Wenn die Solaranlage zum IT-System wird

Photovoltaikanlagen stehen für Energiewende, Eigenversorgung und moderne Gebäudetechnik.

An IT-Sicherheit denkt dabei vermutlich kaum jemand.

Dabei steckt in einer modernen PV-Anlage inzwischen erstaunlich viel IT. Wechselrichter kommunizieren mit dem Internet, Apps zeigen Erträge und Betriebszustände, Energiemanagementsysteme steuern Verbraucher und Speicher und Hersteller können über Cloud-Plattformen auf Anlagen zugreifen.

Das ist komfortabel.

Es bedeutet aber auch: Eine moderne Photovoltaikanlage ist längst nicht mehr nur Elektrotechnik.

Der Wechselrichter hängt plötzlich im Internet

Früher war die Sache vergleichsweise einfach: Module erzeugten Gleichstrom, ein Wechselrichter machte daraus Wechselstrom und der Strom landete im Haus oder im Netz.

Heute kann ich auf dem Smartphone sehen, was meine Anlage gerade produziert.

Damit das funktioniert, kommuniziert irgendwo Technik.

Mit dem lokalen Netzwerk. Mit einer Cloud. Mit einer App. Mit dem Hersteller. Vielleicht mit einem Installateur oder einem Energiemanagementsystem.

Und überall dort, wo Systeme miteinander kommunizieren, gibt es auch mögliche Schwachstellen.

Wie konkret diese sein können, zeigt eine Untersuchung des Schweizer Nationalen Testinstituts für Cybersicherheit NTC.

Über rund ein Jahr wurden sieben Wechselrichter und vier Energiemanagementsysteme von acht Herstellern untersucht.

Das Ergebnis: mehr als 50 Sicherheitsbefunde. Sieben davon wurden als kritisch und sechs als hoch eingestuft. Bei vier der elf untersuchten Produkte gelang es den Sicherheitsforschern sogar, die vollständige Kontrolle über das Gerät zu erlangen.

Eine Anlage ist kein Kraftwerk

Jetzt könnte man sagen:

Was soll schon passieren, wenn jemand den Wechselrichter auf meinem Dach manipuliert?

Für das Stromnetz zunächst vermutlich nicht besonders viel.

Genau hier wird die Geschichte aber interessant.

Das eigentliche Risiko entsteht nicht unbedingt durch eine einzelne Anlage, sondern durch die Vernetzung sehr vieler Anlagen über wenige zentrale Systeme.

Viele Wechselrichter sind beispielsweise mit der Cloud ihres Herstellers verbunden. Darüber werden Daten übertragen, Firmware aktualisiert oder Einstellungen vorgenommen.

Aus Tausenden einzelnen kleinen Anlagen entsteht damit technisch plötzlich ein großer Verbund.

Das NTC beschreibt ein bemerkenswertes Beispiel: Bei nahezu allen untersuchten Wechselrichtern ließ sich über eine lokale Steuerschnittstelle ohne Anmeldung verändern, wie viel Leistung die Anlage ins Netz einspeist - bis hinunter auf null.

Bei einem einzelnen Haus ist das kaum relevant.

Könnte dieselbe Veränderung jedoch über eine zentrale Herstellerplattform gleichzeitig auf sehr viele Anlagen angewendet werden, sieht die Sache völlig anders aus.

Aus vielen kleinen Geräten wird dann gemeinsam ein Teil kritischer Infrastruktur.

Die Cloud ist praktisch - und ein Multiplikator

Das ist übrigens kein spezielles Problem von Photovoltaik.

Wir bauen heute sehr viele Geräte nach demselben Prinzip.

Eine Kamera bekommt eine App. Die Heizung bekommt eine Cloud. Die Wallbox bekommt Fernzugriff. Und der Wechselrichter natürlich auch.

Das macht Bedienung und Wartung erheblich komfortabler.

Aber ein zentraler Zugang kann eben auch ein zentraler Angriffspunkt sein.

Interessant ist deshalb weniger die Frage:

„Ist meine Solaranlage sicher?“

Sondern:

„Welche Zugänge zu meiner Solaranlage existieren eigentlich?“

Wer kennt die Passwörter?

Kann der Installateur noch darauf zugreifen?

Gibt es einen Herstellerzugang?

Welche Dienste sind aus dem Internet erreichbar?

Werden Firmware und Software noch aktualisiert?

Und befindet sich die Anlage einfach zusammen mit PCs, NAS, Druckern und anderen Geräten im selben Netzwerk?

Was kann man selbst tun?

Man muss deshalb weder den Wechselrichter vom Netz trennen noch auf die Hersteller-App verzichten.

Ein paar Dinge sollte man aber genauso selbstverständlich behandeln wie bei anderen IT-Systemen:

Updates installieren: Auch Wechselrichter und Energiemanagementsysteme benötigen aktuelle Firmware.

Zugangsdaten prüfen: Standardpasswörter haben in einer dauerhaft vernetzten Anlage nichts verloren.

Fernzugriffe kennen: Es sollte klar sein, wer von außen auf die Anlage zugreifen kann und wofür dieser Zugang benötigt wird.

Keine unnötige direkte Erreichbarkeit aus dem Internet: Ein Gerät sollte nicht nur deshalb von außen erreichbar sein, weil es technisch möglich ist.

Netzwerke trennen: Gerade in Unternehmen sollte Gebäudetechnik nicht selbstverständlich im gleichen Netzwerk wie die übrige IT betrieben werden.

Das amerikanische NIST hat für kleine und gewerbliche Solaranlagen inzwischen eigene Empfehlungen zur Cybersicherheit von Smart Inverters veröffentlicht. Dass eine IT-Sicherheitsbehörde eigene Leitlinien für Wechselrichter herausgibt, zeigt ziemlich gut, wie sehr sich die Grenzen zwischen Elektro- und Informationstechnik inzwischen verschoben haben.

Keine Panik auf dem Dach

Aus den Untersuchungen sollte man allerdings nicht den Schluss ziehen, Photovoltaikanlagen seien grundsätzlich unsicher.

Das wäre zu einfach.

Auch das NTC versteht seine Untersuchung ausdrücklich nicht als Argument gegen Photovoltaik. Im Gegenteil: Wenn immer mehr Energie dezentral erzeugt und digital gesteuert wird, muss Cybersicherheit von Anfang an dazugehören.

Und vielleicht ist genau das die wichtigste Erkenntnis:

Wir sollten aufhören, bei IT-Sicherheit nur an PCs, Server und Firewalls zu denken.

Eine Kamera ist heute ein IT-System.

Eine Telefonanlage ist ein IT-System.

Eine Wallbox ist ein IT-System.

Und spätestens dann, wenn der Wechselrichter mit Netzwerk, Cloud und Smartphone-App ausgestattet ist, gilt das eben auch für die Solaranlage auf dem Dach.