🇩🇪 Dieser Beitrag betrifft Deutschland. In Österreich und der Schweiz gelten andere Gesetze (NISG 2024 bzw. ISG/nDSG).
PV-Anlagen Cybersicherheit: Staatliche Angreifer im Visier
Russische Cyberakteure kundschaften gezielt ungeschützte Photovoltaikanlagen in Deutschland aus – das ist keine abstrakte Bedrohung mehr, sondern eine aktuelle Warnung von BfV und BSI vom Juni 2026. Was bedeutet das konkret für Krankenhäuser und Kliniken, die zunehmend eigene PV-Anlagen auf ihren Dächern betreiben? Der folgende Artikel ordnet den Sicherheitshinweis ein, benennt die technischen Risiken und zeigt, welche Maßnahmen ISBs und IT-Leitungen jetzt prüfen sollten.
Hintergrund: Was BfV und BSI gewarnt haben
Am 3. Juni 2026 veröffentlichten das Bundesamt für Verfassungsschutz (BfV) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam einen Sicherheitshinweis der Kritikalitätsstufe 1 – der höchsten Warnstufe. Der Befund ist eindeutig: Russische staatliche Cyberbedrohungsakteure führen aktiv Aufklärungsoperationen gegen Photovoltaikanlagen durch, die ungeschützt über das Internet erreichbar sind.
Im Fokus stehen dabei insbesondere Monitoring-Systeme mit steuerndem Zugriff – also Komponenten, über die ein Angreifer nicht nur Daten lesen, sondern aktiv in den Betrieb der Anlage eingreifen kann. Die Behörden stellen fest, dass bei einem Teil der identifizierten Anlagen ein unbefugter Zugriff ohne Zugangsdaten möglich ist. Hinzu kommen veraltete Softwarestände mit bekannten, ungepatchten Schwachstellen.
Primäre Zielgruppe der Angreifer sind laut BSI und BfV derzeit Privatpersonen und Genossenschaften ohne energiewirtschaftlichen Hintergrund. Das klingt zunächst nach einer Entwarnung für den Krankenhaussektor – ist es aber nicht. Denn Krankenhäuser betreiben PV-Anlagen typischerweise mit genau dem gleichen Typen von Wechselrichtern, Monitoring-Gateways und Fernzugriffsportalen, die im Fokus der Angreifer stehen. Und sie sind dabei häufig nicht besser geschützt als die explizit genannten Zielgruppen.
Warum Krankenhäuser ein attraktives Ziel sind
Auf den ersten Blick erscheint eine PV-Anlage auf dem Klinikdach als Randthema der Informationssicherheit. Die Realität zeigt ein anderes Bild.
Energieversorgung als kritische Ressource: Krankenhäuser sind auf eine stabile Energieversorgung angewiesen. Operationssäle, Intensivstationen, medizinische Geräte – all das erfordert unterbrechungsfreien Strom. Eine PV-Anlage mit Netzeinspeisung oder Batteriespeicher ist in modernen Klinikgebäuden zunehmend ein integraler Bestandteil des Energiekonzepts, nicht nur ein ökologisches Beiwerk.
Netzwerkkopplung als Einfallstor: Monitoring-Systeme von Wechselrichtern sind häufig über handelsübliche Heimrouter oder schlecht konfigurierte Gateways mit dem Internet verbunden. In Krankenhäusern besteht zusätzlich das Risiko, dass diese Systeme – mangels durchgehender Netzwerksegmentierung – nicht sauber vom klinischen Netz getrennt sind. Ein kompromittierter Wechselrichter-Controller, der im selben VLAN hängt wie ein Pflegeterminal, ist ein reales Szenario.
Staatliche Angreifer haben langfristige Ziele: Die aktuelle Aufklärungsaktivität ist nach Einschätzung von BfV und BSI nicht spontan, sondern strategisch. Staatliche Akteure kartieren Infrastrukturen, bevor sie handeln. Ein Krankenhaus, das heute ausgekundschaftet wird, kann morgen Ziel eines koordinierten Angriffs sein – im Kontext einer geopolitischen Eskalation, eines gezielten Sabotageakts oder als Teil eines breiteren Kampagnenmusters gegen kritische Infrastrukturen.
Regulatorische Einordnung: Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr gelten seit dem BSIG in der Fassung des NIS2UmsuCG als KRITIS-Betreiber. Für sie gelten die Anforderungen aus §30 BSIG (technisch-organisatorische Maßnahmen) und §32 BSIG (Meldepflichten). Darüber hinaus greift seit Oktober 2024 für alle Krankenhäuser in Deutschland §391 SGB V, der unabhängig von der KRITIS-Schwelle einen verbindlichen Mindeststandard für IT-Sicherheit vorschreibt. PV-Anlagen, die mit dem Krankenhausnetz verbunden sind, fallen potenziell in den Geltungsbereich dieser Anforderungen – sofern sie als Teil der informationsverarbeitenden Infrastruktur einzustufen sind.
Technisches Risikobild: Was Angreifer konkret ausnutzen
Das BSI beschreibt im Sicherheitshinweis drei technische Hauptprobleme, die sich auch in Krankenhausumgebungen regelmäßig beobachten lassen:
1. Zugriff ohne Authentifizierung Viele Monitoring-Portale für Wechselrichter und PV-Systeme sind mit Werkspasswörtern oder ohne jede Zugangsabsicherung direkt aus dem Internet erreichbar. Anbieter wie SolarEdge, Fronius, Huawei FusionSolar oder SMA haben in der Vergangenheit teils schwerwiegende Authentifizierungslücken in ihren Cloud-Portalen und lokalen Schnittstellen gehabt. Wer die IP-Adresse oder den Hostnamen kennt, kommt unter Umständen direkt ins System.
2. Veraltete Firmware und ungepatchte Softwarestände Wechselrichter und deren Kommunikationsmodule erhalten im Betrieb kaum Updates. Die Geräte laufen teils jahrelang mit der Firmware, die bei der Inbetriebnahme installiert wurde. Das ist strukturell vergleichbar mit dem Patchingproblem bei medizintechnischen Geräten – ein seit Jahren bekanntes Risiko im Krankenhaus-ISMS, das sich nun auf die Gebäudetechnik ausweitet.
3. Steuernder Zugriff über Monitoring-Schnittstellen Besonders kritisch: Systeme, die ursprünglich zur Überwachung konzipiert wurden, ermöglichen häufig auch Steuerungsfunktionen – etwa das Abschalten von Wechselrichtern, die Änderung von Einspeiseparametern oder den Zugriff auf Batteriespeicher-Management. Ein Angreifer mit Zugriff auf solche Schnittstellen kann Energieflüsse manipulieren, im Extremfall den Eigenverbrauch unterbrechen oder Netzrückwirkungen erzeugen.
Sofortmaßnahmen für ISBs und IT-Leitungen
Die folgende Checkliste orientiert sich an den Empfehlungen des BSI sowie an den Anforderungen des BSI IT-Grundschutzes (insbesondere Baustein IND.1 für industrielle IT) und der B3S-Anforderungen für Krankenhäuser:
Bestandsaufnahme (kurzfristig, innerhalb von 2 Wochen): - [ ] Inventarisierung aller PV-Anlagen, Wechselrichter, Monitoring-Gateways und Batteriespeichersysteme auf dem Klinikgelände - [ ] Klärung der Netzanbindung: Über welches Netzwerksegment sind die Systeme erreichbar? Sind sie vom klinischen Netz getrennt? - [ ] Prüfung auf direkte Internetexposition: Sind Verwaltungsoberflächen aus dem Internet erreichbar (Shodan-Scan, Portscans)? - [ ] Dokumentation der verwendeten Firmware-Versionen und Abgleich mit bekannten CVEs (BSI-Schwachstellendatenbank, NVD)
Technische Härtung (mittelfristig, innerhalb von 4-6 Wochen): - [ ] Deaktivierung aller nicht benötigten Fernzugriffsfunktionen - [ ] Änderung aller Standardpasswörter, Einführung starker Zugangsdaten - [ ] Implementierung von MFA für administrative Zugriffe auf Monitoring-Portale (sofern technisch unterstützt) - [ ] Netzwerksegmentierung: PV- und Gebäudetechniksysteme in separates VLAN isolieren, Firewall-Regeln restriktiv definieren - [ ] Firmware-Updates einspielen, soweit verfügbar; Hersteller kontaktieren, wenn Updates fehlen - [ ] Logging aktivieren und Logs in vorhandenes SIEM integrieren (Anomalieerkennung für ungewöhnliche Zugriffe)
Organisatorische Maßnahmen (mittelfristig): - [ ] Verantwortlichkeit im ISMS zuweisen: Wer ist für OT/Gebäudetechnik-Sicherheit zuständig? - [ ] Dienstleister und Wartungsunternehmen prüfen: Haben externe Anbieter Fernzugriff? Unter welchen Bedingungen? - [ ] Aufnahme von PV-/Gebäudetechnik in die Business Impact Analyse (BIA) und Notfallplanung - [ ] Sensibilisierung der Facility-Management-Abteilung für Cybersicherheitsanforderungen
Einordnung in das ISMS: Scope-Erweiterung auf OT und Gebäudetechnik
Der BSI-Sicherheitshinweis ist ein konkreter Anlass, den ISMS-Scope kritisch zu überprüfen. In vielen Krankenhäusern umfasst das ISMS primär die klassische IT – Server, Clients, Netzwerk, Anwendungen. Gebäudetechnik, Energieversorgung und OT-Systeme werden häufig separat – oder gar nicht – behandelt.
Das ist aus mehreren Gründen problematisch:
ISO 27001 / ISO 27799: Die Norm fordert eine vollständige Erfassung aller informationsverarbeitenden Assets im Scope. PV-Monitoring-Systeme, die mit dem Netz verbunden sind und potenziell Steuerungsfunktionen ermöglichen, sind informationsverarbeitende Systeme. Sie gehören in das Asset-Inventar und in die Risikoanalyse.
B3S Krankenhaus: Der Branchenstandard adressiert die Sicherheit der Kernprozesse. Energieversorgung ist ein Supportprozess mit unmittelbarer Auswirkung auf die Patientenversorgung. Risiken für die Energieversorgung – auch durch Cyberangriffe auf angeschlossene OT-Systeme – müssen in der Risikobeurteilung berücksichtigt werden.
§30 BSIG / §391 SGB V: Beide Normen fordern angemessene technische und organisatorische Maßnahmen zum Schutz der eingesetzten IT. Die Ausweitung auf OT-nahe Systeme ist regulatorisch geboten, auch wenn explizite OT-Anforderungen im Gesundheitssektor noch weniger ausgefeilt sind als im Energiesektor (vgl. KRITIS-Dachgesetz, das seit 2025 auch physische Resilienz adressiert).
Praktisch bedeutet das: ISBs sollten die aktuelle Warnung zum Anlass nehmen, einen strukturierten OT-Sicherheitscheck in ihr nächstes internes Audit aufzunehmen. Ein erster Schritt kann eine Scoping-Diskussion mit der IT-Leitung, dem Facility Management und ggf. dem Energiebeauftragten sein.
Was Krankenhäuser von der Energiewirtschaft lernen können
Im Energiesektor – dem KRITIS-Sektor mit dem wohl ausgereiftesten OT-Sicherheitsrahmen in Deutschland – ist die Absicherung von Steuerungssystemen seit Jahren regulatorisch verankert. Der IT-Sicherheitskatalog der Bundesnetzagentur (§11 Abs. 1a EnWG) sowie die einschlägigen BSI-Anforderungen für Energieversorger definieren konkrete Anforderungen an Netzwerksegmentierung, Patch-Management und Monitoring für OT-Systeme.
Krankenhäuser, die nun unfreiwillig in den Fokus ähnlicher Bedrohungsakteure geraten, können von diesen Erfahrungen profitieren. Konkret empfehlenswert ist ein Blick auf:
- BSI ICS Security Compendium: Grundlegende Empfehlungen für die Absicherung industrieller Steuerungssysteme, übertragbar auf Gebäudeautomation und PV-Systeme
- VDE-AR-N 4105: Technische Mindestanforderungen für die Anbindung von Erzeugungsanlagen – enthält auch Hinweise auf Kommunikationsschnittstellen
- BSI IT-Grundschutz Baustein SYS.6.2 (IoT-Geräte) und IND.1 (Prozessleit- und Automatisierungstechnik): Relevante Bausteine für die Absicherung von Wechselrichtern und Monitoring-Gateways
Fazit: PV-Anlagen Cybersicherheit ist kein Randthema mehr
Die gemeinsame Warnung von BfV und BSI zur PV-Anlagen Cybersicherheit ist ein deutliches Signal: Staatliche Angreifer erschließen sich neue Angriffsflächen in der Energieinfrastruktur, und Krankenhäuser sind – trotz des Fokus der aktuellen Warnung auf Privatpersonen – keine Ausnahme. Die Kombination aus direkter Internetexposition, veralteter Firmware und fehlender Netzwerksegmentierung schafft ein Risikoprofil, das im Krankenhauskontext nicht tolerierbar ist.
ISBs und IT-Leitungen sollten die aktuelle Warnung als konkreten Handlungsauftrag verstehen: Bestandsaufnahme jetzt, technische Härtung zeitnah, Integration in das ISMS strukturiert. Die regulatorischen Anforderungen aus §391 SGB V, BSIG und B3