Was auf dem Tisch liegt – und was noch nicht

Ein Bericht ist keine Verordnung. Das ist der erste Satz, den man zu dieser Meldung sagen muss. Eine Arbeitsgruppe für Cybersicherheit der Expertengruppe „Smart Energy" (SEEG) bei der EU-Kommission hat einen Bericht mit dem Titel „Recommendations to address cybersecurity risk in photovoltaic generation" vorgelegt. Darin empfiehlt sie, Komponenten und Software von Anbietern mit hohem Cyberrisiko einzuschränken — für private Dachanlagen genauso wie für große Parks.

Empfehlung heißt: es ist noch nicht entschieden. Parallel laufen zwei Gesetzgebungsverfahren, die daraus Regeln machen könnten: die geplante Revision des Cybersecurity Act (kurz CSA2) und der Industrial Accelerator Act (IAA), mit dem die EU zugleich die Anforderungen an „Made in EU" anheben will. Solange diese Verfahren laufen, ist der Bericht ein Signal für die Richtung — keine Rechtslage.

Und: es wird kein Land und kein Unternehmen genannt. Der Bericht beschreibt Risikoklassen, keine Adressenliste. Wer aus dieser Meldung einen Namen macht, hat sie nicht gelesen.

Drei Angriffsflächen, die der Bericht benennt

Der Bericht nennt drei Wege, über die ein Speicher- oder Wechselrichtersystem angreifbar wird:

1. Die Cloud-Plattform des Herstellers. Wer Monitoring und Steuerung über eine Herstellerwolke führt, gibt dieser Wolke eine Angriffsfläche — und dem Hersteller die Kontrolle über den Datenfluss.

2. Zurückgelassene Zugänge („Backdoors"), die staatlichen Stellen zugerechnet werden. Der Bericht spricht von Risiken durch staatliche Akteure, ohne sie einem Land zuzuordnen.

3. Der direkte Angriff auf große Anlagen über das lokale Netz. Also nicht über das Internet, sondern über das, was auf dem Werksgelände verkabelt ist.

Der interessanteste Punkt ist aber ein struktureller: die sogenannte „geteilte Betriebsarchitektur" — Monitoring liegt in der EU, die Firmware-Updates werden aber aus einer anderen Jurisdiktion gesteuert. Für den Betreiber sieht das nach europäischer Lösung aus; technisch liegt der Schalter woanders.

Warum das die Beschaffung verschiebt

Bisher wurde ein Speicher nach drei Dingen eingekauft: Kapazität, Leistung, Preis. Cybersicherheit war eine Zeile im Anhang, wenn überhaupt.

Wenn aus der Empfehlung eine Regel wird, kommt eine vierte Dimension dazu, die sich nicht in Datenblättern vergleichen lässt: Wer kann Software auf das Gerät spielen? Von wo aus? Und was passiert, wenn diese Verbindung gekappt wird — läuft das Gerät dann weiter?

Das trifft den Mietpark doppelt. Erstens, weil Flotten heute über Portalsoftware überwacht werden: fällt die Herstellerwolke weg, fällt die Sicht auf die Flotte weg. Zweitens, weil Geräte fünf bis acht Jahre im Bestand bleiben — ein Zertifikat, das beim Kauf gepasst hat, muss das in Jahr fünf noch tun.

Vier Fragen, die jetzt in die Ausschreibung gehören

Diese vier Punkte sind unabhängig davon nützlich, ob CSA2 kommt. Sie kosten nichts außer einer E-Mail:

1. Wo liegt die Update-Kette? Wer signiert die Firmware, und aus welcher Jurisdiktion wird sie ausgeliefert?

2. Was läuft ohne Cloud weiter? Kann das Gerät im Inselbetrieb laden und entladen, wenn die Herstellerverbindung getrennt ist?

3. Welche Rolle spielt die Fernwartung? Ist sie optional, abschaltbar, oder Voraussetzung für den Betrieb?

4. Welche Nachweise gibt es schwarz auf weiß? Nicht „wir sind sicher", sondern Prüfbericht, Norm, Datum.

Der letzte Punkt ist der wichtigste — und der, an dem die meisten Angebote dünn werden. Eine Aussage über Sicherheit ohne Dokument ist eine Meinung.

Woher die Angaben kommen

Grundlage dieses Textes ist die Berichterstattung über den SEEG-Bericht: mvapulse.com – „EU Expert Group Proposes Curbs on High-Risk Solar Suppliers" (9. Oktober 2026), in der die Empfehlungen, die drei Risikovektoren und die Zusammensetzung der Arbeitsgruppe wiedergegeben werden. Ergänzend die Meldung pv-magazine.de – „Beschränkungen auch bei Batteriezellen drohen" (26. Oktober 2026) zu CSA2, IAA und den „Made in EU"-Anforderungen.

Zur Einordnung: Der Bericht ist eine Empfehlung an die Kommission, kein geltendes Recht; die beiden genannten Gesetzgebungsverfahren sind nicht abgeschlossen. Die genannten Angriffsflächen sind die des Berichts, nicht unsere Bewertung einzelner Anbieter. Die Zahl von 86 GW (2015) auf 406 GW (2025) installierter PV-Leistung in der EU stammt aus derselben Berichterstattung und ist dort nicht weiter aufgeschlüsselt. Dieser Text bewertet keine Hersteller und keine Herkunftsländer.