Security by Design wird für Hersteller zur Pflicht 198.000 Ladepunkte in Deutschland im Visier von Angreifern

Anbieter zum Thema

PHOENIX CONTACT E-Mobility GmbH

FTAPI Software GmbH

Fast 200.000 öffentliche Ladepunkte in Deutschland geraten zunehmend ins Visier von Cyberkriminellen. Von manipulierten QR-Codes über Schwach­stellen im OCPP-Protokoll bis zur Destabilisierung des Stromnetzes reichen die Gefahren. Mit CRA und NIS 2 müssen E-Mobility-Hersteller und -Be­trei­ber Security by Design umsetzen und ihre Lieferketten absichern.

Die öffentliche Ladeinfrastruktur ist ein wesentlicher Baustein der Mobilitätswende, gerät aber zunehmend ins Visier von Cyberkriminellen. Mehr als 198.000 öffentliche Ladepunkte gibt es laut Bundesnetzagentur im März 2026 in Deutschland – Tendenz schnell steigend. Schließlich wächst mit der Beliebtheit elektrischer Fahrzeuge auch der Bedarf an einer flächendeckenden Infrastruktur zum Stromtanken. Doch je mehr Ladepunkte es gibt und je mehr Nutzer auf sie angewiesen sind, desto attraktiver wird das gesamte System für Cyberkriminelle. Diese überkleben beispielsweise die QR-Codes auf den Säulen mit Fälschungen, um Kunden auf manipulierte Websites zu locken und Login- oder Bezahldaten abzugreifen. Hier sind einerseits die Kunden selbst gefordert, auf Warnsignale wie schief platzierte Aufkleber oder ungewohnte URLs zu achten oder Bezahl-Apps beziehungsweise Ladekarten zu verwenden, die sicherer sind. Andererseits können Betreiber und Hersteller die Quishing genannten Betrugsversuche zumindest erschweren, indem sie die Codes auf einem Display anzeigen, sodass ein Überkleben oder ein zusätzlich angebrachter Code leichter zu erkennen ist.

Risiko für Unternehmen mit E-Autos im Fuhrpark

Der Hacker und die Ladesäule

Allerdings stehen auch die technischen Systeme in den Ladesäulen sowie die Backend-Systeme im Visier von Cyberkriminellen. Gelingt ihnen eine Infiltration, kann da weit reichende Konsequenzen haben – angefangen beim umfangreichen Diebstahl von Kundendaten über das Abschalten der gesamten Ladeinfrastruktur eines Betreibers bis hin zur Destabilisierung des Stromnetzes. Damit haben Attacken nicht nur das Potenzial, das Vertrauen in die Elektromobilität zu untergraben und die Mobilitätswende auszubremsen, sondern können im schlimmsten Fall einen schwerwiegenden Blackout verursachen.

Während es einen Stromausfall aufgrund von Manipulationen an der Ladeinfrastruktur bislang noch nicht gegeben hat, wurden schon einige größere Datenlecks bekannt, unter anderem in Litauen und im Nahen Osten. Darüber hinaus finden Sicherheitsexperten immer wieder Schwachstellen in der Implementierung von OCPP (Open Charge Point Protocol), dem für die Kommunikation zwischen Ladesäulen und Backend-Systemen genutzten Protokoll und Risiken in der Implementierung von PLC (Powerline Communication), dem Standard für Datenaustausch zwischen Ladesäule und Fahrzeug.

Da Ladestationen und ihre Backends zu den wichtigen Infrastrukturen für Wirtschaft und Gesellschaft zählen, rücken sie auf Hacker-Events und anderen Cybersecurity-Veranstaltungen zunehmend in den Fokus. Dort finden regelmäßig Hacking-Wettbewerbe wie Pwn2Own statt, deren Ziel es ist, unbekannte Schwachstellen aufzuspüren, sodass Hersteller sie abdichten können, bevor Cyberkriminelle sie ausnutzen. In der Regel werden auch Preisgelder ausgelobt. Die Wettbewerbe leisten einen wichtigen Beitrag dazu, die Robustheit der Komponenten von Ladeinfrastrukturen zu verbessern, die Elektromobilität sicherer zu gestalten und den Austausch zwischen Herstellern und der Cybersecurity-Community zu fördern.

Pwn2Own Berlin 2025

Sicherheitsforscher decken 28 Zero-Day-Schwachstellen auf

Pwn2Own Automotive 2025

49 Zero-Day-Schwachstellen bei Hacking-Contest entdeckt

Angriffe vor Ort und aus der Ferne

Dass die Ladeinfrastruktur anfällig für Cyberattacken ist, liegt nicht zuletzt daran, dass sie im öffentlichen Raum leicht zugänglich ist – sie muss schließlich für E-Fahrzeugbesitzer nutzbar sein. Angreifer können die Säulen somit aufschrauben oder aufbrechen, um auf Schnittstellen und Verbindungen zuzugreifen oder Komponenten zu manipulieren. Robuste Bauweisen, Videoüberwachung und Alarmanlagen wirken hier abschreckend und helfen ebenso wie Sensortechnologie, physische Angriffe zu erkennen. Darüber hinaus unterstützen moderne Sicherheitslösungen dabei, Veränderungen an der Firmware von Komponenten zu entdecken und unautorisierte Zugriffe sowie Datenübertragungen zu unterbinden.

Allerdings lässt sich die Infrastruktur auch ohne physischen Zugang zu den Ladepunkten angreifen, da die Systeme vernetzt und bisweilen fehlerhaft konfiguriert sind. Einige sind sogar über das Internet erreichbar und lassen sich über Shodan und andere Suchmaschinen finden. Das wiegt umso schwerer, als dass sie überwiegend auf etablierte Protokolle wie OCPP 1.6 setzen, die ursprünglich nicht mit Blick auf Cybersecurity entwickelt wurden. Erst OCPP 2.0.1 führt umfangreichere Sicherheitsfunktionen ein, doch die Umstellung auf die neuere Pro­to­koll­ver­sion ist mit hohen Kosten verbunden, da sich nicht alle Bestandssysteme aktualisieren lassen – viele Backends unterstützen OCPP 2.0.1 schlicht noch nicht. Dennoch liegt es an den Herstellern von Ladesäulen und ihren Komponenten, die Umstellung so weit wie möglich voranzutreiben, Infrastrukturen für die neuere OCCP-Version fit zu machen oder an dieser orientierte Best Practices für OCPP 1.6 umzusetzen.

Cybersicherheit von Wallboxen und Ladestationen

Deshalb müssen Ladestationen Cyberfestungen sein

Hersteller stehen in der Pflicht

Beim Schutz der Ladeinfrastruktur stehen vor allem die Hersteller in der Verantwortung. Viele Ladesäulen fallen etwa unter die Delegierte Verordnung zur Radio Equipment Directive (RED) der EU, da sie über Mobilfunk oder WLAN vernetzt sind. Die Verordnung macht Vorgaben zur Cybersecurity und zum Schutz von Daten, die mithilfe der Normenreihe EN 18031 umgesetzt werden können. Sie ist bereits seit August 2025 verpflichtend geltend und ein wichtiger Schritt auf dem Weg zur Konformität zum deutlich weiter gefassten Cyber Resilience Act (CRA) der EU.

Cyber-Resilienz, die Tür zum EU-Markt

Was Hersteller jetzt über CRA und Produktsicherheit wissen müssen

Der CRA gilt für alle Produkte mit digitalen Komponenten und damit für sämtliche Lade­infra­struktur – unabhängig davon, ob sie mit einem Funkmodul ausgestattet ist. Bereits ab dem kommenden September verpflichtet der CRA die Hersteller dazu, ausgenutzte Schwachstellen zu melden und über Sicherheitsmaßnahmen zu informieren, die Nutzer des Produkts – also Betreiber von Ladeinfrastrukturen – ergreifen können, etwa das Einspielen eines Patches oder das Anpassen einer Konfiguration. Bis Dezember 2027 müssen die Produkte dann so gestaltet sein, dass sie eine möglichst geringe Angriffsfläche bieten, unbefugte Zugriffe und den Missbrauch von Daten verhindern und per Update aktualisiert werden können. All das lässt sich gut mit „Security by Design“ und „Security by Default“ zusammenfassen.

Alles zum Cyber Resilience Act – Teil 1

Warum Produkte cybersicher werden müssen

Zusätzlich verpflichtet der CRA die Hersteller zu einem umfassenden Risiko- und Schwach­stellen­manage­ment über den gesamten Lebenszyklus von Ladesäulen beziehungsweise deren Komponenten hinweg. Sie müssen ihre Systeme kontinuierlich pflegen und Risiken sowie Schwachstellen identifizieren, bewerten und beseitigen. Dabei reicht es nicht, darauf zu warten, dass Sicherheitslücken gemeldet werden – die Hersteller sollen ihre Produkte durchaus eigenen Tests unterziehen, um Angriffsmöglichkeiten zu entdecken. Schwachstellen müssen dann unverzüglich geschlossen werden und, geschieht das über ein Update, so ist dieses kostenlos bereitzustellen.

Update: Inkrafttreten am 17. März 2026

Bundesrat beschließt KRITIS-Dachgesetz

Ladeinfrastrukturen sind ein kritischer Sektor

Neben dem transparenten Umgang mit Schwachstellen sind Hersteller auch dazu angehalten, Kunden über alle Software-Komponenten von Drittanbietern zu informieren, die ihre Lösungen enthalten. Diese Software Bill of Materials (SBOM) hilft den Betreibern von Ladeinfrastrukturen einzuschätzen, welche Risiken mit bestimmten Komponenten verbunden sind. Denn ab einer gewissen Mitarbeiterzahl und Bilanzsumme fallen sie unter die EU-Richtlinie NIS 2, die Be­trei­ber von Ladeinfrastrukturen als Einrichtungen in einem Sektor mit hoher Kritikalität betrachtet. Damit müssen sie ein Risikomanagement betreiben und insbesondere auch die Sicherheit ihrer Lieferketten überprüfen, also Lösungsanbieter und Dienstleister sorgfältig auswählen.

Bei der Entscheidung für einen Anbieter sollten Betreiber darauf achten, dass dessen Produkte nicht nur RED-konform sind, sondern auch allgemeine Security-Anforderungen erfüllen und dass eine Roadmap existiert, wie CRA umgesetzt werden kann. Die Produkte sollten bereits jetzt neueste Sicherheitsstandards unterstützen und mit Sicherheitsupdates versorgt werden – und nicht erst in zwei Jahren. Auf diese Weise können Ladeinfrastrukturbetreiber sich zu­kunfts­si­cher aufstellen und das Vertrauen in die Elektromobilität stärken.

Über den Autor: Robin Pape ist Software Developer Charging Infrastructure bei Phoenix Contact E-Mobility.

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

(ID:50803126)