Mehr als 8.500 Verwaltungssysteme von Wind- und Solarparks sollen in Europa aus dem Internet erreichbar gewesen sein. Die Zahl ist ein ernstes Warnsignal, aber sie braucht eine genaue Übersetzung: Erreichbar heißt zunächst, dass eine Oberfläche gefunden werden kann. Es beweist noch nicht, dass jemand eine Anlage übernommen oder die Stromversorgung gestört hat.

Nach der von heise online eingeordneten Untersuchung zählte das Sicherheitsunternehmen 8.547 Systeme in 35 Ländern. Davon entfielen 7.942 auf Solarparks und 605 auf Windkraft. Deutschland lag mit 672 erreichbaren Solarsystemen und 212 Windsystemen in beiden Gruppen weit vorn. Gezählt wurden Systeme, nicht einzelne Module oder Turbinen; ein System kann mehrere Anlagen verwalten.

Für die Risikobewertung sind vier Stufen auseinanderzuhalten. Erstens kann eine Oberfläche öffentlich sichtbar sein. Zweitens können schwache oder voreingestellte Zugangsdaten einen unbefugten Login ermöglichen. Drittens muss ein Konto tatsächlich Steuerrechte besitzen. Viertens müsste ein Eingriff physische Prozesse oder die Versorgung beeinflussen. Die Untersuchung belegt vor allem die erste Stufe und zeigt bei einzelnen Oberflächen sensible Funktionen wie Start, Stopp oder Zurücksetzen.

Betreiber sollten deshalb nicht nur eine Seite abschalten. Sie brauchen ein vollständiges Inventar aller externen Zugänge, abgesicherte Verbindungen, Mehrfaktor-Anmeldung und eine Trennung zwischen Internet-, Büro- und Anlagennetzen. Anschließend müssen Protokolle geprüft werden: Gab es ungewöhnliche Anmeldungen, Änderungen oder Befehle? Auch ein manueller oder sicherer Notbetrieb gehört in die Planung.

Die europäische Richtlinie zur Netz- und Informationssicherheit, kurz NIS 2, ordnet diese Arbeit in ein breiteres Risikomanagement ein. Erfasste Einrichtungen müssen technische, operative und organisatorische Schutzmaßnahmen treffen und erhebliche Vorfälle melden. Die Richtlinie bestätigt damit die Richtung des Prüfrasters, aber nicht die konkrete Zahl der gefundenen Systeme.

Offen bleibt, wie viele Zugänge zum Zeitpunkt der Veröffentlichung bereits geschlossen waren und wie viele tatsächlich schwache Authentifizierung hatten. Die Forschenden veröffentlichten keine Anlagen- oder Adressliste und informierten Betroffene über nationale Computer-Notfallteams. Das schützt Anlagen, begrenzt aber die unabhängige Nachprüfbarkeit der Zählung.

Der belastbare Fortschritt lässt sich daher nicht an einer dramatischen Blackout-Prognose messen. Aussagekräftig wären die Zahl geschlossener Zugänge, der Anteil mit starker Anmeldung, geprüfte Netzwerkgrenzen und dokumentierte Reaktionen auf verdächtige Zugriffe.