Kapitel 4 von 8

4Technologie und Architektur

22 Min. Lesezeit · 14 Abbildungen · 3 Tabellen · 106 Quellen

Ein vernetztes Produkt setzt die Geräteanforderungen der fünf Rechtsakte in sechs technischen Schichten zwischen Funkchip und ERP-System um. Keine dieser Schichten deckt für sich allein einen ganzen Rechtsakt ab. Die meisten Bausteine sind zertifiziert am Markt erhältlich, darunter Secure Elements, Mikrocontroller mit einer der 316 PSA-Zertifizierungen sowie Dienste für Updates und Zertifikate. Die Lücken liegen in Prozessen, die kein Anbieter verkauft, nämlich in der Provisionierung in der Fertigung, in einem Sicherheitsteam, das die 24-Stunden-Meldefrist einhält, und in einem Update-Mechanismus über den gesamten Unterstützungszeitraum. Das Kapitel behandelt die Schichten von der Funkstrecke aufwärts, ordnet ihnen die Pflichten der Rechtsakte zu und fügt sie je Archetyp zu einer Referenzarchitektur zusammen.

4.1 Connectivity

Die Funktechnik entscheidet, wie lange ein Produkt für Updates erreichbar bleibt. Die letzten 2G-Netze in Deutschland und Österreich werden 2028 abgeschaltet, also noch im Unterstützungszeitraum eines Produkts, das 2027 auf den Markt kommt.6, 77 Die Telekom will ihr 2G-Netz zum 30. Juni 2028 abschalten, Vodafone im September 2028 (einzelne kritische IoT-Anwendungen bis 2030) und Telefónica Ende 2028.77 A1 in Österreich plant die Abschaltung zum 31. Mai 2028.6 3G ist in allen drei Ländern bereits abgeschaltet, in der Schweiz auch 2G.47, 373, 413 Der Cyber Resilience Act (CRA) verlangt Updates über den gesamten Unterstützungszeitraum.171 Ein Funknetz, das vorher abgeschaltet wird, macht das Produkt damit zum Compliance-Risiko. Neuentwicklungen kommen ohne 2G-Rückfallebene aus; für Bestandsgeräte mit 2G-Modulen braucht der Hersteller einen Migrationsplan.

LTE-M und NB-IoT sind die stromsparenden Mobilfunkverfahren mit bundesweiter Abdeckung und ohne angekündigtes Abschaltdatum. Die Telekom hat den bundesweiten LTE-M-Ausbau im Juli 2020 abgeschlossen.94 Vodafone deckte Ende 2020 mit LTE-M mehr als 90 % und mit NB-IoT mehr als 97 % der Fläche Deutschlands ab.408 LTE-M unterstützt Zellwechsel in Bewegung und überträgt auch Firmware-Images, NB-IoT dringt tiefer in Gebäude ein. Ein System-in-Package wie das Nordic nRF9151 nimmt im Power Saving Mode (PSM) 2,7 µA auf.284 5G RedCap (3GPP Release 17)5 ist der Nachfolger für Geräte mit höherem Bandbreitenbedarf. Der Markt dafür ist noch jung. Das erste kommerzielle RedCap-Gerät in Deutschland war im September 2025 eine Smartwatch.95 Für 2027 kommt RedCap daher als Option für das Maschinen-Gateway infrage, nicht als Standard.

Drei weitere Netze betreibt der Kunde oder der Versorger, nicht der Gerätehersteller. Die Bundesnetzagentur (BNetzA) teilt seit November 2019 Frequenzen im Band 3,7-3,8 GHz für lokale 5G-Campusnetze zu, gegen eine Gebühr ab 1.000 €.80 Bis November 2025 zählte sie dort 484 Zuteilungen,75 im 26-GHz-Band 27.76 Die 450connect erhielt 2021 die Frequenzen im 450-MHz-Band für die Energie- und Wasserwirtschaft,73 befristet bis zum 31. Dezember 2040.72 Über dieses Netz läuft auch Smart-Meter-Verkehr. LoRaWAN (ITU-T Y.4480)254 arbeitet bei 868 MHz mit einem Tastgrad unter 1 %.84 Firmware-Updates sind deshalb auf kleine Deltas beschränkt. In Deutschland gibt es kein bundesweites öffentliches LoRaWAN-Netz. Allein Netze BW betreibt bis zu 3.000 Gateways.255

Im Nahbereich bestimmt das Recht das Pairing stärker als die Funktechnik. Bluetooth Low Energy (BLE) bietet LE Secure Connections41 und seit Core 6.0 Channel Sounding zur Abstandsmessung.42 Die EN 18031-1 begründet keine Konformitätsvermutung, wenn der Nutzer gar kein Passwort setzen muss.148 „Just Works“-Pairing reicht daher als einziger Schutz für ein Werkzeug, das Befehle annimmt, nicht aus. Neue Wi-Fi-CERTIFIED-Geräte müssen seit 2020 WPA3 unterstützen.411 Galileo authentisiert seine Navigationsnachrichten seit dem 24. Juli 2025 mit OSNMA, und ein Tracker erkennt damit gefälschte Positionen.176

4.2 Sicherheitsschicht im Gerät

Die Sicherheitsschicht des Geräts stellt den größten Teil der Sicherheitseigenschaften bereit, die der CRA vom Produkt verlangt.171 Zugriffsschutz, Vertraulichkeit, Integrität und die Abwehr von Exploits hängen von ihr ab. Zugleich ist sie die Schicht, für die das Angebot an zertifizierten Bausteinen am vollständigsten ist. Sie setzt außerdem die Pflicht der Maschinenverordnung um, sicherheitsrelevante Software gegen Korrumpierung zu schützen und Nachweise über Eingriffe zu erfassen.168

Die Schlüssel liegen entweder in einem eigenen Baustein, einem Secure Element oder Trusted Platform Module (TPM), oder in einem isolierten Bereich des Hauptmikrocontrollers. Fünf von sieben gängigen Bausteinen sind nach Common Criteria (CC) zertifiziert (Tabelle 7). Das NIST führt FIPS-140-2-Zertifikate seit September 2026 nur noch als historisch. Für bereits eingesetzte Module gelten sie weiter. Neue Ausschreibungen, die FIPS verlangen, setzen aber FIPS 140-3 voraus. Der TA100-Nachfolger TA101 ist nach FIPS 140-3 Level 2 zertifiziert.261, 276, 277, 278 Der ATECC608B hat kein Zertifikat, und eine seiner Varianten empfiehlt Microchip nicht mehr für Neuentwicklungen.263 Ein TPM 2.0394 eignet sich für ein Linux-Gateway mit Measured Boot, ein Secure Element für ein Gerät auf Mikrocontroller-Basis.

Baustein Hersteller Zertifizierung Provisionierung
EdgeLock SE050 NXP CC EAL6+ bis Betriebssystemebene; FIPS 140-2 Level 3 für die Variante SE050F (historisch seit September 2026) EdgeLock 2GO
EdgeLock SE051 NXP CC EAL6+ mit AVA_VAN.5; IEC 62443-4-2 für die anwendbaren Anforderungen EdgeLock 2GO
OPTIGA Trust M Infineon CC EAL6+ Trust M Express, vorregistriert für AWS IoT und Azure IoT Hub
ATECC608B Microchip kein CC- oder FIPS-Zertifikat Trust&GO (vorprovisioniert, Mindestmenge 10), TrustFLEX, TrustCUSTOM
TA100 Microchip FIPS 140-2 Level 2 (historisch seit September 2026; Nachfolger TA101: FIPS 140-3 Level 2); AEC-Q100 Grade 1 TrustFLEX / kundenspezifisch
STSAFE-A110 ST CC EAL5+ AVA_VAN.5 Personalisierungsdienst von ST
OPTIGA TPM SLB9672 Infineon TPM 2.0; CC EAL4+ AVA_VAN.4 (BSI-DSZ-CC-1277-2026); FIPS 140-2 Level 2 (historisch seit September 2026) vorinstallierter Endorsement Key
Tabelle 7: Zertifizierung gängiger Secure Elements und TPM

Quellen: [51, 217, 218, 297, 298, 368].

Die PSA-Certified-Stufe ist der maßgebliche Nachweis, wenn die Schlüssel im Mikrocontroller bleiben. Die PSA-Certified-Datenbank enthält 316 Zertifizierungen von 123 Unternehmen, darunter Level 3 für STM32U585, NXP MCX N94x/N54x und Silicon Labs EFR32MG21B.326 Auf Armv8-M-Bausteinen trennt TrustZone eine sichere Partition ab. Trusted Firmware-M ist die Referenzimplementierung.395 Level 2 weist in einer 25-tägigen Laborprüfung nach, dass der Vertrauensanker Softwareangriffen standhält; Level 3 schließt erhebliche Hardwareangriffe ein.325 Beide Stufen beruhen auf der SESIP-Methodik von GlobalPlatform, das im September 2025 die Trägerschaft von PSA Certified übernommen hat.194 SESIP ist als EN 17927:2023 veröffentlicht.83 Nordic bewirbt den nRF54L15 als auf Level 3 ausgelegt, das Zertifikat vom Januar 2026 lautet jedoch auf Level 1.326 Ein Zertifikat zahlt sich vor allem durch Wiederverwendung aus. NXP zeigt, wie ein Hersteller das Security Target eines Chips als Nachweis für EN 18031 und IEC 62443-4-2 weiterverwendet.295

Eine Entwicklung nach IEC 62443 und EN 18031 erbringt solche wiederverwendbaren Nachweise, begründet aber noch keine Konformitätsvermutung nach dem CRA. Die 41 harmonisierten Normen zum CRA entstehen erst unter dem Normungsauftrag M/606, und im Amtsblatt steht noch keine.151 Die Normenreihe EN 18031 zur Funkanlagenrichtlinie (RED) ist dagegen seit Januar 2025 mit Einschränkungen im Amtsblatt veröffentlicht.145, 148 IEC 62443-4-1 regelt den Entwicklungsprozess,208 IEC 62443-4-2 die Anforderungen an Komponenten117, 209 und ETSI EN 303 645 das Grundschutzniveau für Verbraucher-IoT.135

Secure Boot vervollständigt die Schicht. MCUboot ist der gängige quelloffene Bootloader für 32-Bit-Mikrocontroller.258 Linux-Gateways nutzen U-Boot Verified Boot mit einer vom TPM gemessenen Startkette. Updates folgen der Architektur von RFC 9019214 mit einem signierten Manifest nach RFC 9124.215 Der Bootloader prüft die Signatur gegen einen Schlüssel im Vertrauensanker, verweigert ein Downgrade und startet wieder die alte Partition, wenn das neue Image nicht bootet. Damit erfüllt das Gerät zwei Pflichten des CRA, die sichere Verteilung von Updates und automatische Sicherheitsupdates als Voreinstellung.171

4.3 Gerätemanagement und PKI

Update-Dienste lassen sich einfach zukaufen, die Identität jedes einzelnen Geräts dagegen nicht. Sie muss feststehen, bevor das Gerät das Werk verlässt. Die meisten Projekte im DACH-Raum setzen 2026 auf fünf Dienste: Mender für Embedded Linux und Mikrocontroller,292 Memfault mit Absturzberichten,260 Golioth mit Abrechnung je aktivem Gerät,199 AWS IoT Device Management mit signierten FreeRTOS-Jobs20 und Azure Device Update, das allgemein verfügbar bleibt, während Microsoft bereits einen Nachfolger als Vorschau anbietet.267 Microsofts Edge-Plattform Azure IoT Operations bringt einen eigenen MQTT-Broker mit.269 Bei mehreren dieser Dienste haben sich 2025 und 2026 Preise und Eigentümer geändert. Memfault gehört heute zu Nordic, Golioth zu Canonical.198, 286 Der Update-Dienst gehört deshalb hinter eine Abstraktionsschicht. Auf dem Gerät hält ein offenes Format wie MCUboot-Images den Anbieter austauschbar.

Der CRA verlangt sichere Voreinstellungen,171 und die EN 18031 schließt universelle Standardpasswörter aus.148 Jedes Gerät braucht deshalb eigene Zugangsdaten. Sie gelangen auf drei Wegen ins Gerät:

  1. Vorprovisionierte Secure Elements. Der Chiphersteller signiert das Geburtszertifikat: Microchip Trust&GO ab 10 Stück,263 Infineon Trust M Express,218 NXP EdgeLock 2GO.296
  2. Provisionierung bei der Endprüfung. Eine Station mit Hardware-Sicherheitsmodul signiert die Zertifikatsanfrage jedes Geräts über die eigene ausstellende CA des Herstellers, etwa mit Diensten von DigiCert, Keyfactor EJBCA oder GlobalSign.105, 195, 232
  3. Provisionierung beim ersten Verbindungsaufbau. AWS Fleet Provisioning per Claim21 oder der Device Provisioning Service von Azure.268 Dieser Weg ist der günstigste. Seine Schwachstelle ist der gemeinsam genutzte Claim-Schlüssel.

Die Gültigkeitsdauer der Zertifikate ist eine Designentscheidung. Ein Geburtszertifikat, das über die gesamte Lebensdauer des Produkts gilt, und kurzlebige Betriebszertifikate, die per EST erneuert werden,212 begrenzen den Schaden eines gestohlenen Schlüssels. BRSKI ergänzt ein Zero-Touch-Bootstrapping.213 Kurze Laufzeiten sind zudem günstiger. AWS Private CA kostet im Modus für kurzlebige Zertifikate 50 US-Dollar im Monat, im Modus General Purpose 400 US-Dollar.19

4.4 SBOM- und PSIRT-Werkzeuge

Werkzeuge decken drei der acht Pflichten des CRA zur Schwachstellenbehandlung ab, nämlich Software-Stückliste (SBOM), Prüfung und Offenlegung.171 Der Update-Dienst deckt zwei weitere ab. Nur ein Product Security Incident Response Team (PSIRT) erfüllt die übrigen. Dieses Team muss seit dem 11. September 2026 bei einer aktiv ausgenutzten Schwachstelle binnen 24 Stunden eine Frühwarnung abgeben, binnen 72 Stunden eine Meldung erstatten und spätestens 14 Tage, nachdem eine Korrektur verfügbar ist, einen Abschlussbericht vorlegen, auch für Produkte, die bereits auf dem Markt sind.171 Die Single Reporting Platform der ENISA ging am selben Tag in Betrieb und leitet jede Meldung zugleich an das koordinierende CSIRT und an die ENISA.133

Die Formate stehen fest. CycloneDX ist als ECMA-424 genormt,120 SPDX als ISO/IEC 5962.253 Die Technische Richtlinie TR-03183-2 des Bundesamts für Sicherheit in der Informationstechnik (BSI) vom August 2025 ist das konkreteste Profil: CycloneDX ab 1.6 oder SPDX ab 3.0.1, ein SHA-512-Hash je Komponente und keine Schwachstelleninformationen in der SBOM selbst.50 Sicherheitshinweise erscheinen getrennt davon im Format CSAF 2.0, dessen VEX-Profil angibt, ob ein Produkt betroffen ist.302 Version 2.1 lag im September 2026 als Entwurf vor.303 CERT-Bund beim BSI veröffentlicht seine Hinweise selbst als CSAF Trusted Provider.52 CSAF-Hinweise erreichen deutsche Kunden damit über einen Kanal, den sie bereits nutzen.

OWASP Dependency-Track ist kostenlos und gleicht SBOMs laufend mit Schwachstellen-Feeds ab.321 Zugekaufte Firmware ohne Quellcode, etwa von Funkmodulen, erfordert eine Binäranalyse, wie sie etwa ONEKEY in Düsseldorf anbietet.308 Kein Werkzeug ersetzt die übrigen Bausteine eines PSIRT: ein benanntes Team, eine veröffentlichte Kontaktstelle, eine Triage mit VEX-Aussagen und einen Freigabeweg in den Update-Dienst.

4.5 Datenschnittstellen für den Data Act

Der Data Act verlangt einen Datenzugang, der schon in der Produktgestaltung angelegt ist, schreibt aber kein Protokoll vor. Die eigentliche Hürde für Gerätehersteller ist daher die Autorisierung, nicht das Format. Produkte, die seit dem 12. September 2026 in Verkehr gebracht werden, müssen ohne Weiteres verfügbare Daten dem Nutzer „standardmäßig einfach, sicher, unentgeltlich in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format“ zugänglich machen.170 Die Artikel 4 und 5 regeln zusätzlich den Zugang auf Verlangen und den Zugang für Dritte, die der Nutzer benennt.170 Die FAQ der Kommission vom Januar 2026 stufen auch nur vorübergehend gespeicherte Daten als ohne Weiteres verfügbar ein, verlangen aber nicht in jedem Fall direkten Zugang.158

Für die DACH-Industrie kommen vier offene Schnittstellen infrage. OPC UA (IEC 62541)211 kann Daten über MQTT veröffentlichen,312 und umati baut auf der Companion Specification des VDMA für Maschinen auf.398 MQTT 5.0 ist OASIS-Standard.301 Die Verwaltungsschale (IEC 63278-1),210 im IDTA-Release 26-01 in Version 3.2,216 enthält die statischen Produktdaten und verweist auf die Laufzeitdaten. Eine dokumentierte REST-API bedient Nutzer und Dritte in der Cloud.

Der Zugriff Dritter muss auf die Produkte eines Nutzers beschränkt und widerrufbar sein. Dafür greift der Hersteller auf die Identitätsschicht zurück. Das Gerätezertifikat identifiziert das Produkt, und eine Freigabe nach dem OAuth-Prinzip verknüpft es mit dem Nutzer. Die Daten, die das Produkt verlassen, fallen unter die Pflichten des CRA zu Vertraulichkeit und Datenminimierung.171

4.6 Pflichten je Schicht

Auf die Sicherheitsschicht des Geräts und die PKI entfallen mehr rechtliche Anforderungen als auf jede andere Schicht. Gerade diese beiden lassen sich nicht per Firmware-Update nachrüsten. CRA, RED, Maschinenverordnung und Data Act betreffen jeweils mindestens fünf der sechs Schichten (Tabelle 8).

Schicht CRA, Eigenschaften (Anh. I Teil I) CRA, Prozesse (Anh. I Teil II) RED Maschinenverordnung Data Act
Connectivity Nr. 2 h Verfügbarkeit, Nr. 2 i Auswirkung auf Netze; Erreichbarkeit für Nr. 2 c Nr. 7 Update-Kanal über den Unterstützungszeitraum Art. 3 Abs. 3 d Netzschutz; sicheres Pairing 1.2.1 a Schutz gegen böswillige Versuche auf der Funkstrecke Übertragung der Daten an Nutzer und Dritte
Sicherheitsschicht Nr. 2 d Zugriff, Nr. 2 e Vertraulichkeit, Nr. 2 f Integrität, Nr. 2 k Exploit-Abwehr Nr. 7 Signaturprüfung der Updates Art. 3 Abs. 3 d, e, f: Authentisierung, sichere Speicherung 1.1.9 Schutz gegen Korrumpierung, Nachweis von Eingriffen Geräteidentität hinter jedem Datensatz
Gerätemanagement und OTA Nr. 2 c automatische Sicherheitsupdates, Nr. 2 l Protokollierung Nr. 2 Behebung, Nr. 7 sichere Verteilung, Nr. 8 kostenlose Updates Update-Mechanismus, Protokollierung 1.1.9 Nachweis von Software-Eingriffen Fernkonfiguration des Datenzugangs
Zertifikate und PKI Nr. 2 b sichere Voreinstellung, Nr. 2 d Authentisierung Nr. 7 Code-Signing-Schlüssel keine universellen Standardpasswörter; Verwaltung von Zugangsdaten 1.2.1 a authentisierte Steuerbefehle Autorisierung Dritter
SBOM und PSIRT Nr. 2 a keine bekannten ausnutzbaren Schwachstellen Nr. 1 SBOM, Nr. 3 Prüfungen, Nr. 4 Offenlegung, Nr. 5 CVD, Nr. 6 Kontakt; Art. 14 24 h / 72 h / 14 Tage Schwachstellenbehandlung für Funk-Stacks Nachweise zur Zulieferer-Software entfällt
Datenschnittstellen Nr. 2 e Vertraulichkeit, Nr. 2 g Datenminimierung, Nr. 2 m Löschung entfällt Art. 3 Abs. 3 e Datenschutz entfällt Art. 3 Abs. 1 Zugang durch Produktgestaltung, Art. 4 Zugang auf Verlangen, Art. 5 Dritte
Tabelle 8: Rechtliche Anforderungen je Schicht

Anmerkung: Ein Eintrag bedeutet, dass die Schicht die technische Maßnahme umsetzt, nicht, dass ihr Zukauf die Konformität herstellt. Quellen: [141, 148, 168, 170, 171].

Die Schwachstellenbehandlung nach dem CRA ist vor allem eine Prozessaufgabe. Ohne PSIRT ist die Meldefrist nicht zu halten, gleich welche Werkzeuge im Einsatz sind.133, 171 Der Data Act verlangt dagegen weder neue Funktechnik noch einen neuen Chip. Er fügt eine Autorisierungsschicht hinzu, die auf der Geräteidentität aufbaut, die der CRA ohnehin verlangt.

4.7 Vier Referenzarchitekturen

Die vier Archetypen haben ein gemeinsames Grundgerüst und unterscheiden sich nur dort, wo Physik oder Regulierung es erzwingen. Das Grundgerüst besteht aus fünf Elementen:

  • Jedes Gerät hält einen eindeutigen Schlüssel in einem Vertrauensanker und ein in der Fertigung ausgestelltes Zertifikat.
  • Jedes Image ist signiert und wird vor dem Start geprüft.
  • Ein Update-Dienst bedient alle Produktlinien.
  • Ein PSIRT betreut alle Produkte und meldet über die Single Reporting Platform der ENISA.133
  • Jedes Produkt stellt seine Daten über eine dokumentierte Schnittstelle bereit.170

4.7.1 Akkuwerkzeug mit BLE-Tracker

Das Akkuwerkzeug hat kein Mobilfunkmodem und erreicht die Cloud nur über das Smartphone des Nutzers oder ein Baustellen-Gateway. Seine Sicherheitsfunktionen liegen deshalb im BLE-Chip, und Updates erreichen es über einen Vermittler, dem es nicht vertraut (Abbildung 5).

BLE Secure ConnectionsBLE-Advertisingsigniertes Imagenur WeiterleitungAkkuwerkzeug: BLE-SoC mitTrustZone, Secure Boot,GeräteschlüsselSmartphone-AppGateway auf Baustelle oder imTransporter: BLE zu LTE-MGeräte-Cloud: Identität, OTA,Daten-APIERP: Anlagen, Miete undServiceaufträgeData-Act-Zugang für Nutzerund DrittePSIRT mit SBOM und VEXCSIRT undENISA-Meldeplattform
Abbildung 5: Referenzarchitektur: Akkuwerkzeug mit BLE-Tracker
Funk
Bluetooth LE mit LE Secure Connections. Das Werkzeug nimmt Befehle zum Sperren, Entsperren und für Drehmomentvorgaben nur aus einer authentisierten App-Sitzung an.
Gateway
Das Smartphone des Nutzers oder ein BLE-zu-LTE-M-Gateway im Transporter, im Baucontainer oder in der Werkzeugausgabe. Jedes Advertising-Paket enthält eine wechselnde, verschlüsselte Kennung.
Plattform
Eine Geräte-Cloud für Mikrocontroller-Flotten, die Identitäten aus dem Fertigungsmanifest registriert, die Eigentümerzuordnung führt und die Daten-API bereitstellt.
ERP
Ereignisgesteuerte Buchung von letztem Standort, Betriebsstunden, Ladezyklen und Fehlercodes. Das ERP fragt keine Werkzeuge ab.
Update-Mechanismus
Signiertes Image, von der App weitergeleitet. Der Bootloader prüft Signatur und Version und behält das alte Image, bis das neue erfolgreich gestartet ist.
Meldepfad
SBOM von BLE-Stack und Anwendung aus dem Build, mit dem SDK des Funkchip-Herstellers als Drittkomponente, und CSAF-Sicherheitshinweis mit VEX.

Kosten. Nach unserem Kostenmodell kostet das Akkuwerkzeug im Basisfall 0,50 € je Gerät und Monat, der niedrigste Wert der vier Archetypen. Davon entfallen 0,47 € oder 93 % auf den Sicherheitsaufschlag. Signierte OTA-Updates über Golioth machen rund die Hälfte dieses Aufschlags aus.199

Worauf zu achten ist. Beim Pairing muss der Nutzer eigene Zugangsdaten festlegen, wie es die Passwortregel der EN 18031 verlangt.148 Ein Nachweis nach PSA Level 3 ist in der Zertifizierungsdatenbank zu prüfen, nicht im Datenblatt.326 Automatische Sicherheitsupdates als Voreinstellung hängen beim Akkuwerkzeug davon ab, dass der Nutzer die App öffnet.171 Der Update-Dienst muss deshalb nachhalten, welche Werkzeuge nicht in Reichweite waren. Das Baustellen-Gateway ist selbst eine Funkanlage mit eigenen Pflichten nach CRA und RED.

4.7.2 Maschine mit Gateway

Das Gateway der Maschine liest Daten aus der Steuerung, hat aber keinen Schreibzugriff auf die Sicherheitssteuerung (Abbildung 6). Auf dieser Trennung beruht der Schutz, den die Maschinenverordnung gegen „vernünftigerweise vorhersehbare böswillige Versuche Dritter“ verlangt, die zu einer Gefährdungssituation führen.168

OPC UA nur lesendkein SchreibpfadKunden-LAN oder5G-CampusLTE-M oder RedCap alsRückfallsignierte Paketesignierte SPS-Firmware mitAudit-LogMaschinensteuerung: SPS undAntriebeEdge-Gateway: Linux, TPM 2.0,A/B-UpdateSicherheitssteuerungKundennetzHerstellerplattform: Identität,OTA, Daten-APIERP: Serviceaufträge,Ersatzteile, VerbrauchData Act: OPC UA,Verwaltungsschale, REST-APIPSIRT mit SBOM und VEXCSIRT undENISA-Meldeplattform
Abbildung 6: Referenzarchitektur: Maschine mit Gateway
Funk
Vorrangig das Kundennetz (Ethernet, WLAN mit WPA3 oder ein 5G-Campusnetz). Als Rückfallebene Mobilfunk mit eSIM über LTE-M, für Video und große Logdateien RedCap. Kein 2G oder 3G.
Gateway
Linux-Edge-Gateway mit TPM 2.0, Measured Boot und A/B-Root-Dateisystem. Es liest die Steuerung über OPC UA aus und protokolliert jede Änderung in einem signierten Audit-Log.
Plattform
Azure IoT Hub mit Device Update, AWS IoT Core mit Jobs aus IoT Device Management oder selbst betriebenes Mender.
ERP
Aus Zustandsereignissen werden Serviceaufträge, aus Verbrauchsdaten Ersatzteilvorschläge oder eine nutzungsbasierte Abrechnung. Das ERP des Kunden erhält dieselben Ereignisse über die Data-Act-Schnittstelle.
Update-Mechanismus
Gateway-Pakete und SPS-Firmware sind getrennt signiert. SPS-Firmware wird erst im Wartungsfenster eingespielt, Sicherheitskorrekturen laufen über einen eigenen Kanal.
Meldepfad
SBOM nach BSI TR-03183-2 für mehrere hundert Linux-Pakete, Binäranalyse der Zulieferfirmware und CSAF-Sicherheitshinweise direkt an die Kunden.

Kosten. Für die Maschine rechnen wir im Basisfall mit 3,10 € je Gerät und Monat, dem höchsten Wert der vier Archetypen. Mobilfunktarif und ständiger Cloud-Verkehr bestimmen die Summe. Der Sicherheitsaufschlag von 0,40 € macht 13 % davon aus.

Worauf zu achten ist. Das Audit-Log auf Gerät und Plattform erbringt den Nachweis über Eingriffe in die Software, den die Maschinenverordnung verlangt.168 Eine neue SPS-Firmware ist eine sicherheitsrelevante Änderung. Der CRA verlangt, Sicherheitsupdates getrennt von Funktionsupdates bereitzustellen, soweit das technisch möglich ist.171 Der Kunde kann Korrekturen dann einspielen, ohne den Prozess neu zu qualifizieren. Ein eigenständig verkauftes Gateway der Klasse I braucht eine notifizierte Stelle, solange keine harmonisierte CRA-Norm im Amtsblatt steht.171 Es sollte nach IEC 62443-4-2 entwickelt werden.209 Zertifizierte Bausteine dafür sind verfügbar, etwa das NXP SE051298 oder das TPM SLB9672 mit einem Zertifikat, das bis 2031 gilt.51

4.7.3 Gebäudegerät nach § 14a

Das Gebäudegerät empfängt die Steuerbefehle des Netzbetreibers über Smart-Meter-Gateway und Steuerbox des Messstellenbetreibers, nie über die Cloud des Herstellers.74, 403 Der Hersteller entwickelt deshalb eine EEBUS-Schnittstelle und hält den Cloud-Pfad davon getrennt (Abbildung 7).

EEBUS SHIP und SPINE, LPCCLS-Kanal, TLSWAN: LTE oder 450 MHzEEBUSWLAN des Kundensigniertes ImageSteuerung von Wärmepumpeoder Wallbox mit SecureElementFNN-SteuerboxSmart-Meter-Gateway nachBSI TR-03109Netzbetreiber und aktiverexterner MarktteilnehmerOptionalesEnergiemanagementsystemHersteller-Cloud: Identität,OTA, App, Daten-APIERP: Gerätebestand,Gewährleistung, ServiceData-Act-Zugang für Nutzerund DrittePSIRT mit SBOM und VEXCSIRT undENISA-Meldeplattform
Abbildung 7: Referenzarchitektur: Gebäudegerät nach § 14a EnWG
Funk
Netzseitig nicht Sache des Herstellers. Das Smart-Meter-Gateway nutzt öffentlichen Mobilfunk oder das 450-MHz-Netz. Das Gerät selbst kommuniziert über das WLAN des Kunden.
Gateway
Smart-Meter-Gateway nach BSI TR-03109 und FNN-Steuerbox. Das Gerät nutzt EEBUS, wo verfügbar, und hat einen Relaiseingang als Rückfallebene.
Plattform
Hersteller-Cloud über das WLAN des Kunden für App, Ferndiagnose, Updates und Data-Act-Zugang. Über sie läuft keine Netzsteuerung.
ERP
Mit der Inbetriebnahme entsteht der Datensatz im Gerätebestand, auf den sich Gewährleistung, Rückrufe und Sicherheitsupdates beziehen. Serviceereignisse werden als Serviceaufträge gebucht.
Update-Mechanismus
Signierte Images, standardmäßig automatisch mit Opt-out, nie während einer laufenden Steuerphase. Mindestleistung und Reaktionszeit werden nach jedem Update geprüft.
Meldepfad
Wie bei den anderen Archetypen, dazu koordinierte Offenlegung mit der EEBus Initiative und den Steuerbox-Herstellern, weil ein Fehler im EEBUS-Stack auch Geräte anderer Hersteller trifft.

Kosten. Für das Gebäudegerät kommen wir im Basisfall auf 0,59 € je Gerät und Monat. Davon entfallen 0,48 € oder 81 % auf den Sicherheitsaufschlag.

Worauf zu achten ist. Ein gedrosseltes Gerät behält mindestens 4,2 kW, so die Festlegung BK6-22-300 der BNetzA, die seit dem 1. Januar 2024 gilt.74 Ein Steuersignal muss binnen fünf Minuten wirken, und Geräte mit Altvereinbarungen wechseln spätestens zum 1. Januar 2029 in das neue Regime.74 Der Kunde erhält im Gegenzug ein reduziertes Netzentgelt,61 seit dem 1. April 2025 auch zeitvariabel.79 Die Steuerkette liegt nicht in der Hand des Herstellers. Sie besteht aus dem Smart-Meter-Gateway,53 seiner WAN-Anbindung73 und einer Steuerbox nach dem FNN-Lastenheft vom August 2025, für die die BSI TR-03109-5 gilt.49, 403 Steuerboxen bieten EEBUS und Relaiskontakte.93 Der Rollout soll für diese Messstellen erst Ende 2032 eine Quote von 90 % erreichen.60 Der Relaiseingang bleibt deshalb noch über Jahre nötig. EEBUS (VDE-AR-E 2829-6)402 koppelt Geräte über die Schlüsselkennung ihres Zertifikats, die eine Person bestätigen muss.123 Das Gerät speichert seinen EEBUS-Schlüssel daher geschützt und zeigt die Kennung im Display oder auf dem Typenschild.

4.7.4 Logistik-Tracker

Beim Logistik-Tracker bestimmt das Energiebudget die gesamte Auslegung. Unterwegs überträgt er per LTE-M im Stromsparmodus, auf der Baustelle über ein BLE-Gateway, und eine einzige Tracker-Identität verbindet beide Wege (Abbildung 8). Die Funkübertragung bestimmt die Laufzeit der Batterie, nicht der Ruhezustand oder GNSS.

auf der Baustelle: BLEauf der Straße: LTE-M mitPSMsigniertes Delta-ImageTracker: LTE-M- undNB-IoT-SiP, GNSS,WLAN-Scan, BLE, SecureElement, PrimärzelleBaustellen-GatewayMobilfunknetz, eSIMTracking-Plattform: Identität,OTA, Ortungsdienst, Daten-APIOrtungsdienst: Funkzelle,WLAN, GNSS-AssistenzERP und TMS:Warenbewegungen,LieferereignisseData-Act-Zugang für Nutzerund DrittePSIRT mit SBOM und VEXCSIRT undENISA-Meldeplattform
Abbildung 8: Referenzarchitektur: Logistik-Tracker
Funk
LTE-M als primäre Funktechnik für Mobilität und Zellwechsel, NB-IoT als Rückfallebene tief im Gebäude. Eine eSIM, deren Betreiberprofil sich im laufenden Betrieb wechseln lässt.
Gateway
Unterwegs keines, auf der Baustelle das BLE-Gateway des Akkuwerkzeugs. Der Positionsverlauf bleibt lückenlos, weil er am Zertifikat des Trackers hängt, nicht an der Funktechnik.
Plattform
Das gemeinsame Grundgerüst, ergänzt um Geofences und einen Ortungsdienst hinter einer Schnittstelle, die der Hersteller kontrolliert.
ERP
Ein- und Ausfahrten an Geofences werden als Warenbewegungen oder Lieferereignisse in ERP oder Transportmanagementsystem gebucht. Rohpositionen bleiben in der Plattform.
Update-Mechanismus
Signierte Delta-Images über LTE-M, nur im Stillstand, bei guter Netzabdeckung und oberhalb eines Mindestladestands.
Meldepfad
Wie bei den anderen Archetypen, dazu die Firmware des Mobilfunkmodems als eigene SBOM-Komponente, die sich getrennt aktualisieren lässt.

Kosten. Für den Tracker rechnen wir im Basisfall mit 0,99 € je Gerät und Monat, davon 0,46 € oder 46 % Sicherheitsaufschlag.

Worauf zu achten ist. Die Ortungskette entscheidet über die Batterielaufzeit. Ein Bewegungssensor legt fest, ob ein Fix nötig ist. Aus einem WLAN-Scan berechnet die Cloud die Position auf unter 100 m genau, aus einem Funkzellen-Scan auf unter 700-1.000 m.287 GNSS mit einer Leistungsaufnahme von rund 25 mW397 läuft nur, wenn sich das verfolgte Objekt bewegt. Das nRF9151 nimmt in LTE-M mit erweitertem diskontinuierlichem Empfang (eDRX) 18 µA auf.288 Mit einer eSIM nach GSMA SGP.32 lässt sich der Netzbetreiber eines Trackers am Anhänger wechseln, ohne das versiegelte Gehäuse zu öffnen.202 Ruhezustand und stündliche GNSS-Fixe verbrauchen im Jahr rund 3 % der Kapazität einer D-Zelle mit 17 Ah (Tabelle 9). Eine A-Zelle hat dagegen nur 3,6 Ah.340

Posten Berechnung Ladung je Jahr (mAh)
Ruhezustand im PSM 2,7 µA × 8.760 h 24
GNSS, ein Fix je Stunde 25 mW × angenommene 30 s je Fix = 0,75 J; bei 3,6 V etwa 0,058 mAh je Fix × 8.760 Fixe 507
LTE-M-Meldung, eine je Stunde Ladung je Übertragung hängt von Netz und Abdeckung ab im Betrieb messen
Kapazität einer LS 33600 17 Ah nominal 17.000
Tabelle 9: Jährliches Ladungsbudget des Logistik-Trackers

Quellen: [284, 341, 397].

Die Ladung je LTE-M-Meldung steht in keinem Datenblatt. Sie hängt von der Netzabdeckung ab und davon, wie lange das Modem verbunden bleibt, bevor es in den PSM zurückkehrt. Sie ist deshalb im Zielnetz zu messen, bei guter und bei schlechter Abdeckung. Die Zelle verliert bei Lagerung bei +20 °C durch Selbstentladung weniger als 1 % im Jahr.341 Die Nennkapazität von 17 Ah gilt bei 5 mA, +20 °C und 2,0 V Entladeschlussspannung, bei Kälte und höheren Strömen ist sie geringer.341 Der Hersteller legt die Zelle deshalb gemeinsam mit Saft auf die tiefste Betriebstemperatur und das tatsächliche Pulsstromprofil aus, nicht auf den Nennwert.

Die Batterieverordnung verlangt ab dem 18. Februar 2027, dass Endnutzer Gerätebatterien entnehmen können.150, 169 Der Hersteller prüft deshalb, ob eine Ausnahme greift, bevor er ein versiegeltes Gehäuse konstruiert. Semtech hat seinen Ortungsdienst LoRa Cloud am 31. Juli 2025 eingestellt.355 Der Ortungsdienst gehört deshalb hinter eine eigene Schnittstelle des Herstellers. Galileo OSNMA authentisiert die Position, wo sie als Nachweis für Zoll oder Versicherung dient.176

Kurz gesagt

Zusammengenommen liegt der Engpass nicht in der Technik, sondern in der Organisation des Herstellers. Ein Hersteller, der Vertrauensanker und Grundgerüst einmal für alle Produktlinien festlegt, betreibt PSIRT und Update-Mechanismus nur einmal und baut jedes weitere Produkt darauf auf. Das nächste Kapitel zeigt, wo das Logistik-Tracking von diesem Entwurf abweicht.

Quellen in diesem Kapitel106

Nummeriert wie im vollständigen Quellenverzeichnis und im PDF.

  1. [5] 3GPP. (2023). A glimpse into RedCap NR devices. https://www.3gpp.org/technologies/nr-redcap-glimpse
  2. [6] A1 Digital. (2026). 2G network sunset announcement. https://www.a1.digital/news/2g-network-sunset-announcement/
  3. [19] Amazon Web Services. (2026). AWS Private CA pricing. https://aws.amazon.com/private-ca/pricing/
  4. [20] Amazon Web Services. (2026). FreeRTOS over-the-air updates. https://docs.aws.amazon.com/freertos/latest/userguide/freertos-ota-dev.html
  5. [21] Amazon Web Services. (2026). Provisioning devices that don’t have device certificates using fleet provisioning. https://docs.aws.amazon.com/iot/latest/developerguide/provision-wo-cert.html
  6. [41] Bluetooth SIG. (2017). Bluetooth pairing part 4: LE Secure Connections. https://www.bluetooth.com/blog/bluetooth-pairing-part-4/
  7. [42] Bluetooth SIG. (2024). Bluetooth Channel Sounding. https://www.bluetooth.com/press/bluetooth-channel-sounding/
  8. [47] Bundesamt für Kommunikation BAKOM. (2025). 3G and 2G shutdown. https://www.bakom.admin.ch/en/3g-and-2g-shutdown
  9. [49] Bundesamt für Sicherheit in der Informationstechnik. (2023). FAQ: Anwendungsbereich der BSI TR-03109-5 (Kommunikationsadapter). https://bsi.bund.de/DE/Service-Navi/FAQ/TR-03109-5/faq_03109-5_node.html
  10. [50] Bundesamt für Sicherheit in der Informationstechnik. (2025). BSI TR-03183-2: Cyber Resilience Requirements for Manufacturers and Products, Part 2: Software Bill of Materials, Version 2.1.0. https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Technische-Richtlinien/TR-nach-Thema-sortiert/tr03183/TR-03183_node.html
  11. [51] Bundesamt für Sicherheit in der Informationstechnik. (2026). Certification report BSI-DSZ-CC-1277-2026, Infineon OPTIGA TPM SLB9672. https://sec-certs.org/cc/ad5e2081def39258/
  12. [52] Bundesamt für Sicherheit in der Informationstechnik. (2026). CSAF provider metadata of CERT-Bund. https://wid.cert-bund.de/.well-known/csaf/provider-metadata.json
  13. [53] Bundesamt für Sicherheit in der Informationstechnik. (2026). Das Smart-Meter-Gateway: Cyber-Sicherheit für die Digitalisierung der Energiewende. https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Smart-Meter-Gateway.pdf
  14. [60] Bundesministerium der Justiz. (2025). § 45 Messstellenbetriebsgesetz: Rollout targets. https://www.gesetze-im-internet.de/messbg/__45.html
  15. [61] Bundesministerium der Justiz. (2026). § 14a Energiewirtschaftsgesetz: Netzorientierte Steuerung von steuerbaren Netzanschlüssen und steuerbaren Verbrauchseinrichtungen. https://www.gesetze-im-internet.de/enwg_2005/__14a.html
  16. [72] Bundesnetzagentur. (2020). Entscheidung der Präsidentenkammer vom 16. November 2020 über die Vergabe von Frequenzen im Bereich 450 MHz für den drahtlosen Netzzugang (Vergabe- und Ausschreibungsregeln), BK1-20/001. https://www.bundesnetzagentur.de/SharedDocs/Downloads/DE/Sachgebiete/Telekommunikation/Unternehmen_Institutionen/Frequenzen/OffentlicheNetze/450MHZ/Praesidentenkammerentscheidung450MHz.pdf?__blob=publicationFile&v=2
  17. [73] Bundesnetzagentur. (2021). Erfolgreiche Bewerbung der 450connect GmbH. https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilungen/DE/2021/20210309_450Mhz.html
  18. [74] Bundesnetzagentur. (2023). Festlegung BK6-22-300, Anlage 1: Netzorientierte Steuerung steuerbarer Verbrauchseinrichtungen. https://www.bundesnetzagentur.de/DE/Beschlusskammern/1_GZ/BK6-GZ/2022/BK6-22-300/Beschluss/BK6-22-300_Beschluss_Anlage1.pdf
  19. [75] Bundesnetzagentur. (2025). Übersicht der Zuteilungsinhaber für Frequenzzuteilungen für lokale Frequenznutzungen im Frequenzbereich 3.700-3.800 MHz. https://www.bundesnetzagentur.de/SharedDocs/Downloads/DE/Sachgebiete/Telekommunikation/Unternehmen_Institutionen/Frequenzen/OffentlicheNetze/LokaleNetze/Zuteilungsinhaber3,7GHz.pdf
  20. [76] Bundesnetzagentur. (2025). Übersicht der Zuteilungsinhaber für lokale Frequenznutzungen im Frequenzbereich 24,25-27,5 GHz. https://www.bundesnetzagentur.de/SharedDocs/Downloads/DE/Sachgebiete/Telekommunikation/Unternehmen_Institutionen/Frequenzen/OffentlicheNetze/LokaleNetze/Zuteilungsinhaber26GHz.pdf
  21. [77] Bundesnetzagentur. (2026). 2G-Abschaltung. https://www.bundesnetzagentur.de/DE/Fachthemen/Telekommunikation/Breitband/2GAbschaltung/start.html
  22. [79] Bundesnetzagentur. (2026). Pressemitteilung zu Netzentgelten nach § 14a EnWG. https://bundesnetzagentur.de/SharedDocs/Pressemitteilungen/DE/2026/20260528_14a.html
  23. [80] Bundesnetzagentur. (2026). Regionale und lokale Netze. https://www.bundesnetzagentur.de/lokalesbreitband
  24. [83] CEN-CENELEC JTC 13. (2023). EN 17927:2023 Security Evaluation Standard for IoT Platforms (SESIP). https://iteh.es/catalog/standards/cen/e545f156-f87b-4463-a711-9483b31a202d/en-17927-2023
  25. [84] CEPT ECC. (2001). ERC Decision (01)04 on non-specific short range devices. https://docdb.cept.org/download/2369
  26. [93] Deutsche Energie-Agentur (dena). (2025). Factsheet CLS-Einheit. https://www.dena.de/fileadmin/dena/Publikationen/PDFs/2025/FS_CLS-Einheit.pdf
  27. [94] Deutsche Telekom. (2020). Deutsche Telekom launches LTE-M in Germany. https://www.telekom.com/en/newsroom/latest-updates/media-information/2020/7/deutsche-telekom-launches-lte-m-in-germany
  28. [95] Deutsche Telekom. (2025). Nur bei der Telekom: Die neue Apple Watch funkt mit 5G. https://www.telekom.com/de/newsroom/aktuelles/medieninformationen/2025/09/nur-bei-der-telekom-die-neue-apple-watch-funkt-mit-5g
  29. [105] DigiCert. (2026). DigiCert Device Trust Manager. https://www.digicert.com/device-trust-manager
  30. [117] DIN. (2026). EN IEC 62443-4-2:2019/prAA, amendment for citation under the CRA. https://www.dinmedia.de/de/norm-entwurf/din-en-iec-62443-4-2-a1/
  31. [120] Ecma International. (2025). ECMA-424: CycloneDX Bill of Materials Specification, 2nd edition. https://ecma-international.org/publications-and-standards/standards/ecma-424/
  32. [123] EEBus Initiative. (2024). FAQs § 14a. https://www.eebus.org/wp-content/uploads/2024/04/FAQs-%C2%A7-14a.pdf
  33. [133] ENISA. (2026). The CRA Single Reporting Platform is launched. https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
  34. [135] ETSI. (2024). ETSI EN 303 645 V3.1.3 (2024-09): Cyber Security for Consumer Internet of Things: Baseline Requirements. https://www.etsi.org/deliver/etsi_en/303600_303699/303645/03.01.03_60/en_303645v030103p.pdf
  35. [141] European Commission. (2022). Commission Delegated Regulation (EU) 2022/30 supplementing Directive 2014/53/EU (RED) with regard to cybersecurity. https://eur-lex.europa.eu/eli/reg_del/2022/30/oj
  36. [145] European Commission. (2023). Commission Delegated Regulation (EU) 2023/2444 amending Delegated Regulation (EU) 2022/30 as regards the date of application. https://eur-lex.europa.eu/eli/reg_del/2023/2444/oj
  37. [148] European Commission. (2025). Commission Implementing Decision (EU) 2025/138 amending Implementing Decision (EU) 2022/2191 as regards harmonised standards for cybersecurity of radio equipment. http://data.europa.eu/eli/dec_impl/2025/138/oj
  38. [150] European Commission. (2025). Commission Notice C/2025/214: guidelines on Article 11 of Regulation (EU) 2023/1542. https://eur-lex.europa.eu/eli/C/2025/214/oj/eng
  39. [151] European Commission. (2025). Cyber Resilience Act: standardisation. https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation
  40. [158] European Commission. (2026). Frequently asked questions on the Data Act, version 1.4. https://ec.europa.eu/newsroom/dae/redirection/document/108144
  41. [168] European Parliament and Council. (2023). Regulation (EU) 2023/1230 on machinery (Machinery Regulation). https://eur-lex.europa.eu/eli/reg/2023/1230/oj
  42. [169] European Parliament and Council. (2023). Regulation (EU) 2023/1542 concerning batteries and waste batteries (battery passport). https://eur-lex.europa.eu/eli/reg/2023/1542/oj
  43. [170] European Parliament and Council. (2023). Regulation (EU) 2023/2854 on harmonised rules on fair access to and use of data (Data Act). https://eur-lex.europa.eu/eli/reg/2023/2854/oj
  44. [171] European Parliament and Council. (2024). Regulation (EU) 2024/2847 on horizontal cybersecurity requirements for products with digital elements (Cyber Resilience Act). https://eur-lex.europa.eu/eli/reg/2024/2847/oj
  45. [176] EUSPA. (2025). From testing to operations: Galileo OSNMA service now available to users. https://www.euspa.europa.eu/newsroom-events/news/testing-operations-galileo-osnma-service-now-available-users
  46. [194] GlobalPlatform. (2025). PSA Certified now available with GlobalPlatform’s SESIP evaluation methodology. https://globalplatform.org/psa-certified-now-available-with-globalplatforms-sesip-evaluation-methodology/
  47. [195] GlobalSign. (2026). IoT Identity Platform. https://www.globalsign.com/en/internet-of-things/iot-identity-platform
  48. [198] Golioth. (2026). Golioth is now a part of Canonical. https://blog.golioth.io/golioth-is-now-a-part-of-canonical/
  49. [199] Golioth. (2026). Golioth pricing. https://golioth.io/pricing
  50. [202] GSMA. (2026). SGP.32 eSIM IoT Technical Specification. https://www.gsma.com/solutions-and-impact/technologies/esim/esim-specification/
  51. [208] IEC. (2018). IEC 62443-4-1:2018 Security for industrial automation and control systems, Part 4-1: Secure product development lifecycle requirements. https://webstore.iec.ch/en/publication/33615
  52. [209] IEC. (2019). IEC 62443-4-2:2019 Security for industrial automation and control systems, Part 4-2: Technical security requirements for IACS components. https://webstore.iec.ch/en/publication/34421
  53. [210] IEC. (2023). IEC 63278-1:2023 Asset Administration Shell for industrial applications, Part 1: Asset Administration Shell structure. https://webstore.iec.ch/en/publication/65628
  54. [211] IEC. (2025). IEC 62541-1:2025 OPC Unified Architecture, Part 1: Overview and concepts. https://webstore.iec.ch/en/publication/81513
  55. [212] IETF. (2013). RFC 7030: Enrollment over Secure Transport. https://www.rfc-editor.org/info/rfc7030
  56. [213] IETF. (2021). RFC 8995: Bootstrapping Remote Secure Key Infrastructure (BRSKI). https://www.rfc-editor.org/info/rfc8995
  57. [214] IETF. (2021). RFC 9019: A Firmware Update Architecture for Internet of Things. https://www.rfc-editor.org/rfc/rfc9019
  58. [215] IETF. (2022). RFC 9124: A Manifest Information Model for Firmware Updates in Internet of Things Devices. https://www.rfc-editor.org/rfc/rfc9124
  59. [216] Industrial Digital Twin Association. (2026). AAS specifications, Release 26-01. https://industrialdigitaltwin.org/en/content-hub/aasspecifications
  60. [217] Infineon Technologies. (2026). OPTIGA Trust M. https://www.infineon.com/OPTIGA-Trust-M
  61. [218] Infineon Technologies. (2026). OPTIGA Trust M Express. https://infineon.com/cms/en/product/security-smart-card-solutions/optiga-embedded-security-solutions/optiga-trust/optiga-trust-m-express
  62. [232] Keyfactor. (2026). EJBCA Enterprise. https://www.keyfactor.com/products/ejbca-enterprise/
  63. [253] Linux Foundation SPDX. (2024). SPDX overview and release history. https://spdx.dev/about/overview/
  64. [254] LoRa Alliance. (2021). LoRaWAN approved as ITU-T Recommendation Y.4480. https://lora-alliance.org/?p=219640
  65. [255] LoRa Alliance. (2026). Netze BW: largest LoRaWAN deployment in Germany. https://lora-alliance.org/?p=598
  66. [258] MCUboot project. (2026). MCUboot documentation. https://docs.mcuboot.com/
  67. [260] Memfault. (2026). Memfault pricing. https://memfault.com/pricing/
  68. [261] Microchip Technology. (2020). Microchip TA100 automotive secure element. https://www.microchip.com/en-us/product/TA100
  69. [263] Microchip Technology. (2026). Trust Platform for the CryptoAuthentication family: Trust&GO, TrustFLEX, TrustCUSTOM. https://onlinedocs.microchip.com/oxy/GUID-5C346303-A9CB-4341-B67F-4354AB92FE04-en-US-3/GUID-67185155-9838-416B-8F46-33923D075394.html
  70. [267] Microsoft. (2026). Device Update for IoT Hub. https://learn.microsoft.com/en-us/azure/iot-hub-device-update/understand-device-update
  71. [268] Microsoft. (2026). What is Azure IoT Hub Device Provisioning Service? https://learn.microsoft.com/en-us/azure/iot-dps/about-iot-dps
  72. [269] Microsoft. (2026). What is Azure IoT Operations? https://learn.microsoft.com/en-us/azure/iot-operations/overview-iot-operations
  73. [276] National Institute of Standards and Technology. (2023). Cryptographic Module Validation Program, certificate 4421: Microchip Trust Anchor TA100. https://csrc.nist.gov/projects/cryptographic-module-validation-program/certificate/4421
  74. [277] National Institute of Standards and Technology. (2026). Cryptographic Module Validation Program, certificate 5371: Microchip Trust Anchor TA101. https://csrc.nist.gov/projects/cryptographic-module-validation-program/certificate/5371
  75. [278] National Institute of Standards and Technology. (2026). FIPS 140-3 Transition Effort. https://csrc.nist.gov/projects/fips-140-3-transition-effort
  76. [284] Nordic Semiconductor. (2024). nRF9151 Product Specification v1.0. https://mm.digikey.com/Volume0/opasdata/d220001/medias/docus/6470/NRF9151-DK.pdf
  77. [286] Nordic Semiconductor. (2025). Nordic Semiconductor acquires Memfault, launches the first complete chip-to-cloud platform. https://www.nordicsemi.com/Nordic-news/2025/06/Nordic-Semiconductor-acquires-Memfault
  78. [287] Nordic Semiconductor. (2026). nRF Cloud Location Services. https://docs.nrfcloud.com/docs/platform/location-services
  79. [288] Nordic Semiconductor. (2026). nRF9151. https://www.nordicsemi.com/Products/nRF9151
  80. [292] Northern.tech. (2026). Mender pricing. https://mender.io/pricing
  81. [295] NXP Semiconductors. (2024). Protecting the Edge at scale with NXP Security Solutions. https://www.nxp.com/docs/en/training-presentation/NXP-Security-Solutions-Protecting-the-Edge-at-scale-Technology-Six-Pack.pdf
  82. [296] NXP Semiconductors. (2026). EdgeLock 2GO service platform. https://www.nxp.com/products/security-and-authentication/authentication/edgelock-2go:EDGELOCK-2GO
  83. [297] NXP Semiconductors. (2026). EdgeLock SE050 Plug and Trust secure element family. https://www.nxp.com/products/SE050
  84. [298] NXP Semiconductors. (2026). EdgeLock SE051 Plug and Trust secure element. https://www.nxp.com/products/SE051
  85. [301] OASIS. (2019). MQTT Version 5.0. https://docs.oasis-open.org/mqtt/mqtt/v5.0/mqtt-v5.0.html
  86. [302] OASIS. (2022). Common Security Advisory Framework Version 2.0. https://docs.oasis-open.org/csaf/csaf/v2.0/csaf-v2.0.html
  87. [303] OASIS. (2026). Common Security Advisory Framework Version 2.1, Committee Specification Draft 03. https://docs.oasis-open.org/csaf/csaf/v2.1/csaf-v2.1.html
  88. [308] ONEKEY GmbH. (2026). ONEKEY product cybersecurity and compliance platform. https://www.onekey.com/
  89. [312] OPC Foundation. (2025). OPC 10000-14: OPC UA Part 14 PubSub, v1.05.06. https://reference.opcfoundation.org/Core/Part14/v105/docs/7.3.4
  90. [321] OWASP Foundation. (2026). OWASP Dependency-Track. https://owasp.org/www-project-dependency-track/
  91. [325] PSA Certified. (2026). Getting certified: security levels. https://www.psacertified.org/getting-certified/
  92. [326] PSA Certified. (2026). PSA Certified products database. https://products.psacertified.org/
  93. [340] Saft. (2026). LS 17500 primary lithium-thionyl chloride A-size cell, data sheet. https://saft4u.saft.com/en/download_file/6fbdd60f-bba6-4f67-81a0-85ce1b412664/English
  94. [341] Saft. (2026). LS 33600 primary lithium-thionyl chloride D-size cell, data sheet. https://saft4u.saft.com/en/download_file/5241def1-8668-4a68-9d2e-820bd3c68589/English
  95. [355] Semtech. (2025). LoRa Cloud is sunsetting on July 31st 2025. https://www.semtech.com/loracloud-shutdown
  96. [368] STMicroelectronics. (2026). STSAFE-A110 authentication, state-of-the-art security for peripherals and IoT devices. https://www.st.com/en/secure-mcus/stsafe-a110.html
  97. [373] Swisscom. (2025). Abschaltung 3G. https://www.swisscom.ch/de/about/news/2025/12/16-abschaltung-3g.html
  98. [394] Trusted Computing Group. (2024). TPM 2.0 Library, Family 2.0, Level 00, Revision 01.83. https://trustedcomputinggroup.org/resource/tpm-library-specification/
  99. [395] Trusted Firmware. (2026). Trusted Firmware-M documentation. https://trustedfirmware-m.readthedocs.io/
  100. [397] u-blox. (2026). MAX-M10S data sheet UBX-20035208 R08. https://content.u-blox.com/sites/default/files/MAX-M10S_DataSheet_UBX-20035208.pdf
  101. [398] umati / VDMA. (2026). About umati. https://umati.org/about/
  102. [402] VDE. (2022). VDE-AR-E 2829-6-1:2022-12 Energy management in the smart home, use cases. https://vde-verlag.de/standards/0800840/vde-ar-e-2829-6-1-anwendungsregel-2022-12.html
  103. [403] VDE FNN. (2025). Neues erweitertes Lastenheft Steuerbox 1.5. https://www.vde.com/de/fnn/aktuelles/neues-erweitertes-lastenheft-steuerbox-1-5-
  104. [408] Vodafone Deutschland. (2020). Vodafone aktiviert bundesweit das Netz für Mensch und Maschine. https://unternehmen.vodafone.de/newsroom/vodafone-aktiviert-bundesweit-das-netz-fuer-mensch-und-maschine
  105. [411] Wi-Fi Alliance. (2026). WPA3 deployment options. https://www.wi-fi.org/system/files/WPA3_Deployment_Options_Highlights_202602.pdf
  106. [413] Wirtschaftskammer Österreich. (2026). Abschaltung 2G- und 3G-Netz in Österreich. https://www.wko.at/sicherheitsanlagentechnik/abschaltung-2g-und-3g-netz-in-oesterreich
Weiter

Inhalt

Zur Übersicht
  1. 1Fristen und Geltungsbereich
  2. 2Geräteanforderungen
  3. 3Kosten je Gerät
  4. 4Technologie und Architektur
  5. 5Schwerpunkt Logistik-Tracking
  6. 6Schwerpunkt Österreich und Schweiz
  7. 7Anbieterlandschaft
  8. 8Handlungsempfehlungen
  9. AMethodik
  10. BRechtsgrundlagen
  11. CKostenmodell
  12. DAnbieterverzeichnis
  13. EFörderprogramme
  14. Über RUBINLAKE
  15. Haftungsausschluss
  16. Quellen