Sicherheitsforscher der Firma Jakkaru haben eine kritische Schwachstelle in der iSolarCloud-Plattform von Sungrow aufgedeckt. Über die Plattform werden weltweit zahlreiche PV-Anlagen, Wechselrichter und Batteriespeicher des Herstellers überwacht und gesteuert. Die Entdeckung ermöglichte es Angreifern, ohne gültiges Passwort auf Benutzerkonten und administrative Zugänge zuzugreifen, wodurch eine Fernsteuerung der angeschlossenen Energiesysteme möglich war.
Technischer Ablauf und Auswirkungen
Die Sicherheitslücke bestand in der Authentifizierungsprüfung des Anmeldevorgangs. Angreifer konnten durch die gezielte Manipulation der Anfrage an den Server die Passwortprüfung umgehen, sodass die E-Mail-Adresse allein für den Zugriff ausreichte. Die Einstufung der Schwachstelle mit der Kennung CVE-2026-107194 in der US-Schwachstellendatenbank NVD unterstreicht die Schwere des Vorfalls: Mit einem Score von 9,2 gilt das Leck als kritisch. Ein kompromittierter Administratorenzugang hätte es erlaubt, Anlagen zu konfigurieren, zu starten, zu stoppen oder gar eine manipulierte Firmware aufzuspielen. Da Sungrow als einer der größten Hersteller im Bereich Wechselrichter und Speicher gilt, war die potenzielle Reichweite des Angriffs erheblich und betraf laut Sicherheitsforschern neben privaten Nutzern auch Konten großer Solaranbieter.
Sicherheitsmaßnahmen und Betroffeneninformation
Der Fehler lag zentral in der Software der Cloud-Plattform und wurde laut Berichten innerhalb eines Tages nach der Meldung durch Sungrow behoben. Eine manuelle Handlung seitens der Anlagenbetreiber war für die Schließung der Lücke nicht erforderlich. Es liegen bisher keine Erkenntnisse darüber vor, dass die Sicherheitslücke vor ihrer Entdeckung durch die Forscher aktiv missbraucht wurde. Dennoch verdeutlicht der Fall die Abhängigkeit vernetzter Solaranlagen von der Sicherheit zentraler Cloud-Infrastrukturen.
Empfehlungen für Betreiber
Experten raten Anlagenbetreibern dazu, Sicherheitsstandards wie die Verwendung individueller, komplexer Passwörter sowie das Einspielen aktueller Firmware-Updates konsequent umzusetzen. Zudem sollte bei Unsicherheiten über die Netzwerkanbindung geprüft werden, welche Funktionen der Anlage bei einer physischen Trennung vom Internet weiterhin uneingeschränkt nutzbar bleiben. Auch wenn im konkreten Fall keine unmittelbare Gefahr mehr besteht, zeigt der Vorfall, dass die Cybersicherheit bei modernen PV-Systemen ein wesentlicher Aspekt für den zuverlässigen Betrieb ist.