Millionen an Solaranlagen in Europa werden zu Einfallstoren für Hacker und staatliche Saboteure. Der Kontinent schützt sich kaum. Kann China per Fernbedienung unser Stromnetz lahmlegen?
Es braucht nicht viel. Ein paar Solaranlagen, ein wenig technisches Know-how und viel kriminelle Energie – und schon ist Europas Stromnetz in Gefahr. Denn fast jede der zig Millionen Photovoltaikanlagen auf den Hausdächern des Kontinents ist inzwischen zwar mit dem Internet verbunden, dort aber kaum geschützt und bietet so eine gewaltige Angriffsfläche für Hacker, warnen Geheimdienste, Sicherheitsbehörden und Cybersicherheitsanbieter. Haben es die Eindringlinge ins System geschafft, können sie dort nicht nur die smarte Waschmaschine der PV-Besitzer übernehmen, sondern im schlimmsten Fall einen flächendeckenden Stromausfall auslösen.
Als typisches Einfallstor dienen Wechselrichter, die den von den Solarpaneelen erzeugten Gleichstrom in netzkompatiblen Wechselstrom umwandeln. Die meisten Wechselrichter sammeln aber auch Unmengen an Daten und speichern sie in den Clouds ihrer Hersteller, weshalb sie aus dem Netz angegriffen werden können. Doch nicht immer braucht es diese Sicherheitslücken. Vor wenigen Tagen hat das amerikanische Energieministerium bestätigt, dass bei etlichen chinesischen Wechselrichtern verdächtige Module entdeckt wurden, mit denen Dritte aus der Ferne Zugriff auf die Systeme erhalten könnten. In Europa sorgte der Bericht für besondere Aufmerksamkeit. Immerhin steht hier Solarequipment mit einer Leistung von 200 Gigawatt, die mit Wechselrichtern aus der Volksrepublik bestückt sind. Können Angreifer drei bis vier Gigawatt davon unter Kontrolle bringen, wäre das genug, um die Frequenz im europäischen Stromnetz von 50 auf 49Hertz zu senken und so eine Blackout-Kaskade auszulösen.
Wie sich das anfühlen könnte, hat vor wenigen Wochen der Blackout auf der iberischen Halbinsel gezeigt. Dort hat der plötzliche Wegfall von gut zwei Gigawatt an Solarproduktion die Stromnetze in Spanien, Portugal und Teilen Frankreichs in die Knie gezwungen. Eine Cyberattacke schließen die Behörden als Ursache zwar aus. Aber ein gezielter Angriff auf Solaranlagen könnte dieselben schwerwiegenden Folgen haben.
Schwache Regeln. Die Internationale Energieagentur (IEA) zählt aktuell doppelt so viele Cyberangriffe auf Energieunternehmen wie noch vor zwei Jahren. Über tausend Mal in der Woche müssen sich die Konzerne gegen Cyberkriminelle wehren – und da sind die Angriffe auf private PV-Besitzer noch gar nicht mitgerechnet.
China steht unter Generalverdacht: Das US-Energieministerium spricht in seinem Bericht zwar lediglich von chinesischen Herstellern und nennt keine konkreten Namen. Das Cybersicherheitsunternehmen Forescout Vedere Labs hingegen veröffentlichte erst im März schwere Sicherheitslücken bei den Wechselrichterherstellern Sungrow, Growatt und SMA. Der oft exponierte Branchenprimus Huawei fiel in dieser Untersuchung nicht auf.
Chinesische Unternehmen sind gesetzlich dazu verpflichtet, mit den chinesischen Geheimdiensten zusammenzuarbeiten. Zu Jahresbeginn warnte deshalb auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI), dass „die Zentralregierung in Peking über die internetfähigen Komponenten von Solaranlagen direkten Einfluss auf einen systemrelevanten Teil der deutschen Stromversorgung“ nehmen könnte. Die Forescout-Forscher denken eher an Kriminelle, die Zugriff auf die Daten der Nutzer organisieren wollen oder Unternehmen und Staaten mit einem „Blackout auf Knopfdruck“ erpressen könnten.
Huawei betont, dass die in Europa verbauten Anlagen alle europäischen Standards erfüllen. Das Problem ist nur: Diese Standards sind nicht sonderlich hoch. So kritisiert das norwegische Test- und Qualitätsinstitut DNV, dass die bestehenden Sicherheitsvorschriften für Photovoltaik-Anlagen keinen ausreichenden Schutz vor Cybersicherheitsrisiken bieten. Strenge Vorschriften in der EU gibt es bis dato nur für Großanlagen, am Hausdach kann jeder verbauen, was er will. DNV empfiehlt daher die verpflichtende Ende-zu-Ende-Verschlüsselung der Solarinfrastruktur und die Einstufung der Wechselrichter als „kritische Produkte“ im Bereich Cybersicherheit.
Es wird ernst.„In den vergangenen Jahren ist der Anteil der chinesischen Wechselrichter in Europa dramatisch gestiegen“, sagte Elisabeth Engelbrechtsmüller-Strauß, Chefin des österreichischen Wechselrichterherstellers Fronius, gegenüber der „Presse“. „Wenn unsere PV-Anlagen nur noch aus chinesischen Komponenten bestehen, dann sind diese Daten eben in der chinesischen Cloud gespeichert. Wir sprechen hier von kritischer Infrastruktur. Und ich denke nicht, dass wir uns hier in so eine starke Abhängigkeit von einer anderen Wirtschaftsregion begeben sollten. Ich glaube, dass es für uns geopolitisch und strategisch generell nicht gut ist, in diesem Bereich so angreifbar zu sein.“
Aber nicht nur die europäischen Anbieter beäugen die Konkurrenz aus China skeptisch. Auch viele Staaten reagieren bereits: So hat Litauen ein Gesetz erlassen, das den Fernzugriff auf größere Anlagen mit chinesischer Technik verbietet. Der estnische Geheimdienst warnt vor Erpressbarkeit durch Peking. Selbst die Nato hielt im Vorjahr in Schweden erstmals die Sicherheitsübung „Cyber Europe“ ab, bei der die Abwehr staatlich gelenkter Angriffe auf Stromnetze und Gasspeicher erprobt wurde. „Wenn wir uns die Sicherheitsbedrohungen für erneuerbare Energiesysteme ansehen, sehen sie ganz anders aus als bisher“, sagte Freddy JönssonHanberg, Direktor der Nato-Übung im Herbst. „Es gibt unzählige Angriffsmöglichkeiten. Diese Systeme sind verwundbar.“
Wie rasch aus Übung ernst werden kann, zeigt Deutschland. Dort ist das Verteidigungsministerium kurz davor, den Bau des Offshore-Windparks „Waterkant“ zu stoppen. Auch dort sollen Komponenten aus China verbaut werden, die nach Ansicht des Ministeriums dazu genützt werden könnten, kritische Seewege und militärische Übungsgebiete in der Nordsee auszuspionieren.
Wer zwei Prozent der Solaranlagen in Europa kontrolliert, kann dem Kontinent alle Lichter abdrehen.
Von Matthias Auer
Die Presse
