Sicherheitsexperten sehen erhebliche Sicherheitslücken in der Energieinfrastruktur. Ein jüngst bekannt gewordener Fall zeigt, wie real das Risiko ist.
Die Smart Energy Expert Group (SEEG) warnt, dass Angreifer über Wechselrichter flächendeckende Stromausfälle auslösen können.
Der Softwareentwickler Marlon Starkloff hat eine Sicherheitslücke im Steuerungsportal von Sungrow gefunden und hätte damit laut eigener Aussage 17 Gigawatt Leistung in Europa abschalten können.
Sungrow hat die Sicherheitslücke bestätigt, weist aber zurück, dass damit Anlagen außer Betrieb gesetzt werden können.
Die SEEG fordert deutliche Nachbesserungen in der europäischen Gesetzgebung und empfiehlt der EU-Kommission, den Einsatz risikobehafteter Lieferanten einzuschränken.
Brüssel, Düsseldorf. Mit der rasant steigenden Bedeutung von Solarenergie wächst auch eine bislang unterschätzte Gefahr. Experten warnen angesichts der angespannten Sicherheitslage nun vor dem Risiko eines Angriffs auf die grünen Energieanlagen und kritisieren gravierende Sicherheitslücken.
„Sollten Angreifer diese Anlagen ausnutzen, könnte dies zu Ungleichgewichten, Überlastungen im Stromnetz oder Spannungsstörungen führen, die im schlimmsten Fall weitreichende Stromausfälle zur Folge haben könnten“, schreiben die Autoren der Smart Energy Expert Group (SEEG) in einem neuen Bericht für die Europäische Kommission. Je mehr Solaranlagen am Stromnetz sind, desto größer wird die Gefahr. Dass die Gefahr keineswegs nur theoretisch ist, zeigt ein Fall aus der Solarbranche, der erst vor Kurzem bekannt wurde.
Jede Solaranlage kann mit einem Knopfdruck aus der Ferne gesteuert werden, und zwar über das Herz eines jeden Moduls: den Wechselrichter. Er ist das zentrale Steuerungselement der Solaranlage. Er sorgt dafür, dass der Strom ins Netz gespeist werden kann, kontrolliert den Energiefluss und kann über einen Zugang in die eigene Cloud Updates auf die Geräte ausspielen.
Dafür sind Wechselrichter automatisch mit dem Internet verbunden. Technisch ermöglicht ihnen das, die Anlagen bei Bedarf sogar vom Netz zu nehmen, zum Beispiel, wenn diese gerade zu viel Strom produzieren. Das macht die Anlagen aber auch angreifbar.
Allein in Deutschland sind mittlerweile mehr als sechs Millionen Solaranlagen installiert. Im vergangenen Jahr produzierten sie knapp 17 Prozent des hierzulande verbrauchten Stroms. Laut dem Bundesverband der deutschen Solarwirtschaft (BSW) kommt Deutschland aktuell auf eine Leistung von 125 Gigawatt.
Das Problem: „Auch wenn jeder Wechselrichter nur eine geringe Leistung steuert, reichen sie zusammen aus, um das Stromnetz zu stören“, schreiben die SEEG-Autoren. Über Schwachstellen in Steuerungsportalen von Wechselrichter-Herstellern könnten Angreifer mit einem Schlag Gigawatt an Leistung abschalten und einen flächendeckenden Blackout verursachen.
„Cyberangriffe auf kritische Infrastruktur in Europa sind leider kein abstraktes Szenario mehr, sondern eine reale Bedrohung auch für unsere Energiesicherheit“, sagt der SPD-Europaabgeordnete Tiemo Wölken dem Handelsblatt.
Der Bericht verweist jedoch nicht nur auf technische Schwachstellen. Aus Sicht der Autoren hat das Problem auch eine geopolitische Dimension: Der Markt für Wechselrichter teilt sich unter einer Handvoll Unternehmen auf. Neben europäischen Firmen wie SMA Solar, Fronius oder Kostal sind das vor allem Huawei, Growatt, Sungrow und Solis, die weltweiten Marktführer aus China.
Laut Brancheninsidern verfügten die Hersteller aus Fernost bereits vor einem Jahr über 180 Gigawatt (GW) Solarleistung im europäischen Netz. Allein von Huawei könnten darüber 100 GW gesteuert werden.
Wie einfach es theoretisch sein könnte, Solarenergie in der Größenordnung mehrerer Kohlekraftwerke vom Netz zu nehmen, zeigte der Softwareentwickler Marlon Starkloff vor wenigen Wochen. Der 23-Jährige hackte sich über eine Sicherheitslücke in das Steuerungsportal des chinesischen Anbieters Sungrow. „An diesem Tag im August hätte ich allein in Europa 17 Gigawatt abschalten können“, sagt Starkloff dem Handelsblatt. Sungrow bündelt auf seiner iSolar-Cloud mehrere Gigawatt weltweit.
Auf Anfrage zu dem Vorfall sagt Sungrow: „Die gemeldete und inzwischen geschlossene Schwachstelle war nach heutigem Kenntnisstand nicht geeignet, Anlagen außer Betrieb zu setzen oder einen großflächigen Blackout auszulösen.“
Kritische Vorgänge, einschließlich der Fernkonfiguration und Abschaltung von Geräten, erforderten eine erneute Authentifizierung mit einem Passwort. Auch das Zurücksetzen eines Passworts erfordere zwingend eine Bestätigung per E-Mail und könne ohne diese nicht abgeschlossen werden.
Die E-Mail-Adresse hätte er ohne jegliche Abfragen oder Verifizierung ändern können, kontert Starkloff. „Danach kann man das Passwort zurücksetzen, da der Code an die neue E-Mail-Adresse gesendet wird.“ Öffentlich gemacht hatte er das Ganze in der vergangenen Woche auf einem Blog des IT-Sicherheitsdienstleisters Jakkaru.
Starkloff ist Geschäftsführer der Firma aus Kassel. Sungrow habe sehr gut reagiert und den Fehler innerhalb von einem Tag behoben, versichert er. Das grundsätzliche Problem aber bleibe bestehen: „Alle Solaranlagen sind in einer Cloud verbunden. Niemand würde auf die Idee kommen, die Steuerung für alle Kohle- und Atomkraftwerke auf einer Plattform zu bündeln.“
Der Fall ist auch deshalb brisant, weil er über einen einzelnen Programmierfehler hinausweist. Er zeigt ein strukturelles Problem der Solarbranche: Millionen Anlagen sind zwar dezentral verteilt, ihre Steuerung bündelt sich aber auf wenigen digitalen Plattformen. Was technisch als Effizienzgewinn gilt, kann im Krisenfall zum Problem für das gesamte Stromsystem werden.
Vor allem angesichts sogenannter „Hintertüren“ – also verdeckter Zugänge in Hardware oder Cloud-Plattformen. Im Extremfall könnten Staaten Hersteller unter ihrer Jurisdiktion dazu verpflichten, solche Zugänge bereitzuhalten oder auszunutzen, um kritische Infrastruktur in einem hybriden Konflikt zu destabilisieren, warnen die SEEG-Experten.
Sie fordern deutliche Nachbesserungen in der europäischen Gesetzgebung. Unter anderem empfehlen sie der EU‑Kommission, den Einsatz von risikobehafteten Lieferanten durch das überarbeitete Cybersicherheitsgesetz (CSA) und das Gesetz zur Förderung der Industrie (IAA) einzuschränken.
Derzeit wird ein Entwurf des überarbeiteten CSA zwischen den Mitgliedstaaten und im EU-Parlament verhandelt. Ziel ist es, „nicht vertrauenswürdige“ Anbieter vom EU-Markt auszuschließen. „Einen Kill Switch darf es nicht mehr geben und auch keine Daten auf Servern, die nicht europäischer Gerichtsbarkeit unterliegen“, sagt der Europaabgeordnete Jens Geier (SPD).
Die EU-Kommission will einen Mechanismus zur Verfügung stellen, mit dessen Hilfe Länder und Unternehmen mit hohem Risiko identifiziert werden können. Einzelne Mitgliedstaaten müssten diese dann auf eine Verbotsliste schreiben und entsprechende Anbieter ausschließen.
Auch der IAA wird gerade im EU-Parlament und zwischen den Mitgliedstaaten verhandelt. Ziel des Gesetzes ist es, die heimische Industrie vor allem vor der Konkurrenz aus China zu schützen, indem die Vergabe von öffentlichen Geldern an „Made in EU“-Kriterien geknüpft wird.
