Vom Förderstopp zur Einsatzbeschränkung: Berlin zieht bei chinesischen Wechselrichtern nach. Aber reicht das?

 

 

Im Mai habe ich analysiert, was der EU-Förderstopp für Wechselrichter aus Hochrisikoländern bedeutet. Jetzt wird daraus nationale Politik: In ihrer Antwort auf eine Kleine Anfrage der Grünen übernimmt die Bundesregierung erstmals ausdrücklich die Sicherheitsbewertung. Sie teilt die Einschätzung, dass mit chinesischen Wechselrichtern im vernetzten Energiesystem erhebliche Cyber- und wirtschaftssicherheitspolitische Risiken verbunden sind.

Das ist ein bemerkenswerter Tonwechsel. Und es bleibt nicht bei Worten.

Was konkret geprüft wird

Ein ressortübergreifender Arbeitsprozess zwischen Bundeswirtschaftsministerium, Bundesinnenministerium, Bundesnetzagentur und BSI bewertet derzeit die Risiken vernetzter Energieanlagen. Geprüft wird unter anderem, ob Paragraf 41 des BSI-Gesetzes eine Untersagung kritischer Komponenten im Energiebereich ermöglicht. Das ist derselbe Hebel, der beim 5G-Ausbau gegen Huawei zum Einsatz kam.

Die Dimension: Nach Einschätzung der Bundesregierung stammen 70 bis 80 Prozent der in Europa eingesetzten PV-Wechselrichter von chinesischen Herstellern. Ein koordinierter Zugriff auf eine große Zahl vernetzter Anlagen könne die Stabilität der Stromversorgung beeinträchtigen.

Bemerkenswert: Die Risikobewertung soll sich künftig nicht mehr nur auf technische Eigenschaften stützen, sondern auch auf die Rechtslage im Herkunftsland und organisatorische Abhängigkeiten des Herstellers.

Warum das richtig ist

Als jemand, der jahrelang Secure Boot, signierte Firmware und CI/CD-Security für sicherheitskritische Embedded-Systeme entwickelt hat, sage ich klar: Die Bedenken sind technisch begründet. Moderne Wechselrichter sind fernwartbare, cloudangebundene Leistungselektronik am Netz. Wer die Update-Infrastruktur kontrolliert, kontrolliert das Gerät. Und wer hunderttausende Geräte gleichzeitig steuern kann, kann Netzfrequenz und Systemstabilität beeinflussen.

Wie real das Problem ist, zeigt der Fall Hoymiles

Während in Berlin geprüft wird, hat der Chaos Computer Club vergangene Woche geliefert, was der Debatte bisher fehlte: einen konkreten, technisch dokumentierten Fall. Ein Sicherheitsforscher hat in Zusammenarbeit mit dem CCC gravierende Schwachstellen in Mikrowechselrichtern von Hoymiles offengelegt, einem Hersteller mit nach eigenen Angaben rund 20 Prozent Marktanteil in Europa.

Der Befund ist ernüchternd. Die Geräte kommunizieren über 868 MHz und 2,4 GHz mit proprietären, aber unverschlüsselten Protokollen. Als Zugangsschlüssel dient die Seriennummer, und die verrät jeder Wechselrichter auf einen simplen Rundruf hin unverschlüsselt per Funk. Wer sie kennt, kann Anlagen abschalten, Netzparameter manipulieren oder ohne jede Authentifizierung fremde Firmware aufspielen. Beides ist mit Funk-Logs belegt. Im Test lokalisierte ein einfacher Scanner binnen 20 Minuten zwei Dutzend fremde Geräte. Der Hersteller reagierte auf die Responsible Disclosure nicht, deshalb ging der CCC an die Öffentlichkeit.

Ein Punkt verdient eine ehrliche Einordnung, weil er durch die Schlagzeilen geht: Kann so ein Angriff einen Brand auslösen? Der CCC nennt Brände und physische Zerstörung als mögliche Folge, wenn Netzparameter verändert oder Speicherbereiche gelöscht werden. Belegt ist das aber nicht. Der CCC selbst vermerkt in einer Fußnote, dass die interne Netzüberwachung einen Überlastversuch abfangen und das Gerät nur abschalten würde. Übertemperatur- und Überstromschutz wirken in dieselbe Richtung. Als Elektroingenieur ordne ich das so ein: Das dauerhafte Unbrauchbarmachen der Geräte ist real und demonstriert, ein Brand bleibt eine plausible, aber unbewiesene Möglichkeit. Genau diese Trennung fehlt in der öffentlichen Zuspitzung, und sie ist wichtig, wenn man die Debatte seriös führen will.

Zwei Details verdienen besondere Aufmerksamkeit. Erstens: Diese Lücke hat nichts mit staatlichen Hintertüren zu tun. Es ist ein lokaler Funkangriff, ermöglicht durch fehlende Basissicherheit: keine Verschlüsselung, keine Authentifizierung, keine signierten Updates. Ein Herkunftsverbot hätte diesen Hersteller zufällig miterfasst, das zugrundeliegende Problem aber nicht gelöst. Zweitens die Reaktion der Aufsichtsbehörden: Sie winken laut CCC ab, weil Leistungseinbrüche im Gigawattbereich von den Netzbetreibern aufgefangen werden könnten. Nach dem 28. April 2025 auf der Iberischen Halbinsel würde ich solche Gewissheiten vorsichtiger formulieren.

Was dem Vorschlag noch fehlt

So richtig die Richtung ist, aus Sicht der technischen Sicherheit greift der Ansatz an sechs Stellen zu kurz:

  1. Herkunft ist kein Sicherheitsnachweis. Der Ansatz ist herkunftsbasiert statt anforderungsbasiert. Ein europäischer Wechselrichter ohne Secure Boot, ohne signierte Updates und mit offener Debug-Schnittstelle ist nicht sicherer als ein chinesischer. Dass es sich um ein Norm- und Branchenproblem handelt und nicht um ein rein chinesisches, zeigte schon im Oktober 2025 ein Student der TU Darmstadt: Er wies bei fast allen Balkonkraftwerk-Herstellern vergleichbare Fernsteuer-Schwachstellen nach, woraufhin BSI-Präsidentin Claudia Plattner eine Zertifizierungspflicht für Energiemanagementsysteme forderte. Was fehlt, sind genau solche verbindlichen Mindestanforderungen für alle Hersteller: verifizierte Boot-Kette, kryptografisch signierte Firmware, dokumentierte SBOM, unabhängig auditierbare Update-Prozesse. Der CCC bringt es auf den Punkt: Geräte, die Updates unverschlüsselt und ohne Authentifizierung über Funk annehmen, dürften gar keine Zulassung erhalten.
  2. Die Bestandsanlagen bleiben ungeklärt. In Europa hängen bereits weit über 200 Gigawatt hinter chinesischen Wechselrichtern. Eine Untersagung nach Paragraf 41 BSIG wirkt in die Zukunft. Für die Millionen installierten Geräte, deren Update-Server außerhalb der EU stehen, gibt es weder ein Retrofit-Konzept noch eine Übergangsregelung.
  3. Der Angriffspfad ist die Cloud, nicht das Blech. Das systemische Risiko liegt im zentralen Fernzugriff über Hersteller-Portale. Konsequent wäre die Anforderung, dass netzrelevante Steuerbefehle ausschließlich über zertifizierte, in der EU betriebene Infrastruktur laufen. Die Architektur dafür existiert mit dem Smart Meter Gateway und der Steuerung nach Paragraf 14a EnWG bereits. Sie wird nur nicht konsequent zur Pflicht gemacht.
  4. Die Aggregationslücke. Paragraf 41 BSIG adressiert kritische Komponenten bei KRITIS-Betreibern. Der einzelne Heimspeicher fällt nicht darunter. Systemrelevant sind Kleinanlagen aber genau in der Aggregation: eine Million 10-Kilowatt-Geräte sind 10 Gigawatt steuerbare Leistung. Diese kumulative Kritikalität bildet das Gesetz bislang nicht ab. Die Behördenreaktion im Fall Hoymiles zeigt exakt diese Denklücke: Die einzelne Balkonanlage gilt als unkritisch, die Masse wird zur Randnotiz erklärt.
  5. Keine durchsetzbare Herstellerpflicht bei Schwachstellen. Hoymiles konnte die Responsible Disclosure schlicht ignorieren, ohne rechtliche Konsequenzen. Die Meldepflichten des Cyber Resilience Act für aktiv ausgenutzte Schwachstellen greifen erst ab September 2026, die vollen Produktanforderungen erst ab Dezember 2027. Bis dahin gibt es keinen Hebel, der einen Hersteller zu Patches oder auch nur zu einer Antwort zwingt.
  6. Kein Zeitplan. Die EU-Kommission arbeitet mit konkreten Fristen, Litauen hat ein nationales Verbot bereits erlassen. Berlin prüft. Zwischen der Ankündigung eines Prüfprozesses und einer wirksamen Regelung liegen erfahrungsgemäß Jahre, in denen weiter Geräte verbaut werden, die keine der genannten Anforderungen erfüllen.

Mein Fazit:

Einsatzbeschränkungen können ein legitimes Instrument sein. Aber sie ersetzen kein Sicherheitskonzept. Vertrauenswürdig ist ein Wechselrichter nicht wegen seines Herkunftslandes, sondern wegen seiner Architektur: Secure Boot ab Werk, signierte Updates, lokale Steuerbarkeit ohne Zwangs-Cloud, offengelegte Schnittstellen. Genau nach diesen Prinzipien entwickeln wir bei awb-it den ampareq Gen3. Nicht weil es der Gesetzgeber verlangt, sondern weil netzgekoppelte Leistungselektronik ohne Security by Design 2026 schlicht nicht mehr verantwortbar ist.

Wie seht Ihr das: Reichen Herkunftsverbote, oder brauchen wir verifizierbare technische Anforderungen an alle Hersteller, unabhängig davon, wo sie sitzen?

Scroll to Top