Gib hier deine Überschrift ein

Am 1. November endet eine Frist, über die in der Solarbranche und im Speichermarkt derzeit viel gesprochen wird. Seit Mai schränkt die EU-Kommission die Finanzierung durch EU-Institutionen wie die Europäische Investitionsbank für Projekte ein, deren Wechselrichter von sogenannten Hochrisikolieferanten stammen. Laufende Projekte, die solche Geräte bereits eingeplant hatten, mussten bis zum 1. Mai gemeldet werden und benötigen bis zum 1. November die Freigabe der Kommission, um Bestandsschutz zu erhalten.

In der öffentlichen Debatte dreht sich dabei fast alles um eine Frage: Aus welchem Land kommt das Gerät? Das ist verständlich, greift aber zu kurz. Als Entwickler sicherheitskritischer Steuergeräte und heute von Wechselrichtern stelle ich eine andere Frage: Wer kann dieses Gerät im Betrieb steuern, verändern oder abschalten?

Was die Regel tatsächlich sagt

Zunächst zur Einordnung, weil hier viel durcheinandergeht: Die Regel ist kein Marktverbot. Projekte mit solchen Wechselrichtern dürfen weiterhin gebaut werden, erhalten aber keine Mittel mehr von EU-Finanzinstitutionen. Wer eine Anlage auf dem eigenen Hausdach betreibt, ist davon nicht direkt betroffen. Betroffen sind vor allem größere Solarparks, Windprojekte und Speicherprojekte mit EU-naher Finanzierung. Leistungswandler für Batteriespeicher sind ausdrücklich eingeschlossen.

Bemerkenswert ist dieses Kriterium. Als Hochrisikolieferant gilt, wer von einem Unternehmen aus einem Drittstaat kontrolliert wird, gegen den die EU öffentlich wegen schädlicher Aktivitäten im Cyberraum Stellung bezogen hat. Damit ist auch ein Werk in Europa erfasst, wenn es einem solchen Eigentümer gehört. Die EU schaut also bereits heute nicht auf den Produktionsort, sondern auf die Kontrolle.

Wo der Maßstab unscharf wird

Gleichzeitig zeigt die Regel ihre Grenzen. So liegen Leistungshalbleiter wie IGBTs und MOSFETs nach bisherigen Berichten außerhalb des Prüfrahmens. Ein in Europa gefertigter Wechselrichter darf sie weiterhin aus Ländern beziehen, die auf der Liste stehen. Und umgekehrt: Ein Gerät eines unbedenklichen Herstellers kann trotzdem ein Risiko darstellen, wenn es ohne Hersteller-Cloud nicht funktioniert, Updates ungeprüft annimmt oder Fernzugriffe nirgends dokumentiert sind.

Auch der Gesetzgeber scheint das zu erkennen. So schlägt ein Berichtsentwurf aus dem Industrieausschuss des Europäischen Parlaments zum geplanten Cybersecurity Act 2 vor, Lieferanten einzeln zu bewerten, statt sie automatisch über das Herkunftsland einzustufen. Die Faktoren Herkunft, Eigentum und Kontrolle bleiben bestehen, sind aber nicht mehr die einzigen. Dies ist jedoch nur ein Entwurf und das Gesetz ist noch nicht in Kraft.

Vier Fragen, die mehr verraten als das Herkunftsland.

Wer hält die Schlüssel?

Jedes Firmware-Update sollte kryptografisch signiert sein und das Gerät sollte beim Start prüfen, ob nur freigegebene Software ausgeführt wird. Entscheidend ist, wer die Signaturschlüssel besitzt, wo sie liegen und ob ein Betreiber nachvollziehen kann, welche Version gerade läuft.

Funktioniert das Gerät ohne Cloud?

Ein Wechselrichter, der bei Verbindungsverlust in einen unklaren Zustand fällt oder seine Grundfunktionen nur über Server des Herstellers bereitstellt, macht die Verfügbarkeit der Anlage von einer Infrastruktur abhängig, die der Betreiber nicht kontrolliert. Der lokale Betrieb sollte der Normalfall sein, die Cloud eine Ergänzung.

Welche Fernzugriffe gibt es und wer darf sie auslösen?

Leistungsbegrenzung und Abschaltung aus der Ferne können netzdienlich sein und gesetzlich gefordert werden. Dann müssen sie aber dokumentiert, protokolliert und auf berechtigte Stellen beschränkt sein. Berichte aus dem Jahr 2025 über undokumentierte Kommunikationsbauteile in Wechselrichtern zeigen, warum ein Blick auf die Platine wichtig ist und nicht nur auf das Datenblatt.

Wie transparent wird über die gesamte Lebensdauer hinweg gepflegt?

Eine Softwarestückliste, ein geregelter Umgang mit Schwachstellen und ein klar definierter Updatezeitraum sind keine Kür mehr. Seit dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act für aktiv ausgenutzte Schwachstellen. Ein Wechselrichter läuft aber 20 Jahre und länger. Die Frage ist also, wer ihn so lange pflegt.

Was bedeutet das für Distributoren und Projektierer?

Diese vier Fragen lassen sich in jede Ausschreibung und jedes Lieferantengespräch einbauen – unabhängig davon, ob ein Projekt EU-Mittel nutzt. Für Projekte mit EU-naher Finanzierung empfehlen Fachjuristen zudem, nicht nur den Wechselrichter, sondern auch die Monitoring-Plattform und den Fernwartungsdienstleister zu prüfen. Genau dort sitzt oft der eigentliche Zugriff.

Wir haben uns für den ampareq Gen3 entschieden, da wir die gesamte Software selbst in der Hand behalten möchten. Das ist kein Herkunftsargument. Es ist die Voraussetzung dafür, diese vier Fragen über die gesamte Lebensdauer eines Geräts hinweg ehrlich beantworten zu können.

Welche dieser Fragen stellen Sie heute schon bei der Auswahl von Wechselrichtern und welche fehlt Ihnen noch?