Schnittstellen ermöglichen drei isolierte Netze

Bild 2: Grafik (Quelle: SSV Software Systems GmbH)

Ein SMGW wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) als Datenspeicher, Datenaufbereiter und Firewall zwischen der Zählertechnik eines Gebäudes, der Außenwelt und dem lokalen Umfeld angesehen. Aus diesem Grund soll ein solches Gateway über entsprechende separate Schnittstellen gleichzeitig in ein Local Metrological Network (LMN), Wide Area Network (WAN) und Home Area Network (HAN) eingebunden sein (Bild 1). Für praktisch alle bidirektionalen Kommunikationsverbindungen in diesen Netzwerken fordert die TR 03109 den Einsatz von TLS (Transport Layer Security) – ein hybrides Verschlüsselungsverfahren, dass in der Regel zur sicheren Datenübertragung im Internet genutzt wird. Mithilfe der LMN-Schnittstelle sind alle abrechnungsrelevanten Verbrauchszähler eines Gebäudes mit dem SMGW verbunden. Alle Zählerdaten werden grundsätzlich verschlüsselt übertragen. Die zur Abrechnung erforderlichen Tarife sind im SMGW gespeichert.

Fernzugriff auf ein Smart-Meter-Gateway

Die WAN-Schnittstelle ermöglicht verschiedenen Instanzen den Zugriff auf ein SMGW aus der Ferne. So kann der Administrator ein SMGW installieren, konfigurieren, überwachen und steuern sowie die SMGW-Firmware und die für den Betrieb erforderlichen Tarif- und Kommunikationsprofile aktualisieren. Des Weiteren gibt es im WAN verschiedene externe Marktteilnehmer (EMT), mit denen ein SMGW auf Wunsch eine Kommunikationsbeziehung aufnehmen kann. Dabei ist zu beachten, dass der Verbindungsaufbau zwischen SMGW und EMT aus Sicherheitsgründen immer vom SMGW ausgeht. Als EMT kommen aus der TR-Sicht der Verteilnetzbetreiber (VNB), Messstellenbetreiber (MSB) und Messdienstleister (MDL), beliebige Lieferanten und andere Serviceanbieter, zum Beispiel der Betreiber eines virtuellen Kraftwerks, infrage.
Durch die HAN-Schnittstelle wird dem Anwender ein kryptografisch gesichertes Display-Interface als Kundenschnittstelle zur Verfügung gestellt. Es ermöglicht den direkten Zugriff auf Zählerdaten und Tarifinformationen, um durch eine Energieverbrauchsvisualisierung die Grundlage für eine Verbrauchsoptimierung zu schaffen. Entsprechende externe Anzeigeeinheiten können allerdings nur lesend auf ein SMGW zugreifen. Zur HAN-Schnittstelle gehört auch ein Controllable-Local-System-(CLS-)Interface, das den Fernzugriff auf regelbare Erzeuger (Photovoltaikanlagen, Blockheizkraftwerke) und unterbrechbare Verbrauchseinrichtungen (Wärmepumpen, Ladevorrichtungen von Elek­trofahrzeugen) ermöglicht. Dadurch soll zum Beispiel ein Netzbetreiber die vom BDEW geforderte Möglichkeit zu Schalthandlungen in Smart Grid erhalten. Der neuste TR-Entwurf schreibt dafür einen konfigurierbaren CLS-Proxy als SMGW-Standardfunktion vor, der TLS-gesicherte Verbindungen vom CLS in das WAN unterstützt. Insgesamt ist die HAN-Schnittstelle in erheblichem Umfang für die Komplexität der TR 03109 verantwortlich. Darüber hinaus schaffen das mehrmandantenfähige Display-Interface und die CLS-Verbindungen aber auch zahlreiche Sicherheitsprobleme, da die HAN-Schnittstelle gemäß TR als Ethernet-Port auszuführen ist.

Smart-Meter-Gateway als HAN-Kommunikations-Gateway

Dezentrale Erzeuger mit einer installierten Leistung von mehr als 7 kW, die unter das EEG (Erneuerbare-Energien-Gesetz) oder KWKG (Kraft-Wärme-Kopplungs-Gesetz) fallen, müssen gemäß § 21c, Absatz 3 des Energiewirtschaftsgesetzes (EnWG) in Zukunft durch den Messstellenbetreiber über das CLS-Interface mit der SMGW-HAN-Schnittstelle verbunden werden – sofern technisch möglich und wirtschaftlich vertretbar. Energiemanagement-Gateways lassen sich hingegen mit der HAN-Schnittstelle koppeln. Aus der Sicht des BSI darf ein solches Gateway aber ein CLS darstellen und mit dem SMGW kommunizieren, um zum Beispiel als HAN-Teilnehmer die aktuellen Verbrauchswerte auszulesen oder über das SMGW eine sichere WAN-Verbindung zu einem EMT aufzubauen. Ob ein Energiemanagement-Gateway als CLS eine WAN-Verbindung über das SMGW aufbauen muss oder dieses zum Beispiel über eine separate (ungesicherte) Internetverbindung umgehen darf, wird durch den aktuellen Entwurf der TR 03109 nicht definiert.

Die TLS-Proxy-Funktion des SMGW ermöglicht verschiedenen CLS-Systemen die Kommunikation mit konfigurierten, externen Marktteilnehmern im WAN. Eine solche CLS-EMT-Verbindung wird gemäß TR durch den SMGW-Administrator konfiguriert und verwaltet. Zur Authentisierung muss ein CLS selbst signierte X.509-Zertifikate verwenden. TLS-Verbindungen vom EMT zum SMGW und vom SMGW zum jeweiligen CLS werden beidseitig authentifiziert und grundsätzlich im Gateway terminiert. So gesehen gibt es keinen direkten CLS-EMT-Link, sondern nur einen dreistufigen, indirekten Kommunikationspfad (Bild 2). Dabei dient ein SMGW immer als „vertrauenswürdiger“ Man-in-the-Middle. Die gesamte Kommunikationsbeziehung wird aber auch noch durch den SGMW-Administrator verwaltet.
Nach dem Smart-Meter-Gateway-Schutzprofil kann ein Verbindungsaufbau zum EMT nur vom CLS bzw. SMGW eingeleitet werden. Um diese Einschränkung zu kompensieren, ist im neusten TR-Entwurf eine kurze Ideenskizze zu finden. Danach kann der EMT einen „elektronischen Verbindungsaufbauantrag“ – beispielsweise mithilfe eines Webservice – an den SMGW-Administrator schicken. Dieser sendet dann ein Wake-Up-Paket an das betreffende SMGW, sodass ein Verbindungsaufbau zum Administrator eingeleitet wird.

2 / 3

Ähnliche Beiträge