Sicherheitslücke zeigte Blackout-Risiko bei Solaranlagen

Eine inzwischen behobene Schwachstelle bei vernetzten Solarwechselrichtern hat gezeigt, wie angreifbar Teile der Energieversorgung geworden sind. Ein IT-Sicherheitsforscher erhielt Zugriff auf die Steuerung von fast 500.000 Photovoltaikanlagen in Europa, darunter rund 250.000 in Deutschland. Bei einem gleichzeitigen Eingriff hätte das Stromnetz nach Einschätzung von Fachleuten erheblich gefährdet werden können. Der Tagesspiegel berichtet unter Berufung auf die „Zeit“, betroffen sei die Cloud-Plattform des chinesischen Herstellers Sungrow gewesen.

Zugriff ohne Passwort

Entdeckt wurde die Lücke von Marlon Starkloff, Geschäftsführer der deutschen IT-Sicherheitsfirma Jakkaru. Er konnte dem Bericht zufolge zunächst ohne Passwort in Nutzerkonten des Portals iSolarCloud gelangen. Über weitere Schritte erreichte er Administrationsbereiche des Herstellers. Darüber wären nach seinen Angaben weltweit knapp 2,2 Millionen Anlagen erreichbar gewesen.

Wechselrichter sind zentrale Bauteile von Solaranlagen. Sie machen aus dem Gleichstrom der Module netztauglichen Wechselstrom und regeln die Einspeisung. Viele Geräte sind mit dem Internet verbunden, damit Eigentümerinnen und Eigentümer Erträge verfolgen können und Hersteller Wartung oder Updates aus der Ferne durchführen. Genau diese Fernzugänge werden zum Risiko, wenn sie unzureichend geschützt sind.

Starkloff sagte der „Zeit“ laut Tagesspiegel, er hätte Wechselrichter ausschalten oder Schadsoftware aufspielen können. Der IT-Sicherheitsexperte Harm van den Brink bewertete ein koordiniertes Abschalten gegenüber der „Zeit“ besonders drastisch: Das hätte „auf jeden Fall“ einen Blackout ausgelöst. Sungrow erklärte dem Bericht zufolge, es gebe keine Hinweise darauf, dass Dritte die Schwachstelle missbraucht hätten.

Lücke schnell geschlossen

Nach Angaben von Starkloff wurde das Problem innerhalb eines Tages durch eine kurzfristige Softwarekorrektur beseitigt. Damit sei die konkrete Schwachstelle nicht mehr ausnutzbar. Offene Fragen betrafen laut Tagesspiegel unter anderem den genauen Umfang des Vorfalls und die Information von Behörden oder Kundinnen und Kunden.

Das Bundesamt für Sicherheit in der Informationstechnik stufte den Fall als kritisch ein. Ein Sprecher verwies darauf, dass in einzelnen Cloud-Diensten große Leistungen gebündelt seien. Wenn solche Systeme direkt steuerbar seien, könne eine Manipulation „systemkritisch“ werden. Plattformen dieser Art müssten deshalb besonders abgesichert sein.

Warnungen vor vernetzten Anlagen

Die Schwachstelle passt zu länger bestehenden Warnungen vor Angriffen auf digitale Energieinfrastruktur. Agrarheute verweist auf Hinweise deutscher Sicherheitsbehörden, wonach schlecht geschützte Photovoltaikanlagen im Internet gezielt ausgespäht werden können. Betroffen sind vor allem private, gewerbliche oder genossenschaftliche Monitoring-Systeme, wenn sie aus dem Netz erreichbar sind und zugleich Steuerfunktionen bieten.

Das BSI hatte bereits im März 2025 vor Risiken bei Photovoltaikanlagen gewarnt. Die Behörde empfiehlt, Solaranlagen, Batteriespeicher und ähnliche Systeme nach Möglichkeit lokal zu betreiben und nicht frei aus dem Internet erreichbar zu machen. Damit sinkt die Angriffsfläche, ohne dass die technische Überwachung vollständig entfallen muss.

Auch andere Staaten haben konkrete Vorfälle registriert. In Polen dokumentierte CERT Polska Ende 2025 einen koordinierten Angriff auf mehr als 30 Wind- und Photovoltaikanlagen, eine große Kraft-Wärme-Kopplungsanlage sowie ein Industrieunternehmen. Bei den Anlagen für erneuerbare Energien wurde unter anderem die Kommunikation mit Verteilnetzbetreibern beeinträchtigt. Die Stromproduktion lief weiter, das polnische Stromsystem blieb stabil. Der polnische Ministerpräsident Donald Tusk sagte im Januar 2026, vieles deute auf Gruppen mit direkter Verbindung zu russischen Diensten hin.

Mehr Leistung, mehr Verantwortung

Mit dem starken Ausbau der Solarenergie wächst die Bedeutung digitaler Steuerung. Viele kleine Anlagen ergeben zusammen eine erhebliche Leistung. Werden sie über zentrale Plattformen verwaltet, kann ein einzelner technischer Fehler Folgen weit über die jeweilige Anlage hinaus haben.

Der Fall Sungrow zeigt deshalb nicht nur ein Problem eines Herstellers. Er macht deutlich, dass Cloud-Zugänge, Fernwartung und Monitoring bei Energieanlagen wie kritische Infrastruktur behandelt werden müssen. Für Betreiberinnen und Betreiber zählt neben Ertrag und Komfort auch die Frage, ob ihre Anlage von außen erreichbar ist und wie Updates, Passwörter und Zugriffsrechte abgesichert sind.