Smart-Meter-Gateway-Administration verstehen

Kurzantwort

Der Smart-Meter-Gateway-Administrator (GWA) verantwortet den technischen Betrieb des intelligenten Messsystems. Er sorgt für Installation, Inbetriebnahme, Konfiguration, Administration, Überwachung und Wartung des Smart-Meter-Gateways und der informationstechnischen Anbindung der angeschlossenen Messgeräte. Das regelt § 25 MsbG.

Diese Funktion ist nach § 3 MsbG dem Messstellenbetreiber zugeordnet. Er darf sie selbst ausüben oder ein zertifiziertes Unternehmen beauftragen. Der GWA ist damit keine eigene Marktrolle neben gMSB und wMSB, sondern eine sicherheitsbezogene Betriebsfunktion innerhalb des Messstellenbetriebs. Er konfiguriert das Gateway, verwaltet Zertifikate und Firmware und überwacht den Betrieb. Messwerte plausibilisiert und abrechnet er nicht selbst.

Einordnung: Technikbetrieb im Messstellenbetrieb

Der Messstellenbetrieb ist breit angelegt. § 3 Absatz 2 MsbG zählt Einbau, Betrieb und Wartung der Messstelle, die mess- und eichrechtskonforme Messung, die Messwertaufbereitung und die form- und fristgerechte Datenübertragung auf. Bei einem intelligenten Messsystem kommt der technische Betrieb des Gateways hinzu. § 2 Nr. 24 MsbG beschreibt diesen technischen Betrieb als Installation, Inbetriebnahme, Konfiguration, Administration, Überwachung und Wartung des Gateways und der IT-Anbindung der angeschlossenen Geräte.

Der GWA ist also der Teil des Messstellenbetriebs, der die sichere Kommunikations- und Verarbeitungseinheit betreibt. Die fachliche Messung und die Aufbereitung der Werte bleiben Aufgaben des Messstellenbetreibers. Diese Trennung ist wichtig, weil beide Aufgaben unterschiedliche Rechtsgrundlagen, Nachweise und Systeme haben. Der Messstellenbetrieb wird über den Messstellenvertrag erbracht. Der GWA-Betrieb wird zusätzlich über ein Informationssicherheitsmanagementsystem nachgewiesen.

Der GWA-Lebenszyklus

Der GWA-Betrieb ist kein einmaliger Einbau, sondern ein Kreislauf. Er beginnt mit der Inbetriebnahme, führt über Konfiguration und Zertifikate in den Regelbetrieb und endet dort nicht. Updates und Monitoring laufen dauerhaft weiter. Der Störungsfall ist ein eigener Pfad mit Meldepflichten.

Inbetriebnahme und Konfiguration

Bei der Inbetriebnahme verbindet der GWA das Gateway mit den Messeinrichtungen und der IT-Anbindung. Danach legt er die Konfiguration fest: welche Anwendungen laufen, welche Werte in welchem Raster erhoben werden und welche berechtigte Stelle sie empfängt. Nach § 21 Absatz 1 Nummer 4 MsbG ist das Gateway ausschließlich durch den GWA konfigurierbar. Diese Exklusivität ist kein Organisationsdetail. Sie verhindert, dass Netzbetreiber, Lieferanten oder Dritte die sicherheitsrelevante Konfiguration verändern.

Ein weiterer Punkt betrifft die Steuerung. Ausgewählte energiewirtschaftliche Messungen und Schaltungen der Netzbetreiber müssen nach § 21 Absatz 1 Nummer 4 Buchstabe a MsbG stets, vorrangig und ausschließlich über den GWA ermöglicht werden. Der Netzbetreiber steuert also nicht am Administrator vorbei. Der GWA richtet den technischen Weg ein und überwacht ihn, die fachliche Auslösung folgt den gesetzlichen Vorgaben und Verträgen.

Damit der GWA konfigurieren kann, braucht er Informationen von außen. § 25 Absatz 3 MsbG verpflichtet Netzbetreiber, Energielieferanten und Dritte, deren Verträge über das Gateway abgewickelt werden, dem GWA alle betriebsnotwendigen Informationen bereitzustellen. Dazu gehören insbesondere die Berechtigungsinformationen aus Rahmenverträgen, die im intelligenten Messsystem hinterlegt werden, und die Angaben zur Anbindung, Administration und Steuerung von Anlagen. Fehlen diese Informationen, kann der GWA die Konfiguration nicht korrekt setzen.

Zertifikate und Smart-Metering-PKI

Das Gateway kommuniziert mit den Marktpartnern über die Smart-Metering-PKI. Diese Public-Key-Infrastruktur stellt Zertifikate aus, verteilt sie und prüft sie. Sie sichert Authentizität und Vertraulichkeit der Kommunikation zwischen den Marktteilnehmern und den Gateways. Für die Anbindung an eine Sub-CA der Smart-Metering-PKI muss der GWA sein ISMS-Zertifikat nachweisen. Das erläutert das BSI in seinen FAQ zur Gateway-Administration.

Zwei Zertifikate sind sauber zu trennen. Das Produktzertifikat des Gateways nach § 24 MsbG weist die Erfüllung der sicherheitstechnischen Anforderungen nach Common Criteria oder dem europäischen EUCC-System nach. Ohne ein oder mehrere gültige Zertifikate darf ein Gateway nicht als Bestandteil eines intelligenten Messsystems verwendet werden. Das ISMS-Zertifikat des GWA nach § 25 MsbG betrifft dagegen die Organisation und ihren Betrieb.

Zu den Laufzeiten lässt sich keine pauschale Zahl nennen. Das BSI kann Zertifikate nach § 24 Absatz 3 MsbG zeitlich befristen, beschränken und mit Auflagen versehen. Zertifikate ohne technologisch begründete Befristung unterliegen einer kontinuierlichen Überwachung ihrer Gültigkeit. Für die ISMS-Zertifikate veröffentlicht das BSI eine Liste der zertifizierten Unternehmen mit den jeweiligen Gültigkeiten. Die Daten unterscheiden sich je Unternehmen und Nachweis. Wer einen konkreten Nachweis braucht, prüft die Liste und den Zertifikatstext.

Firmware-Updates und Sicherheitsmängel

§ 21 Absatz 1 Nummer 4 Buchstabe c MsbG verlangt, dass das Gateway Software-Aktualisierungen empfangen und verarbeiten kann. Der GWA betreibt dieses Update-Verfahren. In seinen FAQ erläutert das BSI, dass der GWA regelmäßig auf die Verfügbarkeit neuer Gateway-Firmware prüfen muss. Empfohlen ist eine automatisierte tägliche Prüfung, manuell muss mindestens werktäglich geprüft werden. Auf eine routinemäßige Prüfung an Samstagen, Sonn- und Feiertagen kann verzichtet werden, wenn der GWA sicherheitsrelevante Updates unverzüglich erfährt und einspielt.

Diese Angabe stammt aus den BSI-FAQ mit Stand 02/2023 und bezieht sich auf Kapitel 4.5.19 der damals geltenden Fassung der TR-03109-6. Die Version 2.0 der Technischen Richtlinie wurde am 10. Dezember 2025 veröffentlicht, kann ab Veröffentlichung angewendet werden und ist ab dem 1. Januar 2027 mit der nächsten Neu- oder Rezertifizierung des GWA-Systems verpflichtend. Die Version 1.0 gilt bis zum 31. Dezember 2028. Für konkrete Fristen ist deshalb immer die gültige Fassung der BSI TR-03109-6 maßgeblich.

Neben dem Update-Betrieb gibt es eine unmittelbare Meldepflicht. § 25 Absatz 1 MsbG verlangt, dass der GWA Sicherheitsmängel und Änderungen von Tatsachen, die für die Erteilung des Gateway-Zertifikats wesentlich sind, dem BSI unverzüglich mitteilt. Ein entdeckter Sicherheitsmangel bleibt also nicht im Unternehmen.

Monitoring und Störungsfall

Im Regelbetrieb überwacht der GWA die Verfügbarkeit der Gateways und der Kommunikationsbeziehungen. Er kontrolliert, ob Werte ankommen, ob Zertifikate gültig sind und ob die Konfiguration dem vereinbarten Zustand entspricht. Dazu kommt eine eichrechtliche Aufgabe: Nach § 25 Absatz 4 Nummer 5 MsbG muss der GWA den im Mess- und Eichrecht zuständigen Behörden die Markt- und Verwendungsüberwachung kostenfrei ermöglichen und das Logbuch des Gateways in angemessenen Abständen auf Einhaltung der mess- und eichrechtlichen Vorgaben prüfen.

Im Störungsfall trennt ein sauberes Betriebsmodell drei Ebenen:

• Technische Störung: Das Gateway oder die Kommunikation fällt aus. Der GWA stellt den Betrieb wieder her und dokumentiert den Vorgang.
• Sicherheitsvorfall: Ein Sicherheitsmangel tritt auf. Neben der Behebung greift die Meldepflicht an das BSI nach § 25 Absatz 1 MsbG.
• Fachlicher Klärfall: Werte fehlen oder sind unplausibel, obwohl die Technik läuft. Das betrifft die Messwertaufbereitung des Messstellenbetreibers, nicht den GWA-Betrieb.

Diese Trennung verhindert, dass ein technischer Fehler und ein fachlicher Klärfall in denselben Topf wandern. Ein ausgefallenes Gateway ist ein Betriebsproblem des GWA. Ein Wert, der trotz laufender Technik nicht zur Abrechnung taugt, ist ein Aufbereitungsthema des Messstellenbetreibers.

Beispiel: Ein Messstellenbetreiber lagert den IT-Betrieb aus

Ein Messstellenbetreiber betreibt 50.000 intelligente Messsysteme und bleibt verantwortlicher GWA. Den reinen IT-Betrieb der GWA-Software vergibt er an einen Dienstleister, der die Anwendung als Dienst bereitstellt. Das entspricht dem Modell, das das BSI als IT-Betrieb für einen GWA beschreibt.

In diesem vereinfachten Beispiel bleibt die Verantwortung geteilt, aber nicht übertragen:

• Der Dienstleister weist gegenüber dem GWA eine ISMS-Zertifizierung mit passendem Geltungsbereich nach und betreibt die Anwendung.
• Der Messstellenbetreiber weist als verantwortlicher GWA sein eigenes ISMS nach und vergewissert sich über die Einhaltung der Sicherheitsanforderungen, etwa durch Stichproben-Audits.
• Die Aufgaben und die individuellen Sicherheitsanforderungen an den Dienstleister werden dokumentiert. Die fachliche Verantwortung und die Verantwortung für das ISMS bleiben beim GWA.
• Die Prüfung auf Firmware-Updates und die Meldung von Sicherheitsmängeln an das BSI bleiben Pflichten des verantwortlichen GWA, auch wenn die technische Ausführung beim Dienstleister liegt.

Das BSI nennt in seinen FAQ zusätzlich eine Ausnahme von der Zertifizierungspflicht des verantwortlichen GWA, wenn der Dritte ein passendes ISMS-Zertifikat nachweist, der verantwortliche GWA ein ISMS betreibt oder betreiben lässt und die verbleibenden Verantwortungsbereiche vertraglich geregelt sind. Ob eine Ausnahme greift, ist im Einzelfall zu prüfen. Die Regelfolge bleibt: Die Verantwortung liegt beim GWA.

Folgen und Fehlerfälle

Fehler in der Zuordnung wirken schnell.

• Nicht zertifiziertes Gateway im Produktivbetrieb: § 24 Absatz 4 MsbG verbietet die Verwendung ohne gültige Zertifikate. Der GWA darf nur zertifizierte Gateways einbinden. Für Tests sind Produktiv- und Testdaten zu trennen.
• Konfiguration durch eine nicht berechtigte Stelle: § 21 Absatz 1 Nummer 4 Buchstabe b MsbG weist die Konfiguration ausschließlich dem GWA zu. Ein Eingriff von außen untergräbt das Sicherheitsmodell.
• Fehlende Berechtigungsinformationen: Ohne die Angaben von Netzbetreiber, Lieferant und Dritten nach § 25 Absatz 3 MsbG kann der GWA Anwendungen und Berechtigungen nicht korrekt setzen. Werte erreichen dann die falsche Stelle oder keine.
• Verspätete Update-Prüfung: Sicherheitsrelevante Firmware bleibt ungenutzt. Das erhöht das Angriffsrisiko und kann die Meldepflicht nach § 25 Absatz 1 MsbG auslösen.
• Ungeklärte Zuständigkeit beim Wechsel: Wechselt der Messstellenbetreiber, muss auch die Gateway-Administration geordnet übergehen. Eine reine Namensänderung im Marktpartnerstamm genügt nicht. Zertifikate, Konfiguration und laufende Vorgänge müssen mitwandern.

Typische Missverständnisse

„Der GWA ist eine eigenständige Marktrolle.“
Nein. Nach § 3 Absatz 1 MsbG wird die Funktion dem Messstellenbetreiber zugeordnet. Der GWA ist eine Betriebsfunktion innerhalb des Messstellenbetriebs. Der Messstellenbetreiber kann sie selbst ausüben oder an einen zertifizierten Dienstleister vergeben.

„Beim Outsourcing geht die Verantwortung über.“
Nein. Der verantwortliche GWA bleibt für die Einhaltung der Sicherheitsanforderungen verantwortlich. Der Dienstleister führt aus und weist seine Eignung nach. Die Verantwortung für das ISMS und die Meldungen an das BSI bleibt beim GWA.

„Der GWA muss sich persönlich zertifizieren lassen.“
Nein. Gefordert ist eine Zertifizierung des Informationssicherheitsmanagementsystems, entweder als ISO 27001 auf Basis von IT-Grundschutz oder nach ISO/IEC 27001. Eine Personenzertifizierung verlangt das MsbG nicht.

„Gateway-Zertifikat und ISMS-Zertifikat sind dasselbe.“
Nein. Das Gateway wird als Produkt nach § 24 MsbG zertifiziert, der GWA als Organisation nach § 25 MsbG. Beide Nachweise betreffen unterschiedliche Gegenstände und müssen getrennt geprüft werden.

„Der GWA liest die Werte aus und rechnet ab.“
Nein. Der GWA betreibt die sichere Technik. Die Messwertaufbereitung, Plausibilisierung und Ersatzwertbildung gehören zum Messstellenbetrieb, die Abrechnung zum Lieferanten. Der GWA liefert die technische Grundlage, nicht die Abrechnung.

„Der Netzbetreiber kann das Gateway für Schaltungen direkt ansprechen.“
Nein. Nach § 21 Absatz 1 Nummer 4 Buchstabe a MsbG müssen die ausgewählten Messungen und Schaltungen der Netzbetreiber ausschließlich über den GWA ermöglicht werden. Der GWA richtet den Weg ein und überwacht ihn.

Quellen und Pflegehinweis

Dieser Artikel stützt sich auf das Messstellenbetriebsgesetz, besonders die §§ 2, 3, 21, 24 und 25, auf die Technische Richtlinie BSI TR-03109-6 und die FAQ des BSI zur Gateway-Administration sowie auf das Glossar der Bundesnetzagentur. Geprüft am 10. September 2026.

Veränderlich sind vor allem die Technische Richtlinie und ihre Übergangsfristen. Die Version 2.0 der TR-03109-6 gilt ab dem 1. Januar 2027 verpflichtend bei der nächsten Neu- oder Rezertifizierung, die Version 1.0 bis zum 31. Dezember 2028. Konkrete Fristen zu Firmware-Updates und konkrete Laufzeiten von Zertifikaten ergeben sich aus der jeweils gültigen Fassung der Technischen Richtlinie, aus dem Zertifikatstext und aus der BSI-Liste der zertifizierten Unternehmen. Vor einer Umsetzung diese drei Stellen prüfen.

• MsbG § 2: Begriffsbestimmungen
• MsbG § 3: Messstellenbetrieb
• MsbG § 25: Smart-Meter-Gateway-Administrator; Zertifizierung
• BSI: Technische Richtlinie TR-03109-6
• BSI: Fragen und Antworten zur Gateway-Administration
• Bundesnetzagentur: Glossar Gateway-Administrator