierten Normen im Amtsblatt, und es ist noch keine notifizierte Stelle benannt.
Damit entscheidet nicht mehr der Hersteller, ob Sicherheit ins Produkt gehört, sondern das Gesetz. Der Hersteller entscheidet nur noch, wie teuer das wird. Und genau dafür fehlten bisher die Zahlen.
Was wir gerechnet haben
Der Report beantwortet die Frage, mit welchem Design ein Hersteller die Sicherheit eines vernetzten Produkts über dessen Lebensdauer am günstigsten gewährleistet. Er tut das für Hersteller mit 100 bis 4.999 Beschäftigten in Deutschland, Österreich und der Schweiz, an vier typischen Geräten:
- einem Akkuwerkzeug mit BLE-Tracker,
- einer Maschine mit Edge-Gateway,
- einem steuerbaren Gebäudegerät wie der Wärmepumpe nach § 14a EnWG,
- einem Logistik-Tracker für Assets, Container und Anhänger.
Für jedes dieser Geräte bewertet unser Kostenmodell die Basiskosten für Funk und Cloud sowie den Sicherheitsaufschlag, der durch die fünf Rechtsakte entsteht - vom Secure Element über signierte Updates und PKI bis zur Konformitätsbewertung. Grundlage sind veröffentlichte Listenpreise, im Basisfall für 10.000 Geräte je Produkt über fünf Jahre. Keine Umfrage, keine verhandelten Preise, dafür jede Zahl mit Quelle.
Die drei Ergebnisse, die zählen
1. Sicherheit kostet unter 0,50 € je Gerät und Monat
Der Sicherheitsaufschlag liegt im Basisfall bei allen vier Geräten zwischen 0,40 und 0,48 € je Gerät und Monat. Er ist je Gerät gering, und er ist bei jedem Produkt etwa gleich hoch, ob Akkuwerkzeug oder Maschine. Über fünf Jahre sind das 24 bis 29 € je Gerät.
Zum Vergleich: Die gesamten laufenden Kosten liegen je nach Gerät zwischen 0,50 und 3,10 € im Monat. Beim Akkuwerkzeug macht der Sicherheitsaufschlag 93 % der Summe aus, weil das Gerät sonst fast nichts kostet. Bei der Maschine mit Mobilfunk und ständigem Cloud-Verkehr sind es nur 13 %. Nicht die Regulierung macht ein vernetztes Produkt teuer. Funktechnik und Backend bestimmen die Summe.
2. Die Stückzahl wiegt schwerer als jedes Bauteil
Das ist der Befund, der die meisten Diskussionen in Entwicklungsabteilungen auf den Kopf stellt. Der Streit dreht sich dort oft um das Secure Element, ob es 0,60 oder 1,20 € kosten darf. In unserem Modell ist es der kleinste Posten.
Was die Rechnung wirklich bewegt, sind die Fixkosten der Konformität: Zertifizierungsstelle, PKI, SBOM-Tooling, die Meldeorganisation. Sie verteilen sich auf alle Geräte. Bei 1.000 Einheiten steigt der Sicherheitsaufschlag auf rund 2,30 € je Gerät und Monat, das Fünffache des Basisfalls. Bei 100.000 Einheiten sinkt er unter 0,30 €. Wer kleine Serien baut, muss deshalb anders entscheiden als wer große baut, etwa mit einer gemeinsamen Zertifizierungsstelle für alle Produktlinien.
3. Tracker brauchen ein neues Batteriekonzept und Mobilfunk ohne 2G
Für Logistik-Tracker entscheiden zwei Termine über das Gerät. 2028 enden die letzten 2G-Netze in Deutschland[5], und ab dem 18. Februar 2027 muss der Nutzer die meisten Gerätebatterien selbst entnehmen können. Wer heute noch einen versiegelten 2G-Tracker entwirft, entwirft ein Produkt, das seine Zulassung nicht bis zum Ende seiner Batterie behält.
Was das für Ihre Entscheidungen heißt
Die Reihenfolge ist das Entscheidende. Die Architekturentscheidungen, die die Kosten bestimmen - Funktechnik, Backend, Flottengröße, der Vertrauensanker im Gerät -, fallen vor dem Design-Freeze. Die Normen, an denen man sie messen könnte, kommen danach.
Wer Architektur und Backend jetzt festlegt, verteilt die Kosten der Sicherheit auf seine ganze Flotte und hat einen klaren Weg zur Konformität. Wer auf die Normen wartet, entwirft unter Termindruck und mit weniger Spielraum. Das ist die kurze Fassung des Reports, und sie steht deshalb auf seinem Titel: Sicherheit ist günstig. Warten kostet Märkte.
Die lange Fassung folgt auf rund 100 Seiten, mit Fristenwand, Pflichtenmatrix je Gerät, vier Referenzarchitekturen, einer Anbieterlandschaft für DACH und Handlungsempfehlungen je Rolle - vom Head of IoT bis zur Compliance-Leitung. Jede Tabelle und jedes Diagramm lässt sich als Excel, CSV oder JSON herunterladen.
Zum Report: Vernetzte Produkte DACH 2027 - frei lesbar, als PDF und EPUB, mit Zitationspflicht.
