Hersteller stellt sich taub
Laut einem Bericht der Zeit(öffnet im neuen Fenster) versuchten sowohl der CCC als auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) seit Februar mehrfach, Hoymiles über verschiedene Kanäle zu kontaktieren und auf die geschilderten Probleme aufmerksam zu machen. Der Hersteller soll darauf jedoch nicht reagiert haben. Auch auf Anfrage der Zeit zeigte das Unternehmen zunächst keine Reaktion.
Nachdem das chinesische CNCERT (National Computer Network Emergency Response Technical Team) eingebunden wurde, erklärte der Hersteller, die Mails seien untergegangen. Hoymiles nehme die Probleme jedoch "sehr ernst" und bearbeite sie "mit der höchsten Priorität". Wer nun auf ein schnelles Update hofft, wird allerdings enttäuscht. Der Hersteller bestätigte zwar, eine aktualisierte Software bereitstellen zu wollen, deren Veröffentlichung sei aber erst "für Mitte Oktober geplant".
Anfällige Wechselrichter blieben damit noch für Monate ungeschützt. Der CCC warnt vor diesem Hintergrund, dass Betreiber einer PV-Anlage von Hoymiles bis auf Weiteres davon ausgehen sollten, dass diese "von jedem mit einem günstigen Funkmodul aus Funkreichweite ferngesteuert werden können". Zudem ruft der Club Open-Source-Entwickler dazu auf, gemeinsam an einer Lösung zu arbeiten und eine alternative Firmware für die betroffenen RF-Module zu entwickeln.
Mindeststandards für IT-Sicherheit gefordert
In Europa soll Hoymiles einen Marktanteil von etwa 20 Prozent haben. Auch hierzulande dürften damit zahlreiche PV-Anlagen von den aufgedeckten Sicherheitslücken betroffen sein. Der Hersteller war schon 2023 durch Sicherheitsversäumnisse aufgefallen(öffnet im neuen Fenster), die Hunderttausende von Wechselrichtern betrafen – damals in Verbindung mit deren Anbindung an die S-Miles-Cloud des Herstellers.
Der CCC sieht Hunz' Entdeckungen als Anlass, um Forderungen an Politik und Regulierungsbehörden zu stellen. "Schluss mit dem Wilden Westen im IoT. Dieser Fall ist ein praktisches Lehrstück dafür, warum kritische Infrastruktur nicht erst bei großen Kraftwerken beginnt, sondern bereits im Vorgarten. Wenn Tausende Anlagen per Rundruf abgeschaltet werden können, ist das ein systemisches Risiko", so CCC-Sprecher Dirk Engling.
Der Club fordert laut Mitteilung Mindeststandards für die IT-Sicherheit von Einspeisegeräten. "Ein Gerät, das ohne Authentifizierung Firmware-Updates via Funk akzeptiert, darf keine Marktzulassung in der EU erhalten", heißt es. Zudem müsse die Steuerung von Energieanlagen lokal, sicher und ohne dauerhafte Abhängigkeiten von ausländischen Cloudservern möglich sein.
- Anzeige Hier geht es zum Veska Balkonkraftwerk 1000/800W bei Netto Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.