BfV und BSI warnen vor Angriffen auf ungeschützte Photovoltaikanlagen. Warum die PV-Anlage zur Frage der Cybersicherheit wird – und was oberbayerische Geschäftsführer jetzt prüfen sollten.
Am 3. Juni 2026 haben das Bundesamt für Verfassungsschutz (BfV) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine gemeinsame Warnung veröffentlicht: Staatliche Cyberakteure durchsuchen das Internet gezielt nach schlecht geschützten Photovoltaikanlagen. Für viele mittelständische Betriebe in Oberbayern bedeutet das: Die Anlage auf dem Firmendach ist plötzlich Teil der Frage nach der eigenen Cybersicherheit – und kaum jemand hat sie bisher als solche behandelt.
Was ist passiert?
Die Behörden sprechen eine deutliche Sprache. Russische Cyberakteure klären laut dem gemeinsamen Sicherheitshinweis aktiv Photovoltaikanlagen auf, die ungeschützt mit dem Internet verbunden sind. Im Fokus stehen dabei nicht die Solarmodule selbst, sondern die Monitoring-Systeme – also die digitalen Steuereinheiten, über die eine Anlage überwacht und in vielen Fällen auch aktiv gesteuert wird. Bei einem Teil der gefundenen Anlagen kommen Unbefugte laut BSI sogar ganz ohne Zugangsdaten ins System, und die Softwarestände sind oft seit Jahren nicht aktualisiert.
Zwei Punkte sind für die Einordnung wichtig. Erstens: Konkrete Einbrüche sind bislang nicht bekannt. BfV und BSI schließen aber ausdrücklich nicht aus, dass es sich um sogenanntes Prepositioning handelt – das stille Vorbereiten künftiger Sabotage. Zweitens: Die Warnung gilt unabhängig von der Anlagengröße und richtet sich ausdrücklich an Privatpersonen, kleine Unternehmen und Genossenschaften ohne energiewirtschaftlichen Hintergrund. Genau dort, wo niemand einen IT-Verantwortlichen hat, steht die Anlage am Netz.
Die Botschaft der Behörden lautet also nicht: Solaranlagen abschalten. Sie lautet: vernetzte PV-Technik wie IT behandeln.
Vom Dach ins Firmennetz: Wie die Technik zusammenhängt
Ein nüchterner Blick auf die Technik – ohne Fachchinesisch. Eine moderne PV-Anlage besteht aus mehr als Modulen und Wechselrichter. Dazwischen sitzt in der Regel ein kleiner Rechner, meist ein Embedded-Linux-System von der Größe einer Zigarettenschachtel. Dieses Gerät liest die Anlage aus, steuert Batteriespeicher und Ladepunkte – und schickt die Daten im Standardbetrieb an ein Portal des Herstellers in der Cloud.
Diese Bequemlichkeit ist auch die Schwachstelle. Solange das Steuerungsinterface aus dem Internet erreichbar ist, ist es auffindbar – und was auffindbar ist, wird kartografiert. Der wirklich große Hebel liegt dabei nicht im einzelnen Keller, sondern eine Ebene höher: beim Hersteller-Portal, das tausende Anlagen bündelt und fernsteuern kann. Genau deshalb empfiehlt das BSI, die Cloud-Anbindung des Wechselrichters der Photovoltaik auf ihre Notwendigkeit zu prüfen und Anlagen möglichst auf rein lokalen Betrieb umzustellen.
| Ebene | Risiko |
| Wechselrichter | Umwandlung, meist ohne eigene Netzanbindung |
| Monitoring-Einheit | Kleinrechner am Netz – das eigentliche Einfallstor |
| Hersteller-Cloud | Bündelt tausende Anlagen – größter Hebel |
| Firmennetz | Brückenkopf zu Buchhaltung & Kundendaten |
Warum gerade Ihr Betrieb betroffen ist
Oberbayern hat eine der höchsten PV-Dichten Deutschlands. Handwerksbetriebe, Produktionshallen, landwirtschaftliche Anwesen und Bürogebäude – auf sehr vielen Firmendächern arbeitet inzwischen eine vernetzte Anlage. Und in mittelständischen Betrieben ohne eigene IT-Abteilung hängt diese Anlage fast immer am selben Router und im selben Netzwerk wie Buchhaltung, Warenwirtschaft und E-Mail.
Das ist der Kern des Problems und der Grund, warum IT-Sicherheit für Unternehmen hier nicht am Serverschrank endet. Ein schlecht gesichertes Steuergerät ist nicht nur ein Risiko für Ihre Stromproduktion, sondern ein möglicher Brückenkopf ins Firmennetz. Ein Angreifer, der sich über die exponierte PV-Steuerung Zugang verschafft, steht unter Umständen im selben Netz wie Ihre Geschäftsdaten. Aus einem vermeintlichen Technikthema auf dem Dach wird so eine handfeste Frage der Unternehmenssicherheit.
Was im Ernstfall auf dem Spiel steht
Anders als bei einem Ransomware-Angriff gibt es hier selten eine Lösegeldforderung mit klarer Zahl. Der Schaden entsteht subtiler – und ist deshalb nicht kleiner:
- Steuernder Zugriff statt bloßem Mitlesen. Wer im Monitoring-System sitzt, kann Einspeisung, Speicher und Abregelung manipulieren – in der Summe vieler Anlagen ein Baustein für Angriffe auf die Netzstabilität.
- Der Sprung ins Firmennetz. Ist die PV-Steuerung erst kompromittiert und nicht sauber getrennt, öffnet sie potenziell den Weg zu Ihren Kronjuwelen – Kundendaten, Angeboten, Buchhaltung.
- Datenschutz-Fragen. Detaillierte Verbrauchs- und Betriebsdaten sagen viel über ein Unternehmen aus. Landen sie unbefugt bei Dritten, ist das auch ein DSGVO-Thema.
- Abhängigkeit vom Hersteller. Das BSI rät ausdrücklich von Produkten ab, die zur Funktion zwingend auf die Cloud des Herstellers angewiesen sind. Endet der Support, droht im schlimmsten Fall der Totalverlust der Steuerbarkeit.
Sieben Maßnahmen – priorisiert und ohne großen Aufwand
Die gute Nachricht: Die wirksamsten Schritte kosten wenig und orientieren sich direkt an den BSI-Empfehlungen.
Sofort umsetzbar (heute):
- Erreichbarkeit prüfen. Klären Sie mit Ihrem Installateur oder IT-Partner, ob die Steuerung Ihrer Anlage aus dem Internet erreichbar ist.
- Standardpasswörter ersetzen. Ersetzen Sie Werkseinstellungen durch ein starkes, individuelles Kennwort. Passwortschutz allein genügt nicht, da manche Schwachstellen auch ohne Login ausgenutzt werden – er ist aber die absolute Grundlage.
Kurzfristig (diese Woche):
- Port-Weiterleitungen und UPnP schließen. Alles, was die Anlage aktiv ins offene Internet stellt, gehört abgeklemmt, sofern nicht zwingend gebraucht.
- Fernzugriff nur über VPN. Der Weg führt über einen abgesicherten VPN-Zugang – niemals über eine offene Weboberfläche.
Mittelfristig (diesen Monat):
- Firmware aktualisieren. Bringen Sie die Software von Wechselrichter und Steuereinheit auf den aktuellen Stand. Liefert der Hersteller seit Jahren keine Updates, ist auch das eine Antwort.
- Cloud-Anbindung hinterfragen. Brauchen Sie die Hersteller-Cloud wirklich für den Betrieb – oder reicht der lokale Betrieb?
Strategisch (dieses Quartal):
- Netz sauber trennen. Die PV-Steuerung und andere vernetzte Technik gehören in ein eigenes, vom Firmennetz getrenntes Segment. Ob diese Trennung im Ernstfall hält, lässt sich mit einem professionellen Penetrationstest überprüfen – wir suchen die Lücken, bevor es andere tun.
Checkliste: Ist Ihre Anlage angreifbar?
Prüfen Sie selbst:
- Ist die Steuerung/das Monitoring aus dem Internet erreichbar (z. B. über eine Weboberfläche oder Portfreigabe)?
- Läuft die Anlage noch mit dem Werkspasswort – oder ganz ohne?
- Ist unbekannt, wann zuletzt ein Firmware-Update installiert wurde?
- Hängt die PV-Technik im selben Netzwerk wie Ihre Firmen-PCs?
- Hat der Installateur einen dauerhaften Fernzugang, dessen Absicherung Sie nicht kennen?
Auswertung: Ein Treffer ist ein Prüfauftrag. Zwei bis drei Treffer bedeuten konkreten Handlungsbedarf. Vier oder mehr: Ihre Anlage sollte zeitnah abgesichert werden.
Häufige Fragen zur IT-Sicherheit von PV-Anlagen
1️⃣ Sind wirklich auch kleine PV-Anlagen im Mittelstand gefährdet?
Ja. Die Warnung von BfV und BSI gilt ausdrücklich unabhängig von der Anlagengröße und nennt kleine Unternehmen ohne IT-Verantwortlichen explizit. Entscheidend ist nicht die Kilowatt-Zahl, sondern ob die Steuerung ungeschützt am Internet hängt.
2️⃣ Woran erkenne ich, ob meine Anlage aus dem Internet erreichbar ist?
Am zuverlässigsten klärt das Ihr Installateur oder IT-Partner: Gibt es eine Portfreigabe im Router, ist UPnP aktiv, oder lässt sich das Monitoring-Portal von außen aufrufen? Ein IT-Dienstleister kann das im Rahmen einer kurzen Bestandsaufnahme prüfen.
3️⃣ Reicht ein sicheres Passwort als Schutz aus?
Nein, aber es ist die Grundlage. Das BSI weist darauf hin, dass manche Schwachstellen sogar ohne Login ausgenutzt werden. Ein starkes Passwort ist Pflicht, ersetzt aber nicht das Schließen offener Ports, aktuelle Firmware und die Netztrennung.
4️⃣ Muss ich meine Anlage jetzt vom Netz nehmen?
Nein. Die Behörden empfehlen kein Abschalten, sondern das Absichern: lokaler Betrieb statt zwingender Cloud, Fernzugriff nur über VPN und eine saubere Trennung vom Firmennetz. So bleibt der Komfort erhalten, ohne dass die Anlage zum Einfallstor wird.
5️⃣ Was kann ein IT-Systemhaus konkret für mich tun?
Ein IT-Systemhaus prüft, ob PV-Steuerung und Firmennetz sauber getrennt sind, richtet gesicherte Fernzugänge ein und testet die Trennung im Ernstfall – etwa per Penetrationstest. So wird aus der Behördenwarnung eine handhabbare Aufgabe statt einer offenen Flanke.
Fazit: Kritische Infrastruktur beginnt auf dem eigenen Dach
Die Warnung von BfV und BSI verschiebt den Blick. Ein Wechselrichter ist kein reines Elektrothema mehr, sondern ein vernetztes IT-System mit steuerndem Zugriff – und damit ein potenzielles Einfallstor. Die drei wichtigsten Punkte: Behandeln Sie Ihre PV-Anlage wie IT (Erreichbarkeit, Passwörter, Updates). Der größte Hebel liegt im Fernzugriff und in der Cloud – lokaler Betrieb und VPN sind die wirksamsten Bremsen. Und: Trennen Sie die Anlage vom Firmennetz, damit ein Problem auf dem Dach ein Problem auf dem Dach bleibt.
Als IT-Systemhaus mit Schwerpunkt IT-Sicherheit betreut die bios-tec GmbH seit Jahren oberbayerische Mittelständler ohne eigene IT-Abteilung. Sie sind unsicher, ob Ihre Anlage aus dem Internet erreichbar ist?
