Ein gemeldeter Cyberangriff auf vernetzte Kühlanlagen in französischen Supermärkten, wie die Zeit vor einigen Tagen berichtete, verdeutlicht, welche Folgen unzureichend geschützte Steuerungssysteme haben können. Für Tim Stephan Schulze sind vergleichbare Schwachstellen auch in der Photovoltaikbranche ein ernst zu nehmendes Risiko.

„Neu ist an dem Vorfall nichts. Er zeigt ein Muster, das viele Branchen betrifft: vernetzte Steuerungen, die einmal eingerichtet und dann vergessen wurden“, erklärt Schulze.

Vergessene Fernzugänge als Einfallstor

Solarparks sind über zahlreiche Schnittstellen mit Betriebsführern, Herstellern und Monitoring-Dienstleistern verbunden. Kritisch wird es, wenn über diese Verbindungen auch Steuerungsfunktionen erreichbar sind oder Fernzugänge aus der Bauphase dauerhaft bestehen bleiben.

„Viele Parks haben einen Zugang, den eigentlich niemand braucht. Man lässt ihn offen, weil man vielleicht irgendwann ein Update einspielen will. Genau dieser unscheinbare Zugang ist das Einfallstor.“

Angreifer könnten solche Schwachstellen nutzen, um Anlagen zu manipulieren, deren Steuerbarkeit einzuschränken oder kompromittierte Systeme für weitere Cyberangriffe zu missbrauchen. Werden zahlreiche Anlagen gleichzeitig angegriffen, können daraus auch Risiken für die Energieinfrastruktur entstehen.

Netzwerkarchitektur entscheidet über Sicherheit

Schulze empfiehlt Betreibern, sämtliche Komponenten und Zugriffsberechtigungen zu dokumentieren, veraltete Firmware zu aktualisieren und nicht benötigte Fernverbindungen konsequent zu schließen.

Besonders wichtig sei die Netzwerkarchitektur. Statt Verwaltungs- und Steuerungssysteme direkt über das Internet erreichbar zu machen, sollten Solarparks selbst eine verschlüsselte VPN-Verbindung zu einem abgesicherten zentralen Gateway aufbauen. Fernzugriffe erfolgen dann ausschließlich über autorisierte Zugänge.

Auch die regelmäßige Überprüfung offener Schnittstellen, Softwarestände und Zugangsdaten sei unverzichtbar. Einmalige Sicherheitsprüfungen oder Zertifizierungen könnten eine kontinuierliche technische Überwachung nicht ersetzen.

Cybersicherheit gewinnt auch wirtschaftlich an Bedeutung

Neben den unmittelbaren Sicherheitsrisiken könnten unzureichend geschützte Anlagen künftig auch bei der Finanzierung von Solarprojekten stärker in den Fokus rücken. Denn mögliche Betriebsunterbrechungen, Ertragsausfälle und Wiederherstellungskosten sind auch für Investoren und finanzierende Banken relevant.

Schulze hält es deshalb für sinnvoll, die Cybersicherheit perspektivisch stärker in die technische und wirtschaftliche Risikobewertung von Photovoltaikprojekten einzubeziehen.

„Eine einzelne Anlage wirkt harmlos. Viele Anlagen gleichzeitig sind ein Angriff auf die Energieinfrastruktur.“