Solaranlagen, so sicher wie ein IoT-Gerät

„Installateure, Aggregatoren und Hersteller verfügen zunehmend über einen Fernzugriff, um beispielsweise Flexibilitätsdienste zu ermöglichen, aber sie unterliegen derzeit nicht den typischen Anforderungen für Betreiber kritischer Infrastrukturen“, heißt es weiter.

Von der Kommunikation und der Cybersicherheit her ähnelten die meisten Solaranlagen auf Dächern eher Geräten aus dem Internet der Dinge (IoT) als denen einer zentralisierten Energieinfrastruktur. „Daher sind viele traditionelle industrielle Sicherheitskontrollen und Netzwerkarchitekturen nicht anwendbar“, schreibt die DNV.

BSI zeigt sich besorgt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte zu Beginn dieses Jahres ebenfalls davor, die Fernabschaltung von Solaranlagen in Zeiten von Stromüberproduktion an chinesische Hersteller zu delegieren. Deren Zugriff auf PV-Komponenten wie Wechselrichter berge schon jetzt „erhebliches Gefährdungspotenzial“, hieß es damals.

Als warnendes Beispiel dient weiterhin das Vorgehen des chinesischen Herstellers Deye. Dieser schaltete Wechselrichter pauschal ab, die in den betroffenen Ländern wie den USA nicht zertifiziert und die über Grauimporte ins Land gelangt waren. Laut Deye überprüfen die Wechselrichter routinemäßig ihren Zulassungsstatus.

Darüber hinaus sah das BSI noch weitere Gefahren für PV-Anlagen mit Cloudanbindung. „Neben dem direkten Zugriff des Herstellers können auch Sicherheitslücken in den Produkten oder der Herstellercloud dann Dritten einen unbefugten Zugriff ermöglichen“, sagte ein BSI-Sprecher und empfahl, dass solche Anlagen, „möglichst lokal betrieben und die netzdienliche Steuerung dieser Anlagen über intelligente Messsysteme realisiert werden“.

Ausspähen per Telemetriedaten

Wegen der laut Reuters entdeckten Kommunikationsmodule steht das BSI nach eigenen Angaben „in Kontakt mit seinen internationalen Partnerbehörden“. Zum konkreten Sachverhalt wollte sich die Behörde auf Anfrage nicht äußern. Die Sicherheitsexperten der Behörde spielten demnach ähnliche Szenarien durch und kamen zum Ergebnis: „Eine Übernahme und gezielte Steuerung entweder durch die Ausnutzung von Sicherheitslücken in den Produkten oder gleich durch bestehende Steuerungsmöglichkeiten über die Cloud des Herstellers könnte daher nach Ansicht des BSI die Netzstabilität in EU gefährden.“

Doch das ist laut BSI nicht die einzige Gefahr, die durch den Zugriff auf die Wechselrichter besteht: „Diese Produkte übermitteln regelmäßig Telemetriedaten, zum Beispiel Spannung und Netzfrequenz in die Cloud des Herstellers, welche für ein feinmaschiges Monitoring der Energienetze (Ausspähen) genutzt werden könnten.“ Solche Daten übermitteln jedoch nicht nur Wechselrichter, sondern auch beliebte Leistungsmesser wie der Shelly Pro 3EM.

Das bedeutet: Der Einsatz chinesischer Wechselrichter könnte ebenso umstritten werden wie die Nutzung von Mobilfunkausrüstung von Anbietern wie Huawei und ZTE. Huawei war nach Angaben des Beratungsunternehmens Wood Mackenzie im Jahr 2023 der weltweit führende Wechselrichterhersteller, gefolgt von Sungrow, Ginlong Solis, Sineng und Growatt.

1Komma5 verzichtet schon auf Huawei

Die DNV-Studie geht davon aus, dass zwischen 2015 und 2023 alleine Huawei und Sungrow Wechselrichter mit einer Gesamtleistung von 168 GW nach Europa exportiert haben. Es gebe sieben Hersteller, die mehr als 10 GW Erzeugungsleistung aus der Ferne manipulieren könnten. 13 Hersteller könnten mehr als 5 GW steuern. Dazu zählen aber auch europäische Anbieter wie SMA, Fronius oder Fimer. Huawei wollte sich auf Anfrage von Golem.de nicht zu der Thematik äußern.

Der deutsche Solarentwickler 1Komma5 gab laut Reuters an, Huawei-Wechselrichter zu meiden, da die Marke mit Sicherheitsrisiken in Verbindung gebracht werde. „Vor zehn Jahren hätte das Abschalten der chinesischen Wechselrichter keine dramatischen Folgen für die europäischen Netze gehabt, aber jetzt ist die kritische Masse viel größer“, sagte Geschäftsführer Philipp Schröder und fügte hinzu: „Chinas Dominanz wird aufgrund der wachsenden Kapazität erneuerbarer Energien in westlichen Netzen und der zunehmenden Wahrscheinlichkeit einer längeren und ernsthaften Konfrontation zwischen China und dem Westen zu einem größeren Problem.“

Wie lässt sich das Problem für künftige und bereits genutzte Wechselrichter lösen? Das erfahren Sie in Teil 3.

Verbot für Fernzugriff aus China

Die Autoren der DNV-Studie empfehlen nicht nur branchenspezifische Sicherheitsvorgaben für die Solarwirtschaft, sondern zudem die Begrenzung des Fernzugriffs und der Fernsteuerung von EU-weiten Solaranlagen von außerhalb der EU über den Wechselrichter. Die drei wichtigen Maßnahmen lauten demnach:

• Die Solarinfrastruktur wird von Anfang bis Ende mit Unterstützung aller Beteiligten (Anbieter, Hersteller, Betreiber, Eigentümer usw.) sicher entwickelt, konfiguriert und verwaltet.
• Der Fernzugriff auf die Infrastruktur und deren Kontrolle erfolgen von innerhalb der EU und von anderen sicheren Rechtssystemen aus.
• Die Infrastruktur ist in der Lage, einen Cybervorfall schnell einzudämmen und danach wieder hochzufahren.

Entsprechende Industrierichtlinien sollen in Übereinstimmung mit dem Europäischen Cyber Resilience Act (CRA) entwickelt werden. Ein Vorschlag, dem auch das BSI zustimmt. „Aus Sicht des BSI sollten alle Energiewendeanlagen vor dem Inverkehrbringen einer externen Begutachtung (Drittstellenzertifizierung) unterliegen. Ein solches Zertifizierungserfordernis sollte europäisch im Rahmen des CRA ausgeprägt werden“, teilte die Behörde weiter mit.

BSI: Zertifizierung schafft kein Vertrauen

Doch das könnte je nach Hersteller nicht ausreichen. „Gegenüber nicht vertrauenswürdigen Herstellern schafft jedoch auch eine Zertifizierung kein zusätzliches Vertrauen, so dass hier nur eine politische Lösung zum Beispiel durch Ausschluss aus dem europäischen Binnenmarkt infrage kommt“, schreibt das BSI. Lösungen müssten aber „immer gesamteuropäisch gedacht werden, da das deutsche Energienetz Bestandteil des europäischen Energieverbundnetzes ist und der Ausschluss von Gefährdern nur aus dem deutschen Netz daher keinen wirksamen Schutz bietet“.

Einzelne EU-Staaten verabschiedeten bereits eine nationale Lösung. So verbietet Litauen chinesischen Herstellern den Fernzugriff auf Solar-, Wind- und Speicheranlagen des Landes. Das Gesetz, das litauischen Medien zufolge am 1. Mai 2025 für neue Anlagen in Kraft trat, gilt allerdings nur für große Anlagen mit mehr als 100 kW Erzeugungsleistung. Chinesische Produkte können jedoch weiterhin eingesetzt und müssen auch nicht ausgetauscht werden.

Toolbox wie bei 5G gefordert

Der Solarherstellerverband ESMC fordert eine EU-weite Toolbox zur Wechselrichtersicherheit, die sich an der 5G-Toolbox orientiert. Folgende Punkte sollte diese enthalten:

• eine umfassende Risikobewertung der Hersteller,
• Anbieter mit hohem Risiko dürfen keine Onlineverbindung zu europäischen Stromnetzen unterhalten,
• Erwägung eines völligen Verbots einer Netzverbindung für solche Hersteller,
• die proaktive Gesetzgebung Litauens sollte auf alle EU-Mitgliedstaaten übertragen werden.

Zweifellos würden solche Vorgaben den Einsatz bestimmter Wechselrichter deutlich unkomfortabler machen. Das betrifft beispielsweise das Einspielen von Firmware-Updates oder den Zugriff auf aktuelle Erzeugungsdaten. Das Abregeln von Anlagen könnte zumindest über vernetzte Stromzähler und nicht direkt über die Wechselrichter erfolgen.

Der jüngste Stromausfall in Spanien und Portugal hat gezeigt, wie stark sich der Ausfall einer bestimmten Erzeugungsleistung auf die Stabilität des Netzes auswirken kann. Analysen zufolge löste der Ausfall eines Umspannwerks mit 2,2 GW eine Kaskade weiterer Abschaltungen aus. Auch wenn hinter dem Blackout kein Problem der Solarenergie oder ein Cyberangriff steckten: Die potenziellen Auswirkungen unerwarteter Ausfälle sind Politik und Betreibern auf jeden Fall noch einmal bewusst geworden.