Sungrow-Cloud: Schwere Sicherheitslücke

4 weeks ago 10

Stop - Pixabay Viele Solaranlagen weltweit, aber auch in Deutschland, verwenden Wechselrichter und Bauteile der chinesischen Anbieter Huawei und Songrow (ist billiger als SMA). Und natürlich muss alles "in der Cloud" der betreffenden Anbieter hängen. Beim chinesischen Anbieter Sungrow nennt sich die Cloud iSolarCloud. Einem aufmerksamen Sicherheitsforscher ist aufgefallen, dass er über eine Schwachstelle die Kontrolle über europäische Solaranlagen mit ca. 10 Gigawatt Nennleistung erlangen konnte. Damit hätte man alle Solaranlagen abschalten und einen Blackout verursachen können.

Mir ist der Sachverhalt gerade über einen Tweet von Eva Wolfangel auf BlueSky untergekommen, die auf den Zeit Online-Artikel Deutschland war nur einen Knopfdruck vom Superblackout entfernt vom 7. Oktober 2026 verweist.

In Deutschland sind Solaranlagen mit 29,1 MWp in die iSolarCloud von Sungrow integriert. Laut Zeit-Artikel gibt es 250.000 Solaranlagen mit Wechselrichtern dieses Herstellers, die in Deutschland 7,8 Gigawatt Spitzenleistung bereitstellen. Im übrigen Europa kommen etwa 220.000 Anlagen mit knapp 28 Gigawatt Spitzenleistung hinzu.

Administratorkonten waren für Dritte anlegbar

Marlon Starkloff, Geschäftsführer der IT-Sicherheitsfirma Jakkaru, hat sich die iSolarCloud von Sungrow näher angesehen. Die Firma betreibt vier Domains für unterschiedliche Regionen. Dabei ist er in der Domain für Europa auf eine Sicherheitslücke gestoßen, die er in diesem Artikel beschreibt.

Die Sicherheitsexperten prüften, ob sie sich ggf. in die Benutzerkonten der iSolarCloud von Sungrow einhacken konnten. Dies wurde zuerst durch ein Rate-Limit erschwert bzw. verhindert. Zudem sei die Kommunikation verschlüsselt. Nachdem die Sicherheitsforscher erfolglos versucht hatten, die Ratenbegrenzung zu umgehen, haben sie sich die Anmeldeanfrage an den Konten genauer angesehen, die (nach der Entschlüsselung) wie folgt aussieht:

{ "user_account": "marlon.starkloff@jakkaru.de", "user_password": "Password123!", "login_type": "1", ... }

Interessant war das Feld login_type, was die Art der Anmeldung wohl festlegt. Beim Wechsel zur Anmeldemethode per E-Mail-Code fiel auf, dass der Anmeldetyp auf acht gesetzt wurde. Das brachte die Sicherheitsforscher zur Idee, den Wert des Felds von 1 beginnend mit verschiedenen Werten durchzutesten.

Login ohne Passwort möglich

Starkloff schreibt, dass mit dem Wert 5 im Feld login_type eine sofortige Anmeldung am angegebenen Benutzerkonto möglich war – das Kennwort des Benutzers wurde nicht abgefragt. Tests mit verschiedenen Konten zeigten, dass die Einstellung des Anmeldetyps auf den Wert "fünf" eine automatische Anmeldung, am im Feld "Benutzerkonto" angegebenen Benutzerkonto, ohne weitere Passwortabfrage, ermöglichte. Es gab auch keine Benachrichtigung, die an den Benutzer des Kontos gesendet wurde, schreibt Starkloff. Er hatte eine stille Authentifizierungs-Bypass-Methode entdeckt.

Logout in Administratoren- und Support-Konten

Das Ermitteln gültiger E-Mail-Adressen von Administratoren war laut Starkloff mehr oder weniger unkompliziert. Eine bewährte Methode sei es, die Organisationshierarchie nach oben zu durchlaufen. Da Benutzer und Organisationen hierarchisch strukturiert seien, kann ein Benutzer die E-Mail-Adresse und den Benutzernamen seiner übergeordneten Organisation einsehen. Mit diesen Informationen und der aufgedeckten Sicherheitslücke konnte ein Benutzer seine Berechtigungen erweitern.

Die zweite und noch einfachere Methode, die die Sicherheitsforscher nutzten, war ein nicht offengelegtes Informationsleck, durch das E-Mail-Adressen von Support- und teilweise auch Administratorkonten offengelegt wurden. Damit hatte ein Angreifer Zugriff auf gesamte Basis der Benutzerkonten.

Die Implikationen

Der Zugriff auf die europäische Sungrow iSolarCloud-Verwaltungsplattform ermöglicht die vollständige Kontrolle über alle mit dem jeweiligen Server verbundenen Anlagen. Ein Angreifer konnte Solaranlagen, Wechselrichter und Batteriespeichersysteme auflisten, ändern, starten oder stoppen, schreiben die Sicherheitsforscher. Denn der Angreifer hätte auf alle auf der Plattform registrierten Organisationen und Nutzer zugreifen können. Dazu gehören auch Verwaltungskonten bekannter deutscher Solar-Vertriebsunternehmen wie 1KOMMA5° oder Enpal. Ist für mich interessant, dass genau diese beiden Anbieter offenbar auf Sungrow setzen.

Die Sicherheitsforscher schrieben: Neue und benutzerdefinierte Firmware-Images können nach Belieben des Angreifers auf allen Geräten installiert werden, sofern diese mit der Cloud verbunden sind. Der Sicherheitsforscher schreibt, dass der Marktanteil von Sungrow in Deutschland und Europa einen kritischen Punkt erreicht habe, an dem der unbefugte Zugriff auf diese Systeme über Sicherheitslücken eine Frage der nationalen Sicherheit darstellt. Denn ein Eingriff könne zu lokalen Stromausfällen auf dem gesamten Kontinent führen. Wenn man jetzt berücksichtigt, dass Deutschland und Europa im Fokus eines hybriden Kriegs durch Russland steckt, ist das mehr als beunruhigend.

Die Sicherheitsforscher haben Sungrow unverzüglich über die Sicherheitslücken informiert, und innerhalb eines Tages veröffentlichte das Unternehmen einen Patch, der das Problem behob. Während der Sicherheitsforscher die technischen Details beschriebt, geht der oben verlinkte Zeit-Artikel mehr auf die möglichen Auswirkungen ein.

Empfehlungen für Solaranlagenbetreiber

Nutzern empfehlen die Sicherheitsforscher, die Cloud-Anbindung ihrer Solaranlagen zu überdenken. Wenn möglich, sollte eine Solaranlage nur zum Abrufen von Firmware-Updates mit dem Internet verbunden sein. Zu allen anderen Zeiten sollte sie nicht mit einer Cloud verbunden sein. Hersteller sollten in Erwägung ziehen, Benutzer- und Verwaltungsplattformen voneinander zu trennen. Eine Benutzerplattform sollte nur über die notwendigen Funktionen verfügen, die theoretisch nicht ausgenutzt werden können, um im Falle einer Kompromittierung weitreichenden Schaden anzurichten, heißt es.