Cyber- und IT-Sicherheit von Gewerbe-Batteriespeichern

5.877 neue Gewerbespeicher 2025: die wachsende Angriffsfläche

Der deutsche Speichermarkt wächst rasant: 2025 wurden laut Bundesverband Solarwirtschaft 5.877 Gewerbespeicher neu registriert, im Median 62 Kilowattstunden und 29 Kilowatt je System; der Gesamtbestand aller Batteriespeicher liegt bei gut über 25 Gigawattstunden. Nahezu jede dieser Anlagen ist vernetzt — über ein Energiemanagementsystem (EMS), ein Batteriemanagementsystem (BMS), den Wechselrichter, eine Fernwartungsschnittstelle und häufig eine Cloud-Anbindung des Herstellers. Genau diese Konnektivität, die Direktvermarktung und Fernoptimierung erst ermöglicht, vergrößert die Angriffsfläche.

Der BSI-Lagebericht 2025 zeigt, wie real die Bedrohung ist: Die gemeldeten Angriffe auf den Energiesektor stiegen um 31 Prozent auf 89 Vorfälle — der stärkste Zuwachs aller Sektoren. Täglich werden im Schnitt 119 neue Schwachstellen bekannt, und 48 Prozent der Betreiber Kritischer Infrastrukturen verfügen laut BSI über kein System zur Angriffserkennung. Deutschland war 2025 zudem das viertmeist von APT-Gruppen angegriffene Land, deren Ziel im Energiesektor Spionage und Sabotage ist.

Für einen Gewerbespeicher bedeutet das: Jede offene Schnittstelle ist ein potenzielles Einfallstor. Der Wechselrichter hängt am öffentlichen Netz und am Internet zugleich; das EMS steuert Lade- und Entladezyklen; die Fernwartung erlaubt Zugriff bis auf Firmware-Ebene; die Cloud aggregiert Betriebsdaten und kann Steuerbefehle zurücksenden. Wird eine dieser Ebenen kompromittiert, drohen nicht nur Datenabfluss, sondern manipulierte Lastgänge, außerplanmäßige Entladung oder ein Anlagenausfall. Betreiber sollten die IT-Sicherheit ihres Gewerbespeichers daher nicht als IT-Randthema, sondern als Teil der Betriebssicherheit begreifen — mit denselben Sorgfaltspflichten wie beim Brand- oder Arbeitsschutz.

Reale Angriffsvektoren: Rogue-Module und ferngesteuerte Abschaltung 2025

Dass die Gefahr nicht theoretisch ist, zeigte 2025 ein international beachteter Fund: In chinesischen Wechselrichtern und Batteriemodulen entdeckten Sicherheitsexperten laut Reuters undokumentierte Kommunikationskomponenten, darunter versteckte Mobilfunkmodule. Diese schaffen zusätzliche, nicht dokumentierte Kommunikationskanäle, über die sich Firewalls aus der Ferne umgehen lassen. Bereits im November zuvor wurden Wechselrichter in den USA und anderen Ländern aus China ferngesteuert abgeschaltet — ein Beleg dafür, wie ein Hersteller- oder Lieferantenzugang zum Kontrollpunkt über fremde Anlagen werden kann.

Für Gewerbespeicher lassen sich daraus mehrere reale Angriffsvektoren ableiten. Erstens der Wechselrichter selbst: Als Bindeglied zwischen Speicher und öffentlichem Netz ist er dauerhaft online und damit direkt adressierbar. Zweitens die Fernwartung: Schlecht gesicherte VPN- oder Portalzugänge erlauben Angreifern denselben Zugriff wie dem Servicetechniker — inklusive Firmware-Updates. Drittens die Cloud-Anbindung: Wird das Herstellerportal oder ein Zulieferer kompromittiert (Supply-Chain-Angriff), sind potenziell alle angebundenen Anlagen betroffen. Viertens veraltete Firmware mit bekannten, nicht gepatchten Schwachstellen.

Regulatorisch reagiert die EU unter anderem über die Funkanlagenrichtlinie: Die Delegierte Verordnung (EU) 2022/30 macht seit dem 1. August 2025 Cybersicherheit zur Pflicht für funkfähige Geräte, gestützt auf die zum selben Datum harmonisierte Normreihe EN 18031-1/-2/-3 (harmonisiert per Durchführungsbeschluss (EU) 2025/138 vom 30. Januar 2025, Artikel 3 Absatz 3 Buchstaben d, e und f der Funkanlagenrichtlinie). Die bekanntere Consumer-IoT-Basisnorm ETSI EN 303 645 hat die EN 18031 inhaltlich informiert, ist aber selbst nicht der maßgebliche RED-Standard. Die Verordnung adressiert genau die drahtlosen Schnittstellen, über die viele Speicher und deren Komponenten kommunizieren. Wichtig bleibt die nüchterne Einordnung: Nicht jeder Speicher ist eine Zeitbombe, und pauschale Herkunftsurteile helfen nicht weiter. Entscheidend ist, welche Kommunikationswege eine Anlage tatsächlich nutzt, wer darauf Zugriff hat und ob dieser Zugriff kontrolliert, protokolliert und abschaltbar ist.

NIS2 seit Dezember 2025: rund 29.500 Unternehmen in der Pflicht

Der wichtigste regulatorische Hebel ist die NIS2-Richtlinie. Das deutsche NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025; die Registrierungsfrist beim BSI endete am 6. März 2026. Der Kreis der betroffenen Unternehmen wächst dadurch von rund 4.500 auf etwa 29.500. Maßgeblich sind Größenschwellen: Als wichtige Einrichtung gelten Unternehmen ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz, als besonders wichtige Einrichtung solche ab 250 Beschäftigten oder über 50 Millionen Euro Umsatz bei mehr als 43 Millionen Euro Bilanzsumme. Der Sektor Energie zählt zu den erfassten Bereichen. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Viele mittelständische Speicherbetreiber liegen unterhalb dieser Schwellen und sind nicht unmittelbar NIS2-pflichtig. Zwei Wege führen dennoch zur Betroffenheit: Wer als Zulieferer oder Dienstleister in der Lieferkette eines regulierten Unternehmens steht, muss dessen vertragliche Sicherheitsanforderungen erfüllen. Und wer eine Anlage betreibt, die nach der BSI-Kritisverordnung als Kritische Infrastruktur eingestuft ist, unterliegt ohnehin strengeren Regeln.

Für Energieanlagen greift zusätzlich der IT-Sicherheitskatalog nach § 11 EnWG. Er gilt seit 2018 für KRITIS-Betreiber, die an ein Energieversorgungsnetz angeschlossen sind — ausdrücklich einschließlich Anlagen zur Speicherung elektrischer Energie. Verlangt wird ein zertifiziertes Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 in Verbindung mit der branchenspezifischen ISO/IEC 27019, nachzuweisen gegenüber der Bundesnetzagentur. Mit dem NIS2-Umsetzungsgesetz wird der EnWG-Rahmen angepasst; bis zur Veröffentlichung eines neuen Katalogs gelten laut Bundesnetzagentur die bestehenden Kataloge fort. Betreiber sollten früh prüfen, in welche Kategorie ihre Anlage fällt.

IEC 62443 und IEC 62351: vier Security Level als Baukasten

Für die technische Umsetzung existieren etablierte Normen. Zentral ist die IEC 62443 für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme. Sie definiert vier Security Level (SL 1 bis SL 4): SL 1 schützt vor zufälligen Verstößen, SL 4 vor gezielten Angriffen staatlicher Akteure mit erheblichen Ressourcen. Kernkonzept sind Zonen und Conduits: Anlagenteile mit gleichem Schutzbedarf werden zu Zonen gruppiert, die Kommunikation zwischen ihnen läuft nur über definierte, abgesicherte Conduits. So bleibt eine Schwachstelle auf eine Zone begrenzt und breitet sich nicht auf den ganzen Speicher aus. Für die OT-Fernwartung fordert die Norm eindeutige Identifikation, Mehr-Faktor-Authentifizierung über nicht vertrauenswürdige Netze, verschlüsselte Kanäle und automatisches Beenden inaktiver Sitzungen; der BSI IT-Grundschutz konkretisiert dies im Baustein IND.3.2.

Speziell für die Kommunikationsprotokolle der Energietechnik greift die IEC 62351. Sie sichert die Protokollfamilie der IEC TC57 — etwa IEC 61850 und IEC 60870-5-104. Teil 3 definiert TLS-Verschlüsselung, die Teile 4 und 5 gegenseitige Authentifizierung per X.509-Zertifikaten, Teil 8 eine rollenbasierte Zugriffskontrolle (RBAC) und Teil 9 das Management der Zertifikate und Schlüssel. Damit lassen sich Abhören, Manipulation und Spoofing von Steuerbefehlen wirksam erschweren.

Hinzu kommt der EU Cyber Resilience Act (CRA). Ab dem 11. Dezember 2027 dürfen vernetzte Produkte nur noch auf den EU-Markt, wenn sie dessen Sicherheitsanforderungen erfüllen; erste Meldepflichten für Schwachstellen greifen bereits ab September 2026. Weil sich viele CRA-Vorgaben mit der IEC 62443 decken, wird diese zu einer harmonisierten europäischen Norm ausgebaut. Für Betreiber heißt das: Wählen Sie bei Neubeschaffung Produkte, die auf diese Normen ausgelegt sind.

Sieben Schutzmaßnahmen: von Netzsegmentierung bis Lieferantenprüfung

Aus Normen und Bedrohungslage lassen sich konkrete Maßnahmen ableiten. Erstens die OT-IT-Trennung: Trennen Sie das Steuernetz des Speichers (EMS, BMS, Wechselrichter) strikt vom Büro- und Gästenetz und setzen Sie die Zonen-und-Conduit-Logik der IEC 62443 um. Kein Steuersystem gehört ins offene Internet. Zweitens sichere Fernwartung: Ersetzen Sie dauerhaft offene Portzugänge durch einen verschlüsselten VPN-Zugang mit Mehr-Faktor-Authentifizierung; Fernwartungszugänge sollten nur bei Bedarf freigeschaltet, protokolliert und nach der Sitzung wieder geschlossen werden.

Drittens Patch- und Update-Management: Halten Sie die Firmware von Wechselrichter, EMS und Gateways aktuell, denn täglich werden laut BSI rund 119 neue Schwachstellen bekannt. Vereinbaren Sie mit dem Hersteller eine verbindliche Update-Zusage über die geplante Nutzungsdauer. Viertens Zugriffskontrolle: Vergeben Sie individuelle Konten statt geteilter Standardpasswörter, arbeiten Sie mit dem Least-Privilege-Prinzip und rollenbasierten Rechten (RBAC) und ändern Sie Werkspasswörter vor Inbetriebnahme.

Fünftens Monitoring und Angriffserkennung: 48 Prozent der KRITIS-Betreiber haben laut BSI kein solches System — richten Sie zumindest eine Protokollierung und Alarmierung bei ungewöhnlichen Steuerbefehlen oder Anmeldeversuchen ein. Sechstens Lieferantenanforderungen: Fragen Sie vor dem Kauf, welche Kommunikationskanäle die Anlage nutzt, ob und wohin Daten in die Cloud fließen, wie sich die Herstelleranbindung abschalten lässt und ob Zertifizierungen nach IEC 62443 oder der RED-Normreihe EN 18031 vorliegen. Siebtens Notfallvorsorge: Definieren Sie, wie sich der Speicher im Ernstfall isoliert und lokal weiterbetreiben lässt, und üben Sie diesen Fall. Als beratender Vermittler unterstützt MySmartEnergy Sie dabei, diese Anforderungen bereits in Ausschreibung und Lieferantenauswahl zu verankern — herstellerneutral und ohne eigenen Anlagenverkauf.