Sicherheitsrisiken bei Erneuerbaren: Rotoren, wie von Geisterhand gestoppt

Pläne, Turbinen für einen Nordsee-Windpark in China zu kaufen, haben deutsche PolitikerInnen alarmiert. Wie Hacker die Erneuerbaren lahmlegen könnten.

Von Mingyang sollten die Windräder für einen Offshore-Windpark kommen. Das stoppten PolitikerInnen von CDU, SPD und Grünen Foto: CFoto/imago

Berlin taz | Stellen wir uns vor: Vor Borkum stürmt es. Anstatt dass die vorgesehenen Sicherheitsmaßnahmen greifen, drehen sich die 160 Meter hohen Riesenrotoren im Windpark 90 Kilometer vor der Nordseeinsel mit voller Angriffsfläche in die Böen. Die Anlage geht über ihre Belastungsgrenzen hinaus – und wird deshalb automatisch per Notschaltung gestoppt. Nicht der einzige Offshore-Windpark, der plötzlich wie von Geisterhand blockiert ist. Die Abschaltungen wurden, wie deutsche Sicherheitsexperten später feststellen, vom südchinesischen Zhongshan aus ferngesteuert. Hier ist der Sitz von Mingyang, dem größten Windanlagenhersteller der Welt. Das Außenministerium in Peking bedauert den Vorfall, der in Teilen Deutschlands zu Blackouts geführt hat. War die Störung der Stromversorgung ein Versehen? War es hybride Kriegsführung? Was bleibt, ist die Unsicherheit.

Alles nur ein hypothetisches Szenario. Aber eines, das deutschen PolitikerInnen derzeit tiefe Sorgenfalten bereitet. SicherheitsexpertInnen von CDU, Grünen und SPD verlangten deshalb vor einigen Wochen den Stopp des Kaufs von 16 Turbinen von Mingyang für einen Offshore-Windpark vor Borkum.

Es wären die ersten Anlagen dieser Art aus China in Deutschland. Sie wären Teil der Kritischen Infrastruktur, ein Import aus der Volksrepublik „ist zu verhindern“, heißt es in einer aktuellen Analyse des Instituts für Verteidigung und Strategie (GIDS), einer Forschungseinrichtung der Bundeswehr.

„Wir dürfen unsere Kritische Infrastruktur nicht in chinesische Hände legen – da gehören Offshore-Windparks auf jeden Fall dazu“, sagt Moritz Brake, Chef und Gründer von Nexmaris, einer Agentur, die Politik und Wirtschaft zu Fragen der maritimen Sicherheit berät.

2022 gab es Angriffe auf Erneuerbare

Bis Mitte des Jahrhunderts soll etwa ein Drittel des deutschen Strombedarfs per Offshore-Wind erzeugt werden. Das macht die Anlagen so wichtig – auch für Angreifer.

Dass ein Hamburger Windparkentwickler die Turbinen in China ordern will, findet auch Brake unverantwortlich: „Wir dürfen nicht blauäugig sein: Chinas Verhalten macht eine noch größere Vertiefung der ohnehin bestehenden wirtschaftlichen Abhängigkeiten hochriskant. Die Unterstützung Russlands im Ukrainekrieg und Chinas expansionistisches Auftreten zeigen, dass von dort kein Wohlwollen zu erwarten ist“, sagt der Experte.

Der Westen ist angreifbar, das belegten viele Beispiele: „Welche Möglichkeiten es gibt, zeigt die Diskussion um die Containerkräne in den US-amerikanischen Häfen, die zu über 80 Prozent aus China kommen“, sagt Brake. „Ein hoher Automatisierungsgrad und Fernwartungssysteme sind ein leichtes Einfallstor für externe machtpolitische Manipulation.“

Aber auch die erneuerbaren Energien sind betroffen. Das Bundesamt für Sicherheit in der Informationstechnik schloss Ende Februar 2022, also kurz nach Beginn des russischen Angriffs auf die Ukraine, eine Cyberattacke als Ursache für die Störung der Fernwartung von Tausenden Windkraftanlagen in Deutschland nicht aus. Wenig später griffen Hacker IT-Systeme einer Firma mit Sitz in Bremen an, die Windparks wartet und überwacht. Ob der chinesische Windkraftriese Mingyang Rotoren für einen schwimmenden Windpark vor der Küste Großbritanniens liefern soll, ist derzeit Gegenstand einer Untersuchung der Regierung. Problem: Offenbar kann keine andere Firma weltweit die Anlagen liefern.

Viele Störungsmöglichkeiten denkbar

Mit wenigen Klicks und handelsüblicher Software lassen sich vor allem ältere Wind-, aber auch Solarparks kapern. Laut ExpertInnen gibt es allein in Deutschland eine zweistellige Gigawatt-Leistung an nicht ausreichend gesicherten Photovoltaik- und Windkraftanlagen. Besonders relevant sind dabei die Windräder – wegen ihrer Größe.

Bis zum Jahr 2028 soll der Windpark Waterkant, für den die chinesischen Rotoren bestellt sind, montiert werden. Er soll Strom für etwa 400.000 Haushalte erzeugen.

Deutschlands größter Offshore-Windpark namens He Dreiht soll bereits in diesem Jahr etwa 85 Kilometer nordwestlich von Borkum ans Netz gehen. Gesamtleistung der 64 Turbinen aus dänischer Produktion: 960 Megawatt.

Damit können rund 1,1 Millionen Wohnungen versorgt werden. Die Möglichkeiten zu stören sind vielfältig: Die Bundeswehrexperten des GIDS warnen vor dem Ausspähen von Sicherheitsprotokollen. Oder auch vor angeblichen „Lieferengpässen“ in China, die den Bau der für die Energiewende wichtigen Anlagen verzögern könnten. Schon eine bloße Drohung, die Sicherheit der Anlagen zu stören, kann in einer angespannten Situation Gefahrenpotenzial haben.

Auch Spionage ist möglich

Theoretisch ist es laut GIDS sogar möglich, die Anlagen zu Spionagezwecken zu nutzen. Nicht jedes Windrad ist eine Horchanlage, aber hier werden Daten ausgelesen. Zum Beispiel könnten Hacker – mit Vorsatz und Plan – die Glasfaser-Steuerungskabel manipulieren, die die Konverterstationen auf See bedienen. Dort wird die gewonnene Energie in eine höhere Spannung umgewandelt.

Durch den Zugriff könnten Schwingungen in der Nähe gemessen und Bewegungsprofile erstellt werden: die eines Schweinswals, eines Tauchers – oder auch eines U-Boots. Das Problem: Durch Importe zum Beispiel aus China Einfallstore für Störenfriede zu öffnen oder offenzuhalten, ist laut Gesetz erlaubt.

Erst im Januar sind die Gespräche zur Umsetzung der EU-Cybersicherheitsrichtlinie NIS-2 im Bundestag gescheitert, genau wie das Kritis-Dachgesetz, das den physischen Schutz kritischer Infrastruktur verbessern sollte.

Mit dem Gesetz ließe es sich grundsätzlich verbieten, kritische Komponenten nicht vertrauenswürdiger Hersteller einzukaufen. Es gilt allerdings derzeit nur für den Telekommunikationssektor.

In diesem Bereich handelte die Bundesregierung im vergangenen Sommer, als sie chinesische Netzwerkausrüster wie Huawei und ZTE vom Ausbau des 5G-Mobilfunknetzes ausschloss.

Sicherheitsexperte Brake sieht dringenden Handlungsbedarf für die neue Regierung. „Auch wenn es bisher noch kein klares gesetzliches Verbot gibt“, sagt er, „erfordert schon allein die unternehmerische Sorgfaltspflicht Rücksicht auf die erheblichen geopolitischen Risiken.“

Comments

[Bolzkopf]

Es wäre sicher blauäugig zu glauben Systeme aus "anderen Ländern" wären nicht gefährdet.

Ich erinnere da nur an die weltweite "Störung" im letzten Jahr bei der etliche Computer gerade im kommerziellen Bereich nicht mehr gestartet sind.



Alle Fachleute wissen das und viele Entscheide rin den Unternehmen auch.



Aber es führt kein Weg hinaus.

[vieldenker]

Nun ja, unsere Firmen sind ja auch weltweit in solchen Bereichen unterwegs. Wenn Siemens nun zum Beispiel wegen der Fernwartungsmöglichkeiten keine Zentrifugen liefern könnte…

[Axel Berger]

@vieldenker:

Das war keine Fernwartung sondern Einschleusen in die Kontrollprogramme vor Ort.

[Janix]

Was bleibt eigentlich, wenn in China produzierte Handies, Laptops, Investitionsgüter, ... alle ersetzt werden müssen. Ganz offen und ernsthaft gefragt.



Handel mit China auf Null oder tut es auch ein Check durch den CCC?

[Axel Berger]

Es gibt vom Offshorewindpark auf's Land genau ein Kabel (oder zur Redundanz besser zwei oder drei). Jedes Kabel hat genau zwei Enden. Es gibt überhaupt keinen Grund, gefährdete Technik mit "dem Internet" zu verbinden und aktiv und selbst Angriffswege erst zu schaffen.



Die App für meinen Balkoninverter oder meinen Putzroboter reden auch (wenn ich denn so blöd wäre, sie zu installieren) nicht mit den Geräten sondern mit einem Server in China, der dann für mich die Geräte anspricht. Aus dem Grund kann ich auch meine Wohnungsautomatisierung, so praktisch das vielleicht oft wäre, nicht von unterwegs bedienen. Wenn ich sie von außerhalb der Wohnung ansprechen könnte, dann kann es mindestens im Prinzip jeder andere auch -- und an entsprechenden Stellen arbeiten klügere und besser bezahlte Leute als ich. Was nicht da ist, kann nicht mißbraucht werden.



Natürlich will der Staat da mit Gesetzen nicht eingreifen. Man stelle sich vor, die würden wirksam. Dann könnte er die Patientenakten und intelligenten Stromzähler ja auch selbst nicht mehr auswerten. Das kann keiner wollen, zumindest keiner, der in Deutschland Gesetze schreibt.

[So,so]

"Erst im Januar sind die Gespräche zur Umsetzung der EU-Cybersicherheitsrichtlinie NIS-2 im Bundestag gescheitert, genau wie das Kritis-Dachgesetz, das den physischen Schutz kritischer Infrastruktur verbessern sollte."



Bitte klar Ross und Reiter benennen:



Wer hat dagegen gestimmt??



Ich finde das zutiefst unverantwortlich und möchte wissen wer das war.