PV-Anlagen und Cybersicherheit 2026: Risiken wirksam begrenzen

Moderne Photovoltaikanlagen sind häufig mit Apps, Energiemanagement und Herstellerdiensten verbunden. Das erleichtert die Überwachung, schafft aber auch digitale Zugänge zur Haustechnik. Für die Cybersicherheit 2026 zählen deshalb vor allem gepflegte Software, klare Zugriffsrechte und eine bewusst geplante Vernetzung.

Wo die Angriffsfläche entsteht

Betroffen sein können Wechselrichter, Speicher, Energiemanagementsysteme, lokale Schnittstellen und die zugehörigen Cloudkonten. Nicht jede Anlage besitzt dieselben Funktionen oder dieselben Risiken. Besonders relevant ist, ob ein Zugang lediglich Messwerte anzeigt oder auch Einstellungen und Betriebszustände verändern kann.

Ein kompromittiertes Benutzerkonto kann beispielsweise Verbrauchsdaten offenlegen. Ein unsicherer Wartungszugang kann weitergehende Änderungen ermöglichen. Aus einer möglichen Schwachstelle folgt jedoch nicht automatisch, dass jede PV-Anlage betroffen ist oder bereits ein Angriff stattgefunden hat.

Was die Sicherheitsprüfung 2026 zeigt

Das Schweizer Nationale Testinstitut für Cybersicherheit veröffentlichte am 17. September 2026 eine Analyse von sieben Wechselrichtern und vier Energiemanagementsystemen aus dem Angebot von acht Herstellern. Es meldete mehr als 50 Befunde, darunter sieben kritische und sechs hohe. Die Hersteller wurden vertraulich informiert; bei einigen Produkten war die Behebung noch im Gang.

Das NTC hebt insbesondere die Abhängigkeit vieler Anlagen von wenigen Herstellerclouds hervor. Die Ergebnisse dieser Auswahl sind kein repräsentativer Prozentwert für alle installierten Anlagen in Deutschland. Sie zeigen aber, warum individuelle Gerätepflege und die Sicherheit zentraler Dienste gemeinsam betrachtet werden müssen.

Die Empfehlung des BSI

Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt, verfügbare Sicherheitsupdates zu installieren und Energiewendeanlagen nach Möglichkeit ausschließlich lokal, ohne Erreichbarkeit aus dem Internet, zu betreiben. Prüfen Sie mit dem Fachbetrieb, welche Verbindung für Ihre konkrete Anlage erforderlich ist.

Eine Cloudverbindung sollte nicht unüberlegt abgeschaltet werden, wenn darüber notwendige Updates, vertraglich zugesicherte Funktionen oder eine vorgeschriebene Steuerung laufen. Lassen Sie sich erklären, welche Dienste erforderlich sind, welche optional bleiben und wie die Anlage bei einer Internetstörung weiterarbeitet.

Konten und Zugriffsrechte prüfen

• Verwenden Sie ein eigenes, einzigartiges Passwort für das Anlagenkonto.
• Aktivieren Sie Mehrfaktorauthentifizierung, sofern der Dienst sie unterstützt.
• Übernehmen Sie bei der Übergabe die vorgesehenen Eigentümerrechte.
• Dokumentieren Sie, welcher Installationsbetrieb welchen Fernzugriff besitzt.
• Entfernen Sie nicht mehr benötigte Benutzerkonten und zeitlich begrenzte Wartungsfreigaben nach ihrem Zweck.

Bewahren Sie Wiederherstellungscodes und Anlagendokumentation sicher auf. Ein gemeinsames Standardpasswort für mehrere Personen erschwert die Zuordnung von Änderungen und die spätere Sperrung einzelner Zugänge. Nach einem Eigentümerwechsel müssen auch digitale Zuständigkeiten sauber übergeben werden.

Heimnetz und Updates sinnvoll organisieren

Der Router gehört ebenso in die Wartung wie der Wechselrichter. Halten Sie beide aktuell und lassen Sie die PV-Technik bei Bedarf in einem getrennten Netzwerksegment betreiben. Dabei müssen notwendige Verbindungen zu Zähler, Speicher und Energiemanagement weiterhin funktionieren. Eine bloße Trennung ohne Funktionsprüfung kann die Anlage beeinträchtigen.

Eine kostenpflichtige VPN-App auf dem Smartphone schützt einen offen erreichbaren Wechselrichter nicht automatisch. Ein vom Fachbetrieb eingerichteter, abgesicherter Wartungszugang erfüllt einen anderen Zweck. Fragen Sie ausdrücklich nach offen erreichbaren Schnittstellen und danach, wie diese eingeschränkt werden.

Was beim Kauf und bei der Übergabe geklärt sein sollte

Fordern Sie Angaben zur Updateversorgung, zum vorgesehenen Supportzeitraum und zum Meldeweg für Sicherheitsprobleme an. Wichtig sind außerdem lokale Bedienmöglichkeiten, ein dokumentierter Umgang mit Cloudausfällen und die Möglichkeit, Zugriffsrechte nachvollziehbar zu verwalten. Ein niedriger Gerätepreis allein sagt darüber wenig aus.

Ein Übergabeprotokoll sollte Modelle, Softwarestände, zuständige Ansprechpartner und die vereinbarten Fernzugänge enthalten. Sensible Passwörter gehören dabei nicht in ungeschützt herumliegende Wartungsunterlagen. Für die wirtschaftliche Überwachung sollten Ertragsdaten und wesentliche Einstellungen auch außerhalb eines einzelnen Benutzerkontos dokumentiert sein.

Bei auffälligem Verhalten

Dokumentieren Sie Fehlermeldungen und ungewöhnliche Änderungen mit Zeitpunkt. Kontaktieren Sie Fachbetrieb oder Hersteller über bekannte Kontaktdaten. Unerwartete Fernzugriffsanfragen sollten geprüft werden, bevor Sie sie bestätigen. Eigenständige Änderungen an elektrischen Schutz- oder Netzparametern sind keine geeignete Reaktion auf einen vermuteten Cybervorfall.

Fazit: Cybersicherheit ist ein Teil des laufenden Anlagenbetriebs. Klare Zuständigkeiten und wenige gut abgesicherte Zugänge schaffen eine bessere Grundlage für einen zuverlässigen Betrieb.

Quellen und weiterführende Informationen

• BSI: Sicherheitsupdates und lokale Betriebsweise von PV-Anlagen
• NTC: Sicherheitsanalyse von Photovoltaikanlagen vom September 2026