Sicherheitslücken bei Photovoltaikanlagen können nach Einschätzung des Nationalen Testinstituts für Cybersicherheit (NTC) das Schweizer Stromnetz gefährden. Bei mehreren in der Schweiz verbreiteten Geräten könnten Angreifer über zentrale Systeme gleichzeitig auf Tausende Anlagen einwirken.

Das NTC untersuchte elf weit verbreitete Produkte von acht Herstellern, darunter sieben Wechselrichter und vier Energiemanagementsysteme. Dabei entdeckten die Fachleute mehr als 50 Schwachstellen, wie das Institut mitteilte. Sieben wurden als kritisch und sechs als schwerwiegend eingestuft. Fünf der elf Produkte wiesen mindestens eine gravierende Sicherheitslücke auf.

Bei fast allen getesteten Wechselrichtern gelang es den Fachleuten, die Einspeiseleistung ohne Authentifizierung auf null zu reduzieren. Weitere Schwachstellen betrafen unter anderem voreingestellte Passwörter, ungesicherte Wartungszugänge und eine ungenügende Verschlüsselung.

Die eigentliche Gefahr liegt laut NTC in der grossen Zahl vernetzter Anlagen. Viele Geräte sind etwa für Aktualisierungen mit den Cloud-Diensten der Hersteller verbunden. Sechs der entdeckten Schwachstellen könnten es ermöglichen, über eine zentrale Stelle gleichzeitig Tausende Geräte zu beeinflussen.

"Nicht allein die Schwere einer Schwachstelle macht sie gefährlich, sondern ihre Reichweite", erklärte NTC-Leiter Tobias Castagna. Eine einzige Schwachstelle in einer zentralen Komponente könne Tausende Photovoltaikanlagen betreffen.

Das Sicherheitsniveau der untersuchten Produkte ist laut NTC nicht grundsätzlich schlechter als bei anderen vernetzten Geräten. Anders sei jedoch ihre Bedeutung für das Stromnetz. An sehr sonnigen Tagen deckt die Photovoltaik zeitweise mehr als die Hälfte des aktuellen Stromverbrauchs in der Schweiz. Hinweise auf absichtlich eingebaute Hintertüren fanden die Fachleute nicht. Die meisten Hersteller hätten nach der Meldung der Schwachstellen rasch reagiert.

Das NTC empfiehlt unter anderem individuelle Zugangsdaten, besser geschützte Fernzugriffe und eine Trennung der Anlagen vom übrigen Netzwerk. Hersteller sollten Sicherheitsvorkehrungen bereits bei der Entwicklung berücksichtigen und Aktualisierungen digital signieren.

Von Politik und Behörden fordert das Institut Mindestanforderungen für Geräte, die auf den Markt kommen. Zudem sollte die Cybersicherheit nach Ansicht des NTC zu einer Voraussetzung für den Anschluss von Photovoltaikanlagen ans Stromnetz werden.