IT-Sicherheit von Erzeugungsanlagen: Hinweise für Betreiber
Die ENWG Energienetze Weimar GmbH & Co. KG (ENWG) informiert Betreiber von Erzeugungsanlagen vorsorglich über aktuelle Hinweise zur IT-Sicherheit von Photovoltaik-Anlagen und vergleichbaren Einspeiseanlagen.
Warum informieren wir?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat gemeinsam mit dem Bundesamt für Verfassungsschutz auf mögliche Risiken bei schlecht geschützten Photovoltaik-Anlagen hingewiesen. Nach den dort vorliegenden Erkenntnissen werden insbesondere Anlagen betrachtet, die ungeschützt mit dem Internet verbunden sind. Im Fokus stehen dabei Monitoring-Systeme, die teilweise auch einen steuernden Zugriff auf die Anlage ermöglichen.
Die ENWG nimmt diesen Hinweis zum Anlass, Betreiber von Erzeugungsanlagen im Netzgebiet vorsorglich zu sensibilisieren. Ziel ist es, mögliche Risiken frühzeitig zu erkennen und geeignete Schutzmaßnahmen durch fachkundige Stellen prüfen zu lassen.
Was kann betroffen sein?
Moderne Erzeugungsanlagen verfügen häufig über digitale Komponenten. Dazu gehören zum Beispiel:
- Wechselrichter
- Kommunikationsmodule
- Monitoring-Systeme
- Fernwartungszugänge
- Router oder Netzwerktechnik
- Anbindungen an Herstellerportale oder Cloud-Dienste
Wenn solche Komponenten direkt aus dem Internet erreichbar oder nicht ausreichend geschützt sind, können unbefugte Dritte versuchen, darauf zuzugreifen. Das kann den sicheren Betrieb der jeweiligen Anlage beeinträchtigen. Bei einer größeren Anzahl betroffener Anlagen können auch Auswirkungen auf den sicheren Netzbetrieb nicht vollständig ausgeschlossen werden.
Was sollten Betreiber prüfen lassen?
Bitte lassen Sie insbesondere folgende Punkte durch Ihren Installateur, Wartungsbetrieb oder einen geeigneten IT-Dienstleister prüfen:
- Ist Ihre Anlage oder deren Steuerung direkt aus dem Internet erreichbar?
- Werden Fernzugriffe ausschließlich über sichere Verfahren, zum Beispiel VPN, genutzt?
- Sind Portfreigaben oder Portweiterleitungen im Router eingerichtet und sind diese wirklich erforderlich?
- Sind voreingestellte oder einfache Passwörter geändert worden?
- Werden starke Passwörter und, soweit möglich, eine Mehr-Faktor-Authentifizierung verwendet?
- Sind Wechselrichter, Steuerung, Kommunikationsgeräte und zugehörige Software auf einem aktuellen Stand?
- Ist bekannt, welche Cloud- oder Fernwartungsdienste für Ihre Anlage genutzt werden und ob diese für den Betrieb erforderlich sind?
- Sind vorhandene Sicherheitsfunktionen der Geräte aktiviert und sinnvoll konfiguriert?
Das BSI stellt verständliche Hinweise zur Erstellung sicherer Passwörter und zum sicheren Umgang mit Passwörtern bereit. Diese können Ihnen oder Ihrem Fachbetrieb bei der Prüfung der Zugangsdaten helfen.
Was empfiehlt das BSI grundsätzlich?
Das BSI empfiehlt Betreibern insbesondere zu prüfen, ob Anlagen aus dem Internet erreichbar sind. Eine direkte Erreichbarkeit aus dem Internet sollte wirksam unterbunden werden. Wenn ein Zugriff von außen erforderlich ist, sollte dieser mindestens über eine sichere VPN-Verbindung erfolgen. Portweiterleitungen im Router sollten nicht verwendet werden.
Außerdem empfiehlt das BSI, sichere Passwörter zu verwenden, Softwarestände regelmäßig zu prüfen und sicherheitsrelevante Updates zeitnah einzuspielen. Auch Verbindungen zu Hersteller-Clouds oder Fernwartungsdiensten sollten daraufhin geprüft werden, ob sie für den Betrieb tatsächlich erforderlich sind.
Was leistet die ENWG?
Dieses Informationsangebot dient der allgemeinen Sensibilisierung und Unterstützung von Anlagenbetreibern im Netzgebiet der ENWG.
Eine technische Prüfung, Bewertung oder Umsetzung von Maßnahmen an Kundenanlagen kann durch die ENWG nicht erfolgen. Bitte wenden Sie sich hierfür an Ihren Installateur, Wartungsbetrieb oder einen geeigneten IT-Dienstleister.
Weiterführende Informationen
Den zugrunde liegenden Hinweis des Bundesamtes für Sicherheit in der Informationstechnik stellen wir Ihnen nachfolgend zur Verfügung:
BSI-Hinweis herunterladen: Auskundschaftung schlecht geschützter PV-Anlagen durch staatliche Cyberakteure
Bitte beachten Sie: Die Hinweise ersetzen keine individuelle technische Prüfung Ihrer Anlage.