Sungrow-Lücke: 250.000 Solaranlagen in Deutschland fernsteuerbar

Eine kritische Sungrow-Sicherheitslücke in der Cloud-Verwaltungsplattform des chinesischen Wechselrichter-Herstellers hat Sicherheitsforschern zufolge Angreifern vollständige Kontrolle über angeschlossene Solaranlagen erlaubt. Nach einer Recherche der Zeit sind davon knapp 250.000 PV-Anlagen mit Sungrow-Wechselrichtern in Deutschland betroffen, zusammen 7,8 Gigawatt Leistung. Der Fall zeigt, wie weit die Regulierung von Kleinanlagen und die Realität vernetzter Energietechnik auseinanderliegen – und warum die Blackout-Zuspitzung im Titel des auslösenden Golem-Beitrags einer genaueren Prüfung nicht standhält.

Sungrow-Sicherheitslücke: Was Angreifer im schlimmsten Fall konnten

Entdeckt wurde die Schwachstelle nach Angaben des Sicherheitsforschers Marlon Starkloff vom Kasseler Unternehmen Jakkaru. Sie lag nicht in den Wechselrichtern selbst, sondern in der Cloud-Plattform, über die der Hersteller seine Geräte verwaltet. Wie Starkloff in seinem Primärbericht beschreibt, erlaubte sie Zugriff auf die Verwaltungsebene und damit vollständige Kontrolle über alle mit dem jeweiligen Server verbundenen Anlagen.

»Ein Angreifer kann Solaranlagen, Wechselrichter und Batteriespeichersysteme auflisten, ändern, starten oder stoppen. Er kann auf alle auf der Plattform registrierten Organisationen und Nutzer zugreifen«, zitiert ihn Photon.info. Zusätzlich sei das Einspielen neuer und benutzerdefinierter Firmware-Images möglich gewesen, solange die Geräte mit der Cloud verbunden sind. Genau dieser Punkt ist der kritische: Wer Firmware auf die Steuerungselektronik aufspielen kann, kontrolliert nicht nur die Einspeisung, sondern potenziell auch das Verhalten der Geräte am Netzanschlusspunkt.

250.000 Anlagen und 7,8 Gigawatt: die Größenordnung

Die Zahl von knapp 250.000 betroffenen Anlagen in Deutschland stammt aus der Zeit-Recherche und wird über Photon.info referenziert; europaweit kommen demnach rund 220.000 weitere Anlagen mit 28 Gigawatt hinzu. Diese Größenordnung ist der eigentliche Nachrichtenwert, unabhängig von der Frage, wer wann welches Szenario für möglich hält.

Einordnen lässt sich das über die Risikobewertung der Branche selbst: Der von SolarPower Europe veröffentlichte DNV-Report vom April 2025 nennt eine gezielte Kompromittierung von 3 Gigawatt Erzeugungskapazität als Schwelle, ab der erhebliche Auswirkungen auf das europäische Stromnetz möglich sind. Mehr als ein Dutzend Hersteller kontrollieren laut dem Report heute deutlich mehr installierte Leistung als diese 3 Gigawatt. Die 7,8 Gigawatt im Sungrow-Fall liegen also oberhalb der Schwelle, die die Branche selbst als kritisch markiert.

Blackout-These: belegt ist eine lokale, nicht eine globale Störung

Der Golem-Titel „Nur ein Hack bis zum Blackout" suggeriert einen flächendeckenden Netz-Kollaps. Dafür liefert der vorliegende Materialstand kein konkretes Szenario. Starkloff selbst wird mit der Aussage zitiert, der Vorfall könne zu „lokalen Stromausfällen auf dem gesamten Kontinent" führen – also zu lokalen, nicht zwangsläufig zu großflächigen Ausfällen.

Diese Unterscheidung ist nicht Wortklauberei, sondern der Kern der Risikobewertung. Verteilte Kleinanlagen sind über viele Netzanschlusspunkte verteilt; ihre Ferngesteuerte Abschaltung wirkt zunächst lokal, während ein überregionaler Kollaps zusätzliche Voraussetzungen bräuchte, die im Kontext nicht dargelegt werden. Wer die Blackout-These übernimmt, sollte sie als das kennzeichnen, was sie ist: eine nicht belegte Zuspitzung.

Zwischen NIS2 und Dachanlage: die Regulierungslücke

Bemerkenswert ist, dass die Zeit Wechselrichter ausdrücklich nicht als kritische Infrastruktur einordnet. In Deutschland knüpft diese Einstufung an Schwellenwerte und Sektoren, die im BSI-Gesetz geregelt sind – eine einzelne Dachanlage fällt nicht darunter. Genau an dieser Stelle klafft die Lücke: Der DNV-Report stellt fest, dass Großanlagen über NIS2 deutlich besser abgesichert sind, während Klein- und Dachanlagen keinen strengen Cyber-Regeln unterliegen. Aggregiert man aber Hunderttausende dieser Anlagen, entsteht eine Steuerungsmacht, die kein einzelner Betreiber verantwortet und keine Aufsicht adressiert.

SolarPower Europe schlägt deshalb unter anderem vor, den Fernzugriff auf EU-Solaranlagen von außerhalb der EU zu beschränken und einen an die DSGVO angelehnten Ansatz für die Kontrolle aggregierter, verteilter Geräte zu schaffen. Der Fall Sungrow ist das Argument für solche Regeln – und zugleich ein Hinweis darauf, dass die Zuständigkeitsfrage zwischen Hersteller, Betreiber und Netzregulierung noch offen ist.

APsystems, Sunways, Reseller: separate Fälle aus 2025

Sungrow ist nicht der erste Fall dieser Art. Jakkaru dokumentiert frühere, davon unabhängige Funde aus dem Jahr 2025, die nicht mit dem aktuellen Vorfall vermischt werden dürfen: Bei einem Reseller war eine Eskalation vom Standardkonto zum Voll-Admin-Zugriff auf das gesamte Dashboard möglich, betroffen waren rund 84.000 registrierte Nutzer – bei etwa 41.000 davon lagen WLAN-Name und -Passwort im Klartext, bei etwa 23.000 präzise GPS-Koordinaten der Wechselrichter. Bei APsystems (Serie EZ1-M, App „AP EasyPower") erlaubten fehlende Autorisierungsprüfungen und vorhersagbare Geräte-IDs einem Scan über rund 24 Stunden die Identifikation von etwa 100.000 vulnerablen Wechselrichtern, inklusive Fern-Abschalten und Neustart. Bei Sunways war ein öffentlicher Demo-Account fehlkonfiguriert und mit vollen Admin-Rechten ausgestattet; rund 44.000 Solaranlagen ließen sich ferngesteuert ein- und ausschalten.

Bemerkenswert ist die Chronologie der Offenlegung: Am 10. Juli 2025 wurden Sunways und APsystems informiert, einen Tag später das BSI-CERT. Am 19. August 2025 antwortete das BSI-CERT laut Jakkaru, die Findings qualifizierten nicht für ein koordiniertes Disclosure-Verfahren; APsystems habe bis dahin nicht auf Mails reagiert. Das ist ein Hinweis auf ein strukturelles Problem bei der Zuständigkeit für Sicherheitslücken in der Solar-OT.

Patch in einem Tag – und ein widersprechender Hersteller

Im aktuellen Fall verlief die Reaktion schnell. Sungrow wurde nach Photon-Angaben umgehend informiert und veröffentlichte innerhalb eines Tages einen Patch; eine gründliche Analyse sei eingeleitet worden. Die Kommunikation mit dem Sungrow-PSIRT sei „hervorragend" gewesen, so Starkloff. Unabhängig bestätigt ist die vollständige Behebung allerdings nicht – die Wirksamkeit des Patches beruht auf der Angabe des Forschers.

Gleichzeitig deuten regionale Berichte auf einen Widerspruch des Herstellers hin: Die Tagesschau-Regionalberichterstattung hält fest, dass der Hersteller der Darstellung widerspricht. Beide Stränge sind nebeneinander zu lesen: eine ausdrücklich gelobte PSIRT-Zusammenarbeit und eine inhaltlich abweichende Positionierung des Unternehmens. Wer den Fall bewertet, sollte diese Spannung nicht auflösen, sondern benennen.

Was Betreiber jetzt prüfen sollten

Starkloffs Empfehlungen sind pragmatisch und unabhängig vom Blackout-Streit umsetzbar: die Cloud-Anbindung der Anlage überdenken und das Gerät möglichst nur für Firmware-Updates mit dem Internet verbinden. Hersteller sollten Nutzer- und Verwaltungsplattformen strikt trennen, damit ein kompromittiertes Endkundenkonto nicht in die Verwaltungsebene führt.

Für Betreiber größerer Portfolios kommt die Frage nach der Aggregation hinzu: Wer viele Anlagen über eine Herstellercloud steuert, bündelt Risiken, die einzeln als unkritisch gelten. Solange die Regulierung Kleinanlagen nicht erfasst, bleibt die Risikominimierung eine Aufgabe des Betreibers – durch Netztrennung, Update-Disziplin und eine kritische Prüfung, welche Fernzugriffe tatsächlich benötigt werden. Dass ein einzelner Forscher eine Plattform mit knapp 250.000 Anlagen in Deutschland vollständig öffnen konnte, ist der belastbarste Befund dieses Falls – und der Anlass, die Architektur der Solar-Cloud-Anbindung grundsätzlich zu hinterfragen.

Quellen