Wie die Berichterstattung zur Cybersicherheit bei Wechselrichtern zu bewerten ist

Über eine Million Balkonkraftwerke liefern in Deutschland bereits grünen Strom – Tendenz steigend. Dass bei einer so rasant wachsenden Technologie auch Sicherheitsfragen aufkommen, ist selbstverständlich. Eine aktuelle Masterarbeit von Valentin Conrad an der TU Darmstadt hat die IT-Sicherheit von Solar-Mikrowechselrichtern untersucht – und damit eine Welle der Aufmerksamkeit ausgelöst. Einige Medien titelten gar über einen drohenden "Balkonkraftwerk-Blackout". Doch wie ernst ist die Lage wirklich?

Dieser Artikel ist eine Einordnung einer Debatte, die aus dem Ruder lief. Christian Ofenheusle, Vorsitzender beim Bundesverband Steckersolar e.V. und Inhouse Consultant von Kleines Kraftwerk, nimmt Stellung.

Cybersicherheit bei Wechselrichtern: Alte Probleme im neuen Gewand

Cybersecurity ist kein neues Thema. Schon seit Jahrzehnten ist bekannt, dass vernetzte Systeme prinzipiell angreifbar sind – vom Rechenzentrum bis zum Verkehrsnetz.

Auch in der Energiebranche gelten seit Langem hohe Sicherheitsanforderungen. Für kritische Infrastrukturen schreiben das BSI-Gesetz (§ 8a, hier nachzulesen) und die "Kritis-Verordnung" strenge Standards vor. Doch kleine, dezentrale Stromerzeuger – also genau jene Anlagen, um die es hier geht – fallen bisher nicht unter diese Regelungen.

Die Erkenntnis: Das Thema Cybersicherheit bei dezentraler Erzeugung ist nicht neu, wurde aber bislang schlicht nicht als eigenständiger Regulierungsbereich behandelt. Die Arbeit von Conrad legt deshalb den Finger in eine alte Wunde – und stößt eine überfällige Diskussion an.

Zwischen Alarmismus und Realität

In der Berichterstattung wurde die Arbeit vielfach so interpretiert, als seien ausgerechnet Steckersolargeräte besonders gefährdet.

Tatsächlich zeigt die Analyse etwas anderes: Schwachstellen finden sich bei allen Arten von Wechselrichtern – also auch bei klassischen String-Geräten auf Hausdächern. Mikrowechselrichter sind kein Sonderfall, sondern nur ein Beispiel.

Gleichzeitig fällt auf: Die reale Bedrohung ist kleiner, als manche Schlagzeile suggeriert. Die Gerätevielfalt auf dem Markt sorgt dafür, dass selbst im Fall eines Angriffs immer nur ein kleiner Teil der Systeme betroffen wäre.

Zudem unterscheiden sich die potenziellen Angriffstypen erheblich:

• Lokale Angriffe erfordern physischen oder zumindest nahen drahtlosen Zugriff auf das Gerät – praktisch irrelevant für eine größere Wirkung.
  
  
• Fernangriffe sind theoretisch denkbar, aber bei keinem der getesteten Geräte in der Lage, Wechselrichter ohne Zwischenschritte direkt abzuschalten.

Gefundene Schwachstellen betrafen meist unverschlüsselte Datenübertragungen, schwache Passwörter oder veraltete HTTP-Schnittstellen.

Das sind keine trivialen Probleme, aber auch keine spezifischen Gefahren für die Netzsicherheit.

Alle betroffenen Hersteller wurden informiert und haben zum Teil bereits bestätigt, an der Schließung der Sicherheitslücken zu arbeiten.

Sicherheit oft nur einen Stecker entfernt

Ein besonders wichtiger Punkt, der in vielen Berichten unterging: Die meisten Risiken lassen sich mit einem simplen Schritt vermeiden – indem der Wechselrichter vom Internet getrennt wird. Die Geräte funktionieren auch offline einwandfrei, denn die Internetverbindung dient fast immer nur dazu, Ertragsdaten an eine App zu senden.

Wer trotzdem seine Stromerzeugung im Blick behalten möchte, kann stattdessen auf Smart-Plugs zurückgreifen – handelsübliche Zwischenstecker, die die Einspeisung messen, ohne Zugriff auf den Wechselrichter selbst zu benötigen. So bleibt das Gerät für Angreifer unerreichbar.

Einige Hersteller gehen bereits weiter und bieten einen Offline-Modus an, bei dem auf Wunsch selbst Bluetooth-Verbindungen deaktiviert sind.

Fazit: Wichtiger Impuls statt Grund zur Panik

Die Masterarbeit von Valentin Conrad ist ein wertvoller Beitrag zur Cybersicherheits-Debatte in der Energiewende. Sie zeigt klar: Sicherheitslücken existieren – aber sie sind beherrschbar. Von einer akuten Gefährdung oder gar einer drohenden "Blackout-Gefahr" aufgrund von Balkonkraftwerken kann keine Rede sein.

Die Diskussion sollte nun dorthin gelenkt werden, wo sie hingehört: zu den Regulierungsbehörden, die Rahmenbedingungen für mehr Gerätesicherheit schaffen müssen – ohne Innovation und Bürgerenergie zu behindern.

Dazu Christian Ofenheusle: "Bis dahin gilt: Wer sein Balkonkraftwerk sicher betreiben will, braucht keine Angst zu haben, sondern nur einen klaren Blick und vielleicht ein Gerät weniger im heimischen WLAN."

Weitere Beiträge des Experten

"Deutschland hat gezeigt, dass kleine Kraftwerke mit einfacher Technik und klaren Regeln ein Erfolgsmodell sind. Jetzt gilt es, diesen Kurs zu halten – und internationalen Fehlentwicklungen entgegenzutreten", so Christian Ofenheusle in dem Beitrag "1 Million kleine Kraftwerke – und jetzt droht Gefahr von der IEC", den du hier nachlesen kannst.