Vom VPN zum sicheren Datenpfad: Smart Metering im SSUN

Wenn Smart Metering zum Netzwerkproblem wird

Die Energiebranche steht vor einer doppelten Herausforderung. Einerseits nimmt die Bedeutung digitaler Prozesse für die Energieversorgung kontinuierlich zu. Mess- und Steuerdaten müssen zuverlässig verfügbar sein und zwischen immer mehr Systemen und Marktpartnern ausgetauscht werden. Andererseits steigen die Anforderungen an Cybersecurity, Verfügbarkeit und regulatorische Compliance.

Für Verteilnetzbetreiber ist diese Entwicklung besonders relevant. Mit dem Ausbau dezentraler Energieerzeugung und der zunehmenden Elektrifizierung wächst die Zahl der digitalen Schnittstellen: Photovoltaikanlagen, Wechselrichter, Lastschaltgeräte, Ladestationen, Batteriespeicher und weitere Systeme werden Teil eines zunehmend vernetzten Energiesystems. Auch bestehende Prozesse bringen bereits heute eine hohe Zahl an Verbindungen mit sich. Der Datenaustausch zwischen Energieversorgungsunternehmen (EVU), Smart-Metering-Systemen, Lieferanten, Bilanzgruppen, Marktpartnern und weiteren Plattformen muss technisch zuverlässig und gleichzeitig sicher umgesetzt werden.

In vielen Fällen erfolgt diese Kommunikation noch über einzelne VPN-Verbindungen. Dieses Modell funktioniert. Mit jedem zusätzlichen Partner steigen jedoch Konfigurations-, Betriebs- und Administrationsaufwand. Die einzelnen Verbindungen müssen eingerichtet, dokumentiert, überwacht und bei Änderungen angepasst werden. Gleichzeitig müssen Firewalls und weitere Schutzmechanismen betrieben werden.

Damit entsteht ein Spannungsfeld: Das Internet bietet die notwendige globale Konnektivität und Skalierbarkeit, ist aber als öffentliches Netzwerk nicht darauf ausgelegt, die Kommunikationsbeziehungen eines hochgradig vernetzten kritischen Infrastruktursektors zentral zu kontrollieren.

An diesem Punkt setzt das Secure Swiss Utility Network (SSUN) an. Das vom Verband Schweizerischer Elektrizitätsunternehmen (VSE) gemeinsam mit Partnern aufgebaute Netzwerk basiert auf der an der ETH Zürich entwickelten SCION-Technologie. Es stellt eine branchenspezifische Kommunikationsinfrastruktur für die Schweizer Strombranche bereit.

SCION verändert den Ansatz

SCION steht für «Scalability, Control, and Isolation on Next-Generation Networks» und wurde an der ETH Zürich entwickelt. Im Gegensatz zu klassischen Internet-Routingmechanismen ermöglicht SCION unter anderem eine explizite Pfadkontrolle und die Nutzung mehrerer Netzwerkpfade. Das SSUN nutzt diese Eigenschaften für eine branchenspezifische Kommunikationsinfrastruktur.

Das SSUN kann vereinfacht als eine Art privater, branchenspezifischer Bereich innerhalb des SCION-Internets verstanden werden. Es handelt sich um eine sogenannte Isolation Domain (ISD), in der die teilnehmenden Organisationen und Kommunikationsbeziehungen nach definierten Regeln organisiert werden.
Ein wesentlicher Unterschied zum klassischen Internet liegt in der Möglichkeit, den Datenpfad explizit zu bestimmen.

Im klassischen Internet wird die Wahl des Pfades weitgehend durch das Routing zwischen den beteiligten autonomen Systemen bestimmt. SCION ermöglicht dagegen eine explizite Pfadkontrolle. Dadurch kann definiert werden, über welche Netzpfade eine Kommunikation erfolgen soll. Für kritische Anwendungen ist diese Eigenschaft relevant. Der Betreiber erhält dadurch mehr Transparenz darüber, wie Daten zwischen zwei Kommunikationspartnern transportiert werden.

SCION unterstützt darüber hinaus Multipathing. Werden mehrere geeignete Pfade konfiguriert, können Datenströme bei einem Ausfall oder einer Beeinträchtigung eines Pfades auf einen alternativen Pfad umgeleitet werden.

Damit verschiebt sich der Fokus von der Absicherung einzelner Punkt-zu-Punkt-Verbindungen hin zur kontrollierten Gestaltung der Kommunikationsinfrastruktur. Diese Veränderung wird besonders deutlich, wenn neue Marktpartner hinzukommen. Im klassischen Modell bedeutet ein neuer Kommunikationspartner in der Regel eine weitere technische Verbindung. Zertifikate, VPN-Tunnel, Firewall-Regeln, Routing und Dokumentation müssen eingerichtet und später betrieben werden.

Im SSUN kann die Kommunikation innerhalb der bestehenden Netzwerkstruktur über definierte Routing-Pfade organisiert werden. Sobald weitere Marktpartner mit ihren Systemen am SSUN teilnehmen, können entsprechende Kommunikationsbeziehungen innerhalb des Netzwerks eingerichtet werden. Das eröffnet insbesondere für Prozesse mit vielen Beteiligten neue Möglichkeiten. Denkbar sind beispielsweise Verbindungen zu Swissgrid, Bilanzgruppen, Lieferanten, Pronovo sowie ERP-, MDM- oder EDM-Systemen.

Der Vorteil liegt dabei nicht primär darin, dass eine einzelne Verbindung «schneller» wird. Entscheidend ist die Skalierbarkeit des gesamten Netzwerkmodells.

Der Pilot von Semax

Um praktische Erfahrungen mit dem SSUN und SCION zu sammeln, startete Semax im April 2025 ein Pilotprojekt. Ziel war eine sichere, zuverlässige und kontrollierbare End-to-End-Kommunikation zwischen Energieversorgungsunternehmen und der Amera-HES-SaaS-Lösung. Im Mittelpunkt stand der Prozess der Smart-Meter-Datenerfassung. Dafür wurden zwei Standorte an das SSUN angebunden: die Amera-HES-SaaS-Umgebung im Datacenter der Green Datacenter AG sowie die Smart-Meter-Umgebung am Standort der Semax AG in Cham.

Die Zielsetzung des Projekts war klar:

• Sicherheitsrisiken und Abhängigkeiten von bestehenden VPN-Konstrukten reduzieren
• Den administrativen Aufwand durch eine zentrale Netzwerkarchitektur minimieren
• Erfahrungen mit dem SSUN-Betriebsmodell sammeln
• Anforderungen an Compliance und Nachvollziehbarkeit unterstützen
• Die Integration einer bestehenden kritischen Anwendung in eine SCION-basierte Infrastruktur erproben

Der Pilot war damit bewusst praxisorientiert. Nicht die Technologie als Selbstzweck stand im Vordergrund, sondern die Frage, wie sie sich in eine bestehende Smart-Meter-Umgebung integrieren lässt.

Was die Einführung tatsächlich bedeutet

Die Aufnahme als SSUN-Teilnehmer erforderte zunächst eine intensive Auseinandersetzung mit den organisatorischen und technischen Anforderungen. Auch die physische Installation der Edges verlief an den beiden Standorten unterschiedlich. In Cham war die Installation vergleichsweise unkompliziert: Edge im Rack montieren, anschliessen und konfigurieren. Die Situation im Datacenter war komplexer. Aufgrund der dort geltenden Sicherheitsanforderungen waren zusätzliche Dokumente und organisatorische Schritte für den physischen Zugang erforderlich.

Auch die Prozesse rund um die Anmeldung und technische Integration befanden sich während des Piloten noch in der Entwicklung. Beim Anmeldeprozess waren mehrere Iterationen notwendig. Gleichzeitig mussten technische Fragen gemeinsam mit dem Netzwerkpartner Cyberlink geklärt werden.

Da das SSUN während der Pilotphase noch nicht vollständig betriebsbereit war, wurden Tests teilweise zunächst in anderen Isolation Domains durchgeführt.

Die Netzwerkkonfiguration wurde durch Cyberlink umgesetzt. Aus Sicht von Semax war dabei insbesondere die Zusammenarbeit zwischen Anwendung, Betreiber und Netzwerkpartner entscheidend.

Diese Erfahrungen zeigen: Der Wechsel auf eine neue Netzwerkarchitektur ist nicht ausschliesslich ein technisches Projekt. Ebenso wichtig sind klare Prozesse für Akkreditierung, Verantwortlichkeiten, Dokumentation, physische Zugänge und die Zusammenarbeit der beteiligten Organisationen.

«No news, good news»

Seit der Aufschaltung im November 2025 zeigt sich im laufenden Betrieb ein bemerkenswert unspektakuläres Bild. Der Prozess der Smart-Meter-Datenerfassung funktioniert. Die übrigen IT-Prozesse von Semax wurden durch die neue Netzwerkanbindung nicht beeinträchtigt. Aus Sicht der Organisation ist die Umstellung damit im Alltag kaum sichtbar. Genau das ist bei einer Infrastrukturkomponente ein positives Signal: Die Technologie muss nicht ständig Aufmerksamkeit erzeugen. Sie soll zuverlässig funktionieren und ihre Aufgabe im Hintergrund erfüllen.

Gleichzeitig ist es noch zu früh für eine abschliessende Bewertung der wirtschaftlichen Auswirkungen. Zum Zeitpunkt der bisherigen Erfahrungen prüften erst die ersten Amera-HES-Kunden eine Teilnahme am SSUN. Eine mögliche wirtschaftliche Wirkung ergibt sich insbesondere aus der Skalierung. Der Aufwand für die technische Erstanbindung eines Verteilnetzbetreibers fällt einmalig an. Danach können weitere Kommunikationsbeziehungen innerhalb der bestehenden SSUN-Infrastruktur aufgebaut werden, ohne für jeden neuen Partner erneut ein individuelles Netzwerk-Konstrukt entwickeln zu müssen.

Eine neue Ebene für die Kommunikation

Die Erfahrungen von Semax zeigen, dass die Diskussion um SSUN und SCION nicht auf die Frage «VPN oder SCION?» reduziert werden sollte. VPNs bleiben eine etablierte Technologie für zahlreiche Anwendungsfälle. Die grundsätzliche Herausforderung liegt vielmehr in der zunehmenden Zahl und Bedeutung digitaler Kommunikationsbeziehungen innerhalb des Energiesystems.

Mit der Energiewende werden immer mehr Komponenten digital eingebunden. Smart Meter, Photovoltaikanlagen, Speicher, Ladestationen und steuerbare Verbraucher erzeugen neue Datenströme und neue Anforderungen an Verfügbarkeit und Sicherheit. Damit verändert sich auch die Aufgabe der Netzwerkinfrastruktur. Statt immer mehr einzelne Verbindungen zu verwalten, kann eine gemeinsame, kontrollierte Kommunikationsinfrastruktur einen Teil dieser Komplexität auf eine höhere Ebene verschieben.

Das SSUN ist genau als solche Infrastruktur für die Schweizer Versorgungsbranche konzipiert. Es basiert auf SCION und bietet eine kontrollierte Umgebung für den sicheren Datenaustausch zwischen teilnehmenden Organisationen. Das SSUN ist seit dem 1. Juli 2025 verfügbar; der VSE sieht zudem eine zunehmende Einbindung von Marktpartnern in das Netzwerk vor.

Vom Piloten zum SSUN-Teilnehmer: Amera HES SaaS von Semax als Anwendungsfall

Semax betreibt eine zentrale Amera-HES-SaaS-Plattform. Die Plattform ist bei der Green Datacenter AG auf einer OpenShift-Plattform von Red Hat gehostet. Über die Plattform sind rund 60 Kunden und rund 500'000 Smart Meter angebunden. Diese Dimension verdeutlicht die Bedeutung einer zuverlässigen Kommunikationsinfrastruktur. Gleichzeitig bestehen rund 60 individuelle IPSec-/VPN-Anbindungen. Jede zusätzliche Verbindung bedeutet einen weiteren technischen und organisatorischen Baustein, der konfiguriert, betrieben und überwacht werden muss.

Für Semax war Datensicherheit dabei bereits vor der Einführung des SSUN ein zentraler Bestandteil der Produkt- und Unternehmensstrategie. Die Smart Meter verfügen über entsprechende Sicherheitszulassungen. Als Entwicklungs- und Produktionsbetrieb erfüllt Semax zudem die ISO-Standards 9001 und 27001.

Durch die Einbindung in das SSUN des VSE ergeben sich für die Smart-Metering-Infrastruktur von Semax neue Möglichkeiten in der Netzwerkarchitektur. Die Amera-HES-SaaS-Plattform und die angeschlossenen Smart Meter verbleiben in ihren geschützten privaten Subnetzen. Der Zugang vom Subnetz der SaaS-Plattform zum SSUN erfolgt über eine SCION-fähige Edge. Auch auf Kundenseite wird eine solche Edge eingesetzt. Die physische Verbindung bildet dabei die Brücke zwischen der bestehenden IT-Infrastruktur und dem SSUN. Ab diesem Übergabepunkt übernimmt SCION das Routing innerhalb der entsprechenden Isolation Domain.

Damit muss die bestehende Infrastruktur nicht grundlegend ersetzt werden. Stattdessen wird eine zusätzliche, kontrollierbare Netzwerkschicht eingeführt. Die Anbindung der Amera-HES-SaaS-Plattform an das SSUN war deshalb weniger ein isoliertes IT-Projekt als vielmehr eine konsequente Weiterentwicklung des bestehenden Sicherheitskonzepts.

Was kommt als Nächstes?

Für Semax steht nach der erfolgreichen Einbindung der eigenen Infrastruktur die Übertragung der Erfahrungen auf weitere Kunden und Anwendungsfälle im Vordergrund. Dabei geht es nicht darum, sämtliche bestehenden Kommunikationswege kurzfristig zu ersetzen. Vielmehr kann das SSUN dort eingesetzt werden, wo hohe Anforderungen an Sicherheit, Verfügbarkeit, Nachvollziehbarkeit und Skalierbarkeit bestehen.

Die Erfahrung aus dem Pilotprojekt zeigt dabei auch: Eine erfolgreiche SSUN-Einführung besteht aus mehr als einer technischen Installation. Entscheidend ist das Zusammenspiel von Anwendung, Netzwerk, Provider, Organisation und Governance.

Fazit: Sicherheit muss mit der Vernetzung wachsen

Die Strombranche wird digitaler und damit gleichzeitig stärker vernetzt. Diese Entwicklung erhöht den Nutzen digitaler Systeme, vergrössert aber auch die Angriffsfläche und die Komplexität der Kommunikationsinfrastruktur. Für die weitere Digitalisierung der Strombranche wird damit eine Frage an Bedeutung gewinnen: Nicht nur, welche Systeme miteinander kommunizieren, sondern auch, über welche Infrastruktur diese Kommunikation künftig erfolgen soll.

Die Antwort darauf wird wesentlich mitbestimmen, wie sicher, transparent und skalierbar die digitale Stromversorgung der Schweiz betrieben werden kann. Versorgungssicherheit braucht Datensicherheit. Mit der stark wachsenden Anzahl an dezentralen Produktionsanlagen steigt daher das Sicherheitsrisiko rasant an. Angesichts dieser Bedrohungslage hat der VSE das SSUN als gemeinsamen Schutzraum für die kritische Infrastruktur der Branche initiiert.

Damit der Grundauftrag der Stromversorgung auch in Zukunft sicher bleibt, gilt es nun, rasch und konsequent alle Marktteilnehmer der Schweizer Strombranche in das SSUN zu integrieren.