Die Shelly Group hat am 27. Juli die letzten 24 Prozent an ihrer slowenischen Tochter Shelly Tech übernommen. Der Kaufpreis von 948.939,02 Euro fällt neben einem Halbjahresumsatz von 68,3 Millionen Euro kaum auf. Bemerkenswert bleibt der Zeitpunkt: Gut sechs Wochen später greift die erste Frist des Cyber Resilience Act.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Krumme Kaufpreise verraten oft mehr als runde. 948.939,02 Euro zahlt Shelly für den Schlussanteil an Shelly Tech in Nova Gorica, auf den Cent berechnet nach einer Formel aus einem Optionsvertrag vom Januar 2023. Verhandelt hat im Juli 2026 niemand mehr.
Das Wichtigste in Kürze
- Shelly hält seit dem 27. Juli 2026 alle Anteile an Shelly Tech in Nova Gorica.
- Der Kaufpreis von 948.939,02 Euro folgt der Formel eines Optionsvertrags vom Januar 2023.
- Der Halbjahresumsatz 2026 liegt vorläufig bei rund 68,3 Millionen Euro, ein Plus von etwa 27 Prozent bei Geräten und Diensten.
- Ab dem 11. September 2026 gilt für vernetzte Produkte eine Meldefrist von 24 Stunden.
Was hat Shelly in Nova Gorica gekauft?
Shelly Tech, vormals GOAP, entwickelt in Nova Gorica die IoT-Technik des Konzerns. Seit der Call-Option vom 27. Juli 2026 gehört die Gesellschaft für 948.939,02 Euro vollständig zur Shelly Group.
Die Shelly Group sitzt in Sofia und verkauft Relais, Schalter und Sensoren, die sich lokal im Haus statt über eine Herstellercloud schalten lassen. Nova Gorica liefert dazu die Entwicklungsarbeit. Mit dem Schlussanteil endet eine Beteiligung, die seit Januar 2023 über einen Optionsvertrag in Stufen gewachsen ist.[1]
Finanziell fällt der Schritt kaum ins Gewicht. Für das erste Halbjahr hat der Konzern vorläufig rund 68,3 Millionen Euro Umsatz gemeldet und den Kassenbestand um 72 Prozent erhöht.[2] Wie stark dabei dynamische Stromtarife helfen, haben wir Mitte Juli beschrieben.
Warum bleibt der Kaufpreis so niedrig?
Der Betrag stammt nicht aus einer Verhandlung von 2026, sondern aus der Formel des Optionsvertrags von 2023. Shelly hat sich den Preis gesichert, bevor die eigene Produktlinie den heutigen Umsatz erreicht hat.
Gestufte Optionsmodelle binden Gründer über Jahre an das Ergebnis, statt sie einmalig auszuzahlen. Der Käufer verteilt sein Risiko, das Entwicklerteam bleibt an Bord. Der Haken zeigt sich am Ende: Die Formel von 2023 kennt die Marktlage von 2026 nicht.
Für Käufer vernetzter Hardware zählt allerdings weniger der Preis als die Zuständigkeit. Ein Gerät im Sicherungskasten hängt an Firmware, die jemand pflegen muss. Was passiert, sobald diese Zuständigkeit wegbricht, hat die Insolvenz der Smart-Home-Plattform wibutler gezeigt.
Shelly kauft in Nova Gorica keine zusätzliche Umsatzquelle, sondern die volle Zuständigkeit für den eigenen Quelltext. Ab September zählt bei einer ausgenutzten Lücke nur noch, wie schnell ein Hersteller sein eigenes Entwicklerteam erreicht.
— Markus Seyfferth, Chefredakteur Dr. Web
Vom Optionsvertrag zur Meldepflicht
Was ändert der Cyber Resilience Act ab September?
Ab dem 11. September 2026 müssen Hersteller vernetzter Produkte aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden. Die übrigen Pflichten der Verordnung folgen am 11. Dezember 2027.[3]
Die Meldepflicht trifft den Hersteller, nicht den Zulieferer. Ein Konzern, dessen Entwicklungsgesellschaft ihm nur zu drei Vierteln gehört, klärt im Ernstfall erst intern die Zuständigkeit, bevor jemand die Uhr startet. Volle Kontrolle verkürzt diesen Weg.
Wie kurz die Wege sein müssen, zeigen zwei Fälle der vergangenen Wochen. Eine Hanwha-Überwachungskamera hat einen Admin-Token in der Firmware ausgeliefert, TP-Link-Kameras der Kasa-Reihe haben den Standort des Hauses preisgegeben. Beide Fehler liegen im Code, nicht im Gehäuse.
Für Elektroinstallateure und IT-Verantwortliche im Mittelstand lohnen sich vor der nächsten Beschaffung zwei Fragen an den Hersteller:
- Nennt der Hersteller eine Kontaktstelle für Schwachstellenmeldungen und einen Zeitraum für Sicherheitsupdates?
- Läuft das Gerät weiter, sobald die Herstellercloud abgeschaltet wird?
Beide Punkte gehören ins Lastenheft, nicht in das Gespräch nach dem ersten Vorfall. Den Rahmen dazu liefern unsere Grundlagen der IT-Sicherheit, die Fachbegriffe das Cybersecurity-Glossar.
Quellen
[1] Shelly Group: „Shelly Group to acquire remaining stake of 24% in its Slovenian subsidiary Shelly Tech (previously GOAP d.o.o.)“ (27. Juli 2026)
[2] Shelly Group: „Shelly Group reports preliminary group revenue for the first half of 2026“ (13. Juli 2026)
[3] Europäische Kommission: „Cyber Resilience Act“
