Was ist ein verwalteter MQTT-Broker? Vorteile, Kosten und die richtige Wahl

Ein verwalteter MQTT-Broker ist ein MQTT-Server, den jemand anderes für Sie betreibt: Sie erhalten einen Hostnamen, Ports und Zugangsdaten, und der Anbieter kümmert sich um Server, Zertifikate, Upgrades und Kapazität. In diesem Leitfaden erfahren Sie, was ein verwalteter MQTT-Broker konkret für Sie übernimmt, wie er sich vom Betrieb eines eigenen Brokers unterscheidet, welches Betriebsmodell zu Ihrem Projekt passt und wie Sie Ihren ersten Client in etwa fünf Minuten verbinden.

Wenn MQTT für Sie noch neu ist, beginnen Sie mit Was ist ein MQTT-Broker? und kehren Sie hierher zurück, sobald Sie sich mit dem Hosting beschäftigen möchten.

Was ist ein verwalteter MQTT-Broker?

MQTT ist ein schlankes Publish/Subscribe-Protokoll. Geräte und Anwendungen sprechen nie direkt miteinander; sie verbinden sich mit einem Broker, veröffentlichen Nachrichten auf Topics und abonnieren die Topics, die sie interessieren. Der Broker ist die eine Infrastrukturkomponente, durch die jede Nachricht läuft – das macht ihn zugleich einfach und kritisch. In Industrie-4.0-Projekten wird er oft zum Kern eines Unified Namespace (UNS), in dem SPS, MES und Dashboards ihre Daten unter einer gemeinsamen ISA-95-Topic-Struktur austauschen.

Ein selbst betriebener Broker bedeutet, dass Sie Broker-Software auf einer virtuellen Maschine oder in einem Kubernetes-Cluster installieren und für alles drumherum verantwortlich sind. Ein verwalteter MQTT-Broker (auch „MQTT Broker as a Service“ oder Cloud-MQTT-Broker genannt) überträgt diese Verantwortung an einen Anbieter. In der Praxis erhalten Sie:

• Einen öffentlichen Endpunkt wie mqtts://your-broker:8883 sowie WebSocket-Endpunkte für Browser.
• Zugangsdaten (Benutzername, Passwort, Client ID), die pro Broker generiert werden.
• TLS mit einem gültigen, automatisch erneuerten Zertifikat.
• Eine Webkonsole, um Broker anzulegen, Topics zu untersuchen, Verbindungen zu beobachten und Alarme zu konfigurieren.
• Planbasierte Limits für Verbindungen, Nachrichtengröße und QoS, die Sie durch einen Planwechsel anheben können, statt Infrastruktur neu aufzubauen.

Ihre Geräte sprechen weiterhin ganz normales, standardkonformes MQTT. Das ist wichtig: Sie sind an kein proprietäres SDK gebunden, und jede Client-Bibliothek für MQTT 3.1.1 oder MQTT 5.0 funktioniert.

Verwaltet vs. selbst betrieben: MQTT-Broker im Vergleich

Einen Open-Source-Broker auf einer einzelnen VM zu betreiben, ist am ersten Tag einfach. Die Arbeit kommt später: Zertifikatserneuerungen, Betriebssystem-Patches, das erste Mal, wenn sich eine ganze Geräteflotte gleichzeitig neu verbindet, und um drei Uhr nachts die Frage, ob der Broker überhaupt läuft. So verteilen sich die Zuständigkeiten.

Betrieb und Patching

Bei einem selbst betriebenen Broker verfolgen Sie Sicherheitshinweise für den Broker, die TLS-Bibliothek und das Betriebssystem, planen Wartungsfenster und testen Upgrades. Bei einem verwalteten MQTT-Broker spielt der Anbieter Updates auf die Broker-Flotte ein, und Sie arbeiten weiter mit demselben Hostnamen und denselben Zugangsdaten.

Skalierung

Ein einzelner selbst betriebener Knoten hat eine Obergrenze, die durch CPU, Arbeitsspeicher und File-Descriptor-Limits bestimmt wird. Um sie anzuheben, müssen Sie die Maschine vergrößern, den Kernel tunen und manchmal die Architektur überarbeiten. Bei einem verwalteten Dienst skalieren Sie, indem Sie in einen Plan mit höheren Limits oder auf einen dedizierten Cluster wechseln. ConnectMQ schützt die gemeinsam genutzte Infrastruktur außerdem mit planbezogenen Quotas, Schutz vor Verbindungsfluten und adaptivem Überlastschutz, sodass ein fehlerhafter Client nicht alle anderen lahmlegen kann.

TLS-Zertifikate

Verschlüsseltes MQTT auf Port 8883 erfordert ein Zertifikat, dem die Clients vertrauen. Selbstbetrieb heißt: Zertifikat beschaffen, die Erneuerung automatisieren und Listener neu starten. ConnectMQ stellt TLS auf 8883 und Secure WebSocket auf 8084 mit einem Let's-Encrypt-Zertifikat bereit, sodass Standard-Clients ihm ohne weitere Konfiguration vertrauen. Mehr zur Transportsicherheit lesen Sie in MQTT-Sicherheit: Best Practices.

Monitoring

Ein nackter Broker liefert Ihnen Logs und bestenfalls $SYS-Topics. Dashboards, Alarmierung und eine Übersicht, welches Gerät verbunden ist, brauchen Sie trotzdem. Das ConnectMQ-Portal umfasst ein Dashboard, einen Live-Topic-Explorer, einen MQTT-Client im Browser, eine nach ISA-95-Ebenen gegliederte Geräteansicht, Schwellwert-Alarmregeln und ein Alarmprotokoll.

Gesamtbetriebskosten

Die Serverrechnung ist selten der teure Teil. Die folgende Tabelle zeigt, wo der Aufwand entsteht.

Selbstbetrieb ist weiterhin sinnvoll, wenn Daten Ihr Netzwerk niemals verlassen dürfen, wenn strikte Air-Gap-Anforderungen gelten, etwa in nach IEC 62443 segmentierten OT-Netzen, oder wenn Sie bereits ein Plattform-Team mit freien Kapazitäten haben. Für die meisten Teams, die ein Produkt ausliefern, macht ein verwalteter MQTT-Broker aus einer dauerhaften Betriebslast ein planbares Abonnement.

Betriebsmodelle für verwaltete MQTT-Broker

„Verwaltet“ ist nicht gleich „verwaltet“. Das richtige Modell hängt davon ab, wie viel Isolation Sie brauchen und wo Ihre Daten liegen müssen. ConnectMQ bietet vier Modelle, die den Plänen entsprechen.

Serverless (geteilter Cluster)

Sie erhalten in Sekunden einen Broker, ohne Maschinengrößen auswählen zu müssen. Die Topics jedes Mandanten sind von anderen Mandanten und vom öffentlichen MQTT-Broker isoliert. Der kostenlose Serverless-Plan richtet sich an Tests und Prototypen: bis zu 25 gleichzeitige Verbindungen, QoS bis 1, Nachrichten bis 256 KB, Retained Messages und Wildcard-Abonnements. Der kostenpflichtige Serverless-Plan hebt dies auf demselben geteilten Cluster auf Produktionsniveau: bis zu 1.000 Verbindungen, QoS 2, Nachrichten bis 1 MB und Shared Subscriptions.

Dedicated

Ein Dedicated-Plan gibt Ihnen einen eigenen, isolierten Broker-Cluster. „Laute Nachbarn“ spielen keine Rolle mehr, und die Kapazität ist für Ihren Workload reserviert, während ConnectMQ den Betrieb weiterhin übernimmt.

BYOC (Bring Your Own Cloud)

Bei BYOC laufen die Broker in Ihrem eigenen Cloud-Konto und werden von ConnectMQ verwaltet. Das ist hilfreich, wenn Ihr Sicherheitsteam verlangt, dass Daten innerhalb Ihrer Kontogrenze bleiben, oder wenn Sie vorhandenes Cloud-Budget nutzen möchten.

Self Managed Enterprise

Für Fabriken, Versorgungsunternehmen und andere Standorte, an denen der Broker auf eigener Hardware laufen muss, bietet der Plan Self Managed Enterprise einen lizenzierten Broker, den Sie auf Ihrer Infrastruktur betreiben. Er eignet sich für industrielle Umgebungen, etwa als UNS-Broker im Werk, auf dem die ISA-95-Hierarchie Enterprise → Site → Area → Line → Cell zur Topic-Struktur wird (acme/werk-stuttgart/montage/linie-1/zelle-3/temperatur). In Sparkplug B und Unified Namespace lesen Sie, wie ConnectMQ mit ISA-95- und Sparkplug-B-Topic-Strukturen umgeht.

Unsicher, welches Modell das richtige ist? Unser Leitfaden zur Auswahl eines IoT-MQTT-Brokers führt Sie durch die Entscheidungskriterien.

Schnellstart: Ihr erster verwalteter MQTT-Broker in 5 Minuten

Sie können MQTT ausprobieren, bevor Sie ein Konto anlegen, und danach auf einen privaten Broker mit Zugangsdaten umsteigen.

Schritt 0: Anonym auf dem öffentlichen MQTT-Broker testen

Unter broker.connectmq.com steht ein öffentlicher MQTT-Broker bereit. Verbinden Sie sich ohne Benutzername und Passwort und mit einer eindeutigen, nicht leeren Client ID. Alles auf dem öffentlichen MQTT-Broker ist für jeden lesbar – verwenden Sie daher ein zufälliges Präfix und senden Sie niemals personenbezogene oder vertrauliche Daten.

Öffnen Sie ein Terminal und abonnieren Sie:

mosquitto_sub -h broker.connectmq.com -p 1883 -i demo-sub-7f3k \
  -t "connectmq/demo/7f3k/#" -v

Veröffentlichen Sie in einem zweiten Terminal:

mosquitto_pub -h broker.connectmq.com -p 1883 -i demo-pub-7f3k \
  -t "connectmq/demo/7f3k/room1/temp" -m '{"temp":22.5}' -q 1

Der Subscriber gibt connectmq/demo/7f3k/room1/temp {"temp":22.5} aus. Auf dem öffentlichen MQTT-Broker gelten folgende Limits: 64 KB pro Nachricht, 10 Nachrichten pro Sekunde und Client, 10 Abonnements pro Client und bis zu 8 Topic-Ebenen. Gut zum Testen und für Prototypen – für die Produktion brauchen Sie einen eigenen Broker.

Schritt 1: Registrieren und Broker anlegen

1. Rufen Sie app.connectmq.com auf und registrieren Sie sich. Für den kostenlosen Serverless-Plan ist keine Kreditkarte nötig.
2. Wählen Sie einen Plan und legen Sie einen Broker an.
3. Kopieren Sie den generierten Benutzernamen, das Passwort und die Client ID. Ihre Client ID ist auf den ausgegebenen Wert und dessen _suffix-Varianten beschränkt (zum Beispiel YOUR_CLIENT_ID_sensor1), sodass Sie mehrere Clients unter einem Broker betreiben können.

Schritt 2: Per TLS mit mosquitto verbinden

Verwenden Sie Port 8883 für verschlüsseltes MQTT. Da das Zertifikat von Let's Encrypt ausgestellt ist, genügt es, den Client auf den CA-Speicher Ihres Systems zu verweisen. Unter Linux und macOS:

mosquitto_sub -h broker.connectmq.com -p 8883 --capath /etc/ssl/certs \
  -u YOUR_USERNAME -P YOUR_PASSWORD -i YOUR_CLIENT_ID_sub \
  -t "factory1/line1/#" -v -V mqttv5

mosquitto_pub -h broker.connectmq.com -p 8883 --capath /etc/ssl/certs \
  -u YOUR_USERNAME -P YOUR_PASSWORD -i YOUR_CLIENT_ID_pub \
  -t "factory1/line1/cnc1/telemetry" -m '{"spindle_rpm":12000}' -q 1 -V mqttv5

Unter Windows übergeben Sie statt --capath eine CA-Bundle-Datei mit --cafile.

Schritt 3: Aus Python verbinden

Installieren Sie den Client mit pip install paho-mqtt (Version 2.x) und führen Sie dann Folgendes aus:

import json
import ssl
import paho.mqtt.client as mqtt

BROKER = "broker.connectmq.com"
PORT = 8883
USERNAME = "YOUR_USERNAME"
PASSWORD = "YOUR_PASSWORD"
CLIENT_ID = "YOUR_CLIENT_ID"
TOPIC = "factory1/line1/cnc1/telemetry"


def on_connect(client, userdata, flags, reason_code, properties):
    print("Connected:", reason_code)
    client.subscribe(TOPIC, qos=1)
    client.publish(TOPIC, json.dumps({"spindle_rpm": 12000}), qos=1)


def on_message(client, userdata, msg):
    print(f"{msg.topic} -> {msg.payload.decode()}")


client = mqtt.Client(
    mqtt.CallbackAPIVersion.VERSION2,
    client_id=CLIENT_ID,
    protocol=mqtt.MQTTv5,
)
client.username_pw_set(USERNAME, PASSWORD)
client.tls_set(cert_reqs=ssl.CERT_REQUIRED)
client.on_connect = on_connect
client.on_message = on_message

client.connect(BROKER, PORT, keepalive=60)
client.loop_forever()

Sie sollten Connected: Success und anschließend Ihre eigene Nachricht sehen. Öffnen Sie den Live-Topic-Explorer im Portal – dort erscheint dieselbe Nachricht.

Schritt 4: Beobachten und alarmieren

Im Portal können Sie Topics beim Eintreffen untersuchen, prüfen, welche Clients verbunden sind, und eine Schwellwert-Alarmregel hinzufügen (zum Beispiel eine Benachrichtigung, wenn spindle_rpm einen Grenzwert überschreitet). Wenn Sie mit VS Code arbeiten, zeigt die ConnectMQ-Erweiterung die Reason Codes von CONNACK, SUBACK und PUBACK an und stellt numerische JSON-Felder live als Diagramm dar.

Worauf Sie vor der Wahl eines verwalteten MQTT-Brokers achten sollten

Ganz gleich, welchen Anbieter Sie prüfen – stellen Sie diese Fragen:

• Protokollunterstützung: Werden sowohl MQTT 3.1.1 als auch MQTT 5.0 unterstützt? MQTT-5-Funktionen wie Session Expiry, Message Expiry, Topic Aliases und Reason Codes erleichtern den Betrieb von Geräteflotten.
• Transportoptionen: TCP, TLS und WebSocket (einschließlich Secure WebSocket für Browser-Dashboards).
• Mandantenisolation: Sind Ihre Topics auf einem geteilten Cluster für andere Kunden unsichtbar?
• Missbrauchsschutz: Quotas, Flood-Schutz und das Sperren wiederholter Anmeldeversuche mit falschen Zugangsdaten.
• Angekündigte statt geratene Limits: Ein MQTT-5-Broker kann Clients seine Limits im CONNACK mitteilen (Maximum QoS, Retain Available, Wildcard und Shared Subscription Available, Receive Maximum). ConnectMQ tut das, sodass sich Clients anpassen können, statt stillschweigend zu scheitern.
• Upgrade-Pfad: Können Sie von einem kostenlosen geteilten Broker auf Dedicated, Ihre eigene Cloud oder On-Premises wechseln, ohne Ihre Geräte neu zu programmieren?

Starten Sie mit ConnectMQ

Legen Sie Ihren ersten verwalteten MQTT-Broker unter app.connectmq.com an. Der Serverless-Plan ist kostenlos, benötigt keine Kreditkarte und liefert Ihnen in wenigen Minuten Zugangsdaten, TLS und ein Portal mit Topic-Explorer. Wenn Sie herauswachsen, wechseln Sie zu Serverless Paid, Dedicated, BYOC oder Self Managed Enterprise, ohne Ihren MQTT-Code zu ändern.

Häufig gestellte Fragen

Was ist ein verwalteter MQTT-Broker?

Ein verwalteter MQTT-Broker ist ein MQTT-Server, der von einem Anbieter betrieben wird. Sie verbinden sich mit Standard-MQTT-Clients über einen Hostnamen und Zugangsdaten, während der Anbieter sich um Server, Upgrades, TLS-Zertifikate, Kapazität und Schutzmaßnahmen kümmert.

Ist ein verwalteter MQTT-Broker teurer als der Selbstbetrieb?

Das Abonnement kann teurer wirken als eine einzelne VM, doch der Selbstbetrieb kostet zusätzlich Engineering-Zeit für Patching, Zertifikate, Monitoring und Bereitschaftsdienst. Für die meisten Teams sind die Gesamtbetriebskosten mit einem verwalteten MQTT-Broker niedriger, und ConnectMQ bietet einen kostenlosen Serverless-Plan für den Einstieg.

Kann ich meine bestehenden MQTT-Client-Bibliotheken verwenden?

Ja. ConnectMQ spricht standardkonformes MQTT 3.1.1 und MQTT 5.0 über TCP, TLS und WebSocket, sodass Bibliotheken wie Eclipse Paho, MQTT.js und PubSubClient ohne Änderungen funktionieren.

Welche Ports sollte ich mit ConnectMQ verwenden?

Verwenden Sie in der Produktion 8883 für MQTT über TLS und 8084 für Secure WebSocket. Die Ports 1883 (TCP) und 8083 (WebSocket) stehen für schnelle Tests auf dem öffentlichen MQTT-Broker zur Verfügung.

Kann ich Daten in meiner eigenen Cloud oder On-Premises halten?

Ja. Der BYOC-Plan betreibt von ConnectMQ verwaltete Broker in Ihrem eigenen Cloud-Konto, und der Plan Self Managed Enterprise stellt einen lizenzierten Broker bereit, den Sie auf Ihrer eigenen Infrastruktur betreiben.