Jeder neue Wechselrichter bekommt eine Fernsteuerung. Das Problem ist nicht die, an die Sie denken.
Mit Paragraf 14a EnWG bekommt jede neue steuerbare Anlage eine digitale Schnittstelle, über die ein Dritter ihre Leistung begrenzen kann. In meiner letzten Artikelserie habe ich beschrieben, wie diese Kette funktioniert, vom Smart Meter Gateway über die Steuerbox per EEBUS bis in den Wechselrichter. Die naheliegende Sorge lautet: Schaffen wir uns damit flächendeckend eine Angriffsfläche ins Stromnetz?
Die Antwort ist unbequemer als ein Ja oder Nein. Denn die meisten Wechselrichter haben längst eine Fernsteuerung, und zwar eine deutlich mächtigere. Um das Risiko richtig einzuordnen, muss man zwei Steuerkanäle auseinanderhalten, die in der Diskussion ständig vermischt werden.
Kanal 1: der regulierte Weg über die Steuerbox
Der Steuerkanal nach Paragraf 14a ist das Ergebnis eines der strengsten Regulierungsregime, das es für Kommunikationstechnik in Deutschland gibt. Das Smart Meter Gateway ist nach den Technischen Richtlinien des BSI zertifiziert, die Steuerbox nach TR-03109-5, die EEBUS-Verbindung zum Wechselrichter läuft TLS-gesichert mit gegenseitiger Authentifizierung beim Pairing.
Genauso wichtig wie die Kryptografie ist aber die Semantik: Dieser Kanal kann konstruktionsbedingt wenig. Er kann die netzwirksame Leistung begrenzen, auf nicht weniger als 4,2 Kilowatt, und er kann diese Begrenzung wieder aufheben. Er kann keine Anlage abschalten, keine Firmware einspielen, keine Parameter verstellen. Fällt die Verbindung aus, greift ein definiertes Failsafe-Verhalten. Wer diesen Kanal kompromittiert, kann dimmen. Das ist ärgerlich, aber begrenzt.
Kanal 2: der unregulierte Weg über die Herstellercloud
Der zweite Kanal existiert bei den meisten vernetzten Wechselrichtern seit Jahren: die permanente Verbindung zur Cloud des Herstellers. Über diesen Weg laufen Monitoring, Parametrierung und Firmware-Updates. Wer diesen Kanal kontrolliert, kontrolliert das Gerät vollständig, bis hin zum Abschalten ganzer Flotten oder dem Aufspielen manipulierter Firmware. Und anders als der 14a-Kanal unterliegt dieser Weg bislang keinem vergleichbaren Zertifizierungsregime.
Wie es um diesen Kanal steht, hat die SUN:DOWN-Studie von Forescout dokumentiert: 46 neu entdeckte Schwachstellen bei drei der zehn weltweit führenden Wechselrichterherstellern, von der Cloud-Übernahme fremder Anlagen über abgreifbare Seriennummern bis zu fest kodierten Zugangsdaten mit Remote-Code-Ausführung. 80 Prozent aller in den letzten drei Jahren gefundenen Schwachstellen in Solarsystemen waren als hoch oder kritisch eingestuft. Zehntausende Geräte hingen mit offenen Verwaltungsschnittstellen direkt im Internet. Und das ist keine Theorie mehr: 2024 wurden in Japan 800 Fernsteuergeräte von Solaranlagen angegriffen, und ein Hersteller hat vorgeführt, dass er Wechselrichter in mehreren Ländern per Fernzugriff stilllegen kann, in dem Fall aus lizenzrechtlichen Gründen. Die Fähigkeit existiert; die Frage ist nur, wer sie wann nutzt.
Warum die Summe zählt
Ein einzelner kompromittierter Heimspeicher ist für das Netz irrelevant. Die Rechnung ändert sich mit der Skalierung: Analysen gehen davon aus, dass die koordinierte Kontrolle über rund 4,5 Gigawatt genügen würde, um die Frequenz im europäischen Verbundnetz auf 49 Hertz zu drücken, die Schwelle für automatischen Lastabwurf. Bei rund 270 Gigawatt installierter Solarleistung in Europa entspricht das weniger als 2 Prozent der Anlagen, in einem Markt, in dem wenige Hersteller mit jeweils eigener Cloud Millionen Geräte verwalten. Eine Cloud, ein Angriff, ein signifikanter Teil der Flotte: Das ist die eigentliche aggregierte Angriffsfläche, und sie hat mit der Steuerbox nichts zu tun.
Die Pointe ist also: Der neue, gefürchtete Steuerkanal ist der enge, zertifizierte, semantisch begrenzte. Der alte, selbstverständlich gewordene ist der weite, unregulierte, mit Vollzugriff. Wer über Risiken der Fernsteuerung von Wechselrichtern spricht, sollte über den zweiten sprechen.
Was der Cyber Resilience Act daran ändert
Genau diese Lücke adressiert der CRA, und zwar produktseitig statt kanalseitig. Ab dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen, ab dem 11. Dezember 2027 kommt kein Produkt mit digitalen Elementen mehr ohne Cybersecurity-Konformität auf den EU-Markt. Für einen vernetzten Wechselrichter heißt das: Der Hersteller muss für jede Schnittstelle, auch die zur eigenen Cloud, Sicherheit über den Lebenszyklus nachweisen, Schwachstellen behandeln und melden. Der unregulierte Kanal bekommt damit erstmals Regeln, die dem regulierten näherkommen.
Für die Systemarchitektur folgt daraus ein Prinzip, das wir beim ampareq Gen3 von Anfang an angewendet haben: Die Steuerschnittstelle so eng wie möglich schneiden und den privilegierten Zugriff so kurz wie möglich halten. Der regulierte EEBUS-Kanal terminiert direkt im Gerät. Der Betrieb funktioniert ohne Cloudzwang, eine permanente Herstellerverbindung ist keine Betriebsvoraussetzung. Und wo Fernzugriff existiert, etwa für signierte Updates, ist er nach IEC 62443 in Zonen getrennt, sodass kein einzelner Kanal die Kombination aus Netzverhalten, Firmware und Parametrierung erreicht. Ein Kanal, der wenig kann, muss weniger verteidigt werden als einer, der alles kann.
Die Energiewende braucht steuerbare Anlagen, daran führt kein Weg vorbei. Die Frage ist nicht, ob Wechselrichter fernsteuerbar sind, sondern wer die Steuerung unter welchen Regeln ausübt und wie viel ein einzelner Kanal im schlimmsten Fall anrichten kann.
Meine Frage in die Runde: Wissen Sie bei Ihrer eigenen Anlage, welche der beiden Fernsteuerungen aktiv ist, und was der Hersteller über seine Cloud an Ihrem Gerät verändern kann?