Blackout per Mausklick? China-Cloud hielt 250.000 deutsche Solaranlagen

Ein Kasseler Sicherheitsforscher hatte im August Zugriff auf 470.000 Solaranlagen des chinesischen Herstellers Sungrow, 250.000 davon in Deutschland. Mit wenigen Klicks hätte er sie alle zugleich abschalten können. Die Sicherheitslücke ist inzwischen geschlossen. Die Frage, wie verwundbar die deutsche Energiewende ist, bleibt.

Ein Admin-Zugang ganz ohne Passwort

Entdeckt hat das Leck Marlon Starkloff, Chef der IT-Sicherheitsfirma Jakkaru. Er nahm sich die Plattform iSolarCloud vor. Darüber verfolgen Kunden ihre Anlagen, Installateure und Sungrow selbst steuern die angeschlossenen Geräte. Der Konzern gehört neben Huawei zu den größten Wechselrichterherstellern der Welt.

Laut Medienberichten genügte ein gewöhnliches Kundenkonto als Einstieg. Danach stieß Starkloff auf acht verschiedene Login-Typen mit unterschiedlichen Rechten. Einer davon soll ein Administratorkonto gewesen sein, das gar kein Passwort hatte. Ein solcher Fehler ist schon peinlich, wenn es um eine Kaffeemaschine geht. Hier ging es um kritische Infrastruktur.

„Man hätte sehr vieles machen können"

So fasste der Forscher die Lage im Gespräch mit dem Hessischen Rundfunk zusammen. Mit Schadsoftware hätte ein Angreifer das deutsche Stromnetz demnach enorm unter Druck setzen können. Möglicherweise wäre der Schaden so groß gewesen, dass ihn selbst das europäische Verbundnetz nicht mehr hätte auffangen können. Am Ende hätte ein Blackout stehen können. Fachmedien zufolge ging es europaweit um knapp 18 Gigawatt Erzeugungsleistung.

Schnell repariert, trotzdem „kritisch"

Nach der Meldung durch Jakkaru schloss Sungrow die Lücke innerhalb eines Tages. Das Unternehmen erklärte, nach eigenen Erkenntnissen habe niemand sonst die Schwachstelle ausgenutzt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft den Vorfall trotzdem als kritisch ein. Zu Recht, denn es ist nicht der erste Fall dieser Art:

• Ende 2023 meldete ein Forscher dem BSI, dass jedes Installateurkonto über die Sungrow-Cloud Firmware auf beliebige Wechselrichter am europäischen Server aufspielen konnte. Behoben wurde das erst im April 2024.
• Im vergangenen Jahr knackte die Sicherheitsfirma Asvin in einer halben Stunde den Sungrow-Wechselrichter eines Enpal-Kunden in Mainz. Das Passwort lautete „pw1111" und war im Internet nachzulesen. Auch die Wallbox für das E-Auto ließ sich abschalten.

Fast 90 Prozent aus China

Das eigentliche Problem reicht weiter. Laut Statistischem Bundesamt kamen 2025 wertmäßig 88,0 Prozent der importierten Photovoltaik-Technik aus China. In den ersten fünf Monaten 2026 waren es 86,1 Prozent. Berlin hat die Energiewende mit Milliarden gefördert und dabei eine neue Abhängigkeit geschaffen. Diesmal geht es nicht um russisches Gas, sondern um chinesische Hardware samt Fernsteuerung.

Chinesische Unternehmen sind gesetzlich zur Zusammenarbeit mit staatlichen Stellen verpflichtet. Verschlechtern sich die Beziehungen zwischen Peking und Berlin, ließen sich über Fernzugriffe theoretisch große Teile der Stromversorgung lahmlegen. Ist das Panikmache? Die Nachrichtenagentur Reuters berichtete im Mai 2025 unter Berufung auf Insider, dass im November 2024 Wechselrichter in den USA und anderen Ländern aus China heraus abgeschaltet worden seien. US-Experten sollen zudem nicht dokumentierte Kommunikationsbauteile in chinesischen Geräten gefunden haben.

Wer schützt das Netz?

Die Bundesregierung redet gern von Resilienz und Kriegstüchtigkeit. Gleichzeitig hängt ein wachsender Teil der Stromerzeugung an Clouds ausländischer Konzerne, und die Sicherheit prüfen bisher vor allem private Forscher. Vor diesem Hintergrund wirkt der Ruf nach mehr Versorgungssicherheit wenig glaubwürdig. Der Blackout auf der Iberischen Halbinsel im April 2025 hat gezeigt, wie schnell ein modernes Netz zusammenbrechen kann.

Bürger ziehen daraus ihre eigenen Lehren: Krisenvorsorge heißt, auf Werte zu setzen, die nicht von Stromnetz, Cloud oder einer politischen Laune abhängen. Physisches Gold und Silber gehören für viele seit jeher als Beimischung in ein breit gestreutes Vermögen. Kein Hacker kann sie per Mausklick abschalten.

Hinweis: Dieser Beitrag stellt keine Anlageberatung dar. Jeder Leser sollte sich selbst informieren und ist für seine Anlageentscheidungen selbst verantwortlich.