BSI-TR-konforme Security Bausteine für alle Marktrollen und BDEW Web-API

Der Messstellenbetreiber (MSB) betreibt die Smart-Meter-Gateway-Infrastruktur und Steuerboxen. Er misst, empfängt Messdaten über den Reporting-Kanal des SMGW, bereitet sie auf und leitet sie über die Marktkommunikation an berechtigte Marktrollen weiter. Zugleich verantwortet er als „GWA“ die sichere technische Administration gemäß BSI TR-03109 inklusive Zertifikatsmanagement. Dafür benötigt der MSB spezialisierte Software-Anwendungen wie Gateway-Administration (GWA), Meter Data Management (MDM) und CLS-Management für steuerbare Verbrauchseinrichtungen über den CLS-Kanal. Der MTG CryptoController (MCC) stellt dafür herstellerunabhängig die erforderlichen Krypto-Bausteine bereit. Über die MCC API lassen sich diese Anwendungen einfach anbinden – für eine sichere, verschlüsselte und BSI-TR-03109-konforme Kommunikation.

Der Netzbetreiber verantwortet Netzstabilität, netzorientierte Steuerungsentscheidungen, Redispatch-Maßnahmen und Prozesse nach § 14a EnWG. Dafür benötigt er hochauflösende Messdaten, Fahrpläne und steuerungsrelevante Informationen, um dezentrale Anlagen systematisch einzubinden und das Netz dynamisch präventiv statt rein reaktiv zu steuern. Als zentrale Schnittstelle koordiniert der Netzbetreiber den Daten- und Fahrplanaustausch mit relevanten Marktrollen. Der MTG CryptoController (MCC pEMT) ist als On-Premises Lösung verfügbar. Er stellt herstellerunabhängig die erforderlichen Krypto-Bausteine für den sicheren Messdatenempfang nach TAF 9 und TAF 10 bereit. Der MTG CryptoController verfügt über eine offene Schnittstelle (MCC API). Damit lassen sich Netz-Cockpit- und Backend-Anwendungen einfach anbinden – für skalierbare, mandantenfähige und regelkonforme Netzprozesse gemäß BSI TR-03109. Auch die Nutzung der BDEW Web-API kann mittels MCC BDEW-API im On-Premises Betrieb erfolgen oder über den DARZ energy@Web-API Service genutzt werden.

Lieferanten und Direktvermarkter nutzen das intelligente Messsystem marktdienlich und wettbewerblich. Mit dem fortschreitenden SMGW-Rollout entstehen neue Anwendungen für Steuer- und Messdaten, die auf der SM-PKI-basierten Infrastruktur aufsetzen. Um Messdaten über das Smart Meter Gateway zu empfangen oder Schaltbefehle zu senden, agieren sie als Externe Marktteilnehmer (EMT) und nutzen den sicheren, verschlüsselten Kommunikationskanal des SMGW. Der MTG CryptoController (MCC) stellt dafür die TR-konforme Verbindung zwischen Anwendung und Smart-Meter-Infrastruktur her. Er kapselt die Krypto-Komplexität der BSI-Vorgaben und ermöglicht einen sicheren Marktzugang als EMT.

Hersteller von Smart Meter Gateways können mit dem MTG CryptoController (MCC) und der MTG-Metering-CA ihre Hardware schnell und flexibel mit den geforderten Gütesiegelzertifikaten ausstatten. Drei von fünf SMGW-Herstellern nutzen bereits diese Technologie. Als zusätzlicher Baustein unterstützt der MCC die kryptografisch abgesicherte Erzeugung und Verarbeitung des Elektronischen Bestellscheins (eBS) und Lieferscheins (eLS).

Der MTG CryptoController aEMT (MCC aEMT) sichert die aktiven Zugriffe des aktiven EMT gemäß BSI TR-03109-1 ab. Die MCC Software nimmt die WAN-CLS-Proxy-Kanal TLS-Verbindungen der SMGW entgegen und leitet die über diesen CLS-Proxy-Kanal gesendete Daten (z.B: CLS-Status Meldungen) an die aEMT-Anwendung weiter. Umgekehrt werden die Schalt-/Konfigurationsbefehle der aEMT-Anwendung nur an/über den dem spezifischen CLS-Device zugeordnete SMGW-CLS-ProxyKanal weitergeleitet. Auf diesem Wege steht einen BSI TR-03109 konformen, sicheren transparenten Kanal zwischen aEMT-Anwendung und CLS-Device bereit und können Schalt-/Steuerungsbefehle manipulationssicher an den angeschlossene Steuerboxen und CLS-Geräte übertragen werden.

Der MTG CryptoController GWA (MCC GWA) sichert die SMGW-Verwaltung und Betrieb gemäß den Vorgaben der BSI TR-03109 und TR-03116-3 über den Management-, Admin/Service- und NTP- Kanal. GWA und SMGW authentifizieren sich dabei gegenseitig kryptografisch mit deren SM-PKI Zertifikate über den verschlüsselten TLS-Tunnel. Die gesendeten Inhaltsdaten werden dabei zusätzlich CMS verschlüsselt und signiert, z.B. vom GWA zum SMGW die Konfigurationsprofile für TAF und CLS-Proxy, genauso die vom SMGW versendete Mess-, Status- und Log-Daten. Zusätzlich hat nur der GWA die Möglichkeit seine SMGW mittels von MCC GWA signierte WakeUp-Pakete, zu kontaktieren. Auch kann nur der GWA einen sicheren Kanal zum Download von Firmware-Updates bereitzustellen.

Dank des MTG CryptoControllers statten Hersteller von Smart Meter Gateways ihre Hardware skalierbar sowie ausfallsicher mit den erforderlichen Gütesiegelzertifikaten aus und verwalten das Schlüsselmaterial geschützt in einem HSM.