Rund 250.000 Photovoltaikanlagen in Deutschland hingen an einer Cloud-Plattform, in der ein Sicherheitsforscher im August Administratorrechte erlangte. Der Hersteller Sungrow hat die Lücke innerhalb eines Tages geschlossen und bestreitet die dramatischsten Deutungen des Falls. Die offene Frage bleibt trotzdem: Wie viel gebündelte Steuerungsmacht verträgt ein Stromsystem, das zunehmend dezentral erzeugt wird?
Eine Loginmaske, die niemand genauer prüfte
Der Einstieg war technisch unspektakulär. Marlon Starkloff, Geschäftsführer der Kasseler Sicherheitsfirma Jakkaru, legte auf der Webseite von Sungrows Solarplattform iSolarCloud einen gewöhnlichen Nutzeraccount an – mit E-Mail-Adresse und Passwort, so wie es jeder Anlagenbetreiber tut. Dann veränderte der 23-Jährige einen Wert in der Anmeldeanfrage: Statt des vorgesehenen Login-Typs schickte er die Ziffer fünf. Das System ließ ihn durch, ohne weitere Prüfung. Auch eine Benachrichtigung an den betroffenen Nutzer gab es nicht 5.
Über die Organisationshierarchie der Plattform und eine undokumentierte Informationslücke gelangte Starkloff an E-Mail-Adressen von Administratoren und von dort in übergeordnete Verwaltungskonten 5. Nach seinen Angaben betraf der Fehler die Geschäftslogik der Cloud und damit alle vier regionalen Instanzen – Europa, China, Australien und die internationale Variante 5. Sungrow datiert die Meldung auf den 22. August, Jakkaru auf den 23. August; drei Tage später spielte der Hersteller nach eigener Darstellung einen Notfall-Patch auf allen Ebenen der Plattform ein 4 5 6.
Was der Zugriff bedeutet hätte
Die Reichweite des Zugangs ist der politisch heikelste Teil des Falls. Nach den von der „Zeit“ ausgewerteten Daten waren in Deutschland knapp 250.000 Sungrow-Anlagen mit einer Spitzenleistung von 7,8 Gigawatt in der Cloud registriert, der Großteil davon auf privaten Dächern 1. In Europa kamen rund 220.000 weitere Anlagen hinzu; in der Summe berichten die beteiligten Medien von etwa 470.000 bis fast 500.000 Anlagen 1 2 3. Weltweit spricht Starkloff von rund 2,2 Millionen Anlagen beziehungsweise etwa 2,5 Millionen Geräten 2 3.
Mit Administratorrechten ließen sich nach Darstellung des Forschers Anlagen, Wechselrichter und Batteriespeicher auflisten, verändern, starten und stoppen – und es ließen sich eigene Firmware-Images auf die Geräte aufspielen 5. Wechselrichter wandeln den Gleichstrom der Module in Wechselstrom um und regeln die Einspeisung ins Netz; sie sind damit keine Nebensache, sondern die Schnittstelle zwischen Dach und Stromsystem 3.
Eine Momentaufnahme des europäischen Dashboards zeigte zeitweise eine Einspeisung von fast 18 Gigawatt 1. Diese Zahl belegt allerdings nicht, dass sich all diese Leistung gleichzeitig hätte abschalten lassen – sie zeigt zunächst nur, was die verbundenen Systeme in diesem Augenblick erzeugten. Zum Vergleich: Die für Kontinentaleuropa dimensionierte Referenzstörung, an der sich die automatische Frequenzreserve orientiert, liegt bei 3.000 Megawatt 1. Ein größerer Ausfall führt nicht automatisch zum Blackout, kann die Netzbetreiber aber vor erhebliche Probleme stellen.
Manuel Wickert vom Fraunhofer-Institut für Energiewirtschaftliche Prozessintegration wird in der Berichterstattung mit einer drastischeren Einschätzung zitiert:
„Wir haben dann eine akute Blackout-Gefahr, wenn diese 17 Gigawatt instantan abgeschaltet würden.“ 2
Als Anschauung dient der Stromausfall, der im April 2025 weite Teile Spaniens und Portugals über zwölf Stunden lahmlegte 2.
Der Streit über das Ausmaß
Sungrow widerspricht der Darstellung, ein Angreifer hätte sämtliche verbundenen Anlagen ohne weitere Hürden steuern können. Für kritische Vorgänge – darunter Firmware-Updates und Steuerungsfunktionen – seien zusätzlich eine erneute Passwortabfrage und Zwei-Faktor-Authentifizierung erforderlich gewesen; Massenoperationen seien auf diesem Weg nicht möglich gewesen 4. Eine Auswertung der Plattformprotokolle für den gesamten Zeitraum habe keine Hinweise auf eine Nutzung durch Dritte, auf Datenabflüsse oder auf Manipulationen an Kundenanlagen ergeben 4. Das Unternehmen hat eine unabhängige Sicherheitsbewertung bei der NCC Group beauftragt 4.
Starkloff hält dagegen: Mit den übernommenen Rechten habe er auch das Passwort zurücksetzen können, um die zusätzliche Hürde zu nehmen. „Das Endresultat wäre natürlich das Gleiche“, sagte er dem hr 2. Als besonders gefährlich bewertet er die Möglichkeit, manipulierte Software einzuspielen, die einen Abschaltbefehl zu einem festen Zeitpunkt auslöst – ein Szenario, das 2024 im Projekt „SolarFlareSec“ demonstriert worden sei 4.
Unabhängig geprüft wurde nicht, wie viele Systeme auf diesem Weg tatsächlich gleichzeitig erreichbar gewesen wären 1. Fest steht, dass sich fremde Konten ohne deren Passwort übernehmen ließen. Sungrow selbst führt die Lücke unter der Kennung CVE-2026-107194 und bewertet sie mit 9,2 von 10 Punkten als kritisch 6. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) teilte mit, es habe keine Hinweise auf eine aktive Ausnutzung gegeben und habe deshalb nicht weiter tätig werden müssen 2.
Ein Architekturproblem, kein Einzelfall
Bemerkenswert ist weniger der einzelne Programmierfehler als der Aufbau der Plattform. Nutzer- und Administratorkonten liegen bei iSolarCloud auf derselben Oberfläche; wer die Rechteeskalation schafft, sitzt in derselben Umgebung wie der Betreiber einer Dachanlage 5. Starkloff hält das für ein Muster, das über Sungrow hinausreicht: „Auch wenn diese konkrete Schwachstelle in anderen Systemen nicht direkt ausnutzbar ist, weist die grundsätzliche Architektur Schwächen auf“ 4. Jakkaru hat in der Vergangenheit bereits Wechselrichter von APsystems, Huawei und SMA untersucht 4.
Hinzu kommt die Marktkonzentration. Sungrow hat nach eigenen Angaben bis Dezember 2025 weltweit mehr als 1.000 Gigawatt Leistungselektronik installiert 5. Wo wenige Clouds einen großen Teil der dezentralen Erzeugung bündeln, entsteht ein Angriffsziel, dessen Ausfallwirkung nicht mehr lokal begrenzt ist. Nach Darstellung von Jakkaru waren über die Administrationskonten auch Zugänge von großen deutschen Solarvertrieben wie 1KOMMA5° und Enpal erreichbar; unabhängig bestätigt ist das nicht 5.
Was die Behörden jetzt sagen
Das BSI hatte den Fall schon vor der Veröffentlichung als grundsätzliches Problem eingeordnet: Auf einigen Cloud-Plattformen werde inzwischen sehr viel Leistung gebündelt, deren Manipulation wegen der direkten Steuerbarkeit „systemkritisch“ sei 2 3. Mitte Oktober veröffentlichte die Behörde eine Cybersicherheitsempfehlung für Betreiber industrieller Steuerungssysteme, die ausdrücklich Photovoltaikanlagen jeder Größe einschließt. Empfohlen werden unter anderem: keine direkten Internetzugänge auf Steuerungstechnik, Fernzugriff mindestens über VPN, Mehrfaktor-Authentifizierung, konsequente Updates – und die Prüfung, ob eine dauerhafte Verbindung zur Hersteller-Cloud für den Betrieb überhaupt nötig ist 7.
Zugleich betont das BSI die andere Seite: Anlagen müssten zumindest vom Netzbetreiber steuerbar sein, um die Systemstabilität zu gewährleisten. Diese Steuerung läuft über Smart-Meter-Gateways, die als vergleichsweise sicher gelten. Sobald von diesem System weitere Verbindungen abzweigen, müssten sie ähnlich geschützt werden 2. Für Wickert vom Fraunhofer-Institut steckt darin ein Dilemma: Die Internetanbindung ermögliche erst bequeme Sicherheitsupdates, schaffe aber gleichzeitig das Risiko 2.
Verbindliche Anforderungen an die Produktsicherheit entstehen erst schrittweise. Der Cyber Resilience Act der EU greift ab Dezember 2027; bis dahin bleibt es weitgehend bei Empfehlungen und freiwilligen Selbstverpflichtungen der Hersteller.
Und die Betreiber?
Für Besitzerinnen und Besitzer einer betroffenen Anlage ist der akute Handlungsbedarf gering: Der Fehler saß serverseitig und wurde am 25. August behoben. Weder ein Update noch ein Austausch des Wechselrichters ist nach Herstellerangaben nötig 1 6. Ein eigenes, nur einmal verwendetes Passwort bleibt trotzdem sinnvoll – gegen diese Lücke hätte allerdings auch das stärkste Passwort nicht geholfen 1.
Wer die Anlage nicht dauerhaft mit einer Hersteller-Cloud verbinden will, sollte vor der Installation klären, ob ein lokaler Betrieb möglich ist. Der Preis dafür sind Einschränkungen: Je nach System entfallen Fernüberwachung, Fehlermeldungen oder automatische Aktualisierungen 1. Das BSI rät zudem, alle Fernwartungszugänge zu erfassen – auch solche über zusätzliche Mobilfunkverbindungen, die Betreibern oft nicht bekannt sind 7.
Fazit
Die Lücke ist geschlossen, die Debatte darüber nicht. Der Fall zeigt eine Nebenwirkung der Energiewende, die in Förderprogrammen und Ausbauzielen kaum vorkommt: Hunderttausende kleine Erzeuger werden über wenige zentrale Clouds gesteuert, deren Sicherheitsniveau sich der Kontrolle der Netzbetreiber und der Aufsicht weitgehend entzieht. Ob das BSI solche Plattformen künftig als kritische Infrastruktur behandelt, ob Hersteller zu unabhängigen Prüfungen verpflichtet werden und ob Betreiber beim Einkauf stärker auf lokale Betriebsfähigkeit achten – diese drei Fragen entscheiden darüber, ob der nächste Fund wieder von einem ethischen Hacker kommt. Der nächste Fund ist wahrscheinlich nur eine Frage der Zeit.
