3Kosten je Gerät

3.1 Laufende Monatskosten

Für diesen Bericht haben wir ein eigenes Kostenmodell aufgebaut. Es rechnet vier Archetypen durch: ein Akkuwerkzeug mit BLE-Tracker, eine Maschine mit Mobilfunk-Gateway, ein Gebäudegerät nach § 14a EnWG und einen Logistik-Tracker. Das Modell erfasst die Connectivity- und Sicherheitsschicht vom Funkchip bis zur Konformitätsbewertung zu veröffentlichten Listenpreisen, nicht aber Motor, Akku, Gehäuse und Hauptsteuerung des Trägerprodukts. Einmalkosten je Gerät wie Chips, SIM-Pakete und Zertifikate verteilen wir auf 60 Monate. Einmalkosten je Produkt wie sichere Entwicklung, Dokumentation und Konformitätsbewertung legen wir auf alle Geräte der Flotte und auf 60 Monate um, Monatsgebühren auf Flottenebene, etwa für eine Zertifizierungsstelle (CA) oder ein Tool-Abonnement, auf alle Geräte der Flotte. Im Basisfall rechnen wir mit 10.000 Einheiten über fünf Jahre (Positionen, Annahmen und Sensitivität in Anhang C).

Nach unserem Modell kostet ein konformes Akkuwerkzeug im Basisfall 0,50 € im Monat, die Maschine 3,10 €. Das Gebäudegerät liegt mit 0,59 € und der Logistik-Tracker mit 0,99 € dazwischen. Mobilfunktarif und dauerhafter Cloud-Verkehr machen bei der Maschine zusammen fast vier Fünftel der Summe aus (2,44 von 3,10 €). Die Funktechnik entscheidet also über die Gesamtkosten (Abbildung 4).

Der Sicherheitsaufschlag ist dagegen bei allen Archetypen nahezu gleich hoch, 0,40-0,48 € je Gerät und Monat. Er umfasst Secure Element, Public-Key-Infrastruktur (PKI), signierte Over-the-Air-Updates (OTA), Software-Stückliste (SBOM) und Werkzeuge für das Schwachstellenmanagement, sichere Entwicklung, Dokumentation und Konformitätsbewertung. Der Aufschlag schwankt kaum. Sein Anteil an den Gesamtkosten hängt deshalb von den Basiskosten ab. Bei der Maschine macht er 13 % der Monatskosten aus, beim Akkuwerkzeug 93 % (Tabelle 6). Bei Geräten ohne SIM kostet die Konformität mehr als die Connectivity; bei Geräten mit SIM wiegt der Tarif schwerer als das Gesetz.

3.2 Anteil der CRA-Konformität

In unserem Modell beträgt der Kostenblock für die CRA-Konformität je Produkt im Basisfall 0,175 € je Gerät und Monat, rund zwei Fünftel des Aufschlags (36-44 %). Wir übernehmen dafür die Schätzungen der Kommission je Produkt, die einzigen veröffentlichten Werte dieser Art. Bei durchschnittlichen Entwicklungskosten von 140.000 € veranschlagt die Kommission für sichere Entwicklung zusätzlich 30,5 % (42.700 €), für Dokumentation und Meldungen 9 % (12.600 €) und für die Selbstbewertung 18.400 €.¹⁴⁴ Für eine Bewertung durch Dritte setzt sie 25.000 € an, für wiederkehrende Prüfungen 3.000-5.000 € je Produkt.¹⁴⁴

Wir haben diesen Kostenblock bewusst vorsichtig gerechnet und setzen alle Werte voll an, als hätte der Hersteller heute noch keine umfassenden Sicherheitsmaßnahmen. Die Kommission selbst rechnet jedoch etwa die Hälfte des Aufwands für sichere Entwicklung dem üblichen Geschäftsbetrieb zu. Ihren eigenen Wert für die Dokumentation bezeichnet sie als nicht überprüft und vermutlich zu hoch.¹⁴⁴

EU-weit erwartet die Kommission Konformitätskosten von bis zu rund 29 Mrd. €. Dem stehen jährlich 180-290 Mrd. € an vermiedenen Schäden durch Sicherheitsvorfälle in Unternehmen gegenüber, hochgerechnet aus der Schadensschätzung des Bitkom für Deutschland.^{142, 144} Der Regierungsentwurf des deutschen Durchführungsgesetzes weist keinen eigenen Erfüllungsaufwand für die Wirtschaft aus.¹⁰⁰

Die Gebühren notifizierter Stellen sind der am wenigsten transparente Kostenposten. Nur wenige Stellen veröffentlichen ihre Preise. Serma bietet eine EU-Baumusterprüfung nach der Funkanlagenrichtlinie (RED) durch das LCIE (notifizierte Stelle 0081) ab 3.900 € an.³⁵⁹ Für die RED schätzt die Kommission die Prüfung durch Dritte je Modell auf 5.000-15.000 € bei einfachen Produkten und auf 50.000 € oder mehr bei stark softwareabhängigen Geräten.¹⁴⁰

3.3 Data-Act-Kosten auf Unternehmensebene

Der Data Act verursacht Kosten je Unternehmen, nicht je Gerät. Die Kommission beziffert die Kosten für den Zugang zu Produktdaten auf höchstens 300.000 € im Jahr je kleinem oder mittlerem Unternehmen (KMU) und 1 Mio. € je Großunternehmen.¹⁴³ Für den gesamten IoT-Markt schätzt sie 410 Mio. € einmalig und 88 Mio. € im Jahr. Kosten je Produkt nennt sie nicht.¹⁴³

Die Obergrenze kann den gesamten Sicherheitsaufschlag übersteigen, wenn ein Unternehmen sie auf seine Flotte umlegt. Für ein KMU an der Obergrenze von 300.000 € ergäben sich bei 10.000 Einheiten 2,50 € je Gerät und Monat. Für ein Großunternehmen, das 1 Mio. € auf 100.000 Geräte verteilt, wären es 0,83 €.¹⁴³ Die Kosten je Gerät dürften nur einen Bruchteil dieser Werte ausmachen, wenn ein Produkt seine Daten bereits über eine dokumentierte Cloud-API exportiert.

3.4 Sicherheitskosten über den Lebenszyklus

Über fünf Jahre summiert sich der Sicherheitsaufschlag in unserem Modell auf 24-29 € je Einheit, von 24,09 € bei der Maschine bis 28,92 € beim Gebäudegerät. Er setzt sich aus vier Posten zusammen:

• Signierte OTA-Updates: etwa die Hälfte des Aufschlags. Der Preis von Golioth, 0,25 USD je Gerät und Monat, entspricht 0,22 € und damit 48 % des Aufschlags beim Akkuwerkzeug.¹⁹⁹ Über AWS IoT Device Management kosten die OTA-Updates der Maschine 0,15 € im Monat, überwiegend für Secure Tunnels, kaum für die Update-Jobs selbst.¹⁶
• CRA-Konformität je Produkt: 0,175 € im Monat.
• PKI: 0,04 € im Monat. Die Monatsgebühr von 400 USD für AWS Private CA verteilt sich auf alle Geräte der Flotte. Ein Zertifikat kostet bis zu einer Menge von 10.000 Stück 0,35-0,75 USD.¹⁹
• Sicherheits-Hardware: unter 0,05 € im Monat, einmalig 1,13-2,56 € je Einheit.^{112, 114}

Das Secure Element ist der kleinste Posten. Der ATECC608B kostet zu Rollenpreisen 0,725 USD bei 3.000 Stück, der STSAFE-A110 1,27 USD bei 5.000 und der SE050C2 2,87 USD bei 3.000.^{108, 112, 114} Die vorprovisionierte Trust&GO-Variante kostet 1,91 USD, mehr als das Doppelte des unprovisionierten Bauteils. Mit dem Aufpreis bezahlt der Hersteller das Einbringen der Schlüssel in der Fertigung.¹⁰⁸ Eine Einsparung beim Chip bringt nur wenige Cent im Monat. Die laufenden Dienste bestimmen die Kosten über die Lebensdauer.

3.5 Flottengröße als wichtigster Kostentreiber

Die Flottengröße wiegt schwerer als jedes Bauteil. In unserem Modell steigt der Sicherheitsaufschlag bei 1.000 Einheiten auf rund 2,30 € je Gerät und Monat (2,30-2,38 €), rund das Fünffache des Basisfalls. Bei 100.000 Einheiten sinkt er unter 0,30 € (0,21-0,29 €). In der kleinen Flotte verteilt sich der Kostenblock für die Konformität auf ein Zehntel der Geräte. Allein die CA-Gebühr von 400 USD im Monat macht dann 0,36 € je Gerät aus.¹⁹ Zwei Maßnahmen senken den PKI-Anteil: der AWS-Modus für kurzlebige Zertifikate zu 50 USD im Monat¹⁹ oder eine gemeinsame CA für alle Produktlinien eines Herstellers.

Bei 100.000 Einheiten werden die OTA-Updates zum größten Posten des Aufschlags. Die Wahl des Update-Dienstes wiegt dann schwerer als jede andere Entscheidung. Azure Device Update kostet 0,07 USD je Gerät und Monat,²⁶⁶ nRF Cloud ab 0,10 USD²⁸⁵ und Golioth 0,25 USD.¹⁹⁹ balena berechnet 2,00 USD je weiterem Gerät, fast das Dreißigfache des Azure-Preises.²⁸

Die Funktechnik verändert die Basiskosten, nicht den Aufschlag. Bei der Maschine senkt der Tarif CMP Mobile Lite von Swisscom zu 1,00 CHF die Basiskosten von 2,70 auf 1,70 €, enthält aber kein Roaming.³⁷⁶ Beim Gebäudegerät erhöht LTE-M anstelle des Kunden-WLANs die Basiskosten von 0,11 auf 0,57 €, gerechnet mit einem nRF9151 und dem LPWA-Paket der Telekom zu 14,50 €.⁹⁶ Beim Tracker kostet LoRaWAN über The Things Stack im Monat etwa so viel wie LTE-M (0,52 gegenüber 0,53 €), braucht aber einen eigenen GNSS-Chip (MAX-M10S, 9,33 USD bei 500).^{115, 385} LoRaWAN erreicht Anhänger und Container nur in Reichweite eigener oder per Roaming erreichbarer Gateways.³⁸⁵ Ein Satellitentarif von Myriota zusätzlich zu LTE-M erhöht die Basiskosten auf 1,41 €, noch ohne das Satellitenmodem, für das Myriota keinen Preis veröffentlicht.²⁷⁴

Die Produktklasse verändert die Kosten je Gerät kaum. Eine Bewertung durch Dritte zum Durchschnittswert der Kommission von 25.000 € erhöht den Aufschlag im Basisfall um 0,011 € im Monat.¹⁴⁴ Bei 50.000 €, dem Schätzwert der Kommission für softwarelastige Funkanlagen, sind es 0,053 €.¹⁴⁰ Der Aufschlag sinkt um 0,036 €, wenn die Hälfte der Kosten für sichere Entwicklung ohnehin anfällt.¹⁴⁴ Die Produktklasse ist eine Frage der Vorlaufzeit, nicht der Kosten je Gerät.