Das Netz
Die vorangegangenen Teile dieser Serie haben sich mit dem beschäftigt, was ins Netz eingespeist wird: Solarmodule, Windturbinen, Batterien, Wechselrichter. Teil 1 hat das Wechselrichterproblem als Sicherheitsfrage eingeführt, Teil 6 hat analysiert, warum die Interessenstruktur der Branche eine frühere Reaktion verhindert hat. Was dabei systematisch unterbelichtet blieb, ist das Netz selbst. Das Leitungsnetz, das Schaltnetz, die Steuerungssysteme, die Smart-Meter-Infrastruktur, die Kommunikationsprotokolle. All das ist kritische Infrastruktur. Und auch hier gilt das Muster, das sich durch die gesamte Serie zieht: Die Abhängigkeit ist tiefer als die öffentliche Debatte vermuten lässt, und die Verwundbarkeit ist konkreter als jeder politisch opportune Zeitpunkt für ihre Benennung.
Was ein Stromnetz heute ist
Ein modernes Stromnetz ist kein Leitungssystem mehr, an dem gelegentlich Stromzähler hängen. Es ist ein verteiltes Echtzeitsystem, in dem Millionen Datenpunkte sekündlich ausgetauscht werden: Einspeisemengen aus Solaranlagen, Verbrauchswerte aus intelligenten Messsystemen, Schaltzustände in Umspannwerken, Frequenzdaten im Übertragungsnetz, Prognosen aus Wettermodellen.
Dieses System hat eine Angriffsfläche. Jeder Datenpunkt ist ein potenzieller Einstiegspunkt. Jede Cloud-Plattform, die Fernüberwachung von Solaranlagen ermöglicht, ist eine Verbindung zwischen einer externen Infrastruktur und dem Netz. Jedes Smart-Meter-Gateway, das mit dem Internet kommuniziert, ist ein exponiertes Gerät.
Die Frage ist nicht, ob Angriffe möglich sind. Sie sind dokumentiert.
Was 2024 und 2025 tatsächlich passiert ist
Im Jahr 2024 griff eine Gruppe die Monitoring-Systeme eines baltischen Energieversorgers an. Sie verschaffte sich Zugriff auf das Dashboard von 22 Solaranlagen, darunter zwei Kliniken. Möglich war das durch gestohlene Zugangsdaten, die zuvor durch Trojaner auf Endgeräten abgegriffen worden waren. Das betroffene System basierte auf Sungrows Cloud-Plattform.
Das ist kein Hackerangriff im Sinne eines James-Bond-Films. Das ist die Nutzung einer Sicherheitslücke in einer chinesischen Cloud-Infrastruktur, die mit europäischer Energieversorgung verbunden ist.
Im Mai 2025 fiel die gesamte iberische Halbinsel über mehrere Stunden aus: Spanien und Portugal im größten Blackout Europas der jüngeren Geschichte. Entgegen frühen Spekulationen war dies kein Cyberangriff, sondern eine technische Netzregelungskrise: Das System arbeitete mit veralteten Regelungsansätzen, hatte nicht genügend Reserven zur Verfügung und kollabierte beim Zusammentreffen mehrerer Störereignisse kaskadenförmig. Der Blackout ist damit kein Beleg für die Wechselrichter-Sicherheitsproblematik, wohl aber ein präzises Argument für dezentrale Netzarchitekturen, lokale Batteriespeicher und neue Regelungsansätze, bei denen Stabilisierung nicht ausschließlich von einer zentralen Ebene versucht wird. Die installierte Batteriespeicher-Leistung in Spanien ist seitdem um 589 Prozent gestiegen.
Und 2025 identifizierten US-Analysten undokumentierte Kommunikationsmodule in chinesisch hergestellten Wechselrichtern. Geräte, die im Feld installiert sind, in Millionen von Solaranlagen in Europa und den USA, mit Funktionalitäten, die nicht in der technischen Spezifikation stehen.
Die Architektur der Verwundbarkeit
Um zu verstehen, warum das so problematisch ist, muss man die Architektur eines modernen Energienetzes kennen.
SCADA-Systeme (Supervisory Control and Data Acquisition) sind die Steuerungsplattformen, die Netzbetreiber nutzen, um Umspannwerke, Schaltanlagen und Einspeisepunkte zu überwachen und zu regeln. Sie kommunizieren mit Feldgeräten über industrielle Protokolle. Historisch waren diese Systeme physisch isoliert. Heute sind sie zunehmend netzwerkverbunden, aus Effizienzgründen, aus Kostengründen, weil die Digitalisierung des Netzes ohne Konnektivität nicht funktioniert.
Wechselrichter sind SCADA-Endpunkte. Jeder installierte Wechselrichter meldet Einspeisedaten, empfängt Regelungsbefehle, kommuniziert mit dem Monitoringsystem des Herstellers. Wenn dieser Wechselrichter eine undokumentierte Kommunikationsfunktion hat, ist er ein Einstiegspunkt in die SCADA-Infrastruktur. Smart-Meter-Gateways sind ebenfalls kritische Komponenten. Sie kommunizieren mit Messsystemen der Netzbetreiber, mit Lastmanagementsystemen, mit steuerbaren Verbrauchseinrichtungen wie Wärmepumpen und Ladestationen. Wer die Gateways kontrolliert, kann den Verbrauch in Echtzeit beeinflussen.
Die Frage, wer die Hardware dieser Gateways herstellt, ist deshalb keine Beschaffungsfrage. Sie ist eine sicherheitspolitische Frage.
Was in Deutschland steht und woher es kommt
Der Rollout intelligenter Messsysteme in Deutschland läuft. Die Abdeckung stieg von 34 Prozent Anfang 2025 auf rund 90 Prozent zur Mitte des Jahres. Betrieben wird das Kommunikationsnetz für diese Systeme über ein dediziertes 450-Megahertz-Netz, das als kritische Infrastruktur konzipiert ist und auch bei Stromausfall weiter funktionieren soll. Das ist ein sinnvolles Konzept. Was es nicht beantwortet: Woher kommt die Hardware in den Smart-Meter-Gateways? Welche Chiphersteller liefern die Kommunikationsmodule? Welche Softwarekomponenten stammen aus Ländern mit nachrichtendienstlichen Zugriffsmöglichkeiten?
Diese Fragen werden in der deutschen Fachdebatte gestellt, aber selten öffentlich beantwortet. Der dena-Bericht zur Cybersicherheit in der Stromwirtschaft mahnt ausdrücklich, die Stromwirtschaft nicht zu abhängig von China zu machen. Das ist ein Satz in einem Fachdokument. Eine Regulierungsvorgabe, die das konkret umsetzt, fehlt.
Transformatoren: Der bekannte Engpass im falschen Licht
Transformatoren wurden in Teil 2 dieser Serie kurz erwähnt. In der Netzinfrastrukturdebatte verdienen sie eine eigene Betrachtung.
Seit 2021 haben sich die Lieferzeiten für Leistungstransformatoren weltweit von 50 auf bis zu 120 Wochen mehr als verdoppelt. Die Preise sind um 60 bis 80 Prozent gestiegen. Europäische Hersteller (ABB, Siemens Energy, Hitachi Energy) sind global führend, aber kapazitätsbeschränkt. Das ist zunächst ein Engpass-Problem, kein Abhängigkeitsproblem. Deutschland kauft Transformatoren nicht primär aus China. Aber der Engpass zeigt eine strukturelle Schwäche: Der Netzausbau, der für die Energiewende notwendig ist, hängt an Komponenten, die nicht in ausreichender Menge produziert werden.
Ein Transformator mit 120 Wochen Lieferzeit bedeutet: Wer einen Windpark heute genehmigt und in zwei Jahren in Betrieb nehmen will, muss den Transformator jetzt bestellen. Planungsvorlauf und Lieferkette sind zu einem systemischen Engpass geworden. Und der Engpass betrifft nicht nur Neubauten, sondern auch die Ersatzversorgung bei Defekten: Ein ausgefallener Großtransformator in einem Umspannwerk kann bei 120 Wochen Lieferzeit monatelang den Netzbetrieb beeinträchtigen.
Was die EU-Regulierung leistet und was nicht
Im Oktober 2024 verabschiedete der EU-Rat den Cyber Resilience Act, der ab 2027 Anwendung finden soll. Er verpflichtet Hersteller vernetzter Produkte zu Sicherheitsanforderungen über den gesamten Lebenszyklus.
Die NIS-2-Richtlinie gilt seit Oktober 2024 und verschärft Cybersicherheitspflichten für Betreiber kritischer Infrastrukturen. Rund 30.000 Unternehmen in Deutschland werden durch das Umsetzungsgesetz neu reguliert. Das ist legislativer Fortschritt. Es ist aber kein Fortschritt bei der Hardware-Frage. Der Cyber Resilience Act schreibt vor, dass vernetzte Produkte sicher sein müssen. Er schreibt nicht vor, woher die Chips und Module kommen dürfen. Die Regulierung adressiert das Symptom (Sicherheitslücken in Software und Protokollen), nicht die strukturelle Ursache (Bauteile aus Ländern mit nachrichtendienstlichem Zugriff auf Hersteller).
Der Ausschluss chinesischer Hochrisikoanbieter bei Wechselrichtern, beschlossen im Frühjahr 2026, ist ein Schritt in die richtige Richtung. Aber er gilt für Neuinstallationen in geförderten Projekten. Der installierte Bestand von rund 115 GW allein bei Huawei ist damit nicht aus dem Netz.
Was souveräne Netzinfrastruktur bedeuten würde
Eine souveräne Netzinfrastruktur ist kein realistisches Zehnjahresziel. Sie ist ein Orientierungspunkt.
- Kurzfristig erreichbar: Verbindliche Herkunftsanforderungen für SCADA-Komponenten in Übertragungsnetzen. Audit-Pflicht für installierte Wechselrichter in öffentlich geförderter Infrastruktur. Konkrete Zeitpläne für den Austausch identifizierter Hochrisikogeräte.
- Mittelfristig erreichbar: Europäische Chip- und Modulproduktion für Smart-Meter-Hardware. Das Fraunhofer-Institut für integrierte Systeme und Bauelementetechnologie in Erlangen hat die Kompetenz für sichere Chip-Entwicklung. Infineon in München produziert Sicherheitschips für europäische Kunden. Das Ökosystem für souveräne Messtechnik-Hardware existiert in Ansätzen. SMA als Weltmarktführer bei Wechselrichtern ist ebenfalls bereits vorhanden, wie Teil 2 dieser Serie ausführt. Der Ersatzmarkt durch den EU-Ausschluss chinesischer Hochrisikogeräte ist die Wachstumschance, die SMA zur Kapazitätserweiterung braucht.
- Strukturell unverzichtbar: Die Trennung zwischen öffentlichen Netzinfrastrukturen und Cloud-Diensten ausländischer Hersteller. Ein Wechselrichter kann seine Einspeisedaten lokal speichern und über nationale Plattformen weitergeben. Er muss nicht dauerhaft mit einer Sungrow-Cloud in China verbunden sein.
Das ist keine technische Herausforderung. Es ist eine Vertragsgestaltungsfrage: Wer den Beschaffungsvertrag schreibt, kann diese Anforderung hineinschreiben. Wer sie nicht hineinschreibt, macht eine Entscheidung, auch wenn er glaubt, er mache keine.
