Kapitel 7 von 8

7Anbieterlandschaft

6 Min. Lesezeit · 2 Abbildungen · 1 Tabelle · 50 Quellen

Ein Hersteller vernetzter Produkte kauft die meisten Schichten seiner Systemarchitektur zu, vom Secure Element über den Update-Dienst bis zur IoT-Plattform, und ist während des gesamten Unterstützungszeitraums seiner Produkte auf diese Anbieter angewiesen. Für jede Schicht gibt es etablierte Anbieter, doch viele von ihnen haben 2025 und 2026 den Eigentümer gewechselt, und die drei großen US-Cloud-Anbieter haben IoT-Dienste eingestellt. Unter dem CRA ist bisher keine einzige Stelle notifiziert. Für Gateways, die auf eine solche Stelle angewiesen sind, gibt es damit noch keinen Weg zur Konformität. Das Kapitel beschreibt die Konsolidierung je Schicht, die Abkündigungen der Cloud-Anbieter und den Stand der notifizierten Stellen.

7.1 Marktkonsolidierung 2025-2026

Der Anbietermarkt hat sich zwischen 2024 und 2026 in vier Schichten konsolidiert. Das Gerätemanagement ging an Chip- und Betriebssystemanbieter, Kapital floss in die Firmware-Sicherheit, PKI-Anbieter wurden von Finanzinvestoren übernommen, und unabhängige Plattformen wechselten den Eigentümer (Anbieter je Schicht in Anhang D).

Ein 2026 gewählter Anbieter kann deshalb einen neuen Eigentümer, eine neue Produktlinie oder eine neue Preisliste haben, bevor ein 2027 verkauftes Produkt das Ende seines Unterstützungszeitraums erreicht.

7.1.1 Gerätemanagement und OTA

Drei der fünf OTA-Produkte, auf denen die meisten DACH-Projekte beruhen, wechselten zwischen Juni 2025 und März 2026 den Eigentümer. Nordic Semiconductor übernahm Memfault am 24. Juni 2025 und integriert es in nRF Cloud. Nordic hat zugesagt, auch Gerätehersteller mit Hardware anderer Anbieter weiterhin zu betreuen.286 Golioth gehört seit dem 3. März 2026 zu Canonical,198 und Canonicals Zephyr 26.04 LTS enthält seit September 2026 Golioth-OTA.200 Die Wahl des OTA-Dienstes ist damit enger als bisher an einen Chip- oder Betriebssystemanbieter gebunden.

Zwei Anbieter legen den Schwerpunkt auf Compliance für den deutschsprachigen Markt. qdCloud ordnet seine Funktionen den CRA-Anforderungen zu und stellt klar, dass dies die Konformitätsbewertung des Produkts nicht ersetzt.332 Kontron aus Linz verkauft Betriebssystem und Update-Dienst im Paket241 und hat seit 2026 mit Ennoconn einen Ankeraktionär.243

7.1.2 SBOM, Schwachstellenmanagement und PSIRT

Anbieter von Binäranalysen untersuchen kompilierte Firmware und erfassen damit auch zugekaufte Funkmodule und Platinen von Zulieferern. Sie haben mehr Kapital eingesammelt als jede andere Anbietergruppe. Allein Exein aus Rom erhielt im Juli 2025 70 Mio. €, im Dezember 2025 100 Mio. € und im September 2026 270 Mio. US-Dollar bei einer Bewertung von 1,7 Mrd. US-Dollar.177, 178, 180 Dragos übernahm NetRise, und Keysight vertreibt die SBOM-Plattform von Cybeats unter eigenem Namen.89, 118

Kein Anbieter von Analysewerkzeugen liefert das PSIRT-Team, die Richtlinie zur Offenlegung von Schwachstellen und den 24-Stunden-Meldeweg mit. Diese Leistungen bieten Ingenieurdienstleister an. Ginzinger electronic systems und sein Partner LIMES Security etwa bieten sichere Updates und den zugehörigen CVE-Prozess als Teil eines Lebenszyklus-Services an.192 Die Werkzeuge lassen sich kaufen, für den Prozess bleibt der Hersteller oder sein Dienstleister verantwortlich.

7.1.3 Secure Element und PKI

Vier börsennotierte Chiphersteller liefern die gängigen Secure Elements und ihre Provisionierungsdienste, darunter NXP EdgeLock 2GO, Infineon Trust M Express und Microchip Trust&GO.218, 263, 296 Die Anbieter ausstellender CAs haben sich unter dem Dach von Finanzinvestoren konsolidiert. Keyfactor übernahm InfoSec Global, DigiCert übernahm Vercara und Valimail, und Sectigo übernahm das Geschäft von Entrust mit öffentlichen Zertifikaten.103, 104, 231, 352 Keyfactor erhielt 2026 zudem eine Wachstumsinvestition von über 1 Mrd. US-Dollar.233 Die PKI- und HSM-Anbieter aus dem DACH-Raum sind kleiner, mehrere gehören Finanzinvestoren oder dem Staat.

7.1.4 IoT-Connectivity

Zwei MVNOs mit Sitz in Deutschland konkurrieren mit den Netzbetreibern. 1NCE aus Köln gibt über 40 Mio. SIM-Verbindungen an,4 emnify aus Berlin über 23 Mio.130 Beide finanzieren sich über Investoren. 1NCE sammelte im April 2025 60 Mio. US-Dollar ein, unter anderem bei der Deutschen Telekom.1 Beide bieten eSIM nach SGP.32 an, den Standard für den Profilwechsel bei bereits ausgelieferten Geräten.129

7.1.5 IoT-Plattformen

Die unabhängigen Plattformen wechselten den Eigentümer, die deutschen Industrieplattformen blieben bei ihren Konzernen. Das Management von Cumulocity kaufte die Plattform im Januar 2025 von der Software AG zurück,86 und PTC verkaufte ThingWorx und Kepware an TPG, die Transaktion wurde am 13. März 2026 abgeschlossen.327 Siemens hat MindSphere in Insights Hub umbenannt,361 für die Bosch IoT Suite liegt keine Abkündigung vor,44 und Device Insight ist seit 2019 eine hundertprozentige Tochter von KUKA.102

7.1.6 Tracker und Telematik

Zwei wichtige Zulieferer für Tracker und Telematik gingen 2025 an Finanzinvestoren. Advent International schloss am 26. November 2025 die Übernahme von u-blox ab, dem Schweizer Hersteller von GNSS- und Mobilfunkmodulen.11 Goldman Sachs Alternatives ist seit Juni 2025 Mehrheitsinvestor beim Baumaschinen-Telematikanbieter Trackunit.390

7.1.7 Ingenieurdienstleister

Die beiden börsennotierten Ingenieurdienstleister mit großem Deutschlandgeschäft, Bertrandt und EDAG, meldeten für ihre im Jahr 2025 abgelaufenen Geschäftsjahre Umsatzrückgänge von 18 % und 13 %.34, 122 Die spezialisierten Embedded-Dienstleister in Österreich und der Schweiz sind kleiner und arbeiten näher an der Gerätetechnik.

7.2 Eingestellte IoT-Dienste als Plattformrisiko

Alle drei großen US-Cloud-Anbieter haben seit 2023 IoT-Dienste eingestellt oder für Neukunden geschlossen. Google beendete IoT Core 2023, AWS und Microsoft folgten ab 2024 mit mehreren Diensten, insgesamt sechs Änderungen in vier Jahren14, 201, 264 (Tabelle 17). Für ein Produkt mit einem Unterstützungszeitraum von mindestens fünf Jahren ist jede davon ein Plattformrisiko.171

Dienst Anbieter Änderung Datum
Google Cloud IoT Core Google Eingestellt August 2023
AWS IoT Analytics AWS Seit 24. Juli 2024 keine Neukunden; Ende des Supports 15. Dez. 2025
AWS IoT Events AWS Seit 20. Mai 2025 keine Neukunden; Ende des Supports 20. Mai 2026
AWS IoT FleetWise AWS Keine Neukunden; Supportende nicht angekündigt 30. Apr. 2026
Azure IoT Central Microsoft Keine neuen Anwendungen; nach dem 20. Sept. 2029 nicht mehr verfügbar 23. Sept. 2026
Azure IoT Edge 1.5 LTS Microsoft Ende des Supports; keine Nachfolge-LTS gelistet 11. Nov. 2026
Azure Device Update for IoT Hub Microsoft Bleibt allgemein verfügbar; Updates über Azure Device Registry in Vorschau Oktober 2026
Tabelle 17: Abkündigungen von Cloud-IoT-Diensten seit 2023

Quellen: [14, 17, 18, 201, 264, 265, 267].

Die Kerndienste sind nicht betroffen. Für AWS IoT Core und Azure IoT Hub ist keine Abkündigung bekannt, und Microsoft nennt IoT Hub, den Device Provisioning Service und Fabric als Migrationsweg aus IoT Central.264 Das Risiko liegt bei den darauf aufbauenden Diensten. Der Update-Dienst sollte deshalb über eine eigene Abstraktionsschicht angebunden sein.

7.3 Notifizierte Stellen unter dem CRA

Derzeit verzeichnet NANDO keine einzige nach Verordnung (EU) 2024/2847 notifizierte Stelle, unabhängig vom Status.161 Kapitel IV des CRA gilt seit dem 11. Juni 2026, und die Kommission veröffentlicht jede Stelle nach ihrer Notifizierung in NANDO.157

Auch die Behörden stehen noch nicht überall bereit. Für den CRA sind 14 notifizierende Behörden in 13 Mitgliedstaaten eingetragen, in Deutschland das BSI.161 Österreich hat keine eingetragen. Das Bundeskanzleramt erklärt, es werde diese Aufgabe übernehmen.59 Das parlamentarische Verfahren zum deutschen CRA-Durchführungsgesetz ist noch nicht abgeschlossen.100, 220 Der CRA fällt nicht unter das MRA zwischen der EU und der Schweiz.365 Schweizer Stellen können deshalb nicht notifiziert werden.365

Zwei Stellen haben ihre Notifizierung öffentlich angekündigt. SGS Brightsight in den Niederlanden ist nach ISO/IEC 17065 für CRA-Modul B akkreditiert und strebt die Notifizierung über die niederländische notifizierende Behörde an.360 TÜV NORD wird beim BSI die Benennung unter dem CRA beantragen.396

Ein Produkt der Klasse I wie ein eigenständig verkauftes Gateway braucht deshalb eine notifizierte Stelle, die es noch nicht gibt, solange keine harmonisierte CRA-Norm im Amtsblatt zitiert ist. Für Bewertungen nach EN 18031 unter der RED stehen dagegen schon heute 55 aktive Stellen bereit, 12 davon in Deutschland.160

Kurz gesagt

Ein Hersteller kann die Technik zukaufen, muss sein System aber so auslegen, dass er Update-Dienst, PKI und Cloud wechseln kann, ohne in bereits ausgelieferte Geräte eingreifen zu müssen. Normung und Notifizierung entscheiden über den Marktzugang eigenständig verkaufter Gateways, nicht der Hersteller. Das letzte Kapitel leitet aus der Analyse Maßnahmen je Rolle, einen Zwölfmonatsplan und fünf Leitfragen ab.

Quellen in diesem Kapitel50

Nummeriert wie im vollständigen Quellenverzeichnis und im PDF.

  1. [1] 1NCE. (2025). 1NCE raises 60 million USD in new funding. https://www.1nce.com/en-eu/resources/news-insights/press-releases/1nce-raises-60-million-usd-in-new-funding
  2. [4] 1NCE. (2026). 1NCE in a nutshell. https://www.1nce.com/en-eu/about/1nce-in-a-nutshell
  3. [11] Advent International. (2025). Advent completes acquisition of u-blox. https://www.adventinternational.com/news/advent-completes-acquisition-of-u-blox/
  4. [14] Amazon Web Services. (2025). AWS IoT Analytics end of support. https://docs.aws.amazon.com/iotanalytics/latest/userguide/iotanalytics-end-of-support.html
  5. [17] Amazon Web Services. (2026). AWS IoT Events end of support. https://docs.aws.amazon.com/iotevents/latest/developerguide/iotevents-end-of-support.html
  6. [18] Amazon Web Services. (2026). AWS IoT FleetWise. https://aws.amazon.com/iot-fleetwise/
  7. [34] Bertrandt AG. (2026). Press release: first quarter 2025/2026. https://www.bertrandt.com/fileadmin/files/files/00_Unternehmen/03_Presse/Pressemitteilungen/2026/2026-02-12_press_release_q1_2025-2026_bertrandt.pdf
  8. [44] Bosch Global Software Technologies GmbH. (2026). Bosch IoT Suite. https://bosch-iot-suite.com/
  9. [59] Bundeskanzleramt Österreich. (2026). Fragen und Antworten zur Cyberresilienz-Verordnung (CRA). https://www.bundeskanzleramt.gv.at/themen/cybersicherheit/cyberresilienz-verordnung-cra/fragen-und-antworten-zu-cra.html
  10. [86] Cumulocity. (2025). A new chapter for Cumulocity: building an AIoT powerhouse. https://community.cumulocity.com/t/a-new-chapter-for-cumulocity-building-an-aiot-powerhouse/13692
  11. [89] Cybeats Technologies. (2026). Cybeats and Keysight partner to OEM Cybeats SBOM platform. https://www.cybeats.com/news/cybeats-and-keysight-partner-to-oem-cybeats-sbom-platform-for-software-supply-chain-security
  12. [100] Deutscher Bundestag. (2026). Gesetzentwurf der Bundesregierung zur Durchführung der Verordnung (EU) 2024/2847 (Cyber Resilience Act), Drucksache 21/6134. https://dserver.bundestag.de/btd/21/061/2106134.pdf
  13. [102] Device Insight GmbH. (2026). Über Device Insight. https://device-insight.com/device-insight/
  14. [103] DigiCert. (2024). DigiCert completes acquisition of Vercara. https://goldengatecap.com/digicert-completes-acquisition-of-vercara-acquisition-furthers-digicerts-position-as-a-leader-in-digital-trust/
  15. [104] DigiCert. (2025). DigiCert acquires Valimail. https://www.digicert.com/news/digicert-acquires-valimail-global-leader-in-email-authentication
  16. [118] Dragos. (2026). Dragos acquires NetRise and runZero. https://www.dragos.com/blog/dragos-acquires-netrise-runzero-xot-platform
  17. [122] EDAG Engineering Group AG. (2026). EDAG Group: market uncertainty and delayed awarding of projects shape FY 2025. https://live.deutsche-boerse.com/news/EQS-News-EDAG-Group-Market-uncertainty-and-delayed-awarding-of-projects-shape-FY-2025--Strategic-measures-accelerated-to-restore-sustainable-growth-and-competitiveness-bc5ff7b3-8c89-47a0-b416-f1bf55f3fcb9
  18. [129] emnify. (2026). emnify introduces SGP.32 eSIM. https://www.emnify.com/blog/emnify-introduces-sgp.32-esim
  19. [130] emnify. (2026). emnify named a Visionary in the 2026 Gartner Magic Quadrant for Managed IoT Connectivity Services, Worldwide. https://www.emnify.com/blog/emnify-named-a-visionary-in-the-2026-gartner-magic-quadrant-for-managed-iot-connectivity-services-worldwide
  20. [157] European Commission. (2026). Cyber Resilience Act: conformity assessment. https://digital-strategy.ec.europa.eu/en/policies/cra-conformity-assessment
  21. [160] European Commission. (2026). NANDO: notified bodies under Directive 2014/53/EU (RED) and Regulation (EU) 2023/1230 (Machinery). https://webgate.ec.europa.eu/single-market-compliance-space/notified-bodies
  22. [161] European Commission. (2026). NANDO: Regulation (EU) 2024/2847 (Cyber Resilience Act), notifications and notifying authorities. https://webgate.ec.europa.eu/single-market-compliance-space/notified-bodies/notifying-authorities?filter=legislationId:167953
  23. [171] European Parliament and Council. (2024). Regulation (EU) 2024/2847 on horizontal cybersecurity requirements for products with digital elements (Cyber Resilience Act). https://eur-lex.europa.eu/eli/reg/2024/2847/oj
  24. [177] Exein. (2025). Exein raises €100M to accelerate its global expansion. https://exein.io/blog/exein-raises-100m-funding-to-accelerate-its-global-expansion
  25. [178] Exein. (2025). Exein raises €70M Series C to secure IoT devices. https://exein.io/blog/exein-raises-70m-series-c-to-secure-iot-devices
  26. [180] Exein. (2026). Exein raises $270M at $1.7bn valuation. https://exein.io/blog/exein-raises-270m-at-1-7bn-valuation-to-build-the-security-layer-for-physical-ai
  27. [192] Ginzinger electronic systems GmbH. (2026). Connectivity & Security. https://www.ginzinger.com/en/technologies/connectivity-security/
  28. [198] Golioth. (2026). Golioth is now a part of Canonical. https://blog.golioth.io/golioth-is-now-a-part-of-canonical/
  29. [200] Golioth. (2026). Zephyr 26.04 LTS: up to 15 years of support with Golioth OTA built in. https://blog.golioth.io/zephyr-26-04-lts-up-to-15-years-of-support-with-golioth-ota-built-in/
  30. [201] Google. (2023). python-iot: Cloud IoT Core client library (archived). https://github.com/googleapis/python-iot
  31. [218] Infineon Technologies. (2026). OPTIGA Trust M Express. https://infineon.com/cms/en/product/security-smart-card-solutions/optiga-embedded-security-solutions/optiga-trust/optiga-trust-m-express
  32. [220] ingenieur.de. (2026). CRA-Meldepflicht: wann die Frist beginnt. https://www.ingenieur.de/technik/fachbereiche/ittk/cra-meldepflicht-wann-die-frist-beginnt/
  33. [231] Keyfactor. (2025). Keyfactor acquires InfoSec Global and CipherInsights. https://www.keyfactor.com/press-releases/keyfactor-acquires-infosec-global-and-cipherinsights/
  34. [233] Keyfactor. (2026). Keyfactor announces $1B strategic growth investment led by Summit Partners. https://www.keyfactor.com/press-releases/keyfactor-announces-1b-strategic-growth-investment-led-by-summit-partners-to-expand-leadership-in-securing-the-ai-and-post-quantum-enterprise/
  35. [241] Kontron. (2026). KontronOS: secure operating system for edge devices. https://www.kontron.com/en/products-solutions/susietec/kontronos-secure-operating-system-for-edge-devices
  36. [243] Kontron AG. (2026). Kontron AG: all conditions of the mandatory tender offer of Ennoconn Corporation are met. https://www.kontron.com/en/media/news/kontron-ag-all-conditions-of-the-mandatory-tender-offer-of-ennoconn-corporation-are-met-settlement-will-take-place-shortly?eqs=1035566611
  37. [263] Microchip Technology. (2026). Trust Platform for the CryptoAuthentication family: Trust&GO, TrustFLEX, TrustCUSTOM. https://onlinedocs.microchip.com/oxy/GUID-5C346303-A9CB-4341-B67F-4354AB92FE04-en-US-3/GUID-67185155-9838-416B-8F46-33923D075394.html
  38. [264] Microsoft. (2026). Azure IoT Central is evolving: what you need to know. https://techcommunity.microsoft.com/blog/iotblog/azure-iot-central-is-evolving-what-you-need-to-know/4554570
  39. [265] Microsoft. (2026). Azure IoT Edge: lifecycle. https://learn.microsoft.com/en-us/lifecycle/products/azure-iot-edge
  40. [267] Microsoft. (2026). Device Update for IoT Hub. https://learn.microsoft.com/en-us/azure/iot-hub-device-update/understand-device-update
  41. [286] Nordic Semiconductor. (2025). Nordic Semiconductor acquires Memfault, launches the first complete chip-to-cloud platform. https://www.nordicsemi.com/Nordic-news/2025/06/Nordic-Semiconductor-acquires-Memfault
  42. [296] NXP Semiconductors. (2026). EdgeLock 2GO service platform. https://www.nxp.com/products/security-and-authentication/authentication/edgelock-2go:EDGELOCK-2GO
  43. [327] PTC. (2026). PTC third fiscal quarter 2026 results. https://s27.q4cdn.com/610238322/files/doc_earnings/2026/q3/earnings-result/Q32026_PTC_Earnings-release.pdf
  44. [332] querdenker engineering GmbH. (2026). qdCloud: overview. https://querdenkerengineering.de/en/products/qd-cloud/overview
  45. [352] Sectigo. (2025). Sectigo acquires Entrust public certificate business. https://www.sectigo.com/resource-library/sectigo-acquires-entrust-public-certificate-business
  46. [360] SGS Brightsight. (2026). CRA notified body services. https://www.brightsight.com/cra-notified-body-services
  47. [361] Siemens. (2026). Insights Hub: FAQ. https://www.siemens.com/en-us/products/insights-hub/resources/faq/
  48. [365] Staatssekretariat für Wirtschaft SECO. (2026). MRA Schweiz - EU: Abkommen über die gegenseitige Anerkennung von Konformitätsbewertungen. https://www.seco.admin.ch/de/mra-schweiz-eu
  49. [390] Trackunit. (2025). Trackunit announces closing of investment. https://trackunit.com/press/trackunit-announces-closing-of-investment/
  50. [396] TÜV Informationstechnik GmbH. (2026). Cyber Resilience Act. https://www.tuvit.de/en/topics/regulations/cyber-resilience-act/
Weiter

Inhalt

Zur Übersicht
  1. 1Fristen und Geltungsbereich
  2. 2Geräteanforderungen
  3. 3Kosten je Gerät
  4. 4Technologie und Architektur
  5. 5Schwerpunkt Logistik-Tracking
  6. 6Schwerpunkt Österreich und Schweiz
  7. 7Anbieterlandschaft
  8. 8Handlungsempfehlungen
  9. AMethodik
  10. BRechtsgrundlagen
  11. CKostenmodell
  12. DAnbieterverzeichnis
  13. EFörderprogramme
  14. Über RUBINLAKE
  15. Haftungsausschluss
  16. Quellen