Smart-Meter-Gateway als HAN-Kommunikations-Gateway

Dezentrale Erzeuger mit einer installierten Leistung von mehr als 7 kW, die unter das EEG (Erneuerbare-Energien-Gesetz) oder KWKG (Kraft-Wärme-Kopplungs-Gesetz) fallen, müssen gemäß § 21c, Absatz 3 des Energiewirtschaftsgesetzes (EnWG) in Zukunft durch den Messstellenbetreiber über das CLS-Interface mit der SMGW-HAN-Schnittstelle verbunden werden – sofern technisch möglich und wirtschaftlich vertretbar. Energiemanagement-Gateways lassen sich hingegen mit der HAN-Schnittstelle koppeln. Aus der Sicht des BSI darf ein solches Gateway aber ein CLS darstellen und mit dem SMGW kommunizieren, um zum Beispiel als HAN-Teilnehmer die aktuellen Verbrauchswerte auszulesen oder über das SMGW eine sichere WAN-Verbindung zu einem EMT aufzubauen. Ob ein Energiemanagement-Gateway als CLS eine WAN-Verbindung über das SMGW aufbauen muss oder dieses zum Beispiel über eine separate (ungesicherte) Internetverbindung umgehen darf, wird durch den aktuellen Entwurf der TR 03109 nicht definiert.

Die TLS-Proxy-Funktion des SMGW ermöglicht verschiedenen CLS-Systemen die Kommunikation mit konfigurierten, externen Marktteilnehmern im WAN. Eine solche CLS-EMT-Verbindung wird gemäß TR durch den SMGW-Administrator konfiguriert und verwaltet. Zur Authentisierung muss ein CLS selbst signierte X.509-Zertifikate verwenden. TLS-Verbindungen vom EMT zum SMGW und vom SMGW zum jeweiligen CLS werden beidseitig authentifiziert und grundsätzlich im Gateway terminiert. So gesehen gibt es keinen direkten CLS-EMT-Link, sondern nur einen dreistufigen, indirekten Kommunikationspfad (Bild 2). Dabei dient ein SMGW immer als „vertrauenswürdiger“ Man-in-the-Middle. Die gesamte Kommunikationsbeziehung wird aber auch noch durch den SGMW-Administrator verwaltet.
Nach dem Smart-Meter-Gateway-Schutzprofil kann ein Verbindungsaufbau zum EMT nur vom CLS bzw. SMGW eingeleitet werden. Um diese Einschränkung zu kompensieren, ist im neusten TR-Entwurf eine kurze Ideenskizze zu finden. Danach kann der EMT einen „elektronischen Verbindungsaufbauantrag“ – beispielsweise mithilfe eines Webservice – an den SMGW-Administrator schicken. Dieser sendet dann ein Wake-Up-Paket an das betreffende SMGW, sodass ein Verbindungsaufbau zum Administrator eingeleitet wird.

Unklarheiten der TR

Unklar bleibt im TR-Entwurf des BSI, wie ein SMGW-Administrator zu einem solchen „Antrags-basierten Anklopfdienst“ verpflichtet werden soll und welche garantierte Reaktionszeit zu erwarten ist. Die Beziehung zwischen EMT und SMGW-Administrator soll in der TR 03109 allerdings auch nicht weiter beschrieben werden. Es ist daher fraglich, ob es einen interoperablen EMT-Anklopfdienst jemals geben wird.
Überhaupt lässt sich im Moment noch nicht abschließend bewerten, welchen tatsächlichen Nutzen die gesamte Proxy-Funktionalität für ein CLS in der Praxis hat. Beispielsweise ist fraglich, ob ein VNB darüber die derzeitigen Funkrundsteuerempfänger zur Abregelung größerer EEG- und KWK-Anlagen ersetzen oder im Sinne des EnWG § 14a unterbrechbare Verbrauchseinrichtungen zur Netzentlastung ausschalten kann. Da der Verbindungsaufbau ausschließlich vom SMGW eingeleitet wird, müsste der VNB zu allen betreffenden SMGW des Versorgungsgebiets eine permanente TLS-Verbindung aufrechterhalten, um bei Bedarf so zeitnah wie möglich Abregelungsbefehle an die dezentralen Erzeuger beziehungsweise Schaltbefehle an unterbrechbare Verbrauchseinrichtungen zu schicken.
Eine solche dauerhafte Verbindung ist zwar technisch möglich, aus IT-Sicht aber ein sehr ressourcenintensives und aufwendiges Vorhaben, da jeder TLS-Kanal nicht unerhebliche Hardware- und Managementressourcen, zum Beispiel zur Zertifikats- oder Schlüsselverwaltung, erfordert. Hinzu kommt, dass der SMGW-Administrator einem externen Marktteilnehmer sicherlich kein SLA (Service Level Agreement) für die Verfügbarkeit einer solchen Verbindung anbieten wird – zumal die TR diesbezüglich auch keinerlei Forderungen enthält.
Aufgrund der recht umständlichen dreistufigen Kommunikationsverbindung und fehlender Dienstgütevereinbarungen ist die Proxy-Funktionalität aus heutiger Sicht auch für den Betreiber eines virtuellen Kraftwerks nutzlos. Nimmt ein solcher Dienstleister beispielsweise ein Blockheizkraftwerk (BHKW), das als CLS mit einem SMGW verbunden ist, in einen Anlagenpool für Minutenreserveleistung (MRL) auf, ist bei Bedarf eine sofort verfügbare und hochstabile WAN-Verbindung erforderlich, die eine BHKW-Fernsteuerung in Echtzeit zulässt. Über diese muss der Betreiber des virtuellen Kraftwerks seinen Anlagenpool fernsteuern können, um seine Energielieferverträge zu erfüllen. Ob eine BSI-konforme Infrastruktur gemäß TR 03109 solche Ansprüche erfüllt, ist im Moment ­offen.

Sicherheitsrisiko

Die SMGW-HAN-Schnittstelle für die Anbindung der CLS und externer Anzeigeeinheiten stellt ein Sicherheitsrisiko dar. Besonders die datenschutztechnischen Schutzziele werden durch diese Schnittstelle zum Teil infrage gestellt, da über das HAN praktisch x-beliebige (unsichere) Systeme, die gleichzeitig eigene – völlig ungesicherte – Verbindungen ins Internet besitzen können, mit dem SMGW verbunden sind. Ein mit entsprechender Schadsoftware versehenes HAN-System könnte die Zählerdaten aus dem LMN auslesen und zusammen mit den entsprechenden Tarifinformationen an einen beliebigen Rechner im Internet übermitteln. Die gesicherte SMGW-WAN-Schnittstelle wird dabei einfach umgangen. Sogar ein Live-Update entsprechender Verbrauchsdaten in einem Twitter- oder Facebook-Account wäre über diesen Weg möglich, der wiederum Rückschlüsse auf die Lebensgewohnheiten des SMGW-Betreibers zuließe – genau das wollten die Datenschutzbeauftragen eigentlich beim Smart-Meter-Einsatz verhindern.
In Liegenschaften mit mehreren Partien, zum Beispiel Mehrfamilienhäusern, die per HAN auf ein gemeinsames, mehrmandantenfähiges SMGW zugreifen, besteht sogar die Gefahr einer unerwünschten Kopplung eigentlich autarker Rechnersysteme. Um diese Schwachstellen zu beseitigen, müsste der SMGW-Administrator eine geeignete HAN-Schutzeinrichtung vor Ort installieren, betreiben und verwalten, um die entsprechende Sicherheit zu garantieren Das dürfte in der Praxis aber an Aufwand, Kosten und rechtlichen Problemen scheitern.

Fazit

Typische Smart-Grid-Szenarien, wie das Lastmanagement in Verteilnetzen oder die Regelung einer KWK-Anlage durch den Betreiber eines virtuellen Kraftwerks, sind durch die in der TR 03109 spezifizierte CLS-Schnittstelle technisch grundsätzlich möglich. Die fehlende physikalische Trennung zwischen den Daten-Gateways der Wärmepumpen, BHKW und Photovoltaikanlagen zur multimandantenfähigen Kundenschnittstelle ist allerdings eine Schwachstelle. Auf die hier geschilderte HAN-Schnittstellen-Problematik wurde das BSI im Rahmen des offiziellen Kommentierungsverfahrens bereits mehrfach hingewiesen.
Weiterhin steht und fällt der SMGW-Nutzen für alle Zusatzdienste – die an die HAN-Schnittstelle gebunden sind – mit den Möglichkeiten und Angeboten des SMGW-Administrators. Ob dieser in der Praxis überhaupt alle in der TR vorgesehenen Aufgaben unter marktwirtschaftlichen Bedingungen erfüllen kann, wurde bisher nicht weiter untersucht. Unter Umständen muss doch noch einmal geprüft werden, ob ein SMGW ohne HAN-Schnittstelle (Bild 3) die tatsächlichen Anforderungen des Marktes nicht besser erfüllen kann.