CCC warnt vor Sicherheitslücken in Hoymiles-Wechselrichtern – Hersteller schweigt bislang

Wie aus einer Mitteilung des CCC hervorgeht, können Angreifer anfällige Balkon- und Dachsolaranlagen damit per Funk abschalten, eine manipulierte Firmware einspielen und die Anlagen sogar dauerhaft physisch beschädigen. Ein Angreifer kann die Wechselrichter nach Belieben ein- oder ausschalten und Leistungslimits manipulieren. Über den ungeschützten Funkbefehl zur Aktualisierung der Firmware lässt sich sogar Schadsoftware einschleusen.

Nach Angaben des CCC liegt die Ursache in der Kommunikation der Hoymiles-Wechselrichter über unsichere proprietäre Funkprotokolle. Der Austausch erfolgt unverschlüsselt über die Frequenzbänder 868 MHz und 2,4 GHz. Da die Integrität der Datenpakete nur durch simple Prüfsummen geschützt wird, die sich bei Modifikationen mathematisch leicht neu berechnen lassen, existiert keine echte Authentifizierung.

Technische Schwachstellen im Funkprotokoll

Hunz entdeckte in der Firmware ein undokumentiertes Feature, mit dem sich über eine Art Rundrufbefehl alle Hoymiles-Wechselrichter in Funkreichweite ermitteln lassen. Wird dieser Rundrufbefehl ausgesendet, antworten alle erreichbaren Hoymiles-Wechselrichter in der Umgebung und übermitteln ihre Seriennummer im Klartext per Funk. Diese Seriennummern scheinen obendrein nicht einmal sonderlich gut geschützt zu sein.

In experimentellen Tests reichte ein modifizierter, handlicher Scanner aus, um innerhalb von 20 Minuten zwei Dutzend fremde Wechselrichter samt ihrer eindeutigen Identifikationsnummern und Modell-IDs zu lokalisieren. Da die Reichweite der Funksignale mehrere hundert Meter betragen kann, ließe sich eine solche Angriffshardware sogar problemlos auf eine Drohne montieren. Die dafür nötige Hardware soll sich einfach an einer Drohne befestigen lassen, so dass ein Angreifer nicht einmal persönlich vor Ort sein muss.

Angriffsszenarien und mögliche Folgen

Der Forscher demonstrierte das anhand eines eigenen Test-Programms, das die Relais und LEDs des Wechselrichters in Dauerschleife schaltete. Zudem sollen Eingriffe in die Einspeisung und die Netzfrequenz sowie die Ausführung ganzer Firmware-Updates möglich sein. Werden gezielt sensible Netzparameter verändert oder die internen Speicherbereiche des Bootloaders gelöscht, drohen Brände, elektrische Unfälle oder die Zerstörung des Geräts. Das lässt sich danach nur noch durch Öffnen des Gehäuses reparieren.

Laut Mitteilung können die Wechselrichter beispielsweise per Funksignal ein- und ausgeschaltet werden. Zwar bedarf es nach Angaben des CCC für die Fernsteuerung eines „ultrageheimen Schlüssels", der mit den Anfragen übermittelt werden muss, dabei soll es sich aber lediglich um eine Seriennummer handeln. Aber auch eine vollständige Fernsteuerung der Wechselrichter soll möglich sein. Darüber lassen sich etwa Statistikdaten für ein Dashboard auslesen.

Eine Verkettung dieser Sicherheitsprobleme führt im Endeffekt dazu, dass Angreifer mit einfacher Funkausrüstung in der Nähe befindliche Hoymiles-Wechselrichter erfassen und diese nach Belieben fernsteuern, abschalten oder sogar beschädigen können. Auch staatliche Aufsichtsbehörden winkten ab: Mögliche plötzliche Leistungseinbrüche im Gigawatt-Bereich durch ein koordiniertes Abschalten von Solaranlagen könnten von den Netzbetreibern abgefangen werden.

Reaktion von Hersteller und Behörden

Hersteller Hoymiles reagierte im Rahmen des Disclosure-Prozesses irritiert bis gar nicht und stellte bisher keinen Patch zur Verfügung. Ein Patch ist in Arbeit, lässt aber wohl noch Monate auf sich warten. Hunz dokumentierte seine Funde in zwei Berichten ausführlich. Bis dahin bleibt Betreibern als Notlösung nur, über die Original-Software ein Diebstahlschutzpasswort zu vergeben, die Abfrageintervalle in Open-Source-Tools wie OpenDTU oder AhoyDTU drastisch zu erhöhen oder die Solarmodule physisch vom Wechselrichter zu trennen.

Die Veröffentlichung sorgt über die IT-Sicherheitsszene hinaus für Aufsehen, weil sie exemplarisch zeigt, wie unzureichend vernetzte Energieinfrastrukturen abgesichert sind. Der CCC verlangt daher politische Konsequenzen: verbindliche Mindeststandards für die Funkkommunikation von Einspeisegeräten und ein EU-weites Verbot für Geräte, die Firmware-Aktualisierungen ohne kryptografische Authentifizierung über Funk annehmen.

Empfohlene Schutzmaßnahmen

Bis ein Patch vorliegt, empfehlen Fachleute, betroffene Wechselrichter nach Möglichkeit physikalisch vom Solarmodul zu trennen oder zumindest die Abfragefrequenz offener Monitoringsuiten drastisch zu reduzieren. Zudem sollten Betreiberinnen und Betreiber kein Diebstahlschutzpasswort in der Originalsoftware setzen, um eine spätere Übernahme durch Angreifer zumindest zu erschweren. (cku)