Elektroautos: Was Plug and Charge alles kann

Inhaltsverzeichnis

Zuletzt haben wir mit der EnBW gesprochen, die ihre Motivationen erläuterte, Autocharge einzuführen. Zur Erinnerung: Autocharge ist ein Verfahren, bei dem User einfach anstecken und der Rest automatisch läuft. Plug and Charge (PnC) ist ein Verfahren, bei dem User einfach anstecken und der Rest automatisch läuft. Da sie von der Userseite praktisch gleich aussehen, PnC aber im großen EnBW-Netz noch nicht angeboten wird, erlebt Autocharge eine gute Akzeptanz unter EnBW-Kunden.

Hinter den Kulissen ist PnC jedoch eine moderne, sichere und flexible Methode der Authentifizierung und Laderechteverwaltung, während Autocharge einfach die MAC-Adresse des Autos nimmt. Das ist sehr, sehr einfach. "Die Frage ist, ob es nicht ZU einfach und eingeschränkt ist“, sagt Steffen Rhinow von Hubject, dem Anbieter des international genutzten Plug&Charge Ecosystems und dessen V2G-Public-Key-Infrastruktur (PKI) im Hinblick auf die fehlenden Sicherheitsmechanismen von Autocharge.

Asymmetrische Verschlüsselung

Wer schon weiß, wie asymmetrische Verschlüsselung funktioniert, kann diesen Abschnitt skippen. Für den Rest gibt’s eine kurze Schnellbleiche, damit der grundlegende Mechanismus klar wird, der hinter einem großen Teil moderner Datennetz-Infrastruktur und auch PnC steckt. Also: Symmetrische Verschlüsselung ist sehr lange bekannt, weil sehr einfach: Sender und Empfänger verwenden denselben Schlüssel zum Ver- und Entschlüsseln, was natürlich einige praktische Fragen der Schlüsselübertragung aufwirft, vor allem in öffentlichen Datennetzen.

Einer der größten Durchbrüche in der IT-Mathematik waren dann Methoden (RSA: 1977) der asymmetrischen Verschlüsselung: Ein öffentlicher Schlüssel verschlüsselt, kann aber nicht mehr entschlüsseln. Ein dazugehöriger privater Schlüssel entschlüsselt diese Nachrichten, muss (und darf) dabei aber an Niemanden weitergegeben werden. Das machte eine ganze Reihe von kryptographischen Methoden erst möglich, etwa verschlüsselte an Unbekannte schicken.

Der private Schlüssel hat noch einen zweiten Vorteil: Man kann mit ihm eine Datei signieren, also eine Reihe Bytes anhängen, die wie Zufall aussieht. Eine Prüfung mit dem öffentlichen Schlüssel kann nun zeigen, ob die Datei verändert wurde, denn ändert sich nur ein Byte, sähe die Signatur schon wieder komplett anders aus. So wird zum Beispiel Software von Erstellern signiert, um Veränderungen auf dem Übertragungsweg offensichtlich zu machen. Die mathematischen Hintergründe asymmetrischer Verschlüsselungsverfahren finden Sie bei Interesse z. B. bei Wikipedia. Sie sind so öffentlich wie der Implementations-Quellcode, was das Vertrauen in die Methode erst ermöglicht.

Das bei PnC ständig vorkommende "Zertifikat“ wiederum enthält einen öffentlichen Schlüssel plus einige Angaben zum Aussteller und dem Gültigkeitszeitraum. Wenn viele Parteien miteinander zu tun haben, ist es nicht mehr sinnvoll, die jeweiligen Zertifikate persönlich per Ausweis und Handschlag zu kontrollieren, sondern alle vertrauen einer Quelle, der "Certificate Authority“ (CA). Sie erstellt ein Root-Zertifikat (deutsch: "Stammzertifikat“), mit dessen privatem Schlüssel die angehängten Zertifikate signiert werden (sofern die Anforderungen des CA erfüllt sind). Mit einem von Root signierten Zertifikat kann man wiederum weitere Zertifikate signieren.

Es entsteht eine Zertifikatskette, die sich bis zur Wurzel (Root) prüfen lässt, und ändert sich darin nur ein Bit, fällt das in sich zusammen. Zertifikatsketten haben viele Anwendungen in der IT-Sicherheit von Webservern bis zur Blockchain (das ist ganz banal eine verteilte Zertifikatskette) und sind lange bewährt. Die Verwaltung des ganzen Gemumpels übernimmt der Anbieter der PKI. Hubject ist so ein Anbieter für PnC.

Elektrautos mit Solar-Überschuss laden

• Was Sie für optimales Überschussladen benötigen
• Plug & Charge und V2G: Elektroautos einfach laden und als Speicher nutzen
• E-Mobilität: Wie Sie Ihr E-Auto daheim günstig und sicher laden
• Elektroauto mit Solar-Überschuss laden
• Anleitung: Elektroauto mit Solarstrom laden – Photovoltaik an eigener Wallbox

Zertifikate ab Werk

Autoseitig beginnt die Zertifiziererei bereits bei der Software-Bestückung nach dem Bau oder dem Update für Plug and Charge. Der Fahrzeughersteller installiert das Root-Zertifikat im Fahrzeug sowie ein daran angekettetes Fahrzeug-Zertifikat namens "Provisioning Certificate ID“ (PCID), für das das Fahrzeug zudem den privaten Schlüssel speichert. Das Provisioning Certificate (natürlich ohne den privaten Schlüssel) wird zudem beim Infrastrukturanbieter (also in diesem Fall Hubject) gespeichert, das Fahrzeug wird also dort bekannt gemacht.

Um Strom kaufen zu können, muss der User einen entsprechenden Vertrag mit einem Energieverkäufer abschließen, wie jetzt mit App, Ladekarte oder Autocharge auch. Beim Vertragsabschluss generiert der Energieverkäufer aus PCID und Elementen aus der Infrastruktur ein Vertrags-Zertifikat, das bei Hubject in einem Vertragszertifikats-Pool hinterlegt wird.

Die (erste) Ladung

Die Kommunikation zwischen Auto und Ladesäule ist in der Norm ISO 15118 festgelegt. Beim ersten Anstecken bauen Ladestation und Auto eine Datenverbindung über TLS auf, also eine symmetrische Verschlüsselung, bei der ein vorheriger Handshake über asymmetrische Verschlüsselung das gemeinsame Geheimnis ermöglicht. Dazu tauschen die beiden Systeme Zertifikate aus. Über die TLS-Verbindung sendet das Auto nun einen "Install Request". Dieser Aufforderung kommt die Ladestation nach, indem sie ein signiertes Datenpaket aus der Infrastruktur anfordert und dem Auto schickt (die "Install Response").

Das Paket enthält das Zertifikat des Ladevertrags aus dem Pool und einen verschlüsselten privaten Schlüssel dazu, den nur dieses Auto entschlüsseln kann. Für folgende Vorgänge verbleibt das Zertifikat nebst Schlüssel im Autospeicher. Die Installation der Verträge kann auch über das Backend des Fahrzeugherstellers geschehen. Dies ist auch die Tendenz am Markt, da so ein flexiblerer Austausch der Verträge gewährleistet ist.

Mit neuem oder bereits vorhandenem Vertrag im Auto meldet es sich dann bei der Ladestation mit einer Autorisierungsanforderung. Die Ladestation prüft die Gültigkeit und schickt dann eine kryptographische "Challenge", das ist eine mit dem öffentlichen Schlüssel verschlüsselte Sequenz, deren (der Ladestation ja bekannter) Klartext nur jemand im Besitz des passenden privaten Schlüssels zurückschicken kann. Nach dieser Prüfung kann die Ladestation die Stromversorgung beginnen oder es werden weitere fällig, etwa für Roaming. Es kann bis über 20 Sekunden dauern, bis nach dem Anstecken Strom fließt. Die PnC-Autorisierung dauert dabei zwei bis fünf Sekunden, der Rest wird durch die sonstige CCS-Kommunikation mit Sicherheitsmechanismen wie CableCheck etc. vereinnahmt.

Vergleichen wir das einmal mit Autocharge: Bei Autocharge schickt das Auto die Hardware-Adresse des Netzwerkadapters, die "MAC-Adresse“. Bei Autos, bei denen diese Adresse eindeutig und dauerhaft ist, kann man die Nummer im Backend einem Abrechnungsvertrag zuweisen – fertig. Wenn man das einmal bei der EnBW und einmal bei Fastned macht, ist auch unklar, wie ein Roaming am besten gelöst werden sollte.

Eine Authentifizierung egal welcher Art existiert nicht, sondern Unternehmen wie Fastned, Tesla oder EnBW gehen davon aus, dass die Hürde "CCS-Zwischenstecker bauen“ oder "MAC-Adresse meines Autos spoofen“ hoch genug ist, den weitaus meisten Missbrauch zu verhindern. Ihre Zuversicht können sie aus den RFID-Ladekarten schöpfen, die ebenfalls gar keine Sicherheitsmechanismen enthalten, sondern sich über ihre öffentliche, drahtlos (!) von jedem (!) lesbare ID anmelden.

Quick-and-dirty-Übergangslösungen

Obwohl Ladekarten wirklich sehr einfach zu missbrauchen wären, gab es in der Infrastruktur bisher keine nennenswerten Probleme damit. Dennoch sollte klar sein, dass sowohl RFID als auch Autocharge Quick-and-dirty-Übergangslösungen sind, die schrittweise von normaler Bezahl-Infrastruktur (statt RFID) beziehungsweise PnC (statt Autocharge) abgelöst werden in den nächsten 5 [SR1] [SR2] bis 15 Jahren. Das heißt aber nicht, dass PnC noch nicht benutzt würde: Hubject verzeichnet mehre zehntausende PnC Autorisierungen pro Monat (Tendenz stetig steigend), und im Juni rollt mit BMW nach der VW Gruppe, Mercedes Benz, Ford, etc. ein weiterer großer Hersteller PnC über den dafür ausgerüsteten E-Bestand aus.

Flexibilität aus Komplexität

Der Vergleich mit Autocharge zeigt die enormen Unterschiede in Sachen Komplexität. Das System existiert jedoch bereits, sodass sich die Arbeiten eines Energieanbieters stark in Grenzen halten. "Der Aufwand der eigentlichen Backend-Umsetzung liegt bei ein bis zwei Sprints", sagt Steffen Rhinow, "weil die Hersteller von Ladesäulen und Autos ja schon die meiste Arbeit gemacht haben. Die Infrastruktur gibt es ebenfalls schon. Ich habe schon Firmen gesehen, die hatten innerhalb eines Monats Plug-and-Charge-Verträge bei den Kunden, vom Meeting bis zum ersten Live-Ladevorgang."