Cybersicherheit am Wechselrichter: Was der Cyber Resilience Act vorschreibt

Ein Wechselrichter hängt heute selbstverständlich im WLAN. Er lädt Erträge in ein Portal, nimmt Firmware-Updates entgegen, meldet Störungen an den Solarteur und lässt sich aus der App des Herstellers steuern. Genau damit ist er im Rechtssinn kein Stück Elektrotechnik mehr, sondern ein vernetztes Produkt — und für vernetzte Produkte gilt seit dem 11. Juni 2026 in Teilen, ab dem 11. September 2026 an einer entscheidenden Stelle und ab dem 11. Dezember 2027 vollständig ein eigenes europäisches Gesetz.

Dieser Ratgeber sortiert, was der Cyber Resilience Act für Betreiber einer Photovoltaikanlage konkret bedeutet: welche Pflicht wann greift, wie lange dein Hersteller Sicherheitsupdates liefern muss, welche Regel für funkfähige Geräte schon seit über einem Jahr gilt — und warum das Gerät im Zählerschrank daneben streng zertifiziert ist, deiner aber nicht.

Warum der Wechselrichter unter das neue Gesetz fällt

Die Verordnung (EU) 2024/2847 vom 23. Oktober 2024 — der Cyber Resilience Act — zieht ihren Anwendungsbereich in Artikel 2 Absatz 1 sehr weit: Sie gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung „eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt". Artikel 3 Nummer 1 definiert das Produkt mit digitalen Elementen als Software- oder Hardwareprodukt einschließlich seiner Datenfernverarbeitungslösungen.

Beides trifft auf einen netzgekoppelten Wechselrichter zu, und zwar auch dann, wenn er nur über einen Datenlogger oder ein Energiemanagementsystem nach draußen spricht — „indirekte" Datenverbindung genügt. Die Hersteller-Cloud, in der deine Erträge liegen, ist die Datenfernverarbeitungslösung aus Artikel 3 Nummer 1. Ein Gerät ohne jede Kommunikationsschnittstelle fällt heraus; das ist bei Anlagen ab etwa 2015 die Ausnahme.

Vier Daten, die du auseinanderhalten musst

Der Cyber Resilience Act tritt nicht an einem Tag in Kraft, sondern in drei Stufen — und daneben läuft eine ältere Regel für funkfähige Geräte, die längst gilt. Artikel 71 Absatz 2 der Verordnung nennt die Termine ausdrücklich.

Der praktische Ertrag dieser Tabelle: Ein Wechselrichter, den du heute kaufst, muss die Produktanforderungen des Cyber Resilience Act noch nicht erfüllen. Der Hersteller muss aber ab dem 11. September 2026 melden, wenn an dem Gerät etwas passiert.

Was am 11. September 2026 beginnt: die Meldekette

Artikel 14 der Verordnung baut zwei parallele Meldewege auf. Der erste betrifft aktiv ausgenutzte Schwachstellen: Der Hersteller schickt innerhalb von 24 Stunden nach Kenntnis eine Frühwarnung an das als Koordinator benannte CSIRT und an die EU-Agentur ENISA, innerhalb von 72 Stunden eine Meldung mit Angaben zur Art der Ausnutzung und zu Gegenmaßnahmen, und spätestens 14 Tage nachdem eine Korrekturmaßnahme verfügbar ist einen Abschlussbericht.

Der zweite Weg betrifft schwerwiegende Sicherheitsvorfälle. Dort gelten dieselben 24 und 72 Stunden, der Abschlussbericht hat aber einen Monat Zeit. Schwerwiegend ist ein Vorfall nach Artikel 14 Absatz 5 unter anderem dann, wenn er die Fähigkeit des Produkts beeinträchtigen kann, „die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von sensiblen oder wichtigen Daten oder Funktionen zu schützen" — die Fernabschaltbarkeit eines Wechselrichters ist eine solche Funktion.

Für dich als Betreiber ist Absatz 8 die eigentlich interessante Vorschrift. Der Hersteller muss die betroffenen Nutzer informieren, gegebenenfalls alle Nutzer, und ihnen sagen, was sie selbst tun können.

Versäumt er das, dürfen die als Koordinatoren benannten CSIRTs die Information selbst übernehmen, wenn sie das für verhältnismäßig und erforderlich halten. Das ist eine Ersatzvornahme im Verbraucherinteresse — sie steht ausdrücklich im Text und hängt nicht davon ab, ob der Hersteller einverstanden ist.

Fünf Jahre garantierte Updates gegen zwanzig Jahre Betrieb

Hier liegt die Stelle, an der zwei Gesetze in verschiedene Richtungen zeigen. Artikel 13 Absatz 8 des Cyber Resilience Act verpflichtet den Hersteller, einen Unterstützungszeitraum festzulegen, der „die Dauer der voraussichtlichen Nutzung des Produkts widerspiegelt". Und dann zieht Unterabsatz 3 die Untergrenze ein: „Unbeschadet Unterabsatz 2 beträgt der Unterstützungszeitraum mindestens fünf Jahre."

Dem gegenüber steht Paragraf 25 Absatz 1 EEG 2023: Einspeisevergütungen und Marktprämien werden für die Dauer von 20 Jahren gezahlt, bei gesetzlich bestimmtem anzulegendem Wert verlängert um den Rest des Inbetriebnahmejahres.

Die geförderte Betriebsdauer ist damit viermal so lang wie der gesetzliche Mindest-Unterstützungszeitraum. Rechnerisch heißt das: mindestens 15 Jahre, in denen die Anlage im Netz und im Internet hängt, ohne dass ein europäischer Rechtsakt dem Hersteller Sicherheitsaktualisierungen abverlangt. Wer die Anlage nach dem Förderende weiterbetreibt, verlängert diesen Abstand.

Die zweite Frist: zehn Jahre Abrufbarkeit

Artikel 13 Absatz 9 setzt eine Frist, die in der Diskussion fast immer untergeht. Jede Sicherheitsaktualisierung, die während des Unterstützungszeitraums bereitgestellt wurde, muss danach noch mindestens zehn Jahre verfügbar bleiben — oder für die verbleibende Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist.

Das ist für Altgeräte praktisch relevanter als die fünf Jahre. Ein Wechselrichter, der nach einem Defekt getauscht oder nach Jahren wieder ans Netz genommen wird, braucht den Stand der Firmware, der zuletzt gepflegt wurde. Die Verordnung verlangt, dass dieser Stand abrufbar bleibt; sie verlangt nicht, dass danach noch weiterentwickelt wird. Wie das mit dem Austausch eines defekten Geräts zusammenspielt, steht in Wechselrichter defekt: Austausch und Kosten.

Seit dem 1. August 2025 gilt bereits die Funkanlagen-Regel

Vor dem Cyber Resilience Act gab es einen kleineren, aber schon wirksamen Hebel. Die Delegierte Verordnung (EU) 2022/30 aktiviert drei Anforderungen der Funkanlagenrichtlinie. Nach ihrem Artikel 1 Absatz 1 gilt die Anforderung aus Artikel 3 Absatz 3 Buchstabe d „für alle Funkanlagen, die selbst über das Internet kommunizieren können, unabhängig davon, ob sie direkt oder über andere Geräte kommunizieren". Ein Wechselrichter mit WLAN-Modul ist eine solche Funkanlage.

Im deutschen Recht steht dieselbe Anforderung in Paragraf 4 Absatz 3 FuAG: Nummer 4 verlangt, dass die Anlage „weder schädliche Auswirkungen auf das Netz oder seinen Betrieb" hat noch Netzressourcen missbräuchlich nutzt; Nummer 5 verlangt Sicherheitsvorrichtungen zum Schutz personenbezogener Daten und der Privatsphäre. Beide greifen aber nur, „sofern und soweit die Kommission … dies in delegierten Rechtsakten festgelegt hat" — der delegierte Rechtsakt ist eben die Verordnung 2022/30.

Aufschlussreich ist, was zwischen 2022 und 2025 passiert ist.

Ursprünglich sollte die Verordnung ab dem 1. August 2024 gelten. Mit der Delegierten Verordnung (EU) 2023/2444 hat die Kommission den Geltungsbeginn auf den 1. August 2025 verschoben, und sie nennt den Grund in Erwägungsgrund 5 offen: Das Fehlen harmonisierter Normen mache die Einhaltung der Anforderungen „sehr aufwendig", die Normungsorganisationen brauchten mehr Zeit. Die Anforderung stand also ein Jahr lang fest, bevor der Maßstab existierte, an dem sie zu messen war.

Wer heute ein Prüfzeichen an einem Gerät sucht, sollte diese Vorgeschichte kennen — sie erklärt, warum die Belege der Hersteller so unterschiedlich ausfallen.

Das Gerät im Zählerschrank ist zertifiziert, deins nicht

Der schärfste Kontrast in diesem Thema liegt nicht zwischen zwei Herstellern, sondern zwischen zwei Geräten in derselben Hausinstallation. Für das Smart-Meter-Gateway schreibt Paragraf 19 Absatz 2 MsbG vor, dass für energiewirtschaftlich relevante Mess- und Steuerungsvorgänge „ausschließlich solche technischen Systeme und Bestandteile eingesetzt werden" dürfen, die den Anforderungen der Paragrafen 21 und 22 genügen.

Und Paragraf 22 Absatz 2 MsbG sagt, wie diese Anforderungen belegt werden: Der Stand der Technik wird vermutet, wenn die Schutzprofile und Technischen Richtlinien des Bundesamts für Sicherheit in der Informationstechnik eingehalten werden. Absatz 3 verlangt von einem Schutzprofil unter anderem eine „gültige Beschreibung von Bedrohungsmodellen", Vorgaben zur Manipulationsresistenz und Mindestanforderungen an Kommunikationsverbindungen und Protokolle.

Für den Wechselrichter existiert keine vergleichbare gesetzliche Zertifizierungspflicht. Er ist in dieser Architektur Kommunikationspartner des Gateways, nicht dessen Bestandteil. Das ist keine Nachlässigkeit des Gesetzgebers, sondern die Folge der Zuordnung: Das Messstellenbetriebsgesetz regelt das Messsystem, nicht die Erzeugungsanlage. Der Effekt bleibt trotzdem, dass zwei Geräte im selben Verteiler an sehr verschiedenen Maßstäben gemessen werden. Wie die Gateway-Pflicht überhaupt zustande kommt, steht in Smart-Meter-Pflicht bei Photovoltaik.

Zwei Wege ins Haus — und nur einer ist beschrieben

Das BSI beschreibt auf seiner Seite zum Smart-Meter-Gateway die Architektur im Detail und nennt dabei zwei Punkte, die für dieses Thema entscheidend sind. Erstens: „Aus Gründen der Sicherheit gehen sämtliche Kommunikationsverbindungen vom SMGW aus."

Zweitens: Im Heimnetzbereich HAN-CLS kommuniziert das Gateway ausdrücklich mit „Wechselrichtern von Photovoltaikanlagen", und dort wird „berechtigten externen Marktteilnehmern der Zugriff auf diese Geräte für Steuerungs- und Fernwartungszwecke ermöglicht".

Der abgesicherte Pfad zu deinem Wechselrichter existiert also und ist bis auf die kryptografischen Verfahren durchspezifiziert.

Nur ist er in der Praxis selten der einzige: Die meisten Geräte halten daneben eine eigene, dauerhafte Verbindung zur Cloud ihres Herstellers, über die Portal, App und Firmware-Updates laufen. Für diesen zweiten Pfad gibt es kein gesetzliches Schutzprofil und keine Vorgabe, von welcher Seite die Verbindung aufgebaut wird. Das ist die Einordnung dieses Ratgebers, keine Aussage des BSI — die zitierte Seite beschreibt den Gateway-Pfad, nicht den Cloud-Pfad.

Der Netzkodex Cybersicherheit meint Unternehmen, nicht Hausdächer

Wer nach europäischen Cybersicherheitsregeln für den Stromsektor sucht, stößt schnell auf die Delegierte Verordnung (EU) 2024/1366 vom 11. März 2024, den Netzkodex für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse. Der Verweis darauf geht in Diskussionen über Wechselrichter regelmäßig fehl.

Artikel 2 Absatz 1 zählt die erfassten Einrichtungen auf — Elektrizitätsunternehmen, nominierte Strommarktbetreiber, organisierte Marktplätze, Anbieter kritischer IKT-Dienste, ENTSO-E und die EU-Vereinigung der Verteilernetzbetreiber — und macht die Geltung zusätzlich davon abhängig, dass sie nach Artikel 24 als Einrichtungen „mit erheblichen oder kritischen Auswirkungen" eingestuft werden.

Der private Anlagenbetreiber ist in keiner dieser sechs Kategorien. Die Summe der Kleinanlagen ist systemrelevant, die einzelne Anlage ist es rechtlich nicht.

Bußgelder bis 15 Millionen Euro — und was du davon hast

Die Verordnung ist bei den Sanktionen deutlich. Bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen des Anhangs I oder gegen die Pflichten aus den Artikeln 13 und 14 sind Geldbußen von bis zu 15 Millionen Euro oder, bei Unternehmen, bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vorgesehen, je nachdem, welcher Betrag höher ist.

Für dich als Betreiber folgt daraus unmittelbar nichts. Die Bußgelder gehen an den Staat, nicht an den Geschädigten, und sie setzen ein Verfahren der Marktüberwachungsbehörde voraus. Was dir tatsächlich hilft, ist die Informationspflicht aus Artikel 14 Absatz 8 und die Dokumentationspflicht zum Unterstützungszeitraum aus Artikel 13 Absatz 8 — beides erzeugt Papier, auf das du dich beziehen kannst.

→ Jetzt PV-Angebote für dein Dach vergleichen

Was dieser Ratgeber nicht beantwortet

Drei Lücken bleiben offen, und sie werden hier benannt statt gefüllt.

Erstens: Die Anhänge des Cyber Resilience Act — Anhang I mit den grundlegenden Anforderungen, Anhang III mit den „wichtigen" und Anhang IV mit den „kritischen" Produkten — waren im abgerufenen Volltext nicht enthalten und wurden deshalb nicht gelesen. Ob ein Wechselrichter in eine dieser Listen fällt und damit ein strengeres Konformitätsverfahren durchlaufen muss, steht hier bewusst nicht.

Zweitens: Die harmonisierte Normenreihe zur Funkanlagenrichtlinie und die einschlägigen VDE-Anwendungsregeln sind kostenpflichtig. Aus ihnen wird hier kein einziger Wert zitiert.

Drittens: Es gibt keine belastbare, frei abrufbare Statistik darüber, wie viele der in Deutschland installierten Wechselrichter dauerhaft mit einer Hersteller-Cloud verbunden sind. Jede Zahl dazu wäre geschätzt, und geschätzte Zahlen gehören nicht in einen Ratgeber, der sich auf Rechtstexte stützt.

Häufige Fragen zur Cybersicherheit von Wechselrichtern

Gilt der Cyber Resilience Act schon für meinen Wechselrichter?

Teilweise. Nach Artikel 71 Absatz 2 gilt die Verordnung insgesamt erst ab dem 11. Dezember 2027. Artikel 14 mit den Meldepflichten der Hersteller gilt aber bereits ab dem 11. September 2026, Kapitel IV mit den Regeln für Konformitätsbewertungsstellen seit dem 11. Juni 2026. Die Produktanforderungen betreffen erst Geräte, die nach dem Geltungsbeginn in den Verkehr gebracht werden.

Muss der Hersteller mir sagen, wenn eine Sicherheitslücke ausgenutzt wurde?

Ja, Artikel 14 Absatz 8 verpflichtet ihn dazu, die betroffenen Nutzer zu informieren und ihnen mögliche Gegenmaßnahmen zu nennen. Versäumt er das, dürfen die als Koordinatoren benannten CSIRTs die Nutzer selbst informieren, wenn sie das für verhältnismäßig und erforderlich halten.

Wie lange muss ich Sicherheitsupdates bekommen?

Mindestens fünf Jahre. Artikel 13 Absatz 8 Unterabsatz 3 setzt diese Untergrenze; Unterabsatz 2 verlangt darüber hinaus, dass der Hersteller sich an der voraussichtlichen Nutzungsdauer des Produkts orientiert. Eine gesetzliche Update-Pflicht über die gesamte Lebensdauer einer Photovoltaikanlage gibt es nicht.

Was passiert, wenn der Hersteller den Support einstellt?

Die während des Unterstützungszeitraums bereitgestellten Sicherheitsaktualisierungen müssen nach Artikel 13 Absatz 9 noch mindestens zehn Jahre abrufbar bleiben. Neue Aktualisierungen schuldet der Hersteller danach nicht mehr.

Gilt für meinen Wechselrichter schon eine Cybersicherheitsanforderung?

Wenn er ein Funkmodul hat und über das Internet kommunizieren kann: ja, seit dem 1. August 2025 über die Delegierte Verordnung (EU) 2022/30 in Verbindung mit Paragraf 4 Absatz 3 FuAG. Der ursprüngliche Termin 1. August 2024 wurde durch die Delegierte Verordnung (EU) 2023/2444 um ein Jahr verschoben, weil harmonisierte Normen fehlten.

Ist der Wechselrichter so streng geprüft wie mein Stromzähler?

Nein. Für das Smart-Meter-Gateway verlangt Paragraf 19 Absatz 2 MsbG den Einsatz von Systemen, die den Paragrafen 21 und 22 genügen, und Paragraf 22 Absatz 2 knüpft die Vermutung des Stands der Technik an die Schutzprofile und Technischen Richtlinien des BSI. Eine vergleichbare gesetzliche Zertifizierungspflicht für den Wechselrichter selbst gibt es nicht.

Bin ich als Anlagenbetreiber vom EU-Netzkodex Cybersicherheit erfasst?

Nein. Artikel 2 Absatz 1 der Delegierten Verordnung (EU) 2024/1366 nennt Elektrizitätsunternehmen, nominierte Strommarktbetreiber, organisierte Marktplätze, Anbieter kritischer IKT-Dienste, ENTSO-E und die EU-Vereinigung der Verteilernetzbetreiber — und auch die nur, soweit sie nach Artikel 24 als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft sind.

Kann ich Schadensersatz verlangen, wenn mein Wechselrichter gehackt wird?

Der Cyber Resilience Act regelt das nicht; er sieht in Artikel 64 Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor, die an den Staat gehen. Ansprüche gegen den Hersteller oder den Errichter richten sich nach dem allgemeinen Vertrags- und Produkthaftungsrecht; dazu Produktsicherheit und Rückruf.

Sollte ich den Wechselrichter einfach vom Internet trennen?

Das schließt den Cloud-Pfad, hat aber einen Nachteil: Fernwartung, Firmware-Updates und in vielen Fällen die Ertragsüberwachung fallen weg. Prüfe vorher am Wechselrichter, welche Werte das Display auch ohne Verbindung anzeigt. Wer steuerbare Verbraucher oder eine Direktvermarktung hat, braucht die Datenverbindung ohnehin. Die Abwägung hängt am konkreten Aufbau — pauschal empfiehlt dieser Ratgeber sie nicht.