„Ein Herstellerverbot ist nur ein kleines Puzzleteil“

pv magazine: Vor drei oder vier Jahren spielte Cybersicherheit in der Solarbranche noch eine vergleichsweise kleine Rolle. Heute vergeht kaum eine Woche, ohne dass wir über Cybersecurity berichten. Auf der Intersolar war das Thema allgegenwärtig und auch auf europäischer Ebene entstehen laufend neue Gesetze und Regulierungen. Woran liegt das aus Ihrer Sicht?

Stijn Stevens: Meiner Meinung nach nimmt das Thema immer noch viel zu wenig Raum ein. Die Cyberangriffe, von denen wir hören, sind ja kein theoretisches Szenario mehr, sondern Realität. Immer wieder werden Vorfälle öffentlich, und langsam wird allen bewusst: Das passiert wirklich. Für uns bei Meteocontrol hat das Thema schon vor vier oder fünf Jahren massiv an Bedeutung gewonnen. Wir sehen uns als Anbieter systemrelevanter Infrastruktur. Wenn wir angreifbar wären, könnte das im schlimmsten Fall Auswirkungen auf einen erheblichen Teil der Energieversorgung haben.

Gleichzeitig hat sich die Welt verändert. Vor einigen Jahren – also noch vor dem Ukrainekrieg – wurde das Thema deutlich stiefmütterlicher behandelt. Kaum jemand konnte sich vorstellen, dass Europa sich wieder so intensiv mit geopolitischen Risiken beschäftigen muss. Heute sprechen wir über Russland, über China und Taiwan oder über die veränderte Rolle der USA. Dadurch ist das Bewusstsein für kritische Infrastruktur deutlich gestiegen. Hinzu kommt die Digitalisierung. Spätestens seit der Corona-Pandemie wurden viele Prozesse innerhalb kürzester Zeit digitalisiert. Dadurch entstehen neue Angriffsflächen.

Hat sich also die Bedrohungslage tatsächlich verändert oder ist vor allem die Politik aufgewacht?

Ich denke, beides hängt zusammen. Die Menschen sehen, was weltweit passiert. Dadurch wächst auch der politische Druck, das Thema ernst zu nehmen. Unterdessen entsteht dadurch die Möglichkeit für die Politik, Cybersicherheit stärker in den Mittelpunkt zu rücken. Das sehen wir beispielsweise beim Cyber Resilience Act oder anderen europäischen Regelwerken. Wenn wir über kritische Infrastruktur sprechen, dann muss unser Ziel sein, sie grundsätzlich besser zu schützen. Ein Herstellerverbot für bestimmte Anbieter kann dabei durchaus einen Beitrag leisten. Aber das ist nur ein kleines Puzzlestück der gesamten Strategie. Wir brauchen eine wesentlich umfassendere Sicherheitsstrategie. Deshalb halte ich Regelwerke wie den Cyber Resilience Act grundsätzlich für wichtig. Sie rücken das Thema stärker in den Vordergrund.

In der aktuellen Debatte wird allerdings vieles miteinander vermischt: Der Cyber Resilience Act und NIS2 stellen technische Anforderungen an die Cybersicherheit von Produkten. Gleichzeitig diskutiert Europa über Herstellerverbote und eine stärkere Diversifizierung der Lieferketten. Hinzu kommen industriepolitische Überlegungen, europäische Hersteller stärker zu fördern. Wie sollte man diese verschiedenen Ebenen auseinanderhalten?

Ich glaube, zunächst einmal liegt es an uns als Herstellern, uns durch diese Vielzahl an Regelwerken zu arbeiten. Wir müssen verstehen, welche Anforderungen sich aus NIS2, dem Cyber Resilience Act oder der KRITIS-Regulierung ergeben, und diese bestmöglich umsetzen. Man darf aber auch nicht vergessen, dass vieles davon noch in Bewegung ist. Auch für die Behörden ist das ein Lernprozess. Es ist nicht so, dass heute schon alles perfekt geregelt wäre. Letztlich arbeiten wir mit Menschen, mit unterschiedlichen Herstellern und mit Betreibern, die Anlagen unter realen Bedingungen betreiben. Deshalb ist es genauso wichtig, ein Bewusstsein für Cybersicherheit zu schaffen. Für uns als Anbieter bedeutet das, zunächst einmal alle regulatorischen Mindestanforderungen zu erfüllen. Aber dabei darf es nicht bleiben. Wir stellen uns immer auch die Frage: Was können wir darüber hinaus tun? Wie können wir unsere Produkte noch sicherer machen?

Reicht ein Herstellerverbot denn aus, um kritische Infrastruktur wirksam zu schützen?

Nein. Für uns bei Meteocontrol gilt ein anderer Grundsatz: Das System muss geschützt sein – egal, wer auf der anderen Seite steht. Natürlich muss man geopolitische Risiken ernst nehmen. Aber aus technischer Sicht sollte das Ziel immer sein, kritische Infrastruktur grundsätzlich resilient zu machen. Ob eine Bedrohung aus China, Russland, den USA oder von einer anderen Seite kommt, spielt dabei zunächst keine Rolle. Deshalb wäre es aus meiner Sicht falsch, sich ausschließlich auf einen Hersteller oder ein Herkunftsland zu konzentrieren. Ein Herstellerverbot kann Teil einer Sicherheitsstrategie sein, aber eben nur ein Teil. Das eigentliche Ziel muss ein System sein, das grundsätzlich robust gegenüber Angriffen ist.

Sie sagen, ein Herstellerverbot allein reicht nicht aus. Was können Hersteller denn konkret tun, um ihre Systeme besser gegen Cyberangriffe abzusichern?

Wir setzen zunächst einmal bei der Kommunikation mit der Anlage an. Diese ist grundsätzlich abgesichert. Der Zugriff erfolgt über ein VPN mit entsprechenden Schlüsseln. Das bedeutet, dass nicht einfach jeder auf eine Anlage zugreifen kann. Darüber hinaus haben wir unsere neue Plattform bluelog Neo konsequent nach dem Prinzip „Security by Design“ entwickelt. Ziel war es, die Anforderungen des Cyber Resilience Act und der Entwicklungsnorm IEC 62443 von Anfang an zu berücksichtigen. Wir werden mit der Plattform die entsprechenden Anforderungen erfüllen, sobald sie verpflichtend werden.

Konkret bedeutet das beispielsweise, dass sich physikalisch getrennte Netzwerke aufbauen lassen. Es gibt eine Schnittstelle nach außen, aber keinen direkten Durchgang in das interne Netzwerk. Dadurch wird verhindert, dass jemand von außen unmittelbar Zugriff auf die eigentliche Anlagensteuerung erhält.

Ein weiterer Baustein ist die verschlüsselte Kommunikation über VPN. Sie schützt die Kommunikation vor unbefugtem Mitlesen und erschwert Manipulationsversuche erheblich. Gleichzeitig stellen Zertifikate und Authentifizierungsmechanismen sicher, dass nur berechtigte Teilnehmer auf die Verbindung zugreifen können.

Hinzu kommen Sicherheitsmechanismen wie Secure Boot und ein Secure Element. Secure Boot stellt sicher, dass Software nur gestartet wird, wenn ihre Integrität eindeutig überprüft wurde. Stimmen Zertifikate oder Signaturen nicht überein, wird die Software gar nicht erst ausgeführt. Das System fällt stattdessen auf vertrauenswürdig bekannte Softwareversionen zurück. Das Secure Element sorgt wiederum dafür, dass die dafür notwendigen kryptografischen Schlüssel sicher gespeichert sind und nicht von außen manipuliert werden können. Auch Software-Updates sind entsprechend abgesichert. Sollte während eines Updates etwas schiefgehen, stehen redundante Speicherbereiche zur Verfügung, sodass das System auf eine funktionierende Version zurückfallen kann.

Das klingt nach einem sehr umfassenden Sicherheitskonzept. Gleichzeitig haben reale Cyberangriffe gezeigt, dass Schwachstellen oft gar nicht in der eigentlichen Anlagensteuerung liegen, sondern beispielsweise in Routern oder falsch konfigurierten Netzwerken.

Genau deshalb sage ich: Ein Produkt allein löst das Thema Cybersicherheit nicht. Wir können unsere Plattform so sicher wie möglich entwickeln. Wenn aber ein Betreiber beispielsweise an seinem Router Ports öffnet, die eigentlich geschlossen bleiben sollten, oder andere grundlegende Sicherheitsregeln missachtet, entstehen neue Angriffsflächen außerhalb unseres Einflussbereichs. Natürlich sorgen wir auch dann dafür, dass unser eigenes System möglichst gut geschützt bleibt. Durch die Trennung der Netzwerke lässt sich beispielsweise verhindern, dass sich ein Angriff einfach bis zur Anlagensteuerung durchfrisst. Aber irgendwann endet unser Verantwortungsbereich.

Das heißt, letztlich entscheidet auch der Betreiber darüber, wie viele Angriffsflächen seine Anlage besitzt?

Genau. Wenn wir das komplette Kommunikationsnetz einer Anlage planen und aufbauen, können wir dieses entsprechend absichern. Irgendwann übergeben wir die Anlage aber an den Betreiber. Von diesem Zeitpunkt an entscheidet er selbst, welche weiteren Zugänge eingerichtet oder freigeschaltet werden. Deshalb kann Cybersicherheit niemals allein Aufgabe des Herstellers sein. Sie ist eine gemeinsame Verantwortung von Herstellern, Integratoren und Betreibern.

Was bedeutet das konkret für die Architektur eines Energiesystems?

Ich glaube, wir müssen deutlich stärker in mehreren Sicherheitsebenen denken. Ein Beispiel wären Plausibilitätsprüfungen. Wenn ein System einen Steuerbefehl erhält, sollte es diesen nicht einfach ungeprüft ausführen. Stattdessen könnte eine zweite Instanz überprüfen, ob dieser Befehl überhaupt plausibel ist. Man könnte beispielsweise noch einmal bei einer vertrauenswürdigen Stelle gegenprüfen, ob genau dieser Befehl tatsächlich ausgeführt werden soll. Je mehr solche Check-and-Balance-Mechanismen wir einbauen, desto robuster wird das Gesamtsystem.

Also mehr Checks-and-Balances anstatt Herstellerverbote?

Genau, denn Herstellerverbote können höchstens einen kleinen Teil der Sicherheit abdecken. Aber Checks-and-Balances bedeutet im Grunde Zero Trust – also, dass man keinem einzelnen System vollständig vertraut. Das Gesamtsystem muss so aufgebaut sein, dass der Ausfall oder die Kompromittierung einer einzelnen Komponente nicht automatisch das gesamte System gefährdet. Das gilt nicht nur für Wechselrichter. Es gilt genauso für Router, Switches oder andere Komponenten innerhalb der Kommunikationsinfrastruktur.

Zum Schluss bleibt trotzdem immer ein Restrisiko. Gibt es Möglichkeiten, das Stromsystem selbst robuster zu machen, sodass selbst eine größere Zahl kompromittierter Anlagen keinen Dominoeffekt auslösen kann?

Ich glaube schon. Neben der eigentlichen Cybersicherheit der Produkte brauchen wir zusätzliche Sicherheitsebenen. Ein Beispiel wären zeitlich gestaffelte Software-Updates oder Steuerbefehle. Wenn nicht alle Anlagen gleichzeitig reagieren, sondern mit einer gewissen Verzögerung oder Beobachtungsphase arbeiten, lassen sich koordinierte Fehlfunktionen deutlich besser begrenzen. Solche Funktionen könnten künftig durchaus über Plattformen wie unsere umgesetzt werden.

Kann ein Produkt wie bluelog Neo einen Betreiber heute also NIS2-konform machen?

Ein Produkt allein wird das nie leisten können. Wir können sehr viele Voraussetzungen schaffen und unser Produkt so entwickeln, dass es den regulatorischen Anforderungen entspricht. Aber Cybersicherheit endet nicht beim Produkt. Entscheidend ist immer auch, wie eine Anlage insgesamt aufgebaut wird, wie das Netzwerk konfiguriert ist und wie der Betreiber mit dem System umgeht. Deshalb sage ich immer: Ein Produkt kann ein wichtiger Baustein sein, aber es löst Cybersecurity nicht allein.

Wenn Sie die aktuelle Diskussion um Cybersicherheit auf einen Gedanken reduzieren müssten – was wäre aus Ihrer Sicht die wichtigste Botschaft?

Wir sollten den Fehler vermeiden, uns auf einen einzelnen Aspekt zu konzentrieren. Herstellerverbote können sinnvoll sein. Diversifizierung kann sinnvoll sein. Neue Regulierung ist wichtig. Aber das alles sind einzelne Bausteine. Entscheidend ist am Ende, dass das Gesamtsystem resilient wird. Für mich bedeutet das, dass wir ein Energiesystem aufbauen, das nicht davon lebt, einem bestimmten Hersteller zu vertrauen. Sondern ein System, das so aufgebaut ist, dass einzelne Fehler, Fehlkonfigurationen, Fehloperationen oder auch Angriffsvektoren nicht dazu führen, dass das Gesamtsystem versagt. Das sollte aus meiner Sicht das eigentliche Ziel sein.