SMA nimmt Stellung zur Gefahr potenzieller Cyber-Attacken

Der Sicherheitsexperte Willem Westerhof von der niederländischen IT-Sicherheitsfirma ITsec veröffentlichte Anfang August eine Studie, in der er zum Teil schwere Sicherheitslücken in weltweit installierten Photovoltaik-Anlagen identifiziert haben will. Diese könnten Hacker nutzen, um mit gezielten Cyber-Attacken auf Solarwechselrichter ganze Stromnetze lahmzulegen. Im schlimmsten Fall könnte dies zu weiträumigen Ausfällen im gesamten europäischen Verbundnetz führen. Seine Ergebnisse präsentiert Westerhof auf einer eigenen Webseite mit der Adresse www.horusscenario.com.

In seiner Studie hat Westerhof explizit Sicherheitslücken bei Geräten des Wechselrichterherstellers SMA untersucht. „Geräte dieser Marke werden im Allgemeinen als Mercedes unter den PV-Wechselrichtern angesehen“, schreibt der Sicherheitsexperte. SMA sei zudem seit mehreren Jahren der Marktführer unter den Wechselrichterherstellern. Bei seinen Untersuchungen habe er mehrere Sicherheitslücken gefunden, die Cyber-Angreifer ausnutzen könnten. 14 davon benennt er auf seiner Webseite konkret. Bereits im Dezember 2016 habe er SMA auf die Lücken hingewiesen und kurz danach auch niederländische Behörden informiert. Letztere haben daraufhin Ermittlungen aufgenommen, wie niederländische Medien berichten.

SMA weist Vorwürfe zurück

Der deutsche Wechselrichterhersteller SMA hat mittlerweile reagiert und ein Whitepaper veröffentlicht, in dem es viele der Vorwürfe zurückweist. Zunächst seien nur Geräte aus den Modellreihen Sunny Boy TLST-21 und TL21 sowie Sunny Tripower TL-10 und TL-30 betroffen. Alle anderen Geräte entsprächen den neuesten Sicherheitsstandards gegen Cyber-Angriffe. Zudem würden auch die genannten Geräte einen umfassenden Schutz vor Hacker-Attacken bieten, wenn die Maßnahmen der von SMA veröffentlichten Cyber-Security-Richtlinien sorgfältig eingehalten werden.

Grundsätzlich könnten ohnehin nur Anlagen attackiert werden, die mit dem Internet verbunden sind, und auch nur dann, wenn sie nicht durch einen Router hinter einer Firewall geschützt sind, was bei den meisten Geräten nicht der Fall sei. Tatsächlich überschätze Westerhof zudem die potentiell betroffene Anschlussleistung von SMA-Wechselrichtern im privaten Hausanlagen-Segment deutlich, die er mit rund 17 Gigawatt angibt. Dabei handele es sich um die gesamte Wechselrichter-Leistung, die SMA in diesem Segment auf den Markt gebracht hat. „Die Leistung, die von den betroffenen Geräten produziert wird, betrifft hiervon nur einen Bruchteil“, so der deutsche Hersteller. Zudem seien diese Wechselrichter weltweit installiert. „Daher sehen wir in keiner Weise das Risiko möglicher Instabilitäten bezüglich des öffentlichen Netzes, selbst im höchst unwahrscheinlichen Fall einer zeitgleichen Attacke der betroffenen Geräte.“

Das Whitepaper, in dem SMA zu den von Westerhof genannten potentiellen Sicherheitslücken Stellung nimmt, können Interessierte auf der Webseite des Herstellers herunterladen. Aus Sicht von SMA reichen die von Westerhof genannten Schwachstellen reichen nicht aus, um die von ihm dargestellte „Kill-Chain“ zu erzeugen. Die faktisch vorhandene Pluralität von Geräten, Herstellern und Sicherheitsmechanismen mache einen solchen Angriff extrem aufwändig. Vor diesem Hintergrund schätze SMA die Wahrscheinlichkeit eines erfolgreichen Angriffs als gering ein.

Problembewusstsein vorhanden

Grundsätzlich scheint sich SMA des Problems allerdings bewusst zu sein. Das Unternehmen weist mehrfach darauf hin, dass Kunden die Cyber-Security-Richtlinien des Herstellers sorgfältig einhalten sollten. Darin nennt SMA auch die Risiken bei Nichteinhaltung. „Mit dem Internet verbundene Systeme, die nicht speziell gesichert sind, können genutzt werden, um in das Netzwerk des Kunden (hinter dem Internet-Router) einzudringen“, heißt es. Sollte dies passieren, könnten die Angreifer zum Beispiel Passwörter ausspionieren, Botnet-Agenten installieren oder das Geräteverhalten beziehungsweise die vom Gerät übermittelten Daten manipulieren. Um dies zu verhindern empfiehlt SMA in den Cyber-Security-Richtlinien eine ganze Reihe von Gegenmaßnahmen.

Dennoch räumt SMA im kürzlich veröffentlichten Whitepaper ein: „Absolute Sicherheit wird es niemals geben, das zeigen zahlreiche Beispiele anderer sicherheitsrelevanter Branchen.“ Deshalb setze das Unternehmen auf eine ständige Weiterentwicklung der Sicherheitsmaßnahmen. Alle neuen Kommunikationsmechanismen würden einer Kontrolle durch externe Sicherheitsfirmen unterzogen. „Ein solches ‚Horus‘-Szenario kann niemand komplett ausschließen“, so das Unternehmen. SMA stehe aber dafür ein, dass es so unwahrscheinlich wie möglich wird.