Hacken in der Frühstückspause

Nach dem offenbar mühelosen Hack­versuch des TÜV stellt sich die Frage: Müssen Wechselrichter in puncto Cyber-Sicherheit ­systemtechnisch nachlegen und sollte eine Cyber-Prüfpflicht ­eingeführt werden?
Die Nachricht ist beunruhigend: TÜV Rheinland-Experten ist es gelungen, handelsübliche Wechselrichter von Solaranlagen innerhalb weniger Minuten zu hacken. „Die Schnittstellen sind wie Einfallstore“, berichten die Experten. Es klingt wie eine lässige Fingerübung in der Frühstückspause, wahrscheinlich waren die TÜVler selbst vom geringen Zeitaufwand überrascht: Nach entsprechender Vorbereitung waren sie nach eigenem Bekunden „binnen Minuten im System“.
Verwundbare Stellen entstehen überall dort, wo Systemkomponenten untereinander kommunizieren oder dort, wo das System nach außen kommuniziert, zum Beispiel, wenn es Infos zu Strommengen über Smart Meter regelmäßig an Netzstellenbetreiber übermittelt, erklären die Experten.

Hackerliebling Wechselrichter
Die bevorzuge Angriffsstelle im System sind die Wechselrichter. Sie wandeln den von Solarmodulen erzeugten Gleichstrom in Wechselstrom, den sie in das Stromnetz einspeisen. Zudem sind sie heute in der Regel mit dem Internet verbunden. Über diesen Zugang ist es Hackern möglich, einerseits in die Funktion des Wechselrichters einzugreifen und andererseits auch, sich Zugriff auf das Batterie-Managementsys­tem (BMS) zu verschaffen. So lasse sich beispielsweise die Phasenlage von Strom und Spannung auf der AC-Seite des Wechselrichters gezielt verändern oder der Batterie ein falscher Ladezustand vorgaukeln, erläutern die Experten des TÜV: „Wir konnten handelsübliche Wechselrichter problemlos neu parametrieren“, fasst Roman-­Alexander Brück, Laborleiter für Solarkomponenten bei TÜV Rheinland, die Tests zusammen: „Das Gleiche gilt in Konsequenz auch für das BMS.“ Durch Cyber­attacken wäre es also möglich, Stromnetze wie auch verbundene Speichersysteme negativ zu beeinflussen oder ganz lahm zu legen. „In Zeiten von Erneuerbaren Energien, der Notwendigkeit von intelligenten Netzen und angesichts von inzwischen 75 000 Speichersystemen allein im Bereich unter 30 kW ist es umso wichtiger zu prüfen, ob das System anfällig ist“, betont Daniel Hamburg, Leiter des Global Center of Excellence Testing und Certification bei TÜV Rheinland: „Solaranlagen müssen einwandfrei und sicher mit dem Netzbetreiber kommunizieren können, damit die Einspeisung innerhalb eines abgestimmten Rahmens verläuft“, resümiert er.

Cyber-Wettlauf
Alles nur Panikmache? Schließlich möchte der TÜV mit Dienstleistungen auch Geld verdienen und für eine Dienstleis­tung muss eine Notwendigkeit aufgezeigt werden, sonst nimmt sie keiner in Anspruch. „Aus unserer Sicht ist es in den meisten Fällen nicht ganz so leicht wie dort dargestellt, einen Wechselrichter erfolgreich zu attackieren“, gibt SMA-Sprecherin ­Susanne Henkel Auskunft. „Wenn Hacker einen Angriff starten, zielt er naturgemäß auf die Anlagenkommunikation. Die allermeisten Hackversuche werden dadurch sehr komplex, da die Angreifer in der Regel genaueste Kenntnis über zusammenhängende Systeme und Produkte haben müssen“, so Henkel weiter: „Damit soll natürlich nicht gesagt werden, dass Hackerangriffe ausgeschlossen werden können. Aber die Wahrscheinlichkeit für versorgungsnetzrelevante Angriffe ist nicht höher oder niedriger als bei anderen (herkömmlichen) Energieversorgungssys­temen oder Verbrauchersteuerungen auch.“

Schwindelerregendes Tempo
Doch der Fakt bleibt, dass dem TÜV der Hack binnen kürzester Zeit gelungen ist. Und die Herausforderung ist, dass sich die Energiewelt mit der Digitalisierung, mit den Blockchains und ihren virtuellen Kraftwerken in einem schwindelerregenden Tempo verändert, sodass sie auch in der IT ganz neue Sicherheitsfragen aufwirft. Plötzlich könnten beispielsweise auch ganz normale Haushalte ins Visier geraten, die bisher uninteressant waren, da es unter Hackern schon die „Effizienz“-Bestrebung gibt: Wenn man sich schon die Arbeit macht, dann soll sie auf einen Schlag möglichst viel Wirkung erzeugen. Es könnte jetzt von Interesse sein, in ein virtuelles Kraftwerk „einzusteigen“, das seine Gesamt-Kapazität aus vielen Hunderten oder Tausenden kleinen PV-Anlagen bezieht. „Um Hackerangriffe abzuwehren, müssen generell alle Hersteller von IT-Systemen (also nicht nur die aus der PV-Branche) jeden Tag „nachlegen“, also ihre Sicherheitsmechanismen ständig verbessern. Mögliche Angreifer entwickeln ständig neue Angriffsmethoden“, sagt Henkel.
Es ist wie das permanente Spiel zwischen Katz und Maus. Auch die TÜV-Experten sagen, dass sich die Lösungen in dem vorgelegten Hackangriff erst während diesem erschlossen, in dem man die Lücken analysierte. Deshalb müssten Systemchecks auf Herstellerebene eingeführt werden, die individuell durchgeführt würden, resümieren sie.

Cyber Security prüfen empfohlen
Möglicherweise könnten irgendwann solche Systemchecks auch versicherungsrelevant sein. So wie es sich mit der Pflicht für Winterreifen verhält: Vor Unfall schützen sie zwar nicht. Doch hat man keine drauf und baut im Winter einen Unfall, dann zahlt die Versicherung nicht. Cyber Security und der Schutz vor Angriffen durch Hacker gehöre derzeit nicht zum Standard der Prüfung, so der TÜV. „Wir empfehlen Herstellern, ihre Systeme prüfen zu lassen und eventuelle Schwachstellen zu schließen“, sagt Brück.

Autor: Dittmar Koop