Kurzantwort
AS4 ist der Übertragungsweg, über den Marktpartner EDIFACT-Dateien austauschen. Die Datei wird signiert, für den Empfänger verschlüsselt und über eine TLS-Verbindung an dessen AS4-Webservice geschickt. Erst die synchrone Zustellquittung (Non-Repudiation Receipt, NRR) macht die Übertragung erfolgreich. Ihr Zeitstempel zählt als Empfangszeitpunkt für die Fristen der Geschäftsprozesse.
Die Zertifikate dafür kommen aus der Smart-Metering-PKI des BSI. Jeder Marktpartner braucht ein Zertifikatstripel für Signatur, Verschlüsselung und TLS. Es gilt die Fassung 2.6 der „Regelungen zum Übertragungsweg für AS4“. Die Bundesnetzagentur hat sie mit Mitteilung Nr. 56 am 01.04.2026 veröffentlicht, verbindlich ist sie seit dem 01.10.2026. Das Konsultationsdokument vom 02.02.2026 trägt denselben Inhalt; der Vergleich der Texte zeigt nur geänderte Datumsangaben und den Status „Genehmigt“.
Was gilt heute
Die Bundesnetzagentur hat AS4 mit dem Beschluss BK6-21-282 festgelegt; die Regelungen nennen daneben BK7-19-001. In der Sparte Strom mussten alle Marktpartner ab dem 1. Oktober 2023 mit einer Übergangsfrist von sechs Monaten zum 1. April 2024 umstellen (BDEW: AS4 in der Sparte Strom). Seit diesem Stichtag darf die Strom-Marktkommunikation nicht mehr per E-Mail mit S/MIME laufen. Der BDEW zitiert dazu die Mitteilung Nr. 3 der Bundesnetzagentur. Das Kapitel „Wechsel des Übertragungsweges“ hat die Fassung 2.6 gestrichen, weil der Umstellungszeitraum abgelaufen ist (Änderungs-ID 12572).
Zwei Hinweise zum Stand:
- Die Anwendungsübersicht der Prüfidentifikatoren 4.0 führt in der Spalte „Übertragungsweg“ die Kürzel AS4, API, MP und RD. AS4 verweist auf die Regelungen Version 2.x, API auf die API-Webdienste. MP und RD verweisen auf die Regelungen zum Übertragungsweg Version 1.x, die weiterhin bestehen. Welche Prozesse heute noch MP oder RD tragen, ist hier nicht ausgewertet.
- Mitteilung Nr. 58 vom 01.10.2026 kündigt eine Version 1.11 dieser 1.x-Regelungen an. Sie gilt ab 01.04.2027 und betrifft die Zertifikatsnutzung für mTLS. Für AS4 Version 2.6 nennt die Mitteilung keine neue Fassung.
Den AS2-Weg haben die Quellen im Atlas nicht belegt. Eine Abschaltung von AS2 mit Datum steht in keiner der geprüften Unterlagen. Der Artikel macht dazu deshalb keine Aussage.
Der Weg einer Nachricht
Das AS4-Profil des BDEW (Version 1.2, veröffentlicht mit Mitteilung Nr. 56) baut auf dem OASIS-Standard ebMS 3.0 auf. Die Regelungen legen fest, wie die Marktkommunikation es nutzt (Regelungen AS4 2.6, Kap. 3 und 7):
- Pro AS4-Nachricht geht genau eine Übertragungsdatei hinaus. Sie darf nicht vorab komprimiert werden; es gilt nur die Komprimierung des Protokolls.
- Service ist
https://www.bdew.de/as4/communication/services/MP, Action isthttp://docs.oasis-open.org/ebxml-msg/as4/200902/action. Andere Services des Profils sind nicht zulässig. - Die TLS-Verbindung nutzt Server Name Indication (SNI) nach RFC 6066 bzw. RFC 8449.
- Die Metadaten stehen in
PartProperties:BDEWDocumentType(Nachrichtentyp aus UNH DE0065),BDEWApplicationReference(UNB DE0026, wenn vorhanden),BDEWDocumentDateundBDEWDocumentNo(Datenaustauschreferenz aus UNB DE0020). Wie UNB und UNH aufgebaut sind, zeigt UNH, UNT und Nachrichtenstruktur.
Die NRR bestimmt, ob die Übertragung gilt. Ohne sie ist sie gescheitert. Den „Timestamp“ aus der Quittung ziehen die Prozesse als Zeitpunkt des Empfangs heran; die GPKE nennt ihn ÜZ, den Tag ÜT. Zur Klärung nutzen beide Seiten die ebMS-Message-IDs der Übertragung und der NRR (Regelungen AS4 2.6, Kap. 7.3, GPKE Teil 1, Begriffe ÜT und ÜZ).
Ob die Datei fachlich verarbeitbar ist, sagt die NRR nicht. Das melden APERAK und CONTRL erst danach. Wie sie sich unterscheiden, steht in CONTRL und APERAK.
Das Zertifikatstripel
Die Regelungen sprechen von „Zertifikaten“ und meinen immer ein Tripel aus drei Zertifikaten. Nach der Certificate Policy der SM-PKI lassen sie sich nicht einzeln beantragen oder austauschen (Kap. 1.3).
- SIG (Signatur). Der Absender signiert damit. Das Zertifikat reist in jeder AS4-Nachricht mit. Der Empfänger muss es nicht vorab kennen und kann einen neuen Schlüssel sofort nutzen.
- ENC (Verschlüsselung). Der Absender verschlüsselt die Datei mit dem öffentlichen Schlüssel des Empfängers. Das Zertifikat muss der Empfänger vorab bekanntgeben. Fehlt es, darf der Sender die Kommunikation unterlassen.
- TLS. Es sichert die Verbindung und wird beim Verbindungsaufbau übermittelt. Auch hier gilt: ein neues Zertifikat darf sofort genutzt werden.
Alle drei stammen von einer Sub-CA nach der CP der SM-PKI. Zwei Pflichtangaben stehen im Zertifikat: Das Feld Organisational Unit (OU) im Subject enthält die MP-ID, und der Alternativname vom Typ URI enthält die Kommunikationsadresse des AS4-Webservice. Mehrere Adressen in einem Zertifikat sind nicht zulässig (Kap. 5.1 und 5.2). Die URI muss der Empfänger daher aus dem Zertifikat lesen. Ein zentrales Adressverzeichnis gibt es für AS4 nicht; der Abruf läuft bei der ausstellenden CA. Für die API-Webdienste ist das anders, dort gibt es einen Verzeichnisdienst.
Dieselbe PKI sichert auch die Kommunikation des Smart-Meter-Gateways; wer dort Rollen und Zugriffsrechte nachlesen will, findet sie unter Datenschutz und Zugriffsrechte im Smart Metering.
Bekanntmachen und Zertifikatswechsel
Vor dem ersten Datenversand verständigen sich zwei Marktpartner über Adresse und Zertifikat. Die Fristen aus Kapitel 2 und 5.3:
| Vorgang | Frist |
|---|---|
| Daten nach erster Kontaktaufnahme austauschen | spätestens 3 Werktage |
| Daten in allen beteiligten Systemen eintragen | spätestens 3 weitere Werktage |
| Nachfolgezertifikate bereitstellen | spätestens 10 Werktage vor Ungültigwerden |
| Änderung des Übertragungswegs ankündigen | mindestens 10 Werktage vor Umstellung |
| Übertragungsweg aufrechterhalten | mindestens 3 Jahre nach dem letzten Datenaustausch |
Verspätet der Empfänger die Einrichtung, gelten abgelehnte, fehlerfreie Dateien als fristgerecht zugestellt und sind nach dem ursprünglichen Empfangsdatum zu verarbeiten.
Beim Wechsel entsteht ein Überlappungszeitraum von mindestens 10 Werktagen. Der Empfänger muss in dieser Zeit Nachrichten mit alten und neuen Zertifikaten verarbeiten, egal welches gültige Zertifikat der Absender nutzt. Wer ein Zertifikat vorzeitig zurückziehen will, lässt es über die Sperrliste (CRL) seiner CA sperren. Ist die CRL einer CA länger als 3 Tage nicht abrufbar oder nicht verlängert, gilt dieser CA samt aller ihrer Zertifikate bis zur nächsten gültigen CRL als nicht vertrauenswürdig (Kap. 5.3 und 5.4).
Zwischen zwei MP-IDs gilt genau ein Übertragungsweg mit genau einem Endpunkt (1:1-Kommunikation). Jeder Endpunkt muss jederzeit ohne Firewall-Freischaltung erreichbar sein. Misslingt die Zustellung, ist sie zu wiederholen, und zwar innerhalb der Prozessfristen. Für „Path Switch“ oder einen Schlüsselwechsel mitten in einer Übertragung enthalten die Regelungen keine Vorgaben.
Fehlerfälle
Kapitel 9 der Regelungen nennt vier Verstoßvarianten, die mit der Bundesnetzagentur abgestimmt sind:
- Kein gültiges ENC-Zertifikat des Empfängers. Der Sender darf nicht senden. Er informiert den Empfänger mindestens einmal per E-Mail; die Folgen trägt der Empfänger.
- Nicht signiert oder ungültige Signatur. Der Empfänger darf die Verarbeitung verweigern und antwortet mit
EBMS:0101(FailedAuthentication). - Falscher Verschlüsselungsschlüssel. Der Empfänger kann nicht entschlüsseln und antwortet mit
EBMS:0102(FailedDecryption). - Nicht verschlüsselt, aber gültig signiert. Der Empfänger darf verweigern und antwortet mit
EBMS:0103(PolicyNoncompliance).
Scheitert die Signaturprüfung oder Entschlüsselung wegen einer beschädigten Datei, gilt die Datei als nicht angekommen. Sendet der Empfänger auf eine Datei eine CONTRL, darf der Sender davon ausgehen, dass Signaturprüfung und Entschlüsselung geklappt haben (Kap. 8). Konnte der Empfänger aus eigenen technischen Gründen nicht prüfen, behandelt er die Datei fristenrechtlich so, als hätte das Problem nicht bestanden.
Für die Fehlersuche heißt das: Ohne NRR ist es ein Transportproblem (Adresse, Zertifikat, Erreichbarkeit). Mit NRR, aber ohne Anerkennungsmeldung, liegt das Problem bei Format oder Inhalt. Typische Codes dafür stehen in Fehlercodes analysieren.
Typische Missverständnisse
„Die NRR bestätigt, dass die Anmeldung angenommen wurde.“ Sie bestätigt nur den Empfang. Ob der Netzbetreiber zuordnet, entscheidet der Prozess mit Bestätigung oder Ablehnung.
„Ein Zertifikat genügt.“ Es sind drei (SIG, ENC, TLS), und sie werden als Tripel beantragt.
„Das Signaturzertifikat muss ich vorab austauschen.“ Es reist in jeder Nachricht mit. Vorab brauchen Sie die AS4-Adresse und das ENC-Zertifikat des Partners.
„Die Konsultationsfassung 2.6 ist nur ein Entwurf.“ Das war sie im Februar 2026. Seit der Veröffentlichung am 01.04.2026 ist Version 2.6 verbindlich ab 01.10.2026.
„AS4 ersetzt EDIFACT.“ AS4 transportiert die EDIFACT-Datei und ändert nichts an ihrem Inhalt. Der Inhalt folgt EDIFACT, AHB und MIG.
Quellen und Pflegehinweis
Tragende Quelle ist die Fassung 2.6 der Regelungen zum Übertragungsweg für AS4. Vor jeder Umsetzung prüfen, welche Fassung die Bundesnetzagentur zuletzt veröffentlicht hat; Änderungen kommen mit jedem halbjährlichen Änderungsmanagement. Das BDEW-AS4-Profil selbst (Version 1.2) wurde hier nicht ausgewertet.
- Regelungen zum Übertragungsweg für AS4, Version 2.6
- Bundesnetzagentur: Mitteilung Nr. 56
- Bundesnetzagentur: Mitteilung Nr. 58
- BDEW: AS4 in der Sparte Strom
Abrufdatum aller Quellen: 5. Oktober 2026.