Moderne Fernwärme-Netzwerke entwickeln sich zu intelligenten Energiesystemen, mit schnell wachsender OT-Infrastruktur. narrowins SD-WAN-Design verbindet Erzeuger, Speicher und Übergabestationen über eine hochverfügbare, segmentierte und durchgängig verschlüsselte Kommunikationsarchitektur: für sichere Betriebsführung, hohe Resilienz und Skalierung von 50 auf mehrere hundert Standorte.
Warum Fernwärme jetzt skaliert
Fernwärme ist ein zentraler Baustein der Wärmewende. Sie erlaubt die Einbindung erneuerbarer Quellen (Geothermie, Solarthermie), lässt Abwärme aus Industrie und Rechenzentren wiederverwenden und macht den Betrieb von Grosswärmepumpen effizient. Im Zusammenspiel mit Wärmespeichern und intelligenter Steuerung glättet sie Lastspitzen, nimmt Stromüberschüsse über Power-to-Heat auf und senkt Emissionen deutlich.
Politisch geht es um Dekarbonisierung und Versorgungssicherheit; ökologisch um Abwärmenutzung und Effizienz. So oder so werden moderne Wärmenetze zu flexiblen Niedertemperatur-Systemen: stark vernetzt, datengetrieben und für dynamischen Betrieb gebaut.
Vernetzung als Effizienzhebel
Die Digitalisierung macht den Unterschied zwischen «wärmelieferndem Rohr» und «intelligentem Energiesystem». Sensorik, Aktorik und Telemetrie erhöhen Transparenz und Steuerbarkeit über die gesamte Kette: von der Erzeugung über Speicher bis hin zu dezentralen Übergabestationen. Vier Elemente tragen das:
Transparenz in Echtzeit
Temperatur, Druck, Volumenstrom, Rücklauftemperaturen, COP von Grosswärmepumpen und Speicherzustände, sichtbar in dem Moment, in dem sie entstehen.
Prognose & Optimierung
Digitale Zwillinge, Wetter- und Lastprognosen sowie prädiktive Regelung.
Sektorkopplung
Power-to-Heat, netzdienlicher Betrieb und Teilnahme an Flexibilitätsmärkten.
Security by Design
Schutz der OT-Infrastruktur als kritische Energieversorgung: Branchenspezifische Sicherheitsstandards, Härtung, Monitoring, Incident Response.
Regulatorische Anforderungen
Ein Fernwärme-Netzwerk steht nicht ausserhalb der Regulierung. Die genauen Pflichten unterscheiden sich nach Land, und ein Design muss sowohl den deutschen als auch den Schweizer Rahmen erfüllen.
Fernwärmenetzbetreiber gelten als kritische Infrastruktur (KRITIS), wenn ihre Erzeugungsanlagen oder Netze mindestens 500 MW installierte Wärmeleistung bereitstellen oder mehr als 300.000 Menschen versorgen. Oberhalb dieser Schwelle greifen das BSI-Gesetz und die BSI-Kritisverordnung: Umsetzung des anerkannten Branchenspezifischen Sicherheitsstandards B3S Fernwärme, Sicherheitsnachweise gegenüber dem BSI alle zwei Jahre, eine benannte verantwortliche Person für IT-Sicherheit und die Meldepflicht erheblicher Störungen. Unterhalb der Schwellenwerte besteht keine gesetzliche KRITIS-Pflicht, der B3S kann jedoch als Best-Practice-Sicherheitsbasis eingesetzt werden.
Der B3S Fernwärme listet spezifische Prinzipien für die Netzarchitektur auf:
Least Privilege: Nutzer und Komponenten haben nur die Rechte, die sie für ihre Funktion brauchen.
Defence in Depth: Bedrohungen werden durch komplementäre Controls auf mehreren Systemebenen gemildert, nicht durch eine Einzelmassnahme.
Redundanz: Ein geeignetes redundantes Design kompensiert den Ausfall einzelner Komponenten.
Schutz, Erkennung, Reaktion: Controls werden implementiert, um den Schutz zu erhöhen, die Erkennung zu verbessern und die Reaktion auf Sicherheitsereignisse zu stärken.
Zonenbasiertes Vertrauen: Eine Zone vertraut einer benachbarten Zone nicht ohne generelle Sicherheitsmassnahmen; ein Zugriff über eine Grenze erfordert Authentifizierung.
CHSchweiz – IKT-MinimalstandardEmpfohlene Best Practice · NIST-basiert · 5 Bereiche
In der Schweiz gilt der IKT-Minimalstandard Fernwärme- und Fernkälteversorgung des Nationalen Zentrums für Cybersicherheit (NCSC) als Empfehlung. Ziel ist die Erhöhung der Cyber-Resilienz thermischer Netze. Er orientiert sich am NIST-Framework (Identify, Protect, Detect, Respond, Recover) und umfasst über 100 konkrete Massnahmen. Er ist nicht verpflichtend, wird aber als Best Practice empfohlen und ist speziell auf thermische Netze zugeschnitten. Er deckt fünf Bereiche ab:
Governance & Risikoanalyse: ein Managementrahmen mit Risikobeurteilung und Schutzstrategien.
Segmentierung & Defence in Depth: klare Trennung von ICS/SCADA-, Unternehmens- und Perimeternetz.
Access Control & Awareness: autorisierte Zugriffe, Schulung und Sensibilisierung der Mitarbeitenden.
Monitoring & Incident Response: laufende Überwachung, Erkennung und Reaktion.
Recovery & Verbesserung: Wiederherstellungspläne und kontinuierliche Verbesserung.
Damit ein Fernwärme-Netzwerk wirtschaftlich und zuverlässig betrieben werden kann, muss die Netzwerkinfrastruktur sicher, leistungsfähig, skalierbar und kostenbewusst sein. Ein gutes Design vermeidet unnötigen operativen Overhead und unterstützt effiziente Betriebsprozesse:
Automatisierung: Zero-Touch-Provisioning, zentrale Policy-Verwaltung und Infrastructure-as-Code beseitigen manuelle Schritte.
Einheitliche Architektur: standardisierte Standortprofile und Vorlagen minimieren Planungs- und Integrationsaufwand.
Ressourceneffizienz: die Wahl der passenden Technologie, etwa gezieltes 4G/5G als Backup, vermeidet Überdimensionierung.
Einfache Erweiterbarkeit: Das Design nimmt neue Standorte und Use Cases (E-Mobility, Solarlogger) ohne komplexe Umbauten auf.
Monitoring & Transparenz: zentrale Überwachung und klare KPIs halten Betriebs- und Wartungskosten planbar.
Unser SD-WAN-Design
narrowins SD-WAN-Design verbindet Aussenstationen, Erzeuger, Speicher und Leitstellen über eine hochverfügbare, segmentierte und durchgängig verschlüsselte Kommunikationsarchitektur. Das Ziel: sichere Betriebsführung, hohe Resilienz und einfache Skalierung, von 50 auf mehrere hundert Standorte, auf einem einheitlichen Setup.
Der Netzwerkplan, schematisch: ein Setup trägt Glasfaser- und 4G/5G-Standorte gleichermassen, von der Zentrale bis zu jeder Heizstation
Architekturprinzipien
Konnektivität
Flexible Anbindung
Das Design nutzt Glasfaser, wo vorhanden, und ergänzt 4G/5G als primären oder sekundären Träger: Neubau-, Bestands- oder temporäre Standorte.
Verfügbarkeit
Redundanz & Failover
Ein Dual-Uplink-Design mit Health-Checks und automatisiertem Failover, für schnelle Konvergenz.
Verschlüsselung
Moderne Verschlüsselung
WireGuard zwischen Standorten: Ende-zu-Ende-Verschlüsselung, moderne Kryptografie, minimaler Overhead.
Segmentierung
Layer-3-Trennung
Standort- und Funktionssegmente sind L3-getrennt; Ost-West-Traffic wird zentral durch Security-Policies geführt und begrenzt Lateral Movement und Blast Radius.
Security
Zentralisierte Security
Zentrale Policies, zentrales Logging und ein zentraler Pfad, um ein IDS oder SOC anzubinden: Syslog, NetFlow, Anomalie-Erkennung.
Skalierung
Skalierbarkeit & Automatisierung
Zentrales Management, eine Vorlage pro Standorttyp und Zero-Touch-Provisioning für schnelle Rollouts.
Automatisierung mit dem Standort-Generator
Die Skalierung eines Fernwärme-Netzwerks erfordert effiziente Prozesse. Der Standort-Generator automatisiert die Konfigurationserstellung vollständig: Der Kunde gibt lediglich einen Standortnamen ein; alles Weitere wird automatisch generiert. Das System erstellt die vollständige Router-Konfiguration, IP-Adressierung, WireGuard-Keys, Firewall-Regeln und VLAN-Zuweisungen.
Eine neue Aussenstation, Übergabestation oder Erzeugeranlage kann innerhalb von Minuten konfigurationsbereit sein, ohne manuellen Aufwand, ohne Fehlerquelle und mit garantierter Konsistenz über alle Standorte hinweg.
Der Standort-Generator: jeder WAN-Standort aus einer Vorlage generiert, mit Tunnel, Adressierung und Deployment-Status zentral nachverfolgt
Warum der Ansatz kosteneffizient ist
Günstige, bewährte Hardware: keine teuren Spezialgeräte an den Aussenstationen nötig.
Zentrale Security-Services: Verschlüsselung, Policies und Monitoring laufen zentral, statt einer verteilten Lizenz- und Appliance-Landschaft.
Hohe Automatisierung: Zero-Touch-Provisioning und Templates senken Rollout- und Betriebsaufwand deutlich.
Keine unnötigen Zusatzlizenzen: die Basics (WireGuard/VPN, Segmentierung) ohne proprietäre Upgrades.
«Die konsequente Segmentierung und die zentrale Verwaltung machen das Netzwerk sicher und handhabbar. Dank Zero-Touch-Provisioning und der Template-basierten Architektur skaliert es mit dem Ausbau der Wärmenetze.»
Paul Kempf · Geschäftsführer, Zweckverband Breitbandversorgung Landkreis Lörrach
Häufige Fragen
Wie funktioniert Out-of-Band (OOB) Remote Site Management?
Geht eine Fachkraft vor Ort, kann sie ein vorkonfiguriertes Gerät anschliessen, das sofort einen Remote-Tunnel für Troubleshooting und Debugging aufbaut, unabhängig von der normalen Konnektivität des Standorts.
Welche Verschlüsselung wird eingesetzt?
WireGuard, mit moderner Kryptografie, für schnelle und sichere Tunnel zwischen Standorten.
Wie erfolgt die Segmentierung?
Konsequente Layer-3-Trennung nach Standort- und Funktionsrolle, Mikrosegmentierung, zentrale Ost-West-Policies und DMZ-Zonen für Telemetrie und Remote-Zugriff.
Wie skaliert das Design?
Über eine Vorlage pro Standorttyp, einen Config-Generator und zentrales Management: von 10 bis über 1'000 Standorte auf demselben Design.
Was fordert der B3S Fernwärme konkret?
Der anerkannte Branchenspezifische Sicherheitsstandard beschreibt organisatorische und technische Mindestmassnahmen: Netzwerkzonierung, Zugriffskontrollen, Protokollierung, Schwachstellenmanagement, Notfallpläne und regelmässige Sicherheitsnachweise.
