Smart Metering: Datenschutz beginnt beim Messgerät

Am 15. August ist die Begutachtungsfrist für den Entwurf der „Intelligente Messgeräte-AnforderungsVO 2011“, also die Verordnung mit der die Mindestanforderungen an die Funktionalität von Smart Metern festgelegt werden soll, abgelaufen. mksult hat mehrere Vorschläge zu einer besseren Gewährleistung des Datenschutzes eingebracht.
 
Wesentliches Merkmal der Einführung von intelligenten Messgeräten (Smart Meter) ist, dass die Menge der verbrauchten Energie in viel kürzeren Intervallen als bisher aufgezeichnet und automatisch an die Energieversorger weitergeleitet werden sollen. Die E-Control schlägt in ihrem Verordnungsentwurf  im Gegensatz zur bisher üblichen jährlichen Ablesung der Verbrauchswerte eine Erfassung der Messwerte im 15-Minuten-Intervall vor. Dies entspricht 96 Ablesungen pro Tag bzw. rund 35.000 Ablesungen pro Jahr.
 
Diese detaillierten Aufzeichnungen des Energieverbrauchs geben nicht nur Auskunft über Menge, Dauer und Zeitpunkt des Energieverbrauchs, vielmehr wurde in wissenschaftlichen Untersuchungen gezeigt, dass aus den Messdaten sehr genaue Rückschlüsse auf die im Haushalt verwendeten Geräte und in weiterer Folge auf die Lebensgewohnheiten der betroffenen Bewohner gezogen werden können.
 
Aus Gründen des Datenschutzes ist es daher von besonderer Bedeutung, dass bereits bei der Erfassung der Messwerte der Grundsatz der Datensparsamkeit, also der Beschränkung der Datenerfassung auf das absolut notwendige Mindestmaß, eingehalten wird. Es ist daher sicherzustellen, dass Daten nur in dem Umfang erfasst und verarbeitet werden, in dem sie für den angestrebten Zweck tatsächlich erforderlich und wesentlich sind.
 
Im Verordnungsentwurf wird bedauerlicher Weise auf eine Begründung verzichtet, weshalb ein 15-Minuten-Intervall als Mindestanforderung vorgesehen wurde und nicht etwa ein längeres Intervall gewählt werden konnte. Für die Zwecke der Leistungsverrechnung ist jedenfalls festzuhalten, dass Verbrauchsdaten nur in dem Umfang verarbeitet werden dürfen, wie dies dem zwischen Verbraucher und Lieferanten vereinbarten Tarifmodell entspricht. Bei einem Tarifmodell mit einem Tages- und einem Nachtpreis wären also lediglich zwei Messwerte pro Tag zulässig.
 
Entsprechend regen wir in unserer Stellungnahme (PDF) an, die Mindestanforderungen an intelligente Messgeräte um zusätzliche – ebenfalls geeichte – längere Messintervalle zu erweitern, um in weiterer Folge eine datenschutzkonforme Leistungsverrechnung zu ermöglichen. Korrekter Datenschutz beginnt beim Messgerät.
 
Im wesentlichen Punkt der Netzwerksicherheit empfehlen wir ausdrücklich, von der Forderung nach Funktionalitäten zur Fernabschaltung von Anschlüssen nicht nur Abstand zu nehmen sondern diese ausdrücklich zu untersagen. Diese Funktionalität macht Smart Meter zu einem interessanten Angriffsziel für übelmeinende Zeitgenossen. Die möglichen Auswirkungen eines gezielten Angriffs auf diese Fernabschaltungsfunktionen kann beispielsweise bei Cyber Security Austria (PDF) nachgelesen werden.
 
Weitere Anregungen unserer Stellungnahme betreffen die Erweiterung der Mindestanforderungen um

• die Anzeige der Messwerte am Messgerät,
• eine Protokollierung erfolgter Zugriffe auf Daten des Messgeräts,
• die regelmäßige Evaluierung der sicherheitstechnischen Tauglichkeit der Messgeräte sowie um
• ausreichende Zugriffsbeschränkungen auf Daten weiterer angeschlossener Messgeräte (z.B. Gas, Wärme, …).

 
mksult GmbH: Stellungnahme zum Entwurf der Intelligente Messgeräte-AnforderungsVO 2011 (PDF)