Kurzantwort
Der Smart-Meter-Gateway-Administrator (GWA) ist nach § 2 Nr. 20 MsbG die Person, die als Messstellenbetreiber oder in dessen Auftrag für den technischen Betrieb des intelligenten Messsystems verantwortlich ist. Dazu gehören Installation, Inbetriebnahme, Konfiguration, Administration, Überwachung und Wartung des Gateways und seiner IT-Anbindung (§ 2 Nr. 24, § 25 Abs. 1 MsbG).
Die Funktion ist nach § 3 Abs. 1 MsbG dem Messstellenbetreiber (MSB) zugeordnet. Er übt sie selbst aus oder beauftragt ein zertifiziertes Unternehmen. Der GWA ist damit keine eigene Marktrolle neben dem gMSB und wMSB, die ihrerseits nur Ausprägungen der Rolle MSB sind. Messwerte plausibilisiert und rechnet der GWA nicht ab. Das Gerät erklärt Das Smart-Meter-Gateway verstehen, das Gesamtsystem Intelligente Messsysteme.
Abgrenzung zum Messstellenbetrieb
Der Messstellenbetrieb umfasst nach § 3 Abs. 2 MsbG Einbau, Betrieb und Wartung der Messstelle, die mess- und eichrechtskonforme Messung samt Messwertaufbereitung und die fristgerechte Datenübertragung. Der GWA ist der Teil, der die sichere Kommunikationseinheit technisch betreibt. Die Messwertaufbereitung bleibt beim MSB, im Backend (Plausibilisierung und Ersatzwerte). Der Messstellenbetrieb wird über den Messstellenvertrag erbracht, der GWA-Betrieb zusätzlich über ein Informationssicherheitsmanagementsystem (ISMS) nachgewiesen.
| Rolle | Aufgabe |
|---|---|
| Messstellenbetreiber (gMSB oder wMSB) | betreibt die Messstelle, bereitet Werte auf, trägt die GWA-Funktion |
| Gateway-Administrator | betreibt Gateway und IT-Anbindung sicher |
| Dienstleister | übernimmt auf Wunsch IT-Betrieb oder ganze GWA-Aufgaben |
| Berechtigte Stelle (§ 49 MsbG) | empfängt Werte für die eigene Aufgabe, liefert dem GWA Berechtigungsinformationen |
Zusammenspiel
Die BSI-Richtlinie TR-03109-6 listet die Akteure, die mit dem GWA-System zusammenarbeiten (Kap. 2.2):
Weitere Beteiligte: Die SM-PKI stellt die Zertifikate aus, mit denen der GWA kommuniziert. Ein Servicetechniker diagnostiziert im Auftrag des MSB vor Ort und darf nur zugreifen, wenn der GWA seinen Zugang im Gateway konfiguriert hat. Die Eich- und Marktüberwachungsbehörden erhalten kostenfrei Zugang, wie unten beschrieben.
Aufgaben im Lebenszyklus
- Einbau. Der MSB montiert authentische und integre Geräte, anschließend bindet der GWA das Gateway an sein System an (TR-03109-6, Kap. 3 und 4.4.24).
- Konfiguration. Nur der GWA kann das Gateway konfigurieren (§ 21 Abs. 1 Nr. 4 Buchst. b MsbG). Er legt fest, welche Anwendungen laufen und welche berechtigte Stelle welche Werte erhält.
- Betrieb. Er überwacht Verfügbarkeit und Kommunikationsbeziehungen, prüft das Logbuch und spielt Updates ein.
- Ausbau. Vor dem Transport zur Verschrottung löscht er per Fernadministration, sofern technisch möglich, die vertraulich gespeicherten Daten, und lässt die Zertifikate des Gateways in der SM-PKI sperren (TR-03109-6, Kap. 4.4.25).
Konfiguration und Berechtigungen
Damit der GWA konfigurieren kann, braucht er Informationen von außen. Netzbetreiber, Lieferanten und Dritte, deren Verträge über das Gateway laufen, müssen ihm alle notwendigen Informationen liefern, vor allem die Berechtigungsinformationen aus Rahmenverträgen und zur Anbindung und Steuerung von Anlagen (§ 25 Abs. 3 MsbG). Liegen sie vor, konfiguriert der GWA unverzüglich, soweit der technische Betrieb es zulässt (§ 51 MsbG).
Für Steuerung gilt: Ausgewählte Messungen und Schaltungen der Netzbetreiber müssen auf deren Anforderung stets, vorrangig und ausschließlich durch den GWA über das Gateway ermöglicht werden (§ 21 Abs. 1 Nr. 4 Buchst. a). Der GWA richtet den Weg ein, etwa den TLS-Proxy-Kanal im HAN-CLS (Steuerbox und Steuerkanal). Wer schaltet, bestimmen Gesetz und Verträge.
Updates und Meldepflicht
Das Gateway muss Software-Aktualisierungen empfangen können (§ 21 Abs. 1 Nr. 4 Buchst. c). Nach TR-03109-6 Version 2.0 (Kap. 4.4.22) muss der GWA regelmäßig die Verfügbarkeit neuer Firmware prüfen und sicherstellen, dass er unverzüglich und authentisch davon erfährt. Die Updates müssen vom BSI freigegeben sein. Sicherheitsrelevante Updates spielt er unverzüglich ein, übrige sind ihm unter Beachtung des Mess- und Eichrechts freigestellt. Empfohlen ist eine automatisierte tägliche Prüfung, an Samstagen, Sonn- und Feiertagen kann sie entfallen, wenn sicherheitsrelevante Updates ihn trotzdem unverzüglich erreichen. Jedes Update gehört ins Systemlog des GWA.
Sicherheitsmängel und Änderungen von Tatsachen, die für das Zertifikat des Gateways wesentlich sind, meldet der GWA unverzüglich dem BSI (§ 25 Abs. 1).
Monitoring und Störung
Der GWA überwacht, ob Werte ankommen, Zertifikate gültig sind und die Konfiguration stimmt. Dazu kommt eine eichrechtliche Pflicht: Er ermöglicht den zuständigen Behörden kostenfrei die Markt- und Verwendungsüberwachung und prüft das Logbuch des Gateways in angemessenen Abständen auf Einhaltung der mess- und eichrechtlichen Vorgaben (§ 25 Abs. 4 Nr. 5). Bei Störungen hilft die Trennung dreier Fälle:
- Technische Störung: Gateway oder Kommunikation fallen aus. Der GWA stellt den Betrieb wieder her.
- Sicherheitsvorfall: Neben der Behebung greift die Meldung an das BSI.
- Fachlicher Klärfall: Die Technik läuft, aber Werte fehlen oder sind unplausibel. Das ist Aufbereitung im Backend des MSB, nicht Aufgabe des GWA.
Zertifikate
Drei Nachweise gehören zusammen, mit unterschiedlichen Gegenständen:
- Gateway als Produkt. Zertifikate nach § 24 MsbG (Common Criteria oder EUCC, dazu die Konformität nach den Technischen Richtlinien). Ohne gültige, dem GWA vorgelegte Zertifikate darf ein Gateway nicht Teil eines iMSys sein (§ 24 Abs. 4), und der GWA darf nur solche Gateways verwenden (§ 25 Abs. 1).
- GWA als Organisation. Der Nachweis des ISMS und der Anforderungen aus den Technischen Richtlinien erfolgt nach § 25 Abs. 5 durch ein BSI-Zertifikat oder durch eine Zertifizierungsstelle, die nach ISO/IEC 27006 akkreditiert ist. Laut BSI ist das eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz oder ein ISMS nach ISO/IEC 27001; die Konformität des Betriebs zur TR-03109-6 muss in jedem Fall durch Zertifizierung bestätigt sein. Eine Personenzertifizierung verlangt das Gesetz nicht. Die Audits führen vom BSI zertifizierte Auditoren durch (§ 25 Abs. 4 Nr. 4).
- Zertifikate der SM-PKI. Für die Anbindung an die Smart-Metering-PKI muss der GWA sein ISMS-Zertifikat nachweisen (BSI-FAQ). Die Technik dahinter erklärt AS4 und Smart-Metering-PKI.
Laufzeiten nennt das Gesetz nicht pauschal. Das BSI kann Zertifikate befristen, beschränken und mit Auflagen versehen (§ 24 Abs. 3). Welche Unternehmen ein gültiges GWA-Zertifikat haben, zeigt die BSI-Liste der Zertifikatsnachweise nach § 25 MsbG mit den jeweiligen Gültigkeiten. Dort gilt jeweils das Datum des ISMS-Zertifikats.
Die TR-03109-6 liegt in Version 2.0 vor (Veröffentlichung 28.11.2025 laut Versionshistorie). Sie kann seit Veröffentlichung angewendet werden und ist ab dem 1. Januar 2027 mit der nächsten Neu- oder Rezertifizierung des GWA-Systems verpflichtend. Version 1.0 gilt laut BSI bis zum 31. Dezember 2028.
Beispiel: Ein MSB lagert den IT-Betrieb aus
Ein Messstellenbetreiber betreibt 50.000 intelligente Messsysteme (vereinfachtes Beispiel) und bleibt verantwortlicher GWA. Den IT-Betrieb der GWA-Software vergibt er an einen Dienstleister, der die Anwendung als Dienst bereitstellt. Das BSI beschreibt dieses Modell als „IT-Betrieb für einen GWA“.
- Der Dienstleister weist ein ISMS mit passendem Geltungsbereich nach und betreibt die Anwendung.
- Der MSB weist als verantwortlicher GWA sein eigenes ISMS nach und überzeugt sich von der Einhaltung der Anforderungen, zum Beispiel durch Stichproben-Audits.
- Eine Dienstleistungsvereinbarung regelt Informationsaustausch, Aufbewahrung, Reaktionszeiten, Notfallkonzept, Zuständigkeiten und Meldewege (TR-03109-6, Kap. 2.3).
- Firmware-Prüfung und Meldung von Sicherheitsmängeln an das BSI bleiben Pflichten des GWA, auch wenn der Dienstleister ausführt.
Eine Ausnahme von der Zertifizierungspflicht des verantwortlichen GWA sieht das BSI nur vor, wenn der Dritte ein passendes ISMS-Zertifikat nachweist, der GWA ein ISMS betreibt oder betreiben lässt und die Verantwortungsbereiche vertraglich geregelt sind. Sie ist im Einzelfall zu prüfen. Die Regel bleibt: Die Verantwortung liegt beim GWA.
Folgen und Fehlerfälle
- Nicht zertifiziertes Gateway im Betrieb: verboten nach § 24 Abs. 4 und § 25 Abs. 1.
- Konfiguration durch eine andere Stelle: § 21 Abs. 1 Nr. 4 Buchst. b weist sie ausschließlich dem GWA zu.
- Fehlende Berechtigungsinformationen: Ohne die Angaben nach § 25 Abs. 3 kann der GWA Anwendungen und Berechtigungen nicht setzen. Werte erreichen dann die falsche oder keine Stelle.
- Verspätete Update-Prüfung: Sicherheitsrelevante Firmware bleibt ungenutzt. Das erhöht das Angriffsrisiko.
Typische Missverständnisse
„Der GWA ist eine eigenständige Marktrolle.“
Die Funktion ist dem MSB zugeordnet (§ 3 Abs. 1). Er kann sie selbst ausüben oder vergeben.
„Beim Outsourcing geht die Verantwortung über.“
Der verantwortliche GWA bleibt für Sicherheitsanforderungen, ISMS und Meldungen an das BSI zuständig. Das stellt auch TR-03109-6 (Kap. 2.3) klar.
„Gateway-Zertifikat und ISMS-Zertifikat sind dasselbe.“
Das eine betrifft das Produkt (§ 24), das andere die Organisation des Betreibers (§ 25).
„Der GWA liest die Werte aus und rechnet ab.“
Er betreibt die sichere Technik. Aufbereitung gehört zum MSB, Abrechnung zum Lieferanten.
„Der Netzbetreiber kann das Gateway für Schaltungen direkt ansprechen.“
Schaltungen laufen ausschließlich über den GWA (§ 21 Abs. 1 Nr. 4 Buchst. a).
Quellen und Pflegehinweis
Grundlage sind MsbG §§ 2, 3, 21, 24, 25 und 51 (Gesetzessammlung, abgerufen am 5. Oktober 2026), die TR-03109-6 Version 2.0, die FAQ des BSI mit Stand 02/2023 und die BSI-Seiten zur Gateway-Administration. Die FAQ beziehen sich noch auf die Kapitelzählung der Version 1.0, daher stützen sich die Firmware-Angaben oben auf die Version 2.0. Fristen und Übergangsregeln der Richtlinie ändern sich; vor einer Umsetzung die BSI-Seite zur TR-03109-6 prüfen.