BSI-Bericht Ladeinfrastruktur: die IT-Lücken bei OCPP und ISO 15118
Erstellt hat den Bericht das BSI gemeinsam mit dem Bundesministerium für Verkehr. Er nimmt sich die Protokolle OCPP und ISO 15118 vor, öffnet die Ladesäule sozusagen und zeigt, wo es hakt. Was er findet, welche Angriffe daraus folgen, wie NIS2 und die AFIR-Verordnung den Rahmen setzen und was Betreiber jetzt konkret tun sollten, steht in diesem Artikel. Die Zertifikatslogik hinter dem komfortablen Laden erklärt der Beitrag zu ISO 15118 Plug and Charge und AFIR, den Netzbetreiber-Rahmen der zum IT-Sicherheitskatalog nach Paragraf 5c EnWG.
Am 7. Mai 2026 hat das BSI gemeinsam mit dem Bundesministerium für Verkehr den ersten Bericht zur IT-Sicherheit der öffentlichen Ladeinfrastruktur veröffentlicht. Geprüft wurden die Protokolle OCPP und ISO 15118, dazu Prüfaktivitäten und rechtliche Vorgaben wie die AFIR-Verordnung. Der Kernbefund passt in drei Worte: erhebliches Verbesserungspotenzial. Dabei sind die Standards gar nicht das Problem. Beide haben ihre Sicherheitsanforderungen deutlich verbessert und entsprechen in vielen Bereichen dem Stand der Technik. Nur werden sie in der Praxis oft nur halb umgesetzt, aus Kostengründen und wegen der Abwärtskompatibilität zu Altsystemen. Der Bericht nennt typische Schwachstellen in der OCPP-Kommunikation zwischen Ladesäule und Backend, in der Authentifizierung von Ladekarten und Apps und in der Fernwartung über ungesicherte Verbindungen. Der blinde Fleck ist das Backend: Abrechnung und Lastmanagement wurden bisher kaum geprüft und zeigen erhebliche Defizite. Die Angriffe reichen von manipulierten Ladevorgängen über Datenlecks bei Zahlungsdaten bis zu koordinierten Abschaltattacken auf ganze Ladepark-Verbünde, mit Folgen bis zur Netzstabilität. Was empfiehlt das BSI? TLS-Verschlüsselung für OCPP, Penetrationstests, eindeutige Authentifizierung, ein standardisiertes Zertifikatsmanagement und Incident-Response-Pläne. Vor allem aber verbindliche Vorgaben nach Security by Design und Security by Default statt freiwilliger Einzelmaßnahmen. Mit der NIS2-Umsetzung werden Ladepunktbetreiber ohnehin Teil der kritischen Infrastruktur. Wer den Bericht umsetzt, erfüllt also zugleich zentrale NIS2-Pflichten.
Erstmals ein BSI-Lagebild für Ladesäulen
Bisher gab es kein behördliches Lagebild für die Ladeinfrastruktur. Seit dem 7. Mai 2026 schon. An diesem Tag hat das BSI, zusammen mit dem Bundesministerium für Verkehr, seinen Bericht zur IT-Sicherheit der öffentlichen Ladeinfrastruktur vorgelegt. Er prüft systematisch, wie gut vernetzte Ladepunkte gegen Cyberangriffe geschützt sind. Das Fazit fällt nüchtern aus: erhebliches Verbesserungspotenzial.
Der Zeitpunkt ist kein Zufall. Deutschland hat im April 2026 erstmals mehr als 200.000 öffentliche Ladepunkte überschritten, und jeder neue Punkt ist ein weiterer vernetzter Rechner im öffentlichen Raum. Genau das macht das BSI nervös: vernetzte Ladepunkte sind ein potenzielles Einfallstor für schwerwiegende Angriffe. Der Bericht betrachtet dafür die zentralen Protokolle OCPP und ISO 15118, dazu Prüfaktivitäten und rechtliche Vorgaben bis hin zur AFIR-Verordnung.
Bislang mussten sich Betreiber ihr Sicherheitsbild selbst zusammensuchen. Jetzt liegt eine gemeinsame Referenz auf dem Tisch, an der sich Stadtwerke, Ladepunktbetreiber und ihre Dienstleister ausrichten können. Das ist der eigentliche Wert des Berichts: nicht die Schlagzeile, sondern der Maßstab.
Wo der Bericht Schwachstellen sieht
Die Standards sind nicht das Problem. OCPP und ISO 15118 bieten moderne Kryptografie und Transportverschlüsselung, das bescheinigt ihnen der Bericht ausdrücklich. Das Problem ist, dass diese Schutzfunktionen in der Praxis oft optional bleiben oder ganz abgeschaltet sind, damit ältere Säulen weiter mitspielen. Die Technik liegt bereit. Genutzt wird sie nur halb.
Am deutlichsten wird das bei OCPP, dem Protokoll zwischen Ladesäule und Backend. Der Bericht listet typische Schwachstellen in der OCPP-Kommunikation, in der Authentifizierung von Ladekarten und Apps und in der Fernwartung über ungesicherte Verbindungen. Der Kern ist die Transportverschlüsselung: TLS wird zunehmend genutzt, aber eben nicht durchgängig verpflichtend. Wo es fehlt, liest ein Angreifer mit.
Bei ISO 15118 und Plug and Charge liegt das Risiko woanders. Hier sorgen komplexe Zertifikatsketten und verteilte Verantwortlichkeiten für Komfort, aber auch für Abhängigkeit von wenigen zentralen Vertrauensankern. Wird ein solcher Anker kompromittiert, hat das weitreichende Folgen für die gesamte Ladeinfrastruktur. Genau deshalb hebt der Bericht das Zertifikatsmanagement als besonders kritisch hervor.
Der blinde Fleck aber ist das Backend. Abrechnung und Lastmanagement wurden in bisherigen Analysen meist ausgeklammert, dabei sitzt dort die eigentliche Steuerung. Der Bericht findet hier Standard-Zugangsdaten, fehlende Verschlüsselung und Software-Lücken, die im schlimmsten Fall viele Stationen gleichzeitig ausfallen lassen. Das Schutzniveau vieler Säulen beschreibt das BSI bildhaft als vergleichbar mit einem Computer der 1990er Jahre. Zugespitzt, ja. Aber der Punkt sitzt.
Die Bedrohungsszenarien
Ein Angriff auf eine Ladesäule trifft selten nur einen Fahrer. Weil viele Ladepunkte an einer gemeinsamen Steuerung und denselben Backend-Diensten hängen, kann ein einziger Zugriff eine ganze Flotte erreichen. Das ist der unangenehme Teil des Berichts.
Die Szenarien reichen von manipulierten Ladevorgängen und Abrechnungsbetrug über Datenlecks bei Zahlungs- und Kundendaten bis zu koordinierten Abschaltattacken auf ganze Ladepark-Verbünde. Das BSI beschreibt, dass ganze Regionen zeitweise von der Ladeinfrastruktur getrennt werden könnten. Und es geht weiter: Rückwirkungen auf die Stabilität der Stromnetze schließt der Bericht ausdrücklich nicht aus. Kein Wunder, denn zum Stichtag 1. Juni 2026 hingen rund 8,87 Gigawatt gleichzeitige Ladeleistung im System.
Wie real das ist, zeigt die unabhängige Forschung. Ein Ende 2025 dokumentierter Relay-Angriff auf ISO 15118 Plug and Charge zeigte, dass ein Fahrzeug die Identität der Ladestation nicht zuverlässig prüfen kann, sodass ein fremdes Auto die Rechnung zahlt. Das ist kein Weltuntergang. Aber es ist der Beweis, dass die Angriffsfläche nicht theoretisch ist.
- Manipulierte Ladevorgänge und Abrechnungsbetrug an der einzelnen Säule.
- Datenlecks bei Zahlungs- und Kundendaten über unsichere Apps oder Backends.
- Koordinierte Abschaltattacken, die ganze Ladepark-Verbünde gleichzeitig treffen.
- Netzrückwirkungen, weil steuerbare Ladeleistung im Gigawatt-Bereich am selben System hängt.
Deutsche und EU-Perspektive
Der Bericht trifft auf einen Rechtsrahmen, der sich gerade verschärft. Mit der NIS2-Umsetzung werden Ladepunktbetreiber Teil der regulierten kritischen Infrastruktur. Das ist mehr als ein Etikett: Sie müssen Risikomanagement nach Stand der Technik betreiben, ihre Lieferkette absichern und Vorfälle schnell melden. Und sie müssen wissen, welche Software überhaupt auf ihren Säulen läuft.
Parallel wirkt der IT-Sicherheitskatalog nach Paragraf 5c EnWG, den die Bundesnetzagentur bereits an die neue Lage angepasst hat. Digitale Energiedienste rücken damit in denselben Pflichtenkreis wie Netz- und Anlagenbetreiber. Wer sich hier orientieren will, findet die Details zum Katalog im Beitrag zum IT-Sicherheitskatalog 5c EnWG und den übergeordneten Netzkodex im Beitrag zu den NCCS-Cybersicherheitspflichten.
Das eigentliche Problem benennt der Bericht selbst: Die Anforderungen stammen heute aus vielen Gesetzen und Verordnungen, von denen viele noch nicht verbindlich sind. Diese Fragmentierung ist der Grund, warum vorhandene Technik nicht flächendeckend ankommt. Betroffen ist nicht nur der Betreiber der Säule, sondern die ganze Kette: Backend-Dienstleister, Mobility Service Provider, Roaming-Plattformen und die Hersteller der Ladehardware. Die Datenpflichten dieser Kette behandelt der Beitrag zu DATEX II in der Ladeinfrastruktur.
Herausforderungen und Risiken
Die Kernfrage ist nicht die Technik. Sie ist die Verbindlichkeit. Die Schutzmechanismen stecken längst in den Standards, aber ohne Pflicht, Prüfung und Nachweis bleibt ihre Umsetzung freiwillig. Und Freiwilligkeit verliert gegen Kostendruck.
Betreiber stehen dabei in einer echten Zwickmühle. Verpflichtende Vorgaben treffen auf Bestandsanlagen, die sich nicht ohne Aufwand nachrüsten lassen, und auf Abwärtskompatibilität, die niemand einfach kappen will. Dazu kommt eine zersplitterte Prüflandschaft: Behörden, Prüfdienstleister und Zertifizierer haben überlappende Zuständigkeiten, was Prüfungen langsam und teuer macht.
Bei aller Dringlichkeit lohnt ein nüchterner Blick. Das Bild vom Computer der 1990er Jahre erzeugt Handlungsdruck, ist aber eine rhetorische Zuspitzung, keine gemessene Kennzahl. Große, öffentlich dokumentierte Ausfälle durch Angriffe auf deutsche Ladeinfrastruktur sind bislang nicht belegt. Die Szenarien sind vorbeugend gedacht, nicht rückblickend. Das macht sie nicht weniger wichtig, aber es hilft, sie richtig einzuordnen: Der Bericht ist eine Warnung mit Vorlauf, kein Schadensprotokoll.
Was Betreiber jetzt tun sollten
Der Bericht liefert eine klare Prioritätenliste, und das Gute daran: Die wichtigsten Schritte kosten mehr Disziplin als Geld. Wer OCPP verschlüsselt, sauber authentifiziert und einen Notfallplan hat, deckt die häufigsten Lücken ab und erfüllt zugleich zentrale NIS2-Pflichten.
- TLS für OCPP verbindlich schalten: Aktiviere die Transportverschlüsselung für alle OCPP-Verbindungen zwischen Säule und Backend und lasse sie nicht als Option offen, denn genau dort liest ein Angreifer sonst mit.
- Eindeutig authentifizieren und Standardpasswörter entfernen: Gib jedem Ladepunkt und jedem Backend-Zugang eine eindeutige Identität, entferne Standard-Zugangsdaten konsequent und sichere die Fernwartung über verschlüsselte Kanäle ab.
- Regelmäßig testen und Schwachstellen offenlegen: Plane wiederkehrende Penetrationstests ein und etabliere einen Prozess für koordinierte Offenlegung, damit gemeldete Lücken nicht in einem Postfach versanden.
- Zertifikate und Notfall standardisieren: Bringe das Zertifikatsmanagement für Plug and Charge in geordnete, standardisierte Abläufe und halte einen Incident-Response-Plan bereit, der im Ernstfall geübt ist.
- Software-Inventur der Flotte anlegen: Führe eine aktuelle Liste, welche Software und Firmware auf welcher Säule läuft, denn ohne diese Übersicht sind die Meldepflichten nach NIS2 im Ernstfall nicht zu erfüllen.
Weiterführende Informationen
Häufig gestellte Fragen
Das BSI hat am 7. Mai 2026 erstmals einen Bericht zur IT-Sicherheit der öffentlichen Ladeinfrastruktur vorgelegt, gemeinsam mit dem Bundesministerium für Verkehr. Der Bericht bewertet die Protokolle OCPP und ISO 15118, benennt typische Schwachstellen in der Kommunikation, der Authentifizierung und im Backend und beschreibt Bedrohungsszenarien bis hin zu Auswirkungen auf die Stromnetze. Das Fazit lautet: erhebliches Verbesserungspotenzial. Das BSI empfiehlt verbindliche Vorgaben statt freiwilliger Einzelmaßnahmen.
Der Bericht nennt typische Schwachstellen in der OCPP-Kommunikation zwischen Ladesäule und Backend, in der Authentifizierung von Ladekarten und Apps sowie in der Fernwartung über ungesicherte Verbindungen. Das Kernproblem ist die Transportverschlüsselung: TLS wird zunehmend genutzt, ist aber nicht durchgängig verpflichtend umgesetzt. Im Backend kommen Standard-Zugangsdaten und fehlende Verschlüsselung hinzu, die im schlimmsten Fall viele Stationen gleichzeitig ausfallen lassen könnten.
Nein. Das BSI attestiert beiden Standards, dass sie ihre Sicherheitsanforderungen deutlich verbessert haben und in vielen Bereichen dem Stand der Technik entsprechen. Das Problem liegt in der Umsetzung: Aus Kostengründen und wegen Abwärtskompatibilität zu Altsystemen bleiben die vorhandenen Schutzfunktionen oft optional oder ungenutzt. Die Technik ist also da, nur ihre verpflichtende Anwendung fehlt.
Mit der NIS2-Umsetzung werden Ladepunktbetreiber Teil der regulierten kritischen Infrastruktur. Sie müssen Risikomanagement nach Stand der Technik, Lieferkettensicherheit und schnelle Vorfallmeldungen nachweisen und wissen, welche Software auf ihren Säulen läuft. Die BSI-Empfehlungen wie TLS für OCPP, eindeutige Authentifizierung und ein Incident-Response-Plan decken sich direkt mit den NIS2-Pflichten. Wer den Bericht umsetzt, erfüllt zugleich zentrale NIS2-Anforderungen.
Zuerst TLS für alle OCPP-Verbindungen verbindlich einschalten und nicht optional lassen. Dann Ladepunkte und Backend eindeutig authentifizieren, Standard-Zugangsdaten entfernen und die Fernwartung absichern. Regelmäßige Penetrationstests und eine koordinierte Offenlegung von Schwachstellen gehören dazu, ebenso ein standardisiertes Zertifikatsmanagement für Plug and Charge und ein Incident-Response-Plan. Eine Software-Inventur der eigenen Flotte macht Betreiber bei Meldepflichten auskunftsfähig.