Wechselrichter am Internet: Europas Solaranlagen brauchen Cyberschutz Warum Solaranlagen zur neuen Schwachstelle im Stromnetz werden

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Europas Solarenergie kommt zu großen Teilen aus kleinen, vernetzten Anlagen mit internetfähigen Wechselrichtern – viele davon mit Standard-Passwörtern und ohne Firewall. NIS 2 macht Betreiber künftig für Cyber­angriffe haftbar, aber verbindliche Standards für Zugriffskontrolle und Updates fehlen noch. Wer jetzt auf sichere Authentifizierung, verschlüsselte Verbindungen und klare Wartungsverträge setzt, vermeidet teure Nachrüstungen und Haftungsrisiken.

Cybersicherheit ist in der Solarbranche zu einem zentralen Thema geworden. Über viele Jahrzehnte war das europäische Energiesystem zentral aufgebaut und analog gesteuert – mit großen, stark regulierten Kraftwerken. Der schnelle Ausbau von Solarenergie und anderen erneuerbaren Quellen hat diese Struktur grundlegend verändert. Heute ist das Netz dezentral, digital und geprägt von einer Vielzahl kleinerer Erzeugungsanlagen, die häufig nicht denselben Sicherheitsanforderungen unterliegen wie Großkraftwerke.

Während große Solarparks mit über 100 Megawatt Leistung in der Regel strengeren Vorschriften unterliegen, stammt der Großteil der europäischen Solarstromerzeugung aus kleineren Anlagen. Nach Angaben des Datenanalyseunternehmens Wood Mackenzie kommt rund die Hälfte der europäischen Solarleistung aus Anlagen mit weniger als 25 Megawatt. Je kleiner die Anlage, desto geringer ist die Wahrscheinlichkeit, dass sie unter bestehende Cybersicherheitsvorgaben fällt.

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

Zudem sind Solarsysteme heute stärker vernetzt. In Wohn- und Gewerbeanlagen sind Wechselrichter, die Solarenergie in nutzbaren Strom umwandeln, in der Regel mit dem Internet verbunden, um Fernüberwachung, Softwareupdates und Fehlerbehebung zu ermöglichen. In großen Solarparks werden zusätzlich Dienste eingerichtet, um beispielsweise die Nutzung von Batteriespeichern zu steuern oder die Stromproduktion bei Netzüberlastung und negativen Preisen zu reduzieren.

Diese Digitalisierung bringt Vorteile, schafft aber auch neue Angriffspunkte. Das schnelle Wachstum der Branche hat die Cyber­sicherheits­anforderungen teilweise überholt. Viele Systeme – ob privat, gewerblich oder im Versorgungsmaßstab – sind noch immer über das öffentliche Internet erreichbar, teils mit Standard- oder schwachen Passwörtern. Damit ist eine unbefugte Übernahme von Wechselrichtern nicht nur theoretisch möglich, sondern in manchen Fällen erschreckend einfach.

Update: Plattner fordert Schutz der Energieversorgung

Versteckte Kommunikations­module in Solar­wechsel­richtern aus China

Neue Anforderungen durch Regulierung

Auf europäischer Ebene wächst das Bewusstsein für diese Risiken. Entsprechend werden derzeit rechtliche Rahmenbedingungen weiterentwickelt. Bereits 2024 traten mit der Europäischen Funkanlagenrichtlinie (RED, Artikel 3.3) und – in Großbritannien – dem Product Security and Telecommunications Infrastructure Act (PSTI) erste Regelwerke in Kraft, die die Sicherheit vernetzter Geräte stärken sollen. Sie schreiben unter anderem individuelle und komplexe Passwörter sowie grundlegende Datenschutzmaßnahmen vor.

Weitere, deutlich umfassendere Regelungen stehen bevor: Die NIS-2-Richtlinie der EU wurde in nationales Recht überführt. Sie weist Betreibern, Dienstleistern und Anlagenbesitzern eine klar definierte Verantwortung für Cybersicherheitsrisiken zu – einschließlich möglicher Haftung im Schadensfall, etwa bei Stromausfällen infolge eines Angriffs. Für die Solarbranche bedeutet das: Management, Entwickler, EPCs, Eigentümer, Investoren und Versicherer werden künftig rechtlich für die Cybersicherheit ihrer Anlagen und mögliche Folgen von Sicherheitsverletzungen verantwortlich gemacht – bis hin zu Netzstörungen oder Stromausfällen.

Die zunehmende Regulierung ist ein positiver Schritt für die Branche, doch spezifische Maßnahmen sind weiterhin notwendig, um Solarprojekte umfassend abzusichern. Noch gibt es kaum Aufsicht darüber, wie Hersteller mit installierten Geräten kommunizieren – ein Bereich, in dem sich Solarprodukte deutlich von anderen vernetzten Geräten unterscheiden. Besonders bei kleineren Solarparks, die den größten Teil der europäischen Solarstromerzeugung ausmachen, fehlen derzeit verbindliche Regelungen für Firewall- oder Zugriffsmanagement.

Die Regulierung holt auf, und das Bewusstsein wächst rasch. Die EU-Kommission hat die Durchführung von Risikoanalysen für Photovoltaikanlagen angekündigt. Länder wie Deutschland haben öffentliche Konsultationen und Gespräche mit der Industrie gestartet, um branchenspezifische Sicherheitsstandards zu entwickeln. Litauen geht bereits weiter: Dort wurden für unsichere Solargeräte strenge Einschränkungen der Konnektivität beschlossen – teilweise rückwirkend, was kostspielige Nachrüstungen erforderlich machte.

Installateure, Entwickler und EPCs sollten diese Entwicklungen aufmerksam verfolgen, da künftige Regelungen direkte Auswirkungen auf ihre Arbeit und ihre Geschäftsmodelle haben könnten.

Cyberangriffe bedrohen die Zukunft der Solarenergie

IT-Sicherheit als Schlüssel zur Energiesicherheit

Handlungsempfehlungen für die Praxis

Während verbindliche Vorschriften noch in Vorbereitung sind, kann die Solarbranche bereits heute aktiv werden. Für Hausbesitzer und Unternehmen ist der erste Schritt, die sicherheitsrelevante Bedeutung des Wechselrichters zu erkennen – er ist das zentrale, „cyberkritische“ Element jeder Anlage. Daher sollte geprüft werden, welche Sicherheitsmaßnahmen und Standards der Hersteller implementiert hat und wie regelmäßig Softwareupdates bereitgestellt werden.

Betreiber großer Solarparks und die von ihnen beauftragten Betriebs- und Wartungsunternehmen sollten sich darauf einstellen, dass künftig eine rechtliche Verantwortung für die Cybersicherheit ihrer Anlagen gelten wird. So wie heute physische Schutzmaßnahmen wie Zäune, Überwachungssysteme und Brandschutz vorgeschrieben sind, werden in Zukunft auch Investitionen in Software- und Hardware-Sicherheitslösungen über einfache Firewalls und VPN-Verbindungen hinaus verpflichtend sein.

Anlagenbesitzern ist zu empfehlen, schon jetzt das nötige Fachwissen aufzubauen, um die künftigen Anforderungen – auch über NIS 2 hinaus – erfüllen zu können. Ebenso sollten die vertraglichen Pflichten gegenüber O&M-Dienstleistern und EPC-Partnern überprüft und klare Vorgaben zu Sicherheitsstandards vereinbart werden. Eine aktuelle Bestandsaufnahme aller Systemkomponenten ist ebenfalls ratsam, da einzelne Bauteile – wie Wechselrichter, Batteriespeicher oder Monitoringlösungen – unterschiedlichen Compliance-Anforderungen unterliegen können.

Abwehrfähigkeit und Resilienz stärken

Gesetzentwurf zum KRITIS-Dachgesetz ist beschlossen

Risiken erkennen und vorbeugen

Mit der fortschreitenden Regulierung erhält jede Stufe der Wertschöpfungskette in der Solarbranche die Möglichkeit, ihre Cybersicherheitsmaßnahmen zu stärken. Wer frühzeitig potenzielle Schwachstellen adressiert, vermeidet spätere Kosten durch Nachrüstungen, Sanktionen oder Produktrückrufe.

Da Solarsysteme über viele Jahre in Betrieb bleiben, ist es sinnvoll, bereits heute auf sichere und zukunftsorientierte Lösungen zu setzen – ähnlich wie beim Brandschutz oder bei elektrischen Sicherheitsvorgaben.

Installateure spielen dabei eine zentrale Rolle. Der Einsatz von Wechselrichtern mit eindeutigen Passwörtern und verschlüsselter Kommunikation sollte Standard sein – und wird es in absehbarer Zeit vermutlich auch regulatorisch werden. Hersteller wiederum sollten Cybersicherheit fest in ihre Produktentwicklung integrieren, ohne die Nutzung für Installateure oder Endkunden zu verkomplizieren. Eine praktische Lösung kann etwa ein QR-Code-basiertes Einrichtungsverfahren sein, das automatisch eine verschlüsselte Verbindung aufbaut.

Mit dem Fortschritt moderner Authentifizierungstechnologien sollten Hersteller außerdem über klassische Passwörter hinausgehen und Verfahren einsetzen, die in anderen Branchen längst Standard sind – etwa hardwaregestützte oder biometrische Authentifizierung.

Für Betreiber größerer Solarparks gilt: Der Zugriff und die Steuerung sollten schon heute so verwaltet werden, als handele es sich um offiziell als kritisch eingestufte Infrastruktur.

Hacktivisten im Fadenkreuz

Wenn Wasserwerke zur digitalen Kriegszone werden

Vorausdenken statt reagieren

Fachleute in der Solarbranche sollten künftige Regulierungen nicht nur abwarten, sondern sich aktiv darauf vorbereiten. Das Bewusstsein für Cybersicherheit wächst – bei Installateuren, Betreibern und Behörden gleichermaßen.

Die Zeit, in der Cybersicherheit als vermeidbarer Kostenfaktor galt, ist vorbei. Sie ist heute ein notwendiger Bestandteil eines sicheren und verantwortungsvollen Anlagenbetriebs. Wer diese Entwicklung ignoriert, riskiert, regulatorisch ausgebremst zu werden – oder im schlimmsten Fall zur Schwachstelle in einem Angriff auf die Energieinfrastruktur zu werden.

Investitionen in Cybersicherheit sind daher nicht nur Schutzmaßnahmen, sondern auch eine Grundlage für das nachhaltige Wachstum der Branche. Oder, wie man es treffend sagen kann: Vorsorge ist besser als Nachsorge.

Über den Autor: Patrick Janak ist Head of C&I DACH beim globalen Smart-Energy-Technologieunternehmen SolarEdge.

Mehr Vernetzung in der Energiebranche bringt höheres Risiko

Energiewende mit Sicherheit

(ID:50689279)