Photovoltaik-Anlage absichern: Wenn Wechselrichter und Energiemanager offen im Internet stehen

Die Photovoltaik-Anlage auf dem Hallendach wird vom Solarteur geplant, montiert und in Betrieb genommen – und hängt danach jahrelang am Firmennetz, ohne dass die IT sie je gesehen hat. Wechselrichter, Datenlogger und Energiemanager sind aber Netzwerkgeräte mit Weboberfläche, Firmware und Cloud-Anbindung. Eine aktuelle Untersuchung zeigt, wie oft diese Technik ungeschützt im Internet steht und warum Betriebe ihre Photovoltaik-Anlage absichern sollten wie jeden anderen Server.

Anlass: Tausende Energieanlagen offen im Netz

Laut heise online hat die IT-Sicherheitsfirma Modat 8.547 Systeme europäischer Wind- und Solarparks gefunden, die aus dem Internet erreichbar sind, obwohl sie es nicht sein sollten – darunter Admin-Oberflächen und Control-Panels. 7.942 davon gehören zu Solarparks, 605 zu Windkraftanlagen. Bei den Solarsystemen liegt Deutschland dem Bericht zufolge mit 672 Funden auf Platz vier hinter Spanien, Griechenland und Italien, bei der Windkraft mit 212 Systemen auf Platz eins.

Die Zahl ist laut heise eine Untergrenze: Gezählt wurden nur Systeme, die sich eindeutig einem bestimmten Park zuordnen ließen. Was die Forscher vorfanden, ist ernüchternd. Weboberflächen von Windkraftanlagen zeigten aktuelle Produktionsdaten und boten Bedienelemente zum Starten, Stoppen und Zurücksetzen. Login-Seiten nannten den Namen des Parks, in einem Fall war der Standardbenutzername „root” bereits angegeben. Das Fazit der Forscher: Die Anlagen seien physisch robust, aber digital exponiert – und was sie in Stunden kartieren konnten, können Angreifer ebenso.

Auch die Hersteller-Cloud ist ein Angriffspunkt

Der Bericht nennt einen zweiten Fall: Im August wurde eine Schwachstelle im Cloudsystem für Sungrow-Wechselrichter entdeckt, bei der ein Admin-Zugang unzureichend gesichert war. Der Entdecker sah darin potenziell weitreichenden Zugriff auf die Wechselrichter des Herstellers. Sungrow schätzte das Risiko laut heise anders ein und verwies auf eine zusätzliche Passwortabfrage für wichtige Einstellungen; die Lücke wurde per Hotfix geschlossen, das BSI sah mangels Hinweisen auf Missbrauch keinen weiteren Handlungsbedarf. heise weist darauf hin, dass Cloudsysteme von Wechselrichterherstellern wiederholt Schwachstellen aufwiesen.

Warum das auch die Anlage auf dem Firmendach betrifft

Die Untersuchung zählt Wind- und Solarparks, keine Dachanlagen. Die Technik ist aber im Kern dieselbe, nur kleiner: ein Wechselrichter mit Netzwerkanschluss, ein Datenlogger oder Energiemanager, oft ein Batteriespeicher und Wallboxen. Und die Fehler sind dieselben.

Typische Schwachstellen bei gewerblichen PV-Anlagen

• Portweiterleitung auf die Weboberfläche: Damit der Installateur oder der Chef von außen auf die Anlage schauen kann, wird im Router ein Port geöffnet. Das Gerät ist danach für jeden auffindbar, der das Internet systematisch absucht.
• Standard-Zugangsdaten: Das Installateur-Passwort ab Werk wird bei der Inbetriebnahme nicht geändert oder ist bei allen Kunden eines Betriebs identisch.
• Flaches Netz: Der Wechselrichter hängt im selben Netz wie Buchhaltungsrechner und Server. Wer das Gerät übernimmt, steht mitten im Firmennetz.
• Modbus ohne Schutz: Viele Wechselrichter und Zähler sprechen Modbus TCP. Das Protokoll kennt keine Anmeldung – wer den Port erreicht, kann Werte lesen und je nach Gerät auch schreiben.
• Veraltete Firmware: Updates spielt niemand ein, weil sich niemand zuständig fühlt.
• Vergessene Fernwartungszugänge: Mobilfunk-Router oder Fernwartungsboxen des Errichters laufen weiter, auch wenn der Wartungsvertrag längst beendet ist.

Was im Schadensfall passiert

Ein Angreifer mit Zugriff auf die Steuerung kann die Anlage abschalten oder die Einspeisung drosseln. Das kostet Ertrag und bei Eigenverbrauch bares Geld, weil der Strom teurer aus dem Netz kommt. Gravierender ist meist der zweite Effekt: Das kompromittierte Gerät dient als Sprungbrett ins Büronetz. Dazu kommt, dass ein Wechselrichter mit Speicher eine elektrische Anlage ist – manipulierte Parameter sind kein reines IT-Problem.

Photovoltaik-Anlage absichern: sieben Schritte

1. Bestandsaufnahme

Listen Sie alle Komponenten mit Netzwerkanschluss auf: Wechselrichter, Datenlogger, Energiemanager, Speicher, Smart Meter, Wallboxen, Fernwartungsrouter. Notieren Sie Hersteller, Modell, Firmware-Stand und IP-Adresse. Diese Geräte gehören ins IT-Inventar – nicht nur in den Ordner des Elektrikers.

2. Von außen prüfen, was erreichbar ist

Sehen Sie im Router nach, ob Portweiterleitungen auf PV-Komponenten bestehen, und lassen Sie die eigene öffentliche IP-Adresse von außen scannen. Wie Sie dabei systematisch vorgehen, beschreibt unser Beitrag zur externen Angriffsfläche. Jede gefundene Weiterleitung auf eine Admin-Oberfläche wird entfernt – das ist auch die erste Empfehlung der Modat-Forscher: Weboberflächen unverzüglich aus dem Internet nehmen.

3. Fernzugriff nur über VPN

Wer von unterwegs auf die Anlage zugreifen muss, tut das über ein VPN und nicht über einen offenen Port. Ein WireGuard-Zugang auf der Firewall genügt. Der Installateur erhält einen eigenen, auf die PV-Geräte beschränkten Zugang, der sich einzeln sperren lässt.

4. Eigenes Netzsegment für die Energietechnik

Wechselrichter, Speicher und Wallboxen kommen in ein eigenes VLAN. Die Firewall erlaubt nur, was nötig ist: die ausgehende Verbindung zur Hersteller-Cloud und den Zugriff eines definierten Verwaltungsrechners. Verbindungen aus dem PV-Netz ins Büronetz werden blockiert. Die Grundlagen stehen im Beitrag zur Netzwerksegmentierung mit VLANs.

5. Zugangsdaten und Konten bereinigen

Ändern Sie alle Standardpasswörter – am Gerät selbst und im Cloud-Portal. Aktivieren Sie im Portal die Zwei-Faktor-Anmeldung, sofern der Hersteller sie anbietet. Prüfen Sie, welche Konten Zugriff auf Ihre Anlage haben: Häufig ist der Errichter dauerhaft als Administrator eingetragen, manchmal auch ein längst gewechselter Vorgänger.

6. Firmware aktuell halten

Legen Sie fest, wer Updates prüft und einspielt – Sie, der Solarteur oder Ihr IT-Dienstleister. Bei manchen Herstellern kommen Updates automatisch über die Cloud, bei anderen nur manuell. Ein Quartalstermin im Kalender reicht für den Anfang.

7. Zuständigkeit schriftlich klären

Halten Sie im Wartungsvertrag fest, wer für Firmware, Zugänge und Störungen verantwortlich ist und wie der Fernzugriff des Errichters technisch aussieht. Bei größeren Anlagen in der Direktvermarktung kommt die Fernsteuerung durch den Vermarkter hinzu – auch diese Box gehört ins getrennte Netz.

Cloud-Portal: nützlich, aber nicht ohne Risiko

Auf die Hersteller-Cloud verzichten lässt sich meist nicht, ohne Monitoring und Garantieabwicklung zu verlieren. Reduzieren lässt sich die Abhängigkeit trotzdem: ein starkes, einmaliges Passwort, Zwei-Faktor-Anmeldung, möglichst wenige Benutzer mit Schreibrechten. Und weil eine Lücke beim Hersteller außerhalb Ihrer Kontrolle liegt, sorgt die Netztrennung aus Schritt 4 dafür, dass ein übernommener Wechselrichter nicht bis zum Dateiserver kommt.

Was das für KMU in Sachsen bedeutet

In Dresden und ganz Sachsen haben in den letzten Jahren viele Handwerksbetriebe, Produktionsfirmen und Logistiker PV-Anlagen aufs Dach gesetzt, oft zusammen mit Speicher und Ladepunkten. Ostdeutsche KMU ohne eigene IT-Abteilung haben die Anlage dabei fast immer komplett dem Errichter überlassen – der sich mit Strom auskennt, aber nicht zwingend mit Firewalls. Die gute Nachricht: Die Lücken sind in der Regel an einem halben Tag gefunden und mit vorhandener Technik zu schließen. Wer ohnehin Maschinensteuerungen im Netz hat, findet im Beitrag zur OT-Sicherheit für Produktionsbetriebe die passende Ergänzung.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU dabei, ihre Photovoltaik-Anlage abzusichern: Prüfung der Erreichbarkeit von außen, ein eigenes Netzsegment auf der OPNsense-Firewall, WireGuard-Zugänge für Sie und Ihren Installateur sowie die Aufnahme der Energietechnik in Inventar und Update-Planung – auf Wunsch als Teil eines IT-Sicherheitsaudits oder der laufenden IT-Betreuung. Sprechen Sie uns an – als IT-Dienstleister aus Dresden sind wir für Betriebe in ganz Sachsen schnell vor Ort.

FAQ

Woran erkenne ich, ob mein Wechselrichter aus dem Internet erreichbar ist?

Prüfen Sie im Router die Liste der Portweiterleitungen und Freigaben. Steht dort die IP-Adresse des Wechselrichters oder Datenloggers, ist das Gerät von außen erreichbar. Sicherheit gibt ein Scan der eigenen öffentlichen IP-Adresse von außerhalb des Firmennetzes.

Funktioniert die Hersteller-App noch, wenn die Anlage in einem eigenen VLAN steht?

Ja. Die App spricht mit der Cloud des Herstellers, und der Wechselrichter baut die Verbindung dorthin von sich aus auf. Dafür genügt eine ausgehende Internetverbindung aus dem PV-Netz – eingehende Freigaben sind nicht nötig.

Braucht der Solarteur dauerhaft Fernzugriff auf die Anlage?

Für das Monitoring reicht meist der Zugriff über das Hersteller-Portal. Direkter Zugriff auf die Geräte ist nur für Wartung und Fehlersuche nötig und sollte über einen persönlichen VPN-Zugang laufen, der sich bei Bedarf sperren lässt.

Kann ein Angreifer über die PV-Anlage ins Firmennetz gelangen?

Wenn Wechselrichter und Bürorechner im selben Netz stehen, ja: Ein übernommenes Gerät kann von dort andere Systeme ansprechen. Genau das verhindert ein getrenntes Netzsegment mit restriktiven Firewall-Regeln.

Wer ist für Firmware-Updates des Wechselrichters zuständig?

Das hängt vom Vertrag ab – und ist häufig gar nicht geregelt. Klären Sie mit dem Errichter schriftlich, wer Updates prüft und einspielt, und tragen Sie den Firmware-Stand in Ihr Inventar ein.