Die Bausteine, um Software auf eine Geräteflotte zu bringen, sind seit Jahren Open Source, ausgereift und im Produktivbetrieb. Trotzdem können es die meisten Unternehmen nicht verlässlich, und der Grund ist nicht technisch.
Kai Hackbarth · kaihackbarth.com
Seit 2000
Fernupdate stand schon in der ersten Spezifikation.
01
OSGi, Mai 2000: Softwaremodule installieren und aktualisieren, ohne das System anzuhalten, verwaltet von einem entfernten Dienstleister.
02
Fast jeder Kunde nutzte es. Nicht als besondere Funktion, sondern als den normalen Weg, ein ausgeliefertes Produkt am Laufen zu halten.
Das Schwierige war nie die Technik.
Was es kostet, wenn es schiefgeht
Drei Fälle, jeder scheitert an einer anderen Stelle.
Ein Rollout erreicht die falschen Geräte
Rivian, November 2023: der falsche Build mit den falschen Sicherheitszertifikaten. Bildschirme und Enteisungssteuerung fielen aus. Nach zwei Stunden gestoppt, 1.463 Fahrzeuge betroffen, alle binnen sechs Tagen per OTA behoben.
Der Firmware-Schreibweg als Waffe
Router im Netz eines Anbieters, Oktober 2023: Der Chalubo-Trojaner machte Geräte dauerhaft unbrauchbar. Hunderttausende verloren. Neu flashen ging nicht, nur austauschen.
Ein Kanal, der das defekte Teil nicht erreicht
Hyundai, Mai 2026: mehr als 421.000 Tucson und Santa Cruz zurückgerufen, wegen der Software der Frontkamera. Die Lösung ist reine Software. Trotzdem fährt jeder Halter in die Werkstatt.
Rechnen Sie selbst
Wie viele Termine kostet Sie ein Software-Fix?
per FunkTermin nötig
40.000 Termine in der Werkstatt oder vor Ort, für ein einziges Software-Update
Ihre Termine40.000
Hyundai, Mai 2026über 421.000
Was Sie eingeben, verlässt diese Seite nicht.
Ein Update ist nicht nur eine Datei
Was stimmen muss, bevor ein Gerät einen neuen Build annimmt.
Für jedes davon gibt es eine bekannte Antwort. Für keines eine automatische.
01
Generationen: andere CPU, anderes Betriebssystem, weniger Flash. Das Gerät von 2019 ist genau das, das noch im Feld ist.
02
Abhängigkeiten: die Installation gelingt, und das Gerät ist trotzdem kaputt, auf die einzige Art, die zählt.
03
Physische Grenzen: kein Platz für ein zweites Image, keine Reserve für die Signaturprüfung, eine Funkverbindung, die nach Volumen kostet.
04
Der Kunde: nichts an seiner Konfiguration darf nach dem Update schlechter sein als vorher.
05
Skalierung: eine Woche offline, Funkzulassung, Updates ohne Rückweg.
Für jedes davon gibt es eine bekannte Antwort. Für keines eine automatische.
Was Eclipse hawkBit schon kann
Jeder Baustein existiert als Open Source.
01
Rollout in Stufen: Gruppen rücken bei einer Erfolgsschwelle weiter, bei einer Fehlerschwelle stoppt die ganze Kampagne.
02
Laden ist nicht Installieren: die Installation wartet auf ein Wartungsfenster, das das Werk festlegt.
03
Generationen sind fest eingebaut: ein Image für die Platine von 2026 lässt sich nicht dem Gerät von 2019 zuweisen.
04
Die Flotte zieht nach: Geräte, die offline waren, kommen ohne neue Kampagne auf den richtigen Stand.
05
Zustimmung: eine Installation kann auf Freigabe warten, wenn die Maschine nicht Ihnen gehört.
Version 1.0 im März 2026, EPL 2.0. Offenlegung: Ich war bis Mai 2026 in der Bosch-Gruppe. Kein hier genannter Anbieter bezahlt mich.
Warum so wenige Industrieunternehmen einen funktionierenden Update-Pfad haben
Fünf Gründe. Keiner ist eine fehlende Funktion.
01
Sie bewerten den Server: und der Server ist die leichte Hälfte. Die Sicherheitsanforderungen liegen auf dem Gerät.
02
Die Demo ist nicht das System: Datenbank, Speicher, Deployment, Monitoring, Backup, Skalierung: ein Projekt, kein Konfigurationsnachmittag.
03
Niemand verantwortet es: Produkt, Embedded, IT und Security haben jeweils einen guten Grund, es für die Aufgabe der anderen zu halten.
04
Die Vertrauensfrage kommt zuletzt: der Server speichert Hashes und signiert nichts. Signieren ist Sache des Integrators, Prüfen Sache des Geräts. Die CRA-Meldepflichten gelten seit dem 11. September 2026.
05
Es ist Betrieb, kein Projekt: Lebensdauer von zehn bis zwanzig Jahren; unter dem CRA ein Unterstützungszeitraum von mindestens fünf Jahren.
Die Zahl, die es entscheidet
Ein Update-Kanal verdient, solange er läuft.
Zweistelliger Eurobetragje Fahrzeug und Jahr
Als Business Owner bei Bosch.IO war ich für einen Kunden verantwortlich, der FOTA über mehrere Millionen Fahrzeuge betrieb.
Eine andere Budgetdiskussion als ein Projekt mit Starttermin.
Was ich tun würde
Vier Dinge, in dieser Reihenfolge.
Wenn Sie diese Person nicht benennen können, hält nichts anderes.
01
Den Verantwortlichen benennen: mit Befugnis über Gerät und Server. Wenn Sie diese Person nicht benennen können, hält nichts anderes.
02
Danach die Geräteseite wählen: Sicherheit, Rollback und Wiederherstellung liegen dort.
03
Schriftlich klären, wo Ihre Vertrauenskette liegt: wer signiert, mit welchem Schlüssel, wo gespeichert, wie geprüft, wie widerrufen.
04
Als Betrieb budgetieren: fünf Jahre Minimum, fünfzehn Jahre Erwartung. Selbst betreiben und einkaufen sind beide vertretbar.
Die Technik ist seit zehn Jahren bereit. Was meist fehlt, ist jemand, dessen Aufgabe es ist, sich darum zu kümmern.