SolarPower Europe warnt vor Sicherheitsrisiken durch PV-Wechselrichter

Mit der fortschreitenden Digitalisierung und Vernetzung von Solaranlagen, insbesondere durch internetfähige Wechselrichter, steigt die Anfälligkeit für Cyberangriffe auf die Strominfrastruktur.

SolarPower Europe hat jetzt einen neuen Bericht veröffentlicht, der konkrete Maßnahmen zur Stärkung der Cybersicherheit im Solarsektor empfiehlt. Der Bericht betont, dass bestehende Sicherheitsmaßnahmen oft auf zentrale Energieanlagen fokussiert sind und dezentrale, digitale Systeme wie Photovoltaikanlagen unzureichend berücksichtigen.

Die Studie, erstellt von DNV im Auftrag von SolarPower Europe, analysiert umfassend die Risiken für Photovoltaiksysteme und bietet klare politische Handlungsempfehlungen.

Mit dem rasanten Ausbau der Photovoltaik (PV) in Europa wächst auch die Gefahr von Cyberangriffen Im neuen Bericht „Solutions for PV Cyber Risks to Grid Stability” wird erstmals systematisch untersucht, wie ernst die Bedrohungslage wirklich ist – und welche Maßnahmen jetzt dringend ergriffen werden müssen.

Nach Einschätzung der Studienautoren haben PV-Systeme sich inzwischen zu einem zentralen Bestandteil der europäischen Energieversorgung entwickelt. Ihre rasche Verbreitung, verbunden mit wachsender Digitalisierung und Vernetzung, macht sie jedoch zunehmend verwundbar. Die bislang geltenden Cybersicherheitsvorschriften reichen nicht aus, um die besonderen Risiken dezentraler, digital gesteuerter Anlagen wie PV-Systeme zu adressieren.

Eine der wichtigsten Erkenntnisse des Berichts: Während einzelne Solaranlagen auf den ersten Blick ein vergleichsweises geringes Risiko darstellen, können Tausende vernetzter Systeme im Verbund eine erhebliche Gefahr für die Stabilität der Stromnetze bedeuten. Eine koordinierte Cyberattacke auf eine größere Anzahl von Wechselrichtern etwa könnte massive Stromausfälle und weitreichende wirtschaftliche Schäden verursachen.

Wechselrichter übernehmen eine Schlüsselrolle in jedem PV-System. Doch genau diese Wechselrichter könnten sich als Achillesferse der Energieinfrastruktur herausstellen, insbesondere wenn sie von chinesischen Herstellern stammen.

Einer der zentralen Gründe für die besondere Risikoexposition chinesischer Wechselrichter liegt in der Cloud-Anbindung außerhalb Europas. Viele dieser Geräte sind für Fernüberwachung und -wartung mit Servern verbunden, die in China oder anderen außereuropäischen Ländern betrieben werden. Das bedeutet: Steuerung, Updates und teilweise sogar die Betriebsdaten europäischer Solaranlagen liegen außerhalb des direkten Einflussbereichs europäischer Rechtssysteme.

Im Krisen- oder Konfliktfall könnte dieser Fernzugriff missbraucht werden, um gezielt auf die Energieversorgung Europas einzuwirken – etwa durch das Deaktivieren großer Anteile der Solarstromproduktion.

Hinzu kommt ein eklatanter Mangel an Transparenz bei Firmware und Software chinesischer Wechselrichter. Anders als bei manchen europäischen oder nordamerikanischen Herstellern sind die internen Abläufe und Update-Prozesse dieser Geräte oft proprietär und kaum unabhängig überprüfbar.

Damit steigt die Gefahr, dass sogenannte „Backdoors“ – also versteckte Zugriffsmöglichkeiten – existieren, ohne dass europäische Behörden oder Betreiber diese rechtzeitig erkennen und absichern könnten. Die fehlende Einsicht in die Softwaresicherheit dieser Systeme erschwert effektive Schutzmaßnahmen erheblich.

Ein weiteres Problem ergibt sich aus der massiven Verbreitung chinesischer Produkte im europäischen Markt. Durch aggressive Preisstrategien haben sich Anbieter wie Sungrow, Huawei und andere in vielen Ländern einen signifikanten Marktanteil erobert. Dies bedeutet, dass eine große Zahl von Wechselrichtern mit ähnlicher Technik und potenziell ähnlichen Schwachstellen installiert ist.

Eine koordinierte Cyberattacke auf eine Vielzahl dieser Systeme könnte zu einem synchronisierten Ausfall führen – mit schwerwiegenden Folgen für die Stabilität des europäischen Stromnetzes.

Dass diese Risiken nicht rein hypothetisch sind, zeigen bereits aufgedeckte konkrete Sicherheitslücken. Untersuchungen, etwa von Forescout Technologies aus dem März diesen Jahres, deckten gravierende Schwachstellen bei Wechselrichtern auf: etwa unsichere Kommunikationsprotokolle, unverschlüsselte Passwortübertragungen oder die Möglichkeit, die Firmware aus der Ferne ohne ausreichende Sicherheitskontrollen zu überschreiben. Solche Schwachstellen könnten von Angreifern genutzt werden, um einzelne Anlagen zu manipulieren oder sie gezielt vom Netz zu trennen.

Schließlich darf der politische Kontext nicht außer Acht gelassen werden: Viele große chinesische Technologieunternehmen unterliegen einem engen Einfluss der Regierung in Peking.

Vor dem Hintergrund geopolitischer Spannungen wächst die Sorge, dass kritische Infrastrukturen in Europa – darunter auch die Energieversorgung – Ziel staatlich gelenkter Cyberoperationen werden könnten. In diesem Szenario könnten Wechselrichter als Hebel eingesetzt werden, um politischen Druck auszuüben oder Europas Stromnetze in einer Krise zu destabilisieren.

Vor diesem Hintergrund fordert der Bericht vier zentrale Maßnahmen:

• Branchenspezifische Cybersicherheitsvorgaben auf EU-Ebene: Notwendig seien spezielle Regeln, die auf die Eigenheiten dezentraler Energietechnologien wie PV-Systeme zugeschnitten sind.
• Produktsicherheitsstandards für dezentrale Energieressourcen: Wechselrichter und ähnliche Geräte sollen künftig Mindestanforderungen an Software-Sicherheit, Update-Mechanismen und Authentifizierung erfüllen müssen.
• Geografische Beschränkung des Fernzugriffs: Steuerungs- und Wartungszugriffe auf Solaranlagen sollten ausschließlich innerhalb der EU oder in gleichwertig regulierten Staaten erfolgen dürfen.
• Sensibilisierung kleiner Betreiber: Hausbesitzer und kleinere Anlagenbetreiber müssten gezielt für Cybersicherheitsrisiken geschult werden, um etwa durch starke Passwörter und regelmäßige Updates zur Gesamtsicherheit beizutragen.

SolarPower Europe betont, dass die Branche die Herausforderungen der Cybersicherheit sehr ernst nehme und bereit sei, proaktiv Verantwortung zu übernehmen. Ziel sei es, die Solarkapazität in Europa nicht nur auszubauen, sondern auch langfristig gegen digitale Bedrohungen abzusichern.