Die EU, China und das Wechselrichter-Verbot: Donnerwetter oder viel Lärm um nichts?
Die EU-Kommission will die europäische Industrie mit gezielten Maßnahmen weiter stärken – was zuletzt hohe Wellen schlug. (© EmDee)
Für die einen ist es ein längst fälliger Schritt, andere orten darin eher ein Armutszeugnis Europas bzw. einen Schuss ins Knie in Hinblick auf die Energiewende. Die Rede ist vom Rechtsakt zur beschleunigten Dekarbonisierung der Industrie, zu dem die EU-Kommission Mitte März den entsprechenden Verordnungsvorschlag veröffentlicht hat – und der daraufhin als vermeintliches Verbot von PV-Wechselrichtern aus chinesischer Fertigung hohe mediale Wellen schlug.Spätestens seit dem Blackout in Spanien und Portugal ist klar, dass das europäische Stromnetz trotz aller Sicherheitsmaßnahmen nicht zu 100% vor Störungen und Ausfällen gefeit ist. Vor diesem Hintergrund scheint die Debatte über das Verbot von Wechselrichtern aus Hochrisikoländern (als die z.B. China, Nordkorea und der Iran eingestuft werden), die im Frühjahr so richtig in Fahrt kam, durchaus berechtigt – wenngleich es sich eigentlich nur um einen Förderstopp für Energieprojekte mit „problematischen” Wechselrichtern handelte.
Der Branchenverband SolarPower Europe goss jedenfalls sogleich Öl ins Feuer, indem ein Report über die Sicherheitsrisiken für Solarstromanlagen und die Netzstabilität veröffentlicht wurde, der ein massives Bedrohungsszenario durch die Nutzung chinesischer Wechselrichter skizzierte: Demnach würden 3 GW manipulierte Wechselrichterkapazität ausreichen, um das europäische Netz zu stören, während Marktführer Huawei bereits über mindestens 114 GW an installierter PV-Wechselrichterkapazität in Europa verfüge (und insgesamt sechs chinesische Wechselrichterhersteller könnten jeweils mehr als 5 GW in ganz Europa kontrollieren). Da nach dem chinesischen Geheimdienstgesetz Unternehmen zur Zusammenarbeit mit staatlichen Geheimdiensten verpflichtet werden könnten, stelle sich Frage, ob ähnliche Schutzmaßnahmen wie bei 5G-Netzen nicht auch für kritische Energieinfrastrukturen wie Wechselrichter erforderlich seien.
Beim heimischen Übertragungsnetzbetreiber APG wollte man die genannten Zahlen gegenüber elektro.at nicht kommentieren – aus Sicherheitsgründen. Man wolle potenziellen Angreifern so wenig Informationen wie möglich bieten, sowohl was das erforderliche Ausmaß eines Angriffs ausmacht, um das europäische Stromnetz zu stören, als auch dahingehend, wo am ehesten sicherheitstechnische Schwachstellen liegen könnten bzw. die Infrastruktur am verwundbarsten wäre.
Die Maßnahmen der EU
Zurückzuführen ist die Debatte um das „Wechselrichter-Verbot” auf den „Rechtsakt zur beschleunigten Dekarbonisierung der Industrie”, den die EU-Kommission im März vorgschlagen hatte. Dieser sieht vor, die industrielle Basis Europas zu stärken, und dafür das verarbeitende Gewerbe zu fördern, Unternehmen und Wirtschaftszweige in ihrem Wachstum zu unterstützen und Arbeitsplätze in der EU zu schaffen. Damit einhergehend wird mit dem Rechtsakt die Nachfrage nach CO2-armen in Europa hergestellten Produkten und Netto-Null-Technologien durch die Vergabe öffentlicher Aufträge und öffentliche Anreize gesteigert, weiters ermöglichen die beschleunigten und einfacheren Genehmigungsverfahren schnellere Investitionen. Während das verarbeitende Gewerbe in Jahr 2024 14,3% des EU-BIP ausmachte, soll dieser Anteil bis 2035 auf 20% ausgebaut und damit die Widerstandsfähigkeit und Wettbewerbsfähigkeit Europas gestärkt werden. Der Rechtsakt ergänzt damit auch das Automobilpaket zu „Made in Europe“-Anforderungen vom Dezember 2025.
Gemäß des Rechtsakts fallen Wechselrichter unter die Netto-Null-Technologien (wie übrigens auch Batteriespeicher, Windkraftanlagen, Wärmepumpen und Kernspaltungstechnologien). Für die Vergabe öffentlicher Aufträge wie auch für Auktionen und „andere Formen der öffentlichen Intervention” müssen zukünftig „Photovoltaik-Wechselrichter und Photovoltaik-Zellen oder Gleichwertiges ihren Ursprung in der Union haben.” Wichtiges Detail am Rande: Der Vorschlag der Kommission muss noch von den Mitgliedstaaten und dem Europäischen Parlament erörtert und beschlossen werden. Den kompletten Entwurf der „Verordnung zur beschleunigten Dekarbonisierung der Industrie” finden Sie beigefügt als PDF zum Download.
Versuch einer Einordnung
Eine wissenschaftliche Einschätzung der Debatte liefert das AIT als Österreichs größte Research & Technology Organisation. Laut diesem führt „die starke Marktkonzentration auf wenige, oftmals fernöstliche Hersteller zu einer gefährlichen Monokultur im europäischen Stromnetz. Da moderne Wechselrichter in der Regel über zentrale Cloud-Plattformen der Hersteller ferngesteuert und aktualisiert werden, stellen diese Cloud-Infrastrukturen einen Single Point of Failure dar. Ein koordinierter Cyberangriff oder eine bewusste, großflächige Abschaltung von Wechselrichtern über die Hersteller-Cloud könnte schlagartig Gigawatt an Erzeugungsleistung vom Netz trennen. Dies würde die europäischen Regelleistungsreserven bei Weitem übersteigen und könnte europaweit kaskadierende Störungen auslösen. Während moderne Hardware- und Leistungselektronik-Lösungen technologisch hochentwickelt und robust sind, entstehen auf der Software- und Protokollebene immer wieder erhebliche Sicherheitsrisiken. Die größte Herausforderung liegt in geschlossenen, proprietären Software-Architekturen, die eine lückenlose, unabhängige Überprüfung der Firmware auf Schwachstellen oder verdeckte Kommunikationskanäle nahezu unmöglich machen. Automatische Fern-Updates sind für die Behebung von Schwachstellen wichtig, müssen aber so gestaltet sein, dass Authentizität, Integrität, Nachvollziehbarkeit und kontrollierte Freigabeprozesse jederzeit gewährleistet sind. Forschungsarbeiten und Sicherheitsanalysen zeigen, dass zentralisierte Cloud-Infrastrukturen und Update-Mechanismen potenziell kritische Angriffspunkte darstellen.” Gerade in Cloud-Systemen seinen in den vergangenen Jahren mehrfach erhebliche Sicherheitslücken bekannt geworden.
Wie müsste also eine cyber-resiliente Architektur für PV-Wechselrichter aussehen? Diese müsse dem Prinzip „Security by Design“ und „Zero Trust“ folgen, so das AIT. Zu den wichtigsten Säulen gehören demnach:
- Kritische Netzsicherheitsfunktionen (wie die frequenzabhängige Leistungsanpassung) müssen lokal und manipulationssicher im Gerät verankert sein. Sie dürfen nicht durch Remote-Befehle oder Cloud-Ausfälle überschrieben oder deaktiviert werden können.
- Eine klare Trennung zwischen der operativen Steuerungsebene (OT) und dem Internet bzw. dem Monitoring (IT) über Firewalls und demilitarisierte Zonen (DMZ).
- Einsatz von Secure Boot (damit nur signierte, authentische Firmware geladen wird), Hardware-Sicherheitsmodulen (HSM) zur Schlüsselaufbewahrung sowie durchgehend verschlüsselten und authentifizierten Kommunikationsprotokollen (z. B. nach IEC 62351 statt unverschlüsseltem Modbus).
- Unternehmen sollten zudem eine Defense-in Depth-Strategie verfolgen, die auch sichere Softwareentwicklung, strenge Authentifizierungs- und Autorisierungskontrollen, Netzwerksegmentierung, kontinuierliche Überwachung und regelmäßige Patches umfasst.
- Systeme sollten im Rahmen unabhängiger Audits auf Sicherheitslücken überprüft werden.
Daran anknüpfend stellt sich natürlich die Frage, ob die EU-Regelwerke mit NIS2-Richtlinie, Cyber Resilience Act (CRA) etc. in Hinblick auf das Gefährungspotenzial ausreichend sind. Für das AIT sind NIS2 und der CRA „fundamentale und richtige Schritte. Der CRA verpflichtet Hersteller erstmals zu Mindestsicherheitsstandards und transparentem Schwachstellenmanagement für digitale Produkte. NIS2 nimmt die Betreiber kritischer Infrastrukturen strenger in die Pflicht.” Dennoch würden diese rein technischen und organisatorischen Regelwerke aus zwei Gründen zu kurz greifen:
- CRA gilt primär für neue Produkte, die auf den Markt gebracht werden. Millionen bereits installierter Wechselrichter im Feld fallen nicht darunter und bleiben über Jahre hinweg ein vulnerabler Altdatenbestand.
- Technische Standards allein können nicht alle Risiken legitimer, aber potenziell missbräuchlich verwendeter Steuerungs- und Update-Kanäle abdecken. Gerade bei kritischen Netzfunktionen sind daher die unabhängige Prüfungen, abgestufte Freigabeprozesse, Auditierbarkeit und Notfallmechanismen notwendig.
Differenzierte Betrachtung
Als „fast schon beschämend” bezeichnet Energy3000-Geschäftsführer Christian Bairhuber das Vorgehen der EU, die in Verboten und Zugangshürden offenbar die einzige Möglichkeit gegen die Performance der chinesischen Hersteller sieht. „Unsere Philosophie lautet ‚Das bessere Produkt zum besseren Preis‘ – und aus China kommen derzeit einfach viele gute und innovative Produkte, und das zu einem besseren Preis.” Gerade chinesische Unternehmen hätten in der Vergangenheit mit attraktiven Preise bei Modulen und Wechselrichtern die PV-Branche rasch vorwärts gebracht und ihr zum weltweiten Durchbruch verholfen. Wir Europäer sollten daher jetzt wirklich alle unnötigen administrativen Hürden abbauen und die ausufernde Bürokratie eindämmen. Nur so könnten wir unsere Kreativität und unsere wirtschaftliche Leistungsfähigkeit und internationale Wettbewerbsfähigkeit nicht nur erhalten sondern weiter ausbauen. „Generell finde ich es jedenfalls bedenklich, dass wir Europäer es nicht verstehen, uns mit China besser zu stellen und eine gute politische und wirtschaftlich Partnerschaft anstreben. Denn angesichts der unsicheren Weltlage und der angespannten Beziehungen zum langjährigen Partner USA sollte Europa die Beziehungen zu China nicht verschlechtern, sondern vielmehr sollten wir im beiderseitigen Interesse Allianzen mit solchen starken Wirtschaftspartnern schmieden, und diese nicht durch ungeschickte politische Maßnahmen vor den Kopf stoßen”, so Bairhuber abschließend.
Als „viel Wirbel um nichts” beschreibt Krannich Solar Österreich-Leiter Mario Haidecker die aktuelle Debatte: „Es gibt keine Förderung mehr für die Finanzierung – das betrifft vor allem große Freiflächenanlagen und hat praktisch null Auswirkung auf Österreich.” Allerdings dürfe man die Signalwirkung in Hinblick auf zukünftige Förderungen nicht unterschätzen: „Diese Maßnahme zeigt, dass der Trend zu mehr europäischen Produkten geht und wird bei den nationalen Förderungen sicher stärker berücksichtigt – Stichwort Made in Europe-Bonus.” Ein generelles Verbot chinesischer PV-Wechselrichter & Co. hält Haidecker allerdings für unrealistisch: „Wir haben in Europa einfach zuwenig Produktionskapazitäten, um die Volumina aus China zu kompensieren.”
Die ausführlichen Stellungnahmen der Hersteller und ob eine Energiewende „Made in Europe” aus deren Sicht möglich wäre finden Sie im zweiten Beitrag zu dieser Thematik.
Wenn man schon China Bashing betreibt, sollte man nicht auf die millionen Schrottpakete von Temu & Co vergessen.