BSI rät kleinen Anlagenbetreibern: Steuerungen raus aus dem offenen Internet
Serguey Asael Shinder1 Min. LesezeitDas Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Empfehlungen zur Absicherung industrieller Steuerungssysteme veröffentlicht, die aus dem Internet erreichbar sind; pv magazine hat am 16. Oktober darüber berichtet. Das Papier (BSI-CS 154, erschienen über die Allianz für Cyber-Sicherheit) richtet sich an Betreiber kleiner und kleinster Anlagen: Wasserkraftwerke, Windparks, Müllverbrennungsanlagen und PV-Anlagen jeder Größe.
Die zentrale Forderung. Kern der Empfehlung ist, dass Anlagensteuerungen nicht direkt aus dem Internet erreichbar sein sollen. Für eine PV-Anlage zählt pv magazine auf, was darunter fällt: Industriesteuerungen, Kommunikationstechnik, Monitoring-Gateways, Wechselrichter, SCADA-Systeme und Plattformen zur Fernüberwachung. Systeme, die über öffentliche Netze erreichbar sind, seien unbefugten Anmeldeversuchen, dem Ausnutzen bekannter Schwachstellen und der Manipulation von Betriebsparametern ausgesetzt; ein Vorfall in der Betriebstechnik könne die Steuerung der Anlage selbst stören und nicht nur Überwachungsdaten kosten.
Was den direkten Zugang ersetzen soll. Fernzugriffe sollen über verschlüsselte VPN-Verbindungen mit Mehr-Faktor-Authentisierung laufen, damit ein gestohlenes oder schwaches Passwort allein nicht reicht. Der Bericht fügt hinzu, dass diese Maßnahmen das Risiko senken, aber nicht beseitigen.
Updates und Bestandsaufnahme. Betreiber sollen Sicherheitsupdates zügig einspielen, auf Leitsystemen ebenso wie auf angebundenen Feldgeräten – Router, Firewalls, Steuerungen, Wechselrichter und Kommunikations-Gateways –, weil ungepatchte Geräte für Lücken offen bleiben, für die es längst Korrekturen gibt. Außerdem sollen sie regelmäßig prüfen, welche Geräte aus dem Internet erreichbar sind, ein Verzeichnis der vernetzten Komponenten und ihrer Schnittstellen führen und sicherstellen, dass Fernzugänge nicht unnötig offenstehen; werden exponierte Systeme gefunden, sind Gegenmaßnahmen zu ergreifen.
Was das für PV-Betreiber heißt. Für Solaranlagen hebt der Bericht die Trennung von Büro- und Betriebsnetz hervor, Fernzugriff nur für berechtigtes Personal und Dienstleister sowie feste Abläufe für Updates und Sicherheitsprüfungen im laufenden Betrieb. Das BSI-Papier ist eine Empfehlung, keine verbindliche Vorschrift; eine Frist oder Durchsetzung nennt pv magazine nicht.
Quelle: pv magazine — https://www.pv-magazine.com/2026/10/16/germany-recommends-eliminating-direct-internet-access-to-pv-plant-control-systems/ ; BSI-CS 154: https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_154.html