Ihre Solaranlage ist online. Wer hat außer Ihnen Zugriff?
Wechselrichter, Speicher und Wallbox hängen fast immer am Internet. Das ist bequem: Die App zeigt den Ertrag, der Installateur wartet aus der Ferne. Im Oktober 2026 haben zwei Nachrichten gezeigt, wie verwundbar das sein kann. Erst wurde eine schwere Lücke in der Cloud des Wechselrichter-Herstellers Sungrow bekannt. Dann hat das BSI Betreiber kleiner Anlagen dringend aufgefordert, ihre Steuerungen abzusichern.
Daten und Befehle laufen über den Server des Herstellers. Wer dort hineinkommt, erreicht womöglich sehr viele Anlagen auf einmal.
Steuerung und Anzeige bleiben im Hausnetz. Der Weg nach draußen ist zu oder nur kurz für Updates offen. Ob das bei Ihrer Anlage geht, klären Sie vorher mit dem Installateur.
Vier Monate, drei Warnungen
Die Meldungen kamen nicht aus heiterem Himmel. Sie bauen aufeinander auf und betreffen gerade auch private Anlagen.
- Gemeinsame Warnung von BfV und BSI
Russische Cyberakteure spähen PV-Anlagen aus, die ungeschützt am Internet hängen. Betroffen sind oft Privatleute und Genossenschaften. Manche Anlagen sind sogar ohne Passwort erreichbar, viele laufen mit stark veralteter Software.
- Lücke an Sungrow gemeldet
Die Kasseler Sicherheitsfirma Jakkaru meldet eine Schwachstelle in der Plattform iSolarCloud. Ein Fehler in der Anmeldung erlaubte den Zugang ohne Passwort, bis hinauf zu Administratorkonten. Sungrow liefert binnen eines Tages einen Hotfix, bis 14.09. ist die Behebung abgeschlossen.
- Lücke wird öffentlich
Jakkaru und Die Zeit berichten. Über die Administratorkonten hätten sich Anlagen und Speicher auflisten, ändern, starten und stoppen lassen. Auch Firmware hätte sich aufspielen lassen. An echten Anlagen wurde das laut Jakkaru nicht getestet.
- BSI fordert Absicherung
Nach einem Cyberangriff auf vernetzte Kühlanlagen in Frankreich veröffentlicht das BSI die Empfehlung BSI-CS 154. Sie richtet sich an Betreiber kleiner Anlagen, ausdrücklich auch zur Stromerzeugung.
Quellen: BfV und BSI, Sicherheitshinweis vom 03.06.2026; Jakkaru, Analyse vom 07.10.2026; BSI, Pressemitteilung vom 13.10.2026
„Wir fordern die Betreiber solcher Anlagen eindringlich auf, ihre Systeme sicher zu betreiben!“
Wie Fremde an eine Solaranlage kommen
Stellen Sie sich Ihre Anlage als Haus vor. Es gibt zwei Wege hinein: eine Tür, die Sie selbst offen gelassen haben, und einen Generalschlüssel, der beim Hersteller liegt.
Die offene Haustür
Der Wechselrichter oder Datenlogger ist direkt aus dem Internet erreichbar, etwa über eine Portweiterleitung im Router. Oft wurde das bei der Installation für die Fernwartung eingerichtet und dann vergessen. Wer im Netz nach solchen Geräten sucht, findet sie. Ein schwaches oder voreingestelltes Passwort reicht dann zum Einstieg.
Der Generalschlüssel beim Hersteller
Die Anlage meldet sich von selbst bei der Cloud des Herstellers. Ihr Router bleibt zu, und trotzdem kann jemand von außen steuern, nämlich über den Server. Das ist bequem und meist gut geschützt. Fällt dort aber eine Sicherung aus wie bei Sungrow, sind auf einen Schlag sehr viele Anlagen erreichbar.
Das BSI empfiehlt, direkte Internetzugriffe auf Steuerungen zu unterbinden und zu prüfen, ob Herstellerdienste dauerhaft nötig sind. Nach Bericht von pv magazine (16.10.2026) rät es, wo möglich, zum rein lokalen Betrieb.
Wie gut ist Ihre Anlage geschützt?
Haken Sie ab, was bei Ihnen schon stimmt. Was offen bleibt, gehen Sie mit den Schritten darunter an. Die Antworten bleiben in Ihrem Browser, nichts wird gespeichert oder gesendet.
In 6 Schritten zur sicheren PV-Anlage
Die Schritte folgen den Empfehlungen des BSI und der Sicherheitsforscher. Die meisten schaffen Sie an einem Abend selbst. Alles, was die Einspeisung oder die Steuerung durch den Netzbetreiber betrifft, besprechen Sie vorher mit Ihrem Installateur.
- 1Bestand aufnehmen
Schreiben Sie auf, welche Geräte mit dem Netz verbunden sind, per WLAN, LAN oder eigener SIM-Karte. Laut BSI gibt es oft Zugänge über Mobilfunk oder Geräte, von denen Betreiber nichts wissen.
- 2Router prüfen
Löschen Sie Portweiterleitungen zu Wechselrichter, Speicher oder Datenlogger. Schalten Sie UPnP ab, damit Geräte sich nicht selbst eine Tür öffnen. Das ist laut BSI die wichtigste Maßnahme.
- 3Konten absichern
Ändern Sie voreingestellte Passwörter und nutzen Sie für jedes Portal ein eigenes. Aktivieren Sie die Zwei-Faktor-Anmeldung, wo es sie gibt. Fragen Sie nach, welche Rechte das Konto Ihres Installateurs hat.
- 4Updates einspielen
Halten Sie Firmware und App aktuell und spielen Sie Sicherheitsupdates zeitnah ein. Veraltete Software ist laut BfV und BSI bei vielen PV-Anlagen ein Problem.
- 5Cloud bewusst nutzen
Fragen Sie Ihren Installateur, ob die Anlage auch lokal läuft und welche Funktionen ohne Cloud wegfallen. Jakkaru rät, die Anlage möglichst nur für Firmware-Updates zu verbinden. Achtung: Bei Direktvermarktung oder Steuerung durch den Netzbetreiber kann die Verbindung vorgeschrieben sein.
- 6Netz trennen
Hängen Sie Anlage und Smart-Home-Geräte in ein eigenes Netz, etwa ein separates WLAN oder ein eigenes Segment im Router. Laut BSI sollten ausgehende Verbindungen auf das Nötige begrenzt sein. Fernzugriff von außen nur über VPN.
Häufige Fragen zur PV-Sicherheit
Kann ein Hacker meine Solaranlage wirklich abschalten?
Wenn er Zugriff auf die Steuerung bekommt, ja. Bei der Sungrow-Lücke hätten sich über Administratorkonten Anlagen und Speicher starten, stoppen und mit Firmware bespielen lassen. Sungrow hat die Lücke geschlossen und erklärt, sie sei nicht von anderen ausgenutzt worden. Für Sie zu Hause wäre vor allem der Ertrag weg. Gefährlich fürs Stromnetz wird es, wenn viele Anlagen gleichzeitig manipuliert werden.
Ist mein Sungrow-Wechselrichter jetzt noch unsicher?
Die gemeldete Lücke in der iSolarCloud hat Sungrow laut Jakkaru am Tag nach der Meldung mit einem Hotfix geschlossen, bis 14. September 2026 war die Behebung abgeschlossen. Ändern Sie trotzdem Ihr Passwort, aktivieren Sie die Zwei-Faktor-Anmeldung, falls angeboten, und halten Sie die Firmware aktuell. Das gilt für Geräte aller Hersteller.
Was ist BSI-CS 154?
Das ist eine Cybersicherheitsempfehlung des Bundesamts für Sicherheit in der Informationstechnik vom 13. Oktober 2026 mit dem Titel „Gefährdung durch internet-verbundene OT-Systeme“. Sie richtet sich an Betreiber kleiner Anlagen, etwa für Kühlung, Wasser oder Stromerzeugung. Kernpunkte: keine direkte Erreichbarkeit aus dem Internet, Fernzugriff nur per VPN mit Mehr-Faktor-Anmeldung, zeitnahe Updates und regelmäßige Prüfung der Erreichbarkeit.
Darf ich die Cloud-Verbindung einfach kappen?
Fragen Sie vorher Ihren Installateur. Manche Funktionen laufen nur über die Cloud, etwa Garantie-Überwachung oder Updates. Bei Direktvermarktung oder Steuerung durch den Netzbetreiber kann eine Verbindung vorgeschrieben sein. Viele Geräte haben eine lokale Schnittstelle, über die Anzeige und Steuerung im Hausnetz weiterlaufen.
Wie finde ich heraus, ob meine Anlage aus dem Internet erreichbar ist?
Schauen Sie in Ihrem Router nach Portweiterleitungen und UPnP-Freigaben. Gibt es dort Einträge zu Wechselrichter, Speicher oder Datenlogger, ist die Anlage vermutlich von außen erreichbar. Hat ein Gerät eine eigene SIM-Karte, fragen Sie Ihren Installateur oder den Hersteller, wofür sie genutzt wird.
Energiemanagement mit klaren Wegen
Die VoltPilot Box hängt per LAN-Kabel in Ihrem Hausnetz. Sie misst an der Anlage, setzt den Plan für Speicher, Wallbox und Wärmepumpe um und hält die Schutzgrenzen ein. Die Verbindung zur Cloud ist verschlüsselt. Wir zeigen Ihnen gern, welche Verbindungen Ihre Anlage dafür braucht.
Weiterlesen im Blog: MiSpeL: Heimspeicher und E-Auto dürfen Netzstrom speichern · Fernwirktechnik einfach erklärt · Negative Strompreise 2026
Quellen (Stand 19.10.2026): BSI, Pressemitteilung vom 13.10.2026 · BSI-CS 154 „Gefährdung durch internet-verbundene OT-Systeme“ · BfV und BSI, Sicherheitshinweis vom 03.06.2026 · Jakkaru, Analyse zur iSolarCloud vom 07.10.2026 · cleanthinking.de, 07.10.2026 · ZfK, 08.10.2026 · pv magazine, 16.10.2026 · Rödl & Partner zum Cyber Resilience Act. Dieser Beitrag ersetzt keine IT-Sicherheits- oder Rechtsberatung.