Hacker offenbart Sicherheitslücke bei Wechselrichtern

Berlin (energate) - Der ethische Hacker Marlon Starkloff fand einen Zugang zur Wechselrichtersoftware von Sungrow und hatte Zugriff auf Accounts, die mit Hunderttausenden Solaranlagen in Europa verbunden waren. Er hatte bewusst versucht, einen großen Anbieter zu hacken, sagte er im Interview mit energate, denn er sieht noch viel Bedarf, die Cybersicherheit im Energiesektor zu verbessern. Auch die Europäische Union geht das Thema an. Zudem versucht sie, mit Regeln auf geopolitische Risiken für das Stromnetz zu reagieren.

Um die Cybersicherheit zu verbessern, arbeitet die EU an einer Reform der Cybersicherheitsverordnung (Cybersecurity Act, CSA). Mit der Reform soll vor allem die Anwendung der NIS-2-Richtlinie vereinfacht werden. Der Energieausschuss des EU-Parlaments möchte, dass Energieunternehmen ihre kritischen Hardware-Komponenten und IKT-Systeme (Systeme für Informations- und Kommunikationstechnik) der operativen Infrastruktur zertifizieren lassen müssen. Dies betrifft etwa Smart-Grid-Hardware, aber auch Wechselrichter. Hacker Starkloff hält das für sinnvoll. "Es kann nur positive Effekte haben, wenn jemand anderes als der Hersteller selbst die Sicherheit eines Geräts prüft", sagte er.

Starkloff hat mit Jakkaru ein eigenes Unternehmen, das sowohl die Cybersicherheit anderer Unternehmen testet als auch auf Anfrage probiert, ob Starkloff durchs Fenster klettern und Festplatten entwenden kann. Er ist aber auch ethischer Hacker. In dieser Rolle recherchierte er zu großen Anbietern von Wechselrichtersoftware und fand den chinesischen Anbieter Sungrow, mit dem etwa die Unternehmen Enpal und 1Komma5 Grad arbeiten.

Zugriff auf administrative Accounts

In die Systeme von Sungrow gelangte er im August 2026, ohne ein Passwort eingeben zu müssen. "Da ich kein anderes administratives Dashboard gefunden hatte, bin ich davon ausgegangen, dass es bei der Plattform von Sungrow administrative Konten geben muss", erklärte Starkloff. Es habe verschiedene Login-Typen gegeben und die habe er durchgetestet. "Bei einem davon brauchte ich nur die E-Mail-Adresse, kein Passwort. Dann hatte ich Zugriff auf einen administrativen Account und dort wurden mir Hunderttausende Solaranlagen angezeigt", so Starkloff. 250.000 davon befanden sich in Deutschland, die meisten davon gehören zu Privathaushalten.

Ganz sicher, ob er die Solaranlagen hätte ausschalten können, ist sich Starkloff nicht. Er testete es nicht - nach eigenen Aussagen habe sich da sein Gewissen gemeldet, außerdem sei das ethische Hacken ein rechtlicher Graubereich und hätte er die Anlagen abgeschaltet, hätte er diesen Bereich verlassen. Starkloff vermutet aber, er hätte die Anlagen abschalten und damit für erhebliche Störungen im Stromnetz sorgen können. "Sungrow sagt, um Wechselrichter auszuschalten, hätte ich innerhalb des Accounts doch noch ein Passwort eingeben müssen. Ich kann das nicht widerlegen, weil ich diesen letzten Schritt eben nicht gegangen bin", sagte der Hacker. "Dass ich mich aber überhaupt ohne Passwort und ohne Zwei-Faktor-Authentifizierung in einen Account einloggen konnte, ist ein Indiz, dass die Sicherheitsschranken nicht besonders hoch waren." Über einen Umweg hätte er außerdem das Passwort ändern können, ohne das eigentliche Passwort zu kennen.

Sungrow schloss die Sicherheitslücke innerhalb weniger Tage. Der Fall zeigt aber die Verwundbarkeit des europäischen Stromnetzes. Auch die niederländischen ethischen Hacker des Unternehmens Modat deckten kürzlich große Sicherheitslücken bei europäischen Wind- und Solaranlagen auf. Ähnlich wie Starkloff konnten sie in Systeme eindringen, ohne ein Passwort eingeben zu müssen. Damit hatten sie Zugriff auf oft mehrere Anlagen oder gar ganze Erneuerbarenparks.

Komplexe Systeme und Internetzugang

"Das Hauptproblem ist immer, dass man mittlerweile alles über das Internet steuern möchte. Es kann im Energiesektor auch immer mehr digitalisiert werden", sagte Starkloff. Bekämen alle Endnutzer Zugriff auf Cloudplattformen, erhöhe sich eben auch die Angriffsfläche. Die Systeme hingen inzwischen komplexer zusammen und das führe zu Sicherheitslücken. Bei den Lücken, die Modat aufgedeckt hat, ging es zum Beispiel um ein Management-Interface zur Steuerung von Windkraftanlagen. "Es kann sein, dass bei der Konfiguration dieses Interface jemand unter Zeitdruck stand und vergessen hat, abgeschaltete Firewalls wieder einzuschalten. Oder es gab ein Update, wodurch die Systeme aus Versehen ins Internet gestellt wurden, ohne dass dies ein Mitarbeiter gemerkt hat", so Starkloff. Schritte, die ein Mitarbeiter an einer Stelle einleite, könnten Auswirkungen an einer anderen Stelle haben, die der Mitarbeiter aber gar nicht im Blick habe. Mit dem Einsatz von KI werde es wiederum noch einfacher, diese Lücken zu finden und auszunutzen.

Den Hacker wundert es, dass bisher keine großen Angriffe auf Wechselrichter bekannt wurden. "Es gäbe da schon interessante Möglichkeiten, indem man zum Beispiel die Firmware von Wechselrichtern verschlüsselt und sie nur gegen Lösegeld wieder freigibt", so Starkloff. "Vielleicht ist das Kriminellen aber auch ein zu großes Risiko, weil Behörden vermutlich mit doppeltem Hochdruck ermitteln, wenn ein Teil des Stromnetzes lahmgelegt wird."

"Made in Europe"

Auch den geopolitischen Aspekt von Sicherheit im Stromnetz möchte die EU mit neuen Verordnungen angehen. Im März legte die EU-Kommission einen Entwurf für den Industrial Accelerator Act (IAA) mit einer "Made-in-Europe"-Pflicht vor. Für öffentliche Beschaffungen, Auktionen und andere Formen öffentlicher Interventionen müssen demnach etwa PV-Wechselrichter ein Jahr nach Inkrafttreten der Verordnung ihren Ursprung in der Europäischen Union haben. Bei Auktionen für Windenergie müssen drei Jahre nach Inkrafttreten der Verordnung mindestens zwei Hauptkomponenten der Windturbinen aus der EU stammen. So will die EU nicht nur die europäische Industrie stärken, sondern auch die Abhängigkeit von vor allem chinesischen Anbietern verringern. 

Ein Unternehmen, das diese Reformen begrüßt, ist der israelische Wechselrichter-Anbieter Solaredge. "Es ist unglaublich, dass wir in Europa so viele mögliche Beeinflussungen des Stromnetzes zulassen", sagte Pascal de Boer, der für das Europa-Geschäft des Unternehmens zuständig ist. Obwohl das Unternehmen seinen Hauptsitz in Israel hat und in den USA produziert, geht de Boer davon aus, dass sein Unternehmen auf einer Liste "vertrauenswürdiger Anbieter" landen wird. Er erklärt das auch damit, dass Solaredge an der Börse notiert ist. "Bei börsennotierten Unternehmen gibt es eine natürliche Regulierung im System", so de Boer. Aktionäre hätten viel Einfluss auf Unternehmen - der Staat dadurch weniger. "Keine Regierung könnte uns einfach anweisen, Wechselrichter in Europa zu drosseln, und wir würden das auch nicht tun", so de Boer. In China dahingegen räume das Gesetz der Regierung Befugnisse ein, auf Daten zuzugreifen und technologische Kapazitäten chinesischer Unternehmen zu mobilisieren, darunter auch solche, die mit der kritischen Infrastruktur Europas verbunden sind.

Momentan stammen etwa 80 Prozent der in der EU genutzten Wechselrichter aus China. Bis ein Großteil dieser Geräte wirklich ersetzt wäre, dürfte es noch mindestens ein Jahrzehnt dauern. Wechselrichter halten meist zehn bis 15 Jahre.

Details der Verordnungen

Wichtig sei aber vor allem, dass die Details der Verordnungen stimmten, sagte Harald Scherleitner, CSO des österreichischen Wechselrichter-Anbieters Fronius. Die Reform des CSA dürfe etwa keine regulatorischen Ausnahmen für Dachanlagen schaffen. Die EU müsse hier konsequent bleiben, "um nicht das Gegenteil davon zu erreichen, was eigentlich beabsichtigt ist", so Scherleitner. Wenn beispielsweise in Europa ansässige Hersteller zu aufwendigen Maßnahmen verpflichtet würden, gleichzeitig aber die von ihnen hergestellten Produkte aus der Regelung ausgenommen würden - wie etwa Wechselrichter für Privathaushalte - dann könnten Produkte aus China weiterhin verkauft werden, ohne entsprechend sicher sein zu müssen. "Und die Hersteller, die in Europa produzieren, werden - durch die Einstufung als NIS-2-Entitäten - zu Maßnahmen verpflichtet, die im Endeffekt ungleiche Wettbewerbsbedingungen verstärken." Die Chancen mit der CSA-Reform seien "groß, wir müssen es nur richtig angehen", so Scherleitner.

Auch im IAA komme es auf die Einzelheiten an. "Es zählt nicht nur der letzte maßgebliche Verarbeitungsschritt als Kriterium, das den Ursprung eines Produktes definiert. Es muss eine Mindestwertschöpfung in Europa stattfinden, um als "Made in EU" zu gelten", erklärte Scherleiter. Dass aktuell mindestens 50 Prozent der Wertschöpfung in Europa stattfinden müsse, sei "ein sinnvoller Startwert". /kij

Das Interview mit Marlon Starkloff lesen Sie im Add-on Strom.