Hoymiles reagiert auf Sicherheitslücke in alten Mikro-Wechselrichtern

Vor wenigen Tagen veröffentliche der Chaos Computer Club (CCC) einen Bericht, wonach bei Photovoltaik-Anlagen mit Mikro-Wechselrichtern von Hoymiles eine „gefährliche Sicherheitslücke“ bestehe. Der Bericht legte offen, dass der Schlüssel zur Steuerung der Anlagen komplett ungeschützt sei und die Photovoltaik-Anlagen quasi im Vorbeifahren mit „Bauteilen aus der Grabbelkiste“ abgeschaltet oder sogar dauerhaft physisch zerstört werden könnten. Der Chaos Computer Club erklärte weiter, dass sich Hoymiles „taub“ stelle und auf Hinweise zur Sicherheitslücke „irritiert bis gar nicht“ reagiere.

Eine Nachfrage von pv magazine bei Hoymiles ergibt ein etwas anderes Bild. „Wir haben Kenntnis von dem vom Chaos Computer Club veröffentlichten Bericht. Cybersicherheit hat bei Hoymiles höchste Priorität, und wir nehmen alle sicherheitsrelevanten Meldungen ernst“, sagte eine Sprecherin. Sie verwies darauf, dass die Sicherheitslücke nur die Mikro-Wechselrichter der „HM-Serie“ betreffen würde. Diese sei im August 2023 eingestellt worden. Das aktuelle Produktportfolio sei nicht betroffen, betonte die Sprecherin.

Firmware-Update zum 30. August geplant

Hoymiles hat nach eigenen Angaben auch „unmittelbar“ nach Bekanntwerden einen internen Reaktionsprozess aktiviert und eine Taskforce eingerichtet. Bereits in der vergangenen Woche hat das Unternehmen auf seiner Webseite diesbezüglich auch einen Hinweis für seine Kunden veröffentlicht. So sei ein Firmware-Update für die älteren Produkte bereits in Arbeit. Es soll voraussichtlich am 30. August veröffentlicht und kostenlos auf die Geräte der Kunden aufgespielt werden. „Alle im Einsatz befindlichen Wechselrichter der ‚HM-Serie‘ arbeiten weiterhin normal. Kunden müssen ihre Anlagen nicht abschalten oder Geräte austauschen“, sagte die Sprecherin.

Hoymiles hat nach eigenen Angaben auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits über seine geplanten Maßnahmen und den Zeitplan informiert. „Die neue Firmware enthält eine AES-128-CBC-Verschlüsselung und wird vor der Veröffentlichung einer Cybersicherheitsprüfung gemäß RED EN 18031 unterzogen“, so die Sprecherin weiter. Hoymiles werde das BSI weiterhin auf dem Laufenden halten.

Das Unternehmen erklärte weiter, dass seine aktuellen Produkte die EU-Funkgeräterichtlinie (RED) EN 18031 vollständig einhalten. Sie seien zudem von international akkreditierten Stellen wie dem TÜV Rheinland und der Dekra zertifiziert. „Hoymiles legt großen Wert auf verantwortungsvolle Sicherheitsforschung und setzt sich weiterhin dafür ein, die Cybersicherheit unserer Produkte kontinuierlich zu verbessern“, sagte die Sprecherin.

Der Chaos Computer Club hatte die Veröffentlichung zur Sicherheitslücke bei Hoymiles auf seiner Website wie folgt begründet: „Der CCC fordert Mindeststandards für die IT-Sicherheit von Einspeisegeräten. Ein Gerät, das ohne Authentifizierung Firmware-Updates via Funk akzeptiert, darf keine Marktzulassung in der EU erhalten.“