Photovoltaik-Anlage als Einfallstor für Datendiebe

Im März 2023 waren etwa 2,6 Millionen Solarmodule auf deutschen Dächern installiert. Von vielen Nutzerinnen und Nutzern von Photovoltaik-Anlagen waren bis vor Kurzem sensible Daten frei im Netz verfügbar. Wie unsere Kolleginnen und Kollegen der Süddeutschen Zeitung berichteten, betraf eine entsprechende Lücke weltweit zehntausende Geräte der chinesischen Firma Renac Power. Zu den öffentlich zugänglichen Daten gehörten demnach unter anderem Nutzernamen, Passwörter, die Version des jeweiligen Geräts, und Mailadressen der Betreibenden.

Schnittstelle inzwischen geschlossen: Über Schnittstellen zur Cloud des Unternehmens konnte man die Kundendaten einfach abfragen, ganz ohne Authentifizierung. Auf SZ-Anfrage bestritt Renac Power, dass man diese Daten abfragen könne. Tatsächlich ist die Schnittstelle, die jedem den Zugriff auf die sensiblen Angaben erlaubte, seit Mitte Januar geschlossen. Was das Unternehmen dabei verschweigt: Die Verantwortlichen haben offenbar erst reagiert, nachdem die SZ das Unternehmen mit der Schwachstelle konfrontiert hatte. Kriminelle hätten mit den erlangten Informationen versuchen können, auch andere digitale Tore zu öffnen und etwa in Mailkontos einzudringen: Viele Menschen verwenden dasselbe Passwort für unterschiedliche Plattformen. Ob die Lücke auf diese Weise ausgenutzt wurde, ist nicht bekannt.