Eine Sicherheitslücke beim chinesischen Hersteller Sungrow hätte Angreifern die Fernsteuerung zahlreicher Solaranlagen ermöglicht. DIE ZEIT berichtet von rund 250.000 Anlagen mit Sungrow-Technik in Deutschland. Ihre gemeinsame Spitzenleistung beträgt demnach etwa 7,8 Gigawatt. Ein gleichzeitiger Eingriff in eine solche Leistung wäre für das Stromnetz ein gefährliches Szenario. Ein tatsächlicher Angriff oder Blackout ist nicht bekannt.

Entdeckt wurde die Lücke von der IT-Sicherheitsfirma Jakkaru. In ihrem eigenen technischen Bericht schildern die Forscher, wie sie die Anmeldung an Sungrows Cloud-Plattform iSolarCloud umgehen und bis zu Verwaltungskonten vordringen konnten. Von dort ließen sich nach ihren Angaben verbundene Solaranlagen, Wechselrichter und Batteriespeicher starten, stoppen oder verändern. Auch das Aufspielen anderer Gerätesoftware sei möglich gewesen.

Der kritische Punkt ist die gemeinsame Fernverwaltung. Eine einzelne Solaranlage kann das Stromnetz nicht aus dem Gleichgewicht bringen. Wenn aber sehr viele Anlagen über dieselbe Plattform angreifbar sind, kann aus einer Softwarelücke ein Risiko für die Versorgung werden. Die Zahl von 7,8 Gigawatt beschreibt die mögliche Spitzenleistung der betroffenen Sungrow-Anlagen in Deutschland, keinen nachgewiesenen Stromausfall.

Jakkaru meldete die Schwachstelle an Sungrow. Nach Darstellung der Forscher stellte der Hersteller binnen eines Tages eine Korrektur bereit. Die konkrete Lücke wurde also geschlossen. Der Fall zeigt dennoch, was die politische und technische Abhängigkeit von vernetzter Energieinfrastruktur bedeutet: Wer zentrale Cloud-Zugänge kontrolliert, erhält potenziell Zugriff auf weit mehr als nur ein privates Solardach.

F-NEWS berichtete bereits über Bedenken wegen chinesischer Technik im US-Stromnetz und über die Frage, wie belastbar die behauptete Stabilität des deutschen Netzes ist. Die Sungrow-Recherche liefert dazu einen konkreten Befund: Der Angriff musste nicht erst an einem Umspannwerk beginnen. Eine fehlerhafte Anmeldung in der Cloud hätte genügt.