Energie & Anlagen (OT)

Fernzugriff auf Wind- und Solarparks absichern: Zugänge, VPN und Trennung

Von Wladimir Neuberger · Aktualisiert

Die kurze Antwort

Der wichtigste Schritt ist, direkte Zugriffe aus dem Internet auf Steuerungen zu unterbinden. Erfassen Sie dazu alle Zugänge einer Anlage, schließen Sie unnötige, und leiten Sie nötige über VPN oder ein zentrales Gateway mit Mehrfaktor-Anmeldung. Trennen Sie das Anlagennetz vom Büronetz, ändern Sie Standardpasswörter und spielen Sie Updates geprüft ein.

Warum Fernzugriff das zentrale Risiko ist

Wind-, Solar- und ähnliche Anlagen werden aus der Ferne überwacht und gewartet, oft über Web-Oberflächen, Mobilfunkrouter oder Herstellerportale. Das spart Wege, öffnet aber Türen. Das BSI rät mit seiner Mitteilung vom 13. Oktober 2026 dringend, aus dem Internet erreichbare Steuerungsanlagen nach dem Stand der Technik abzusichern. Es richtet sich besonders an Betreiber kleiner industrieller oder vergleichbarer Anlagen, genannt werden unter anderem Anlagen zur Stromerzeugung. Als erste Maßnahme nennt es, den direkten Zugriff aus dem Internet auf Steuerungssysteme zu unterbinden.

Die US-Behörde CISA beschreibt ein Beispiel aus dem Wassersektor: Im Juli 2026 beobachtete sie Angriffe auf mit dem Internet verbundene Systeme bei mehr als 100 Einrichtungen. Meist handelte es sich um Steuerungen (PLCs), die direkt an Mobilfunkmodems hingen. Die Angreifer griffen aus der Ferne zu, änderten IP-Adressen und Passwörter der Geräte, und es kam zu Verlust von Überwachung und Steuerung, teils zu Betriebsstörungen. Das betrifft eine andere Branche, zeigt aber das Muster: erreichbar, schwach geschützt, direkt am Netz.

Typische Zugangspunkte

Die folgende Liste ordnet gängige Zugänge, die Betreiber oft nicht vollständig kennen. Sie ist eine Arbeitsgrundlage für das Inventar, keine abschließende Aufzählung.

  • Web-Oberflächen von Wechselrichtern, Parkreglern und Steuerungen, die direkt oder über Portweiterleitung aus dem Internet erreichbar sind.
  • Fernwartungs-Zugänge von Herstellern, Servicefirmen und Integratoren, auch über zusätzliche Mobilfunkverbindungen oder Geräte, von denen niemand mehr weiß.
  • VPN-Gateways und Router am Standort, die selbst Updates und eine saubere Konfiguration brauchen.
  • Leitsysteme und SCADA-Anbindungen, über die Betriebsdaten laufen und Befehle gegeben werden.
  • Zugangsdaten: Standardpasswörter, geteilte Konten und Zugänge, die niemand mehr nutzt, aber auch niemand abgeschaltet hat.

Grundprinzipien für sicheren Fernzugriff

Die Prinzipien stammen aus den Veröffentlichungen von BSI und CISA. Die Reihenfolge und die Formulierung der Umsetzung sind unsere Empfehlung.

  • Inventarisieren: Alle Fernwartungszugänge erfassen, einschließlich Mobilfunkverbindungen und unbekannter Geräte (BSI laut Berichterstattung). CISA rät zudem, Dritte mit Fernzugriff zu identifizieren und zu prüfen, ob sie diese Verbindungen absichern.
  • Nichts direkt erreichbar machen: Die CISA fordert, OT-Verbindungen zum öffentlichen Internet zu entfernen. Notwendiger Zugriff läuft über ein zentral verwaltetes Gateway, eine Firewall oder ein VPN, nicht direkt auf Steuerungen, Bedienoberflächen oder Fernwirkgeräte.
  • Zugang kontrollieren: Einzelne Benutzernamen, starke Passwörter und phishing-resistente Mehrfaktor-Anmeldung für jeden Fernzugriff, so wenig Rechte wie möglich, ruhende Konten deaktivieren.
  • Standardpasswörter sofort ersetzen, besonders bei Geräten, die vom Internet aus erreichbar sind.
  • Netze trennen: IT (Büro) und OT (Anlage) trennen und dazwischen eine entmilitarisierte Zone einrichten. Ausgehende Verbindungen auf das Nötige begrenzen.
  • Protokollieren: Wer hat sich wann von wo verbunden und was getan? Ohne diese Spur lässt sich nach einem Vorfall nichts rekonstruieren (unsere Empfehlung).

Internet-Erreichbarkeit zu verringern heißt nicht, Fernzugriff abzuschaffen. Nach CISA bedeutet es, unnötigen Zugang zu entfernen und den notwendigen abzusichern.

Patch-Strategie für Anlagentechnik

Das BSI empfiehlt, Systeme aktuell zu halten und Sicherheitsupdates sowie Fehlerkorrekturen zeitnah einzuspielen, und diese Maßnahmen zur Routine zu machen. NIST betont in seinem Leitfaden zur OT-Sicherheit, dass Schutzmaßnahmen die Anforderungen an Leistung, Zuverlässigkeit und Sicherheit der Anlage berücksichtigen müssen. Für Anlagen heißt das: nicht blind aktualisieren, aber auch nicht liegen lassen.

  • Bestandsliste mit Geräten, Firmware-Ständen und Herstellerkontakt pflegen, damit Sicherheitsmeldungen zugeordnet werden können (unsere Empfehlung).
  • Updates mit dem Hersteller abstimmen und vorab testen, wo möglich an einem Testgerät; Wartungsfenster und Rückfallweg festlegen (unsere Empfehlung).
  • Geräte ohne Herstellersupport ersetzen oder zusätzlich abschotten. Die CISA nennt den Ersatz von Software ohne Support für Systeme, die erreichbar bleiben müssen.
  • Router, VPN-Gateways und Zugangssysteme gehören in dieselbe Patch-Routine wie die Steuerung.

Dritte und Hersteller einbeziehen

Fehlkonfigurationen können nach CISA von Betreibern, Integratoren und Herstellern ausgehen; sie empfiehlt daher regelmäßige Abstimmung mit Dienstleistern. Das BSI regt außerdem an zu prüfen, ob Verbindungen zu Hersteller-Clouds dauerhaft nötig sind, und die Anlage nach Möglichkeit lokal zu betreiben. Regeln Sie das vertraglich: Wer darf wann zugreifen, wie authentifiziert er sich, wer sperrt Zugänge nach Projektende?

Externe Prüfung: nur mit schriftlichem Auftrag

Wer wissen will, was von außen sichtbar ist, kann die eigene Erreichbarkeit regelmäßig prüfen lassen; die CISA empfiehlt routinemäßige Prüfungen der eigenen öffentlichen Adressräume, weil sich Umgebungen ändern. Salimov bietet im Rahmen seiner Sicherheitspakete einen Basic Scan und einen Tiefen-Scan als Prüfmöglichkeit an. Prüfen lassen sich nur Systeme, für die Sie als Betreiber einen schriftlichen Auftrag erteilen; fremde Anlagen dürfen weder wir noch Sie ohne Erlaubnis untersuchen.

Wo Sie anfangen

  • Alle Standorte und alle Fernzugänge in einer Liste erfassen, einschließlich Mobilfunkrouter und Herstellerportale.
  • Prüfen, welche Zugänge direkt aus dem Internet erreichbar sind, und diese schließen oder hinter VPN bzw. Gateway legen.
  • Standardpasswörter ersetzen, Mehrfaktor-Anmeldung einrichten, ungenutzte Konten sperren.
  • Netz von Büro und Anlage trennen lassen und die Protokollierung der Zugriffe einschalten.
  • Mit Hersteller und Servicefirma Update- und Zugangsregeln schriftlich vereinbaren und die Prüfung jährlich wiederholen.

Häufige Fragen

Was ist bei Fernzugriff auf Wind- und Solarparks die wichtigste Maßnahme?

Direkte Zugriffe aus dem Internet auf die Steuerungssysteme zu unterbinden. Das nennt das BSI als erste Maßnahme. Notwendiger Fernzugriff läuft über VPN oder ein zentral verwaltetes Gateway mit Mehrfaktor-Anmeldung.

Reicht ein VPN allein?

Nein. Ein VPN schützt die Verbindung, nicht den Rest: Es braucht Mehrfaktor-Anmeldung, wenige Rechte, getrennte Netze, Updates für das Gateway und Protokolle. Sonst verlagert sich das Risiko nur.

Muss ich Fernwartung abschaffen?

Nein. Die CISA unterscheidet: Unnötigen Zugang entfernen, notwendigen absichern. Verlangen Sie von Herstellern und Servicefirmen nachvollziehbare, kontrollierte Zugänge.

Darf ich die Erreichbarkeit unserer Anlagen selbst testen oder testen lassen?

Ja, für Systeme, die Ihnen gehören oder für die Sie beauftragen dürfen, und bei Dritten nur mit deren schriftlichem Auftrag. Fremde Systeme ohne Erlaubnis zu prüfen, unterlassen Sie.

Quellen

Die Einordnung beruht auf den genannten Veröffentlichungen. Prüfen Sie bei Entscheidungen die Originalquelle.

Weiterlesen

Sie möchten wissen, wo Sie stehen?

Ein Basic Scan zeigt, wo Ihre Systeme von außen angreifbar sind — mit Festpreis und Bericht. Oder Sie lassen sich kostenlos vor neuen Lücken warnen.

Sicherheitspakete ansehen Warnungen abonnieren Kontakt aufnehmen