Netz für Werks- und Lager-IoT knickt zuerst

26.07.2026

5 Min. Lesezeit

Container- und Asset-Tracking scheitern selten an der App-Schicht. Sie scheitern an WLAN-, Campus- und Weitverkehrsgrenzen zwischen Werk, Lager und Carrier. Enterprise-Network-Architektur wird damit zum Engpass des Use Cases, lange bevor Dashboards und KPIs greifen.

Das Wichtigste in Kürze

Netz ist der Engpass. Tracking scheitert an WLAN-, Campus- und Weitverkehrsgrenzen zwischen Werk, Lager und Carrier, lange bevor Dashboards und KPIs greifen.
Traffic-Profil zuerst. Intervalle ab 5 Sekunden, Heartbeats ab 30 Sekunden und Payloads von etwa 100 bis wenigen hundert Byte steuern Zellen-, Uplink- und Carrier-Dimensionierung.
Übergänge brechen Tracking. Roaming zwischen Werks-WLAN, Lager und öffentlichem Mobilfunk wechselt Identitäten und Zonen; isolierter Campus verschiebt den Engpass nur auf den Backhaul.
Betrieb teilen. Netzwerk und Logistik-IT regeln Onboarding, Zertifikate, Alarme und Incident-Pfade gemeinsam; Piloten müssen Roaming, Lastspitzen und Uplink-Ausfall testen.

VerwandtWenn Werkshalle und Rechenzentrum ein Netz werden / 5G-Campus-Netze: Bundesnetzagentur vergibt 465 Frequenzen

Traffic-Profile von Tracking und Telemetrie

Tracking- und Telemetrie-Last ist kein klassischer Office-Traffic und kein reines SCADA-Muster. Ortungs-Updates, Sensor-Bursts, Heartbeats und Status-Meldungen erzeugen viele kleine, oft periodische Nachrichten mit ungleicher Priorität. Ein Container-Tag, der alle paar Sekunden Position und Zustand meldet, belastet Funkzellen und Access Points anders als ein Batch-Upload am Schichtende.

Die Architektur muss deshalb zuerst das Traffic-Profil klären: Update-Intervall, Payload-Größe, Burst-Verhalten, Offline-Pufferung und welche Daten echtzeitnah sein müssen. Industrie-Tracker spezifizieren laut Herstellerdaten konfigurierbare Positionsintervalle ab 5 Sekunden und Heartbeats ab 30 Sekunden; Offline-Pufferung mit nachträglichem Burst-Upload ist gängig. Adaptive Geräte drosseln im Stillstand und erhöhen die Frequenz bei Bewegung. Die Payload pro Meldung liegt in der Praxis oft im Bereich von etwa 100 bis wenigen hundert Byte. Ohne dieses Profil bleiben Dimensionierung von WLAN-Zellen, Campus-Uplinks und Carrier-Anbindung Schätzungen.

Gleichzeitig unterscheiden sich Upstream und Downstream. Tracking sendet vor allem vom Feld ins Rechenzentrum oder in die Cloud. Konfiguration, Firmware und Policy-Updates laufen zurück. Wer nur den Messstrom plant und den Steuerpfad vernachlässigt, entdeckt Engpässe erst im Rollout. Telemetrie ohne steuerbaren Rückkanal ist betrieblich unvollständig.

Campus, 5G-Campus und Carrier-Anbindung im Mix

Werks- und Lagernetze sind selten ein Medium. Hallen-WLAN, drahtgebundene Shopfloor-Segmente, private 5G-Campusnetze und öffentliche Carrier-Anbindung treten gemischt auf. Jede Schicht hat eigene Funkbedingungen, Roaming-Regeln und Quality-of-Service-Annahmen. Der BMWi-Leitfaden „5G-Campusnetze“ beschreibt private Campusnetze als geografisch begrenzte, lokal angepasste Funknetze für Produktion und Logistik und betont steuerbare Dienstqualität zu Latenz, Zuverlässigkeit und Verfügbarkeit. 3GPP TS 22.104 fasst Service-Anforderungen für cyber-physische Steueranwendungen in vertikalen Domänen, darunter Process- und Asset-Monitoring in Fabriken. Carrier-Ethernet-SLAs spezifizieren das MEF unter anderem über Frame Delay, Frame-Delay-Variation und Frame Loss; MPLS- und SD-WAN-Verträge greifen ähnliche Parameter.

Der kritische Punkt liegt an den Übergängen. Ein Asset, das vom Werks-WLAN ins Lager-WLAN und später über öffentliche Mobilfunkstrecken wandert, wechselt Identitäten, Adressräume und Sicherheitszonen. Ohne durchgängige Pfadplanung bricht Tracking genau dort ab, wo der operative Nutzen hoch ist: zwischen Tor, Hof, Lager und Transportkette.

5G-Campusnetze entlasten dichte Hallen und mobile Flächen. Sie ersetzen aber nicht die Anbindung an zentrale Systeme. Die Backhaul-Strecke zum Rechenzentrum oder zur Multi-Cloud bleibt oft MPLS, Internet-VPN oder Carrier-Ethernet. Wer den Campus isoliert dimensioniert und den Weitverkehr als Residualgröße behandelt, verschiebt den Engpass nur eine Schicht nach außen.

Segmentierung, Latenz und Ausfallszenarien

OT-, IoT- und Enterprise-IT-Zonen dürfen nicht zu einer flachen Trust-Domain verschmelzen. Geräteidentitäten, Netzwerkzonen und erlaubte Kommunikationsbeziehungen sind vor dem Tracking-Rollout festzulegen, nicht danach. Das BSI-ICS-Security-Kompendium in der Fassung 2.0 (2024) fordert eine geplante Netzsegmentierung des OT-Netzes: vertikale Trennung entlang der Produktionshierarchie mit OT-DMZ zwischen IT und OT sowie horizontale Trennung von Anlagen und Maschinen. Es verweist auf das Purdue-Modell und das Zones-and-Conduits-Konzept der IEC 62443. Zones bündeln Assets mit gleichem Sicherheitsbedarf. Conduits sind die kontrollierten Kommunikationspfade dazwischen.

Latenzanforderungen sind use-case-spezifisch. Für viele Tracking-Szenarien genügen Sekundenintervalle. Für Torsteuerung, automatisierte Umlagerung oder sicherheitsnahe Events können engere Grenzen gelten. Die Netzplanung muss diese Klassen trennen. Sonst konkurrieren Telemetrie-Bursts mit Steuerungs- und Office-Last um dieselben Pfade.

Ausfallszenarien gehören in denselben Entwurf. Was passiert, wenn das Hallen-WLAN überlastet ist, die Campus-Zelle ausfällt oder der Carrier-Uplink stockt? Lokale Pufferung, Store-and-Forward, degradierte Ortungsgenauigkeit und klare Timeout-Logik sind Architekturentscheidungen. Tracking, das nur im Idealnetz funktioniert, ist kein Betriebsmodell.

Betriebsverantwortung zwischen Netzwerk und Logistik-IT

Viele Vorhaben starten als Logistik- oder Supply-Chain-Projekt und behandeln das Netz als Commodity. Das ist die typische Falle: Nach dem Piloten tauchen Coverage-Lücken, VLAN-Konflikte, Zertifikatsprobleme und unklare Incident-Pfade auf. Netzwerk-Team und Logistik-IT brauchen deshalb von Anfang an geteilte Betriebsverantwortung.

Das betrifft Geräte-Onboarding, Zertifikatslebenszyklus, Firmware-Updates, Alarm-Routing und Change-Management. Wer ein Tracking-Device in die Halle stellt, ohne zu klären, wer Funkqualität, Identity und Policy besitzt, erzeugt Schatten-IT im OT-Umfeld. Die NIST-Special-Publication 1800-36 beschreibt vertrauenswürdiges Network-Layer-Onboarding und Lifecycle-Management für IoT-Geräte: Credentials provisionieren, Geräte und Netze schützen, Lifecycle-Prozesse automatisieren. Das BSI-ICS-Security-Kompendium betont ergänzend klare Betriebsprozesse, Dokumentation und die Zusammenarbeit von IT- und OT-Fachexperten bei Netzwerksegmentierung, Monitoring und Incident Response.

Ebenso klar muss die Datenhoheit sein. Position und Zustand sind operative Daten. Sie berühren oft Inventory-, MES- und TMS-Systeme. Netzwerk liefert den Transport und die Zonengrenzen. Logistik-IT liefert die Fachlogik. Ohne Schnittstellenvertrag zwischen beiden Seiten bleiben Fehlerbilder unklar: Ist es Funk, Routing, Identity oder Anwendung?

Architektur-Check vor dem Tracking-Rollout

Vor dem flächigen Rollout lohnt ein knapper Architektur-Check. Zuerst Traffic- und Latenzklassen definieren. Danach Coverage und Medienmix für Werk, Hof und Lager bewerten, inklusive Carrier-Übergänge. Parallel Segmentierung, Geräteidentität und erlaubte Flows festlegen und an Security-Vorgaben spiegeln.

Drittens Betriebsmodell und Eskalationswege schreiben: Wer misst was, wer patcht was, wer öffnet bei Ausfall den Incident. Viertens den Pilot so schneiden, dass er die harten Grenzen testet: Roaming zwischen Hallen, Lastspitzen am Schichtwechsel, Ausfall des Uplinks und Identity-Renewal. Ein Pilot nur in der besten Zelle der besten Halle beweist wenig.

Wer Tracking als reines Anwendungsprojekt startet, entdeckt Netz- und Security-Constraints zu spät und teuer. Wer Enterprise Networks, Campus-Anbindung und Carrier-Pfade vor dem Use Case plant, macht Werksvernetzung und Asset-Tracking zu einem steuerbaren Capex- und Betriebsvorhaben statt zu einer Abfolge von Nachbesserungen.

Häufig gestellte Fragen

Warum reicht die Dimensionierung nur nach Peak-Bandwidth oft nicht?

Tracking erzeugt viele kleine, periodische Nachrichten mit ungleicher Priorität statt großer Batch-Uploads. Funkzellen und Access Points reagieren auf Intervalle, Bursts und Offline-Nachläufe anders als auf Office- oder reinen SCADA-Traffic. Ohne Update-Intervall, Payload-Größe und Prioritätsklassen bleiben WLAN, Campus-Uplink und Carrier-Anbindung Schätzungen.

Wann entlastet ein 5G-Campusnetz die Hallen wirklich?

Private Campusnetze helfen bei dichten Hallen und mobilen Flächen mit steuerbarer Latenz und Verfügbarkeit. Sie ersetzen die Anbindung an Rechenzentrum oder Multi-Cloud nicht: Backhaul bleibt oft MPLS, VPN oder Carrier-Ethernet. Wer den Campus isoliert plant und den Weitverkehr als Restgröße behandelt, verschiebt den Flaschenhals nur eine Schicht nach außen.

Welche Segmentierung gilt vor dem Tracking-Rollout als Mindestmaß?

OT-, IoT- und Enterprise-IT-Zonen bleiben getrennte Trust-Domains mit festgelegten Identitäten und erlaubten Flows. Das BSI-ICS-Security-Kompendium verlangt vertikale Trennung mit OT-DMZ sowie horizontale Trennung von Anlagen; Zones und Conduits nach IEC 62443 bündeln gleiche Sicherheitsbedarfe und kontrollierte Pfade. Segmentierung und Identity stehen vor dem Rollout, nicht danach.

Was muss der Pilot abdecken, damit er den Produktivbetrieb vorwegnimmt?

Der Pilot prüft die harten Grenzen: Roaming zwischen Hallen, Lastspitzen am Schichtwechsel, Ausfall des Carrier-Uplinks und Identity-Renewal. Dazu gehören lokale Pufferung, Store-and-Forward und Timeout-Logik bei überlastetem WLAN oder ausgefallener Campus-Zelle. Eine Messung nur in der besten Zelle der besten Halle belegt kaum Betriebsreife.