BSI empfiehlt Schutzmaßnahmen für mit dem Internet verbundene Photovoltaik-Anlagen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Cybersicherheitsempfehlung für Betreiber industrieller Steuerungssysteme veröffentlicht. Darin warnt die Behörde vor Anlagen, deren Steuerungstechnik ohne ausreichenden Schutz aus dem Internet erreichbar ist. Die Empfehlung richtet sich vor allem an Betreiber kleiner und kleinster industrieller Anlagen, gilt aber branchenübergreifend. Ausdrücklich nennt das BSI auch Photovoltaik-Anlagen beliebiger Größe sowie Windenergie-, Wasserkraft- und Biogasanlagen.

Im Mittelpunkt steht die sogenannte Operational Technology (OT), also die Technik zur Überwachung und Steuerung physischer Prozesse. Solche Systeme ermöglichen es beispielsweise, Betriebsdaten einer Anlage aus der Ferne abzurufen oder Steuerungsfunktionen zu nutzen. Sind die Zugänge unzureichend abgesichert, können Angreifer unter Umständen auf die Systeme zugreifen und den Anlagenbetrieb beeinträchtigen.

Als wichtigste Schutzmaßnahme empfiehlt das BSI, direkte Zugriffe aus dem Internet auf Steuerungssysteme zu unterbinden. Dazu sollten Betreiber prüfen, ob ihre Anlagen öffentlich erreichbar sind, und entsprechende Zugänge schließen. Notwendige Fernzugriffe sollten mindestens über ein virtuelles privates Netzwerk (VPN) abgesichert werden. Hinzu kommen sichere Passwörter, möglichst eine Mehrfaktor-Authentifizierung sowie regelmäßige Software- und Firmware-Updates.

BSI empfiehlt Prüfung von Hersteller-Clouds

Besondere Aufmerksamkeit widmet die Behörde auch Verbindungen zu Hersteller-Clouds. Betreiber sollten prüfen, ob diese für den Anlagenbetrieb dauerhaft erforderlich sind. Nach Möglichkeit empfiehlt das BSI einen rein lokalen Betrieb, um Risiken durch unzureichend abgesicherte oder nicht vertrauenswürdige Herstellerdienste zu vermeiden. Produkte, deren Funktion zwingend von digitalen Diensten des Herstellers abhängt, sollten nach Einschätzung der Behörde mit Bedacht beschafft werden.

Die Bedeutung der Absicherung solcher Plattformen zeigte zuletzt ein Sicherheitsvorfall beim Wechselrichterhersteller Sungrow. Nach einem Hackerangriff schloss das Unternehmen eine Schwachstelle in seiner Plattform „iSolarCloud“. Anders als bei direkt aus dem Internet erreichbaren Steuerungssystemen betraf der Vorfall eine zentrale Cloud-Plattform. Beide Fälle verdeutlichen jedoch die Bedeutung geschützter Fernzugriffe auf vernetzte Photovoltaik-Anlagen.

Das BSI empfiehlt darüber hinaus, sämtliche Fernwartungszugänge zu erfassen. Diese können auch über zusätzliche Mobilfunkverbindungen oder Geräte bestehen, die den Betreibern nicht unmittelbar bekannt sind. Außerdem sollten verschiedene Netzwerkbereiche voneinander getrennt und ausgehende Verbindungen auf das notwendige Maß begrenzt werden. Die Überprüfung der Zugänge und das Einspielen von Sicherheitsupdates sollten feste Bestandteile des Anlagenbetriebs sein.