Datensicherheit in IoT-Netzen: Was Versorgungsunternehmen beachten sollten

Was geschützt werden muss: Zählerstände, Zugriff und kontinuierliche Verbrauchserfassung

Datensicherheit umfasst drei Aufgaben: die Vertraulichkeit wahren, unbemerkte Änderungen an Informationen verhindern und deren Verfügbarkeit sicherstellen. Bei der Fernauslesung sind diese Aufgaben eng miteinander verbunden. Ein Datenleck legt Verbrauchsinformationen offen, manipulierte Daten führen zu falschen Berechnungen und länger ausbleibende Zählerstände erschweren die Bilanzierung von Einspeisung und Verbrauch.

Geschützt werden muss mehr als der Gesamtverbrauch. Auch die Gerätekennung, der Messzeitpunkt, die Zuordnung zum Kundenkonto, der Impulsumrechnungsfaktor und das Änderungsprotokoll sind wichtig. Ein System kann beispielsweise Zählerstände fehlerfrei übertragen, sie aber aufgrund einer falschen Zuordnung bei der Installation einer anderen Wohnung zuweisen.

Detaillierte Verbrauchsprofile, insbesondere für Strom, können Rückschlüsse auf Aktivitäten im Haushalt und die Anwesenheit der Bewohner ermöglichen. Ob solche Rückschlüsse möglich sind, hängt vom erfassten Medium, der Messhäufigkeit und der Verfügbarkeit zusätzlicher Daten ab. Deshalb sollten der Detaillierungsgrad, der Kreis der Zugriffsberechtigten und die Aufbewahrungsfristen anhand der Erfassungsaufgaben festgelegt werden.

Verschlüsselung schützt die übertragene Nachricht, bestätigt aber für sich genommen weder die Richtigkeit der Messung noch die korrekte Zählerkonfiguration. Eine zuverlässige Verbrauchserfassung erfordert technische Schutzmaßnahmen, die Prüfung der Ausgangsdaten und ein kontrolliertes Verfahren für Änderungen.

Warum ein sicheres Protokoll allein nicht ausreicht

Ein Angreifer muss nicht zwangsläufig das Funksignal abfangen. Als Einstiegspunkt kommen auch das Benutzerkonto eines Dienstleisters, ein nicht aktualisierter Server oder eine Datenschnittstelle mit zu weitreichenden Berechtigungen infrage. Wer die Sicherheit ausschließlich anhand der Eigenschaften von LoRaWAN oder NB-IoT bewertet, lässt daher einen wesentlichen Teil des Systems außer Acht.

Branchenübergreifende Statistiken verdeutlichen die Bedeutung dieser Risiken. Im Verizon DBIR 2026 wird die Ausnutzung von Schwachstellen bei 31 % der untersuchten Verletzungen der Datenvertraulichkeit als ursprünglicher Zugangsweg genannt. Der Anteil der Fälle mit Beteiligung Dritter erreichte 48 %. Dieser zweite Wert umfasst verschiedene Abhängigkeiten von Lieferanten und Partnern, nicht nur den Systemzugriff externer Dienstleister.

Für Auftraggeber von Fernauslesesystemen unterstreichen diese Daten die Bedeutung rechtzeitiger Updates, der Bewertung von Softwareanbietern und der Zugriffskontrolle für Wartungsdienstleister. Aus branchenübergreifenden Statistiken lässt sich jedoch nicht ableiten, wie wahrscheinlich die Kompromittierung eines bestimmten Zählers oder Netzes ist.

^{Datensicherheit: Risiken jenseits der Funkverbindung}

LoRaWAN und NB-IoT: Wo die Grenzen des Schutzes liegen

LoRaWAN sieht die Prüfung der Nachrichtenauthentizität, Integritätskontrollen und Schutz vor dem erneuten Einspielen zuvor abgefangener Pakete vor. Für den kryptografischen Schutz werden AES-Schlüssel mit 128 Bit verwendet. Die Anwendungsnutzdaten werden zwischen dem Endgerät und dem Anwendungsserver verschlüsselt.

Ende-zu-Ende-Verschlüsselung darf dabei nicht mit Ende-zu-Ende-Integritätsschutz gleichgesetzt werden. Die LoRaWAN-1.1-Spezifikation sieht Integritätsschutz auf einzelnen Übertragungsabschnitten vor und betrachtet den Netzwerkserver als vertrauenswürdige Komponente. Deshalb müssen dessen Absicherung und der Datenaustausch zwischen den Serverkomponenten gesondert bewertet werden.

Die LoRaWAN-Architektur ermöglicht es, die Netzwerkverwaltung vom Zugriff auf die Inhalte der Zählerdaten zu trennen. Bei entsprechender Schlüsselverteilung stellt der Netzbetreiber Nachrichten zu, ohne deren Nutzdaten lesen zu können. Im jeweiligen Projekt muss geklärt werden, wer die Schlüssel verwahrt, wer die Server verwaltet und wo die Entschlüsselung stattfindet.

Die Sicherheit in der Praxis hängt auch vom Umgang mit Schlüsseln ab: Ein gemeinsamer geheimer Schlüssel für eine ganze Gerätecharge oder seine Weitergabe in einer ungeschützten Tabelle schaffen zusätzliche Risiken. Nach einem erfolgreichen Netzbeitritt über OTAA werden Sitzungsschlüssel erzeugt. Das bedeutet jedoch nicht, dass sie automatisch nach einem Zeitplan gewechselt werden. Das Verfahren für einen erneuten Netzbeitritt hängt von der Systemimplementierung ab.

NB-IoT nutzt die Sicherheitsmechanismen des Mobilfunknetzes, darunter die SIM-basierte Authentifizierung und den Schutz der Kommunikation. Eine SIM-Karte bedeutet jedoch nicht, dass automatisch der gesamte Übertragungsweg bis zur Verbrauchserfassungssoftware geschützt ist. Der Datenaustausch zwischen dem Gerät und dem Anwendungsserver muss gesondert bewertet werden.

Zum Schutz dieses Austauschs können TLS, DTLS oder andere in der Architektur vorgesehene Mechanismen eingesetzt werden. Für das ausgewählte Gerät muss bestätigt werden, dass diese Mechanismen unterstützt und korrekt konfiguriert werden und die Authentizität des Servers geprüft wird. Die Nutzung der SIM als geschützter Speicher für Anwendungsschlüssel erfordert eine kompatible Lösung, beispielsweise IoT SAFE, und gehört nicht zur Standardfunktion jeder SIM-Karte.

Die Entscheidung zwischen LoRaWAN und NB-IoT allein nach dem Prinzip „Was ist sicherer?“ zu treffen, greift daher zu kurz. Entscheidend sind die Projektarchitektur, die Verteilung der Verantwortlichkeiten, die Schlüsselverwaltung und die Absicherung der Server. Ein eigenes Netz bietet mehr Kontrolle, erfordert aber zugleich Ressourcen für Betrieb und Wartung.

Wie Daten nach der Übertragung geschützt werden

Nach der Entschlüsselung gelangen die Zählerstände in die Datenbank, werden im Benutzerportal angezeigt und an andere Programme weitergegeben. Hier greifen die eigenen Schutzmechanismen der Plattform. Der Auftraggeber benötigt eine klare Übersicht: Welche Organisationen verarbeiten die Informationen, wo werden sie gespeichert und wer darf sie lesen, ändern oder exportieren?

Benutzerrechte sollten nach den jeweiligen Arbeitsaufgaben vergeben werden. Ein Installateur benötigt möglicherweise Zugriff auf die Einbindung von Geräten an einem bestimmten Standort, die Buchhaltung auf Zählerstände für die Abrechnung und ein Administrator auf die Einstellungen. Ein gemeinsames Benutzerkonto für eine ganze Abteilung erschwert die Zuordnung konkreter Aktionen zu einzelnen Personen und den gezielten Entzug von Zugriffsrechten.

Für administrative Zugriffe und Fernzugriffe sollte eine Multi-Faktor-Authentifizierung vorgesehen werden. Der Zugriff eines Dienstleisters sollte auf den vereinbarten Umfang und den erforderlichen Zeitraum begrenzt sein. Dasselbe Prinzip gilt für Programmierschnittstellen zum Datenaustausch, sogenannte APIs: Eine Integration, die lediglich Zählerstände abruft, benötigt keine Berechtigung zur Änderung von Geräteeinstellungen.

Bei der Übergabe eines Gebäudes vom Bauträger an eine Hausverwaltung oder Wohnungseigentümergemeinschaft muss auch die Verwaltung des Verbrauchserfassungssystems übertragen werden. Dazu gehören Administratorrechte, Dokumentation, ein Geräteverzeichnis und die Regelungen für Betrieb und Wartung. Die Zugriffsrechte bisheriger Dienstleister sollten überprüft und nicht standardmäßig beibehalten werden.

^{Was an jedem Gerät geschützt werden muss}

Was bei einem Verbindungsausfall oder einer Manipulation passiert

Verschlüsselung verhindert weder einen Ausfall der Stromversorgung des Gateways noch Antennenschäden oder Funkstörungen. Zur Sicherheit der Verbrauchserfassung gehört deshalb auch die Fähigkeit, eine Verbindungsunterbrechung zu überstehen und Daten wiederherzustellen. Vor der Beschaffung sollte geklärt werden, ob das Gerät Zählerstände lokal speichert, welchen Zeitraum das Archiv abdeckt und wie das System fehlende Datensätze abruft.

Der kumulierte Gesamtverbrauch und ein detaillierter Verbrauchsverlauf sind unterschiedliche Daten. Wenn das Gerät weitergemessen und die Ergebnisse gespeichert hat, kann das System nach Wiederherstellung der Verbindung den aktuellen Gesamtwert oder Archivdaten abrufen. Die Verfügbarkeit des Gesamtwerts garantiert jedoch nicht, dass auch die stündliche Aufschlüsselung erhalten geblieben ist.

Ein Verbindungsausfall muss außerdem von einer Unterbrechung der Messwerterfassung unterschieden werden. Ein externes Impulsfunkmodul ohne Stromversorgung kann beispielsweise aufhören, Impulse zu zählen, während der Zähler selbst den Verbrauch weiterhin erfasst. In diesem Fall werden fehlende Daten nicht automatisch wiederhergestellt. Möglicherweise ist ein Abgleich mit dem Zählerstand erforderlich. Die Wiederherstellungsmöglichkeiten müssen für das konkrete Modell geprüft werden.

Für das System sollten im Voraus die zulässige Unterbrechung der Datenbereitstellung und der tolerierbare Verlust historischer Daten festgelegt werden. Auch Server-Backups müssen praktisch getestet werden: Lassen sich die Datenbank, die Gerätezuordnungen und die Einstellungen wiederherstellen, wie lange dauert das und wer führt die Wiederherstellung durch?

Besondere Aufmerksamkeit erfordern physische Ereignisse: das Entfernen des Moduls, das Öffnen des Gehäuses oder die Einwirkung eines Magnetfelds, sofern das ausgewählte Modell diese erkennen kann. Eine Meldung ist ein Anlass zur Überprüfung, aber kein automatischer Nachweis eines Diebstahls. Ihr Nutzen hängt vom Zeitstempel, der Zustellung der Nachricht und einem klaren Reaktionsverfahren ab.

Updates und Support über die gesamte Nutzungsdauer

Eine lange Batterielaufzeit garantiert keinen ebenso langen Software-Support. Bei der Geräteauswahl muss die vorgesehene Nutzungsdauer mit den Zeiträumen verglichen werden, in denen Fehlerbehebungen und Sicherheitsupdates für Funkmodule, Gateways und Serversoftware bereitgestellt werden. Die Empfehlungen der GSMA betrachten IoT-Sicherheit über den gesamten Lebenszyklus einer Lösung hinweg.

Beim Anbieter sollte geklärt werden, wie die Authentizität eines Updates geprüft wird, wer die Installation freigibt und was bei einer Unterbrechung des Vorgangs passiert. Nicht alle Geräte unterstützen Fernupdates. Fehlt diese Funktion, ist ein realistisches Verfahren zur Behebung von Schwachstellen erforderlich: Wartung vor Ort, Einschränkung von Funktionen oder Austausch der Geräte.

Ebenso wichtig ist die Planung eines Wechsels des Wartungsdienstleisters. Der Auftraggeber sollte den Export historischer Daten, die Übergabe notwendiger Einstellungen, die Abmeldung von Geräten und den Entzug von Zugriffsrechten im Voraus vereinbaren. Die Fortführung der Verbrauchserfassung darf nicht von einem einzelnen Mitarbeiter oder dem Benutzerkonto eines Dienstleisters abhängen.

Wie Jooby RDC hilft, den Systemzustand zu überwachen

Jooby RDC verbindet die Erfassung von Zählerständen mit der Verarbeitung von Informationen zum Gerätezustand. Die Beschreibung des Jooby RDC Dashboard sieht Meldungen über unbefugtes Entfernen, magnetische Einwirkung und einen niedrigen Batteriestand vor. Welche Ereignisse tatsächlich verfügbar sind, hängt vom ausgewählten Gerätemodell ab. Diese Informationen helfen dabei, Messstellen mit Prüfbedarf zu identifizieren.

Bei der Einführung sollten die Anforderungen an Zugriffsrechte, Datenspeicherung, Integrationen und die Reaktion auf Ereignisse im Projekt festgehalten werden. So werden die Funktionen von Hardware und Software mit den Arbeitsabläufen des Versorgungsunternehmens oder der Hausverwaltung verknüpft.

Was vor einer Beschaffung in größerem Umfang geprüft werden sollte

Die Sicherheitsbewertung sollte mit einem Pilotprojekt an einem realen Standort abgeschlossen werden. Dafür werden die ausgewählten Seriengeräte, ein betriebsbereites Netz und das geplante Integrationsverfahren benötigt. Die Demonstration eines einzelnen empfangenen Zählerstands bestätigt zwar die Verbindung, zeigt aber nicht, wie das System einen Ausfall oder einen Benutzerwechsel bewältigt.

Der Abnahmeplan sollte mehrere Prüfungen enthalten:

• Zugriffsbeschränkung: Sicherstellen, dass ein Benutzer eines Standorts keine Daten eines anderen Standorts sehen kann und ein deaktiviertes Benutzerkonto den Zugriff verliert.
• Nachvollziehbarkeit von Änderungen: Prüfen, ob bei Änderungen der Gerätezuordnung, des Impulsumrechnungsfaktors und anderer wichtiger Einstellungen die ausführende Person, der Zeitpunkt und der Inhalt der Änderung protokolliert werden.
• Wiederherstellung der Verbrauchserfassung: Feststellen, welche Datensätze nach einer Verbindungsunterbrechung verfügbar sind, welche fehlen und ob Duplikate auftreten.
• Wiederherstellung aus einer Sicherungskopie: Prüfen, ob die Datenbank und die erforderlichen Einstellungen innerhalb der vereinbarten Zeit wieder betriebsbereit sind.
• Reaktion auf ein Ereignis: Sicherstellen, dass der zuständige Mitarbeiter die Meldung erhält und das Ergebnis der Überprüfung gespeichert wird.

Diese Tests sollten in einem vereinbarten Testbereich durchgeführt werden. Die Ergebnisse sind anhand messbarer Kriterien zu dokumentieren: zulässige Wiederherstellungszeit, verfügbarer Archivzeitraum, Vollständigkeit des Protokolls und erlaubte Aktionen für jede Rolle. So werden Sicherheitsanforderungen zu überprüfbaren Abnahmekriterien. 

Ein sicheres IoT-System ermöglicht es, die Herkunft von Zählerständen nachzuvollziehen, den Zugriff darauf zu begrenzen und die Verbrauchserfassung nach einer Störung im Rahmen der nachgewiesenen Gerätefunktionen wiederherzustellen. LoRaWAN und NB-IoT bieten Mechanismen zum Schutz der Kommunikation. Das Gesamtergebnis hängt jedoch von deren Implementierung, der Plattformkonfiguration und der Arbeit der Dienstleister ab. Eine Lösung sollte anhand der Fähigkeiten des gesamten Systems ausgewählt werden – von der Schlüssel- und Rechteverwaltung bis zu den Ergebnissen des Pilotprojekts und den Supportbedingungen.