Die Antwort zuerst: Die steuerbare Anlagenkette ist das eigentliche Schutzobjekt
Bei Photovoltaikanlagen endet Cybersicherheit nicht am Wechselrichter. Eine moderne Anlage kann mit Herstellerportal, Mobilanwendung, Installateurskonto, Fernwartungszugang, Programmierschnittstelle, Energiemanagementsystem und Aggregator verbunden sein. Die Smart Energy Expert Group der Europäischen Union hat im Oktober 2026 Empfehlungen zu Cyberrisiken der Photovoltaikerzeugung veröffentlicht. Der Bericht betrachtet unterschiedliche Größenklassen und beschreibt unter anderem Angriffe über Herstellerplattformen, Webportale oder APIs.
Für Stadtwerke und Verteilnetzbetreiber ist daraus eine praktische Konsequenz ableitbar: Das Inventar muss die gesamte steuerbare Anlagenkette sichtbar machen. Eine Liste aus Hersteller, Typ und Leistung reicht nicht aus. Benötigt werden technische Abhängigkeiten, Zugriffswege, Rollen, Updateverantwortung und ein klarer Betriebsstatus. Erst dann lässt sich beurteilen, welche Störung lokal bleibt und welche gemeinsame Plattform viele Anlagen gleichzeitig beeinflussen könnte.
Gerät, Zugang und Steuerwirkung trennen
Ein belastbares Inventar unterscheidet mindestens drei Ebenen. Die Geräteebene enthält Wechselrichter, Kommunikationsgateway, Schutztechnik, Messung und lokale Steuerung. Die Zugangsebene beschreibt Herstellercloud, Portal, API, Fernwartung, Installateurskonto und lokale Schnittstellen. Die Wirkungsebene hält fest, welche Funktionen tatsächlich ausgelöst werden können: Konfiguration lesen, Sollwerte ändern, Anlage begrenzen, ein- oder ausschalten, Firmware aktualisieren oder Messdaten exportieren.
Diese Trennung verhindert zwei Fehleinschätzungen. Ein Gerät kann technisch vernetzt sein, ohne dass jeder Zugang eine steuernde Wirkung besitzt. Umgekehrt kann ein einzelnes zentrales Konto oder eine Plattform weitreichende Steuerungsmöglichkeiten über viele Anlagen bündeln. Das Risiko ergibt sich deshalb nicht allein aus der Zahl der Geräte, sondern aus der Kombination von Reichweite, Berechtigung und möglicher Wirkung.
Rollen müssen technisch prüfbar sein
In vielen Projekten verteilen sich Zuständigkeiten auf Anlagenbetreiber, Installationsbetrieb, Hersteller, Betriebsführer, Direktvermarkter, Aggregator und Netzbetreiber. Das Inventar sollte für jeden Zugang eine verantwortliche Organisation und eine konkrete Rolle nennen. Dazu gehören Kontoinhaber, technische Administration, Freigabe von Berechtigungen, Einspielen von Updates, Behandlung von Sicherheitsmeldungen und Abschaltung kompromittierter Zugänge.
Gemeinsam genutzte Konten erschweren Nachweis und Widerruf. Wo technisch möglich, sollten personengebundene oder rollenbezogene Zugänge, Mehrfaktor-Authentifizierung und ein nachvollziehbares Berechtigungsmodell genutzt werden. Ebenso wichtig ist ein Austrittsprozess: Wechselt ein Dienstleister oder endet ein Vertrag, müssen Konten, Schlüssel, Zertifikate und API-Tokens überprüft und gegebenenfalls erneuert werden.
Plattformabhängigkeit wird zum Portfolio-Risiko
Die europäische Analyse weist auf Risiken hin, die über einzelne Anlagen hinausgehen. Werden zahlreiche Wechselrichter über dieselbe Herstellerplattform oder dieselben Schnittstellen verwaltet, entsteht eine gemeinsame Abhängigkeit. Für das Stadtwerk sollte deshalb erkennbar sein, wie viele eigene oder betriebsrelevante Anlagen von einer Plattform, einem Kommunikationsweg oder einem Dienstleister abhängen.
Eine einfache Konzentrationsansicht gruppiert Anlagen nach Herstellerplattform, Firmwarefamilie, Fernzugangsweg und Betriebsführer. Sie enthält keine öffentliche Schwachstellenliste, sondern eine interne Priorisierung. Hohe Konzentration bedeutet nicht automatisch hohe Unsicherheit. Sie zeigt, wo Ausfall- und Wiederanlaufverfahren besonders wichtig sind und wo Sicherheitsmeldungen schnell einem betroffenen Anlagenbestand zugeordnet werden müssen.
Beschaffung entscheidet über den späteren Betrieb
Viele notwendige Informationen lassen sich nach der Inbetriebnahme nur mühsam ergänzen. Deshalb gehört die Anlagenkette bereits in Ausschreibung und technische Abnahme. Abzufragen sind unterstützte Authentisierungsverfahren, Rollenmodell, Updateprozess, Dauer der Sicherheitsunterstützung, Protokollierung, Exportmöglichkeiten, Verhalten bei Cloud-Ausfall, lokale Notbedienung und Verfahren zur Meldung von Schwachstellen.
Die Abnahme sollte nicht nur prüfen, ob die Anlage Energie erzeugt. Ein kontrollierter Test zeigt, welche Konten aktiv sind, wie Berechtigungen widerrufen werden, ob Änderungen protokolliert werden und wie die Anlage bei unterbrochener Internetverbindung reagiert. Der Test dokumentiert den konkreten Stand. Er ist keine dauerhafte Sicherheitsgarantie, schafft aber eine überprüfbare Ausgangslage.
Updates brauchen Freigabe und Rückfallweg
Firmware- und Plattformupdates können Sicherheitslücken schließen, zugleich aber das Betriebsverhalten verändern. Ein geregelter Updateprozess enthält deshalb Informationsquelle, Risikoeinstufung, Testumfang, Freigabe, Wartungsfenster, Erfolgskontrolle und Rückfallplan. Für große Portfolios ist eine gestufte Einführung sinnvoll: zuerst eine begrenzte Testgruppe, danach weitere Anlagencluster.
Das Inventar hält je Anlage oder Gerätefamilie den unterstützten Versionsstand und den letzten erfolgreichen Prüfpunkt fest. Wird eine Version nicht mehr unterstützt, entsteht ein geplanter Handlungsfall. So wird technische Alterung sichtbar, bevor ein Sicherheitsereignis oder ein ungeplanter Plattformwechsel die Entscheidung erzwingt.
Ein Vorfall muss ohne vollständiges Lagebild bearbeitbar sein
Im Sicherheitsereignis sind Informationen zunächst unvollständig. Die Betriebsroutine braucht daher klare Erstmaßnahmen: betroffene Plattform und Anlagencluster identifizieren, Zugriffe sichern, Änderungen protokollieren, fachliche und technische Rollen alarmieren und die Auswirkungen auf Erzeugung und Netzbetrieb beobachten. Eine vorschnelle flächige Abschaltung kann selbst betriebliche Folgen haben und gehört in einen abgestimmten Entscheidungsweg.
Für Übungen eignen sich realistische Szenarien: ungewöhnliche Sollwertänderungen über ein Portal, kompromittiertes Dienstleisterkonto, fehlerhaftes Update oder Ausfall einer Herstellercloud. Geprüft wird nicht nur die IT-Reaktion. Ebenso wichtig sind Anlagenbetrieb, Netzführung, Kommunikation, Dienstleistersteuerung und dokumentierter Wiederanlauf.
Mit dem eigenen Bestand starten
Der erste Schritt ist ein überschaubarer Anlagencluster im eigenen Einflussbereich: kommunale Dächer, Freiflächenanlage oder ein betreutes Kundenportfolio. Erfasst werden Geräte, Plattformen, Zugänge, Rollen und Steuerwirkungen. Anschließend werden fehlende Informationen als Klärfälle priorisiert. Der Pilot zeigt, welche Daten aus vorhandenen Asset-, Vertrags- und Betriebsführungssystemen übernommen werden können.
Geeignete Kennzahlen sind der Anteil vollständig erfasster Anlagenketten, Zahl nicht eindeutig zugeordneter Administrationskonten, Anteil unterstützter Firmwarestände, Alter der letzten Berechtigungsprüfung und Zeit zur Bestimmung aller von einer Plattformmeldung betroffenen Anlagen. Damit wird Cybersicherheit zu einer wiederholbaren Betriebsroutine statt zu einer einmaligen Geräteprüfung.