Chinesische PV-Wechselrichter als Sicherheitsrisiko
Ein Wechselrichter. Unscheinbar, bis man fragt, wer aus der Ferne darauf zugreift. Europa hängt zu vier Fünfteln an chinesischen Geräten, und die hängen für Updates am Internet. Geopolitische Randnotiz? Für Netzbetreiber längst nicht mehr. Die Frage zielt aufs eigene Netz, und sie ist unangenehm konkret: Welche Geräte lassen sich abschalten, und über wessen Cloud läuft der Zugriff.
Rund 80 Prozent der in Europa verbauten Solar-Wechselrichter stammen aus China, dominiert von Huawei und Sungrow. Die EU-Sicherheitsdoktrin vom Dezember 2025 stuft diese Abhängigkeit als Hochrisiko ein. Weil die Geräte für Updates am Internet hängen, reicht rechnerisch die Kontrolle über etwa 10 Gigawatt zeitgleich geschalteter Leistung, um das Netz großflächig zu stören. Die Kommission hat im Januar 2026 eine Hochrisiko-Herstellerliste nach dem Muster der 5G-Toolbox vorgeschlagen und am 23. April 2026 EU-Fördermittel für Projekte mit Geräten aus vier Risikoländern gestoppt. Das BSI lehnt die netzdienliche Fernsteuerung über die Hersteller ab und empfiehlt den lokalen Weg über den Smart-Meter-Gateway nach Paragraf 14a. Für Netzbetreiber beginnt die Abwehr mit einem Geräte-Inventar, das Hersteller und Fernzugriffskanal jedes Wechselrichters kennt.
Warum ein Wechselrichter zum Sicherheitsthema wurde
Ein Wechselrichter macht aus Gleichstrom vom Dach Wechselstrom fürs Netz. Das ist die Alltagsfunktion. Die zweite, leisere Funktion ist die interessante: Fast jedes moderne Gerät hängt am Internet, damit der Hersteller Software aktualisieren, Fehler auslesen und die Einspeisung anpassen kann. Genau dieser Fernzugang ist der Punkt, an dem aus einem Bauteil ein Sicherheitsthema wird.
Die EU-Kommission hat die Abhängigkeit im Dezember 2025 in ihrer Sicherheitsdoktrin zur wirtschaftlichen Sicherheit festgeschrieben. Solar-Wechselrichter gelten dort als Hochrisiko-Abhängigkeit. Der Grund ist keine einzelne Sabotage, sondern die schiere Zahl gleichartiger Geräte am selben Fernzugang. Was für eines gilt, gilt für Hunderttausende zugleich. Der schnelle Zubau von Wind und Solar aus China hat diese Konzentration in wenigen Jahren aufgebaut.
Vier Risiken benennt die Doktrin. Die Konzentration auf wenige Lieferanten. Die Gefahr der Cyber-Manipulation. Den Zugriff auf netzrelevante Betriebsdaten. Und die Möglichkeit, dass fremde Akteure die Lieferkette unterwandern. Der Markt macht es nicht besser: Zwei Hersteller, Huawei und Sungrow, dominieren ihn europäisch wie global.
Das Problem ist nicht ein einzelnes böswilliges Gerät, sondern die schiere Zahl gleichartiger Geräte am selben Fernzugang.
Warum Konzentration das eigentliche Risiko istWie eine koordinierte Fernabschaltung das Netz trifft
Die entscheidende Zahl ist kleiner, als man denkt. Es braucht keine Mehrheit der Anlagen, um das Netz ins Wanken zu bringen, es braucht einen einstelligen Gigawatt-Block, zeitgleich geschaltet. Und Wechselrichter sind dafür fast ideal gebaut, weil sie ohnehin im Takt mit dem Netz arbeiten.
Die Zahlen stammen aus einer Risikoanalyse von SolarPower Europe und DNV, April 2025. Theorie? Nicht nur. 2025 berichtete Reuters von undokumentierten Funkmodulen, die US-Ermittler in importierten Wechselrichtern fanden. Module, die in keiner Produktdokumentation stehen und Firewalls umgehen können. Forescout legte im März 2025 nach und dokumentierte Schwachstellen in den Funk-Dongles mehrerer Hersteller, erreichbar über die Hersteller-Cloud.
Nicht der nächste Zubau ist das Problem, sondern die Bestandsflotte. Mehr als 200 Gigawatt chinesischer Wechselrichterleistung stecken bereits in Europas Netzen und sind von keinem Förderstopp erfasst.
Die Hochrisiko-Herstellerliste nach dem 5G-Muster
Die EU greift zu einem Werkzeug, das sie schon kennt. Bei den 5G-Netzen gab es eine Liste kritischer Anbieter, an der sich die Mitgliedstaaten orientieren sollten. Genau dieses Muster soll jetzt auf Wechselrichter übertragen werden, mit allen Stärken und Schwächen des Vorbilds.
Im Januar 2026 hat die Kommission im Zuge einer Überarbeitung des Cybersecurity Act eine Liste von Hochrisiko-Herstellern vorgeschlagen. Wer draufsteht, verliert den Zugang zum EU-Markt. Das Vorbild ist die freiwillige 5G-Toolbox von 2020, und ihre Bilanz warnt: Einige Staaten schlossen Huawei und ZTE ganz aus, andere ließen sie unter Auflagen im Netz. Freiwilligkeit erzeugt Flickenteppich.
Der Europäische Solar-Herstellerrat schlägt vor, eine Positivliste vertrauenswürdiger Anbieter in NIS2 zu verankern und den Mitgliedstaaten zu erlauben, Hochrisiko-Herstellern den Netzanschluss zu verweigern.
Für Versorger heißt das: Die Liste entscheidet künftig mit, welche Geräte überhaupt beschafft und angeschlossen werden dürfen. Beschaffung wird zur Sicherheitsentscheidung. Nicht nur zur Preisfrage. Wer heute ausschreibt und die Herkunft der Geräte noch nicht als Kriterium führt, riskiert, dass ein Zuschlag von heute in einem Jahr zum Rückbau wird.
Der EU-Förderstopp ab dem 23. April 2026
Aus der Analyse ist eine erste harte Maßnahme geworden. Sie trifft nicht den privaten Dachbesitzer, sondern das große Geld: EU-finanzierte Energieprojekte. Wer öffentliche Mittel will, muss die Herkunft seiner Geräte offenlegen.
Betroffen sind Finanzierungen der Europäischen Investitionsbank und des Europäischen Investitionsfonds. Die Investitionsbank trug 2025 rund ein Fünftel der EU-Solarprojekte, überwiegend mit chinesischen Geräten. Neue Projekte sind sofort ausgeschlossen. Für laufende Projekte gelten Meldepflichten und, wo machbar, die Umrüstung. Fortgeschrittene Projekte können Übergangsausnahmen nutzen.
Finanzinstitute mussten ihre laufenden Projektpipelines Anfang Mai 2026 melden. Der Förderstopp ist damit auch eine Inventarisierungspflicht mit engem Zeitfenster, und er erfasst nur den geförderten Neubau, nicht die Bestandsflotte im Netz.
Warum das BSI die Steuerung über die Hersteller ablehnt
In Deutschland trifft die europäische Debatte auf eine konkrete technische Weichenstellung. Mit dem Solarspitzengesetz und der PV-Steuerbarkeit wurde die Steuerbarkeit kleiner Anlagen zur Pflicht. Die Frage ist nur, über welchen Weg diese Steuerung läuft, und da hat das BSI eine klare Meinung.
Das BSI sieht es sehr kritisch, eine netzdienliche Fernsteuerung von Wechselrichtern über die Hersteller zu realisieren. Damit bekäme ein Hersteller direkten Zugriff auf einen systemwichtigen Teil der Stromversorgung. Die zweite Sorge ist der Umweg: Selbst ohne Absicht des Herstellers könnten Schwachstellen im Produkt oder in der Hersteller-Cloud Dritten den Zugriff öffnen.
Die Empfehlung des BSI lautet, die Steuerung über das intelligente Messsystem mit Steuerbox nach Paragraf 14a EnWG lokal abzuwickeln. Der Steuerbefehl läuft dann über den Smart-Meter-Gateway, nicht über eine Cloud im Ausland. Der BDEW stützt diesen Weg und fordert einen wirtschaftlichen Rahmen, der die dezentrale Lösung trägt. Die Auseinandersetzung ist damit auch eine über die Architektur der Steuerung, nicht nur über die Herkunft der Geräte.
Zwei Rechtsrahmen auf einem Gerät
Ein Gerät, mehrere Regelwerke. Sie überschneiden sich, decken sich aber nicht. Wer nur eines im Blick hat, übersieht genau die Lücken dazwischen. Für die Architektur eines Versorgers zählt daher eine simple Frage: Welcher Rahmen verlangt was?
| Rahmen | Was er für den Wechselrichter regelt |
|---|---|
| NIS2 und BSI-Gesetz | Lieferketten-Risikomanagement und der Ordnungsrahmen für eine mögliche Anbieter-Liste |
| Cyber Resilience Act | Sicherheitseigenschaften und Zertifizierung des Produkts über den Lebenszyklus, inklusive Update-Pflichten |
| Anforderungen an Funkgeräte | gelten für die Kommunikationsmodule, Cybersicherheit wird zur Produkteigenschaft |
| Netzkodex Cybersicherheit | gestufte Betriebspflichten je nach Kritikalität eines Assets für die Netzstabilität |
Wer schon an OT-Security nach IEC 62443 gearbeitet hat, kennt diese Denkweise. Auch die Debatte um die Hochrisiko-KI in der Energie-Infrastruktur zeigt dasselbe Muster: mehrere Rahmen auf demselben System, jeder mit eigenem Nachweis. Die Datenfrage wiederum regelt der Data Act für Energieversorger und IoT-Hersteller.
Ein Nachweis nach einem Rahmen erfüllt nicht automatisch den anderen. Wer die Rahmen zusammen plant, spart Doppelarbeit, wer sie getrennt abarbeitet, sammelt Lücken.
Was Netzbetreiber und Versorger jetzt tun sollten
Der Aufbau beginnt nicht mit einem Verbot, sondern mit Sichtbarkeit. Ohne zu wissen, welche Geräte über welchen Kanal erreichbar sind, lässt sich keine der neuen Pflichten erfüllen. Der Rest folgt aus dieser Liste.
Fünf Schritte zur Abwehr
-
Geräte-Inventar erstellen
Erfasse jeden Wechselrichter und jeden Speicher im Netz nach Hersteller, Firmware, Kommunikationsmodul und Fernzugriffskanal. Kläre bei jedem Gerät, ob die Steuerung über die Hersteller-Cloud oder lokal läuft. Ohne diese Liste ist jede weitere Bewertung Stückwerk.
-
Fernzugriff bewerten
Markiere die Geräte, die aus der Ferne abgeschaltet oder in ihren Sollwerten verstellt werden können, und schätze die gebündelte Leistung je Hersteller. Der 10-Gigawatt-Maßstab ist die Messlatte für Systemrelevanz, nicht die einzelne Anlage.
-
Steuerarchitektur prüfen
Verlagere die netzdienliche Steuerung wo möglich auf den Smart-Meter-Gateway nach Paragraf 14a, statt sie über die Hersteller-Cloud laufen zu lassen. Das folgt der BSI-Empfehlung und schließt einen Zugriffsweg, den ihr sonst nicht kontrolliert.
-
Beschaffung an die Liste koppeln
Berücksichtige die künftige Hochrisiko-Herstellerliste und den Förderstopp bereits in laufenden Ausschreibungen. Herkunft und Update-Verantwortung gehören in die Vergabekriterien, nicht nur der Preis.
-
Rahmen zusammen planen
Nutze das vorhandene Asset-Inventar aus der NIS2-Umsetzung als Basis und ergänze die produkt- und funkbezogenen Nachweise aus Cyber Resilience Act und Netzkodex. Zwei getrennte Projekte kosten doppelt, ein gemeinsames spart die Hälfte.
Am Ende zählt nicht die Herkunft eines einzelnen Geräts. Es zählt die Summe der Zugriffswege, die aus dem eigenen Netz nach draußen führen. Wer diese Wege kennt und die kritischen davon lokal führt, hat den größten Teil des Risikos schon eingegrenzt. Aufwand? Ja. Aber er beginnt mit einer Liste, nicht mit einem Milliardenbudget.
Weiterführende Informationen
Häufig gestellte Fragen
Rund 80 Prozent der in Europa verbauten Wechselrichter kommen aus China, dominiert von Huawei und Sungrow. Wechselrichter sind internetverbundene Geräte, die zur Wartung und für Updates aus der Ferne erreichbar sind. Die EU-Sicherheitsdoktrin vom Dezember 2025 stuft diese Abhängigkeit als Hochrisiko ein und nennt vier Risiken: Lieferantenkonzentration, Cyber-Manipulation, Zugriff auf netzrelevante Betriebsdaten und die Unterwanderung der Lieferkette.
Im Januar 2026 hat die EU-Kommission im Rahmen einer Überarbeitung des Cybersecurity Act eine Liste von Hochrisiko-Herstellern vorgeschlagen. Ein Eintrag auf der Liste versperrt den Zugang zum EU-Markt. Das Modell folgt der freiwilligen 5G-Toolbox von 2020, mit der Mitgliedstaaten Huawei und ZTE aus kritischen Netzen ausschließen oder einschränken konnten.
Am 23. April 2026 hat die EU-Kommission entschieden, keine EU-Mittel mehr in Energieprojekte fließen zu lassen, die Wechselrichter aus vier Hochrisikoländern enthalten: China, Russland, Iran und Nordkorea. Betroffen sind Finanzierungen der Europäischen Investitionsbank und des Investitionsfonds. Neue Projekte sind sofort ausgeschlossen, laufende müssen gemeldet und wo möglich umgerüstet werden. Private Dachanlagen unter 30 Kilowatt bleiben unberührt.
Eine Risikoanalyse von SolarPower Europe und DNV aus dem April 2025 nennt etwa 10 Gigawatt zeitgleich geschalteter Leistung als Schwelle für eine großflächige Störung. Sieben Herstellergruppen steuern europaweit jeweils mehr als 10 Gigawatt. Weil Wechselrichter in Millisekunden-Regelkreisen mit dem Netz arbeiten, kann die zeitgleiche Manipulation ihrer Sollwerte Frequenz und Spannung schneller kippen, als Schutztechnik reagiert.
Das BSI sieht die netzdienliche Fernsteuerung von Wechselrichtern über die Hersteller sehr kritisch, weil ein Hersteller damit direkten Zugriff auf einen systemwichtigen Teil der Stromversorgung bekäme. Es empfiehlt, die Steuerung über das intelligente Messsystem mit Steuerbox nach Paragraf 14a EnWG lokal abzuwickeln, damit der Steuerbefehl über den Smart-Meter-Gateway läuft und nicht über eine Hersteller-Cloud im Ausland.
Der erste Schritt ist ein Geräte-Inventar nach Hersteller, Firmware, Kommunikationsmodul und Fernzugriffskanal. Darauf folgt die Bewertung des Fernzugriffs mit dem 10-Gigawatt-Maßstab, die Verlagerung der netzdienlichen Steuerung auf den Smart-Meter-Gateway, die Kopplung der Beschaffung an die künftige Hochrisiko-Liste und die gemeinsame Planung von NIS2, Cyber Resilience Act und dem Netzkodex Cybersicherheit.