Sieben der untersuchten Photovoltaikanlagen wurden als kritisch und sechs als schwerwiegend eingestuft.
Unsplash
Das Nationale Testinstitut für Cybersicherheit (NTC) untersuchte elf weit verbreitete Photovoltaikanlagen von acht Herstellern, darunter sieben Wechselrichter und vier Energiemanagementsysteme. Dabei entdeckten die Fachleute mehr als 50 Schwachstellen, wie das NTC am Donnerstag mitteilte.
Sieben wurden als kritisch und sechs als schwerwiegend eingestuft. Fünf der elf Produkte wiesen mindestens eine gravierende Sicherheitslücke auf.
Bei fast allen getesteten Wechselrichtern gelang es den Fachleuten, die Einspeiseleistung ohne Authentifizierung auf null zu reduzieren. Weitere Schwachstellen betrafen unter anderem voreingestellte Passwörter, ungesicherte Wartungszugänge und eine ungenügende Verschlüsselung.
Tausende Anlagen gleichzeitig betroffen
Die eigentliche Gefahr liegt laut NTC in der grossen Zahl vernetzter Anlagen. Viele Geräte sind etwa für Aktualisierungen mit den Cloud-Diensten der Hersteller verbunden. Sechs der entdeckten Schwachstellen könnten es ermöglichen, über eine zentrale Stelle gleichzeitig Tausende Geräte zu beeinflussen.
«Nicht allein die Schwere einer Schwachstelle macht sie gefährlich, sondern ihre Reichweite», erklärte NTC-Testexperte Tobias Castagna. Eine einzige Schwachstelle in einer zentralen Komponente könne Tausende Photovoltaikanlagen betreffen.
Das Sicherheitsniveau der untersuchten Produkte ist laut NTC nicht grundsätzlich schlechter als bei anderen vernetzten Geräten. Anders sei jedoch ihre Bedeutung für das Stromnetz. An sehr sonnigen Tagen deckt die Photovoltaik zeitweise mehr als die Hälfte des aktuellen Stromverbrauchs in der Schweiz.
Hinweise auf absichtlich eingebaute Hintertüren fanden die Fachleute nicht. Die meisten Hersteller hätten nach der Meldung der Schwachstellen rasch reagiert.
Mindeststandards gefordert
Das NTC empfiehlt unter anderem individuelle Zugangsdaten, besser geschützte Fernzugriffe und eine Trennung der Anlagen vom übrigen Netzwerk. Hersteller sollten Sicherheitsvorkehrungen bereits bei der Entwicklung berücksichtigen und Aktualisierungen digital signieren.
Von Politik und Behörden fordert das Institut Mindestanforderungen für Geräte, die auf den Markt kommen. Zudem sollte die Cybersicherheit nach Ansicht des NTC zu einer Voraussetzung für den Anschluss von Photovoltaikanlagen ans Stromnetz werden.
