ChargeNetz Admin

1 · Vorab-Check: Hersteller nachschlagen

Zeigt bekanntes OCPP-Verhalten, Eigenheiten und das passende Profil — Erfahrungswerte, ohne Gewähr.

2 · Live-Test gegen ChargeNetz

Nichts anlegen, nichts konfigurieren — der Test läuft komplett isoliert (keine Sessions, keine Abrechnung). Ist die Säule kompatibel, kannst du sie danach direkt als geprüfte Säule anlegen.

Kein TLS? ws://ocpp.chargenetz.com/tester geht auch. Hängt die Box ihre Identity an? …/tester/MeineBox ebenfalls ok.

Die Aufzeichnung startet automatisch, sobald sich eine Säule verbindet — der Knopf verbindet nur die Live-Anzeige.

Frühere Tests

Reportzeitraum

Reports werden nur manuell geladen.

Betreiber-Summen

Sessions je Betreiber

Sessions & Energie pro Tag

Umsatz pro Tag (fakturiert)

Top-Säulen (nach Energie)

Session-Status

Status anklicken, um die einzelnen Ladevorgänge mit Details zu sehen.

Ladevorgänge im Detail

Zwei-Faktor-Authentifizierung

Zusätzlicher Schutz: Neben dem Admin-Key wird beim Login ein 6-stelliger Code aus deiner Authenticator-App (Google Authenticator, Authy, 1Password …) verlangt.

Einrichtung

1. QR-Code mit der Authenticator-App scannen (oder Secret manuell eintippen). 2. Den angezeigten 6-stelligen Code eingeben und bestätigen.

Secret (manuell):

Code aus der App

Bestätigen & aktivieren

Rechnungen

Offene Vorautorisierungen (Holds)

Reservierte Beträge auf Kundenkarten, die noch nicht eingezogen sind. Stripe gibt Holds nach ~7 Tagen automatisch frei — ältere Einträge rot. „Jetzt abschließen" beendet die Session wie der Watchdog (Ende = letzter Messwert) und rechnet ab.

Fehlgeschlagene Zahlungen (30 Tage)

Aufräumen: Karteileichen (Zombie-Sessions)

Einträge, die nachweislich nie geladen haben (keine OCPP-Transaktion, keine kWh, keine Kosten) und älter als 7 Tage sind — in zwei Varianten: stehengeblieben (Start begonnen, nie zustande gekommen) und nie gestartet (nur angelegt, z. B. QR gescannt und weggegangen). Aufräumen setzt sie auf „failed"; eine nur reservierte, nie eingezogene Zahlung wird dabei mit abgeschlossen, damit sie nicht länger als offene Vorautorisierung zählt. Keine Abrechnung, keine Kundenwirkung.

Mensch und System sind getrennt

Menschen melden sich mit einem persönlichen Schlüssel an. Der wird nur als Hash gespeichert — im Klartext existiert er einzig in deinem Passwortspeicher; selbst wer die Datenbank liest, kann sich damit nicht anmelden. Im Klartext einsehbar ist er genau einmal, direkt nach dem Anlegen.

Interne Jobs (Watchdog, Systembericht, Wartungsskripte) benutzen seit 17.08.2026 gar kein Passwort mehr. Sie laufen auf demselben Server und sprechen die App über einen lokalen Socket an; die Berechtigung kommt aus dessen Dateirechten. Ein Geheimnis, das es nicht gibt, kann weder erraten werden noch in einem Log landen — und es muss nie rotiert werden. Diese Jobs haben bewusst nur die Rolle system: Zustand lesen und Säulen steuern, aber keine Kundendaten, keine Stammdaten, keine Schlüsselverwaltung.

Neuen Zugang anlegen

Rollen: full_admin = alles · tech = Säulen/OCPP inkl. Kommandos · support = Kunden/Betreiber lesen + Passwort-Reset · billing = Abrechnung · read_only = nur Auswertung (die Navigation zeigt diesem Zugang nur die Auswertungs-Bereiche). Der Schlüssel erscheint einmalig nach dem Anlegen — sicher ablegen, er ist danach nicht mehr abrufbar.

Bestehende Zugänge

„Rotieren" legt einen neuen Schlüssel mit gleicher Rolle an und widerruft den alten — der Weg, um einen möglicherweise bekannt gewordenen Key sicher zu ersetzen.

„Jetzt prüfen" erzeugt den Systemreport neu (Server-Job, wenige Sekunden). Alle Aktionen dieser Seite laufen nie im Browser, sondern als geprüfter root-Job auf dem Server — jede landet im Wartungs-Verlauf unten (wann, was, von wem, Ergebnis).

Updates & Sicherheits-Patches

Betriebssystem — – Update(s) offen

Updates aus der Sicherheits-Quelle stopfen bekannte Lücken und sollten zeitnah installiert werden; „Optional" sind Stabilitäts-Bugfixes. Die Installation wirkt sofort — nur Kernel-Updates brauchen zusätzlich den Maschinen-Neustart (Karte „Neustart"); ob das nötig ist, steht oben in dieser Karte. Nach jeder Installation prüft der Job automatisch alle Dienste durch.

App-Bibliotheken (npm) — – Schwachstelle(n)

Schwachstellen in Bibliotheken der ChargeNetz-App selbst. Sicher fixbar = Patch ohne Verhaltensänderung, direkt per Knopf einspielbar (der App-Dienst startet danach automatisch neu, ~5 s). Breaking oder „ohne Fix" gehen nur über einen getesteten Deploy — Claude Bescheid geben. Der Knopf patcht die laufende Installation sofort; dauerhaft übernommen wird der Fix mit dem nächsten Deploy.

Neustart

Zertifikate

„Erneuern" stößt certbot an. Let's Encrypt erneuert nur bei Fälligkeit (< 30 Resttage) — sonst kommt die Meldung „not yet due". Nach Erneuerung wird nginx automatisch neu geladen.

Dienste

SSH-Schutz (fail2ban)

IPs, die nach zu vielen fehlgeschlagenen SSH-Logins automatisch gesperrt wurden.

Berichte

Wartungs-Verlauf

Jede ausgeführte Wartungsaktion mit Zeitpunkt, Auslöser und Ergebnis — nachvollziehbar, was wann von wem geändert wurde. Zuoberst das Detail der letzten Aktion inkl. Gesundheitscheck.

Alle Aktionen

Protokolliert werden erfolgreiche und fehlgeschlagene Anmeldungen, 2FA-Ereignisse sowie Admin-Aktionen (Wartung, Säulen-Befehle, Betriebsmodus). Wiederholtes Neuladen wird zusammengefasst: pro Zugang und IP höchstens ein Anmelde-Eintrag je 30 Minuten.

Bereiche sperren

Angehakte Bereiche zeigen Besuchern die Baustellen-Seite (bzw. beim Kundenlogin einen Wartungshinweis). Der Admin-Bereich ist nie betroffen. Änderungen wirken innerhalb weniger Sekunden.

Säule fernsteuern

Der Befehl geht immer an die oben gewählte Säule. Alles, was Folgen hat, fragt vorher nach.