Fernzugriff auf die PV-Anlage: Wer sie abschalten darf und wer nur zuschaut

Drei Instanzen können an deiner Anlage drehen – und nur eine davon steht im EEG

Sobald die PV-Anlage läuft, hängt sie an mindestens zwei Netzen: am Stromnetz und am Internet. Über das eine kann der Netzbetreiber die Einspeiseleistung reduzieren, über das andere schaut der Hersteller deines Wechselrichters auf Betriebsdaten, die er zur Fernwartung braucht – und die er in seiner Cloud speichert. Ein Direktvermarkter kommt als dritte Instanz dazu, sobald du deinen Strom vermarkten lässt.

Diese drei Wege werden im Alltag ständig durcheinandergeworfen. Sie haben unterschiedliche Rechtsgrundlagen, unterschiedliche technische Kanäle und – das ist der Punkt, der die meisten überrascht – völlig unterschiedliche Grenzen dessen, was ohne deine Zustimmung erlaubt ist. Der Netzbetreiber braucht deine Einwilligung nicht; der Hersteller braucht sie in aller Regel schon.

Der Gesetzgeber hat den Zugriff des Netzbetreibers in § 9 des EEG 2023 geregelt. Ausgenommen sind dort ausdrücklich nur Steckersolargeräte bis 2 Kilowatt installierter Leistung und 800 Voltampere Wechselrichterleistung hinter der Entnahmestelle eines Letztverbrauchers. Alles darüber – also jede Dachanlage – ist erfasst.

Was der Netzbetreiber darf: § 9 EEG 2023 im Klartext

Die zentrale Pflicht steht in § 9 Absatz 1 Satz 1 Nummer 2 EEG 2023 und richtet sich an dich als Anlagenbetreiber, nicht an den Netzbetreiber: Du musst den technischen Zustand deiner Anlage so sicherstellen, dass „Netzbetreiber oder andere Berechtigte jederzeit die Ist-Einspeisung abrufen und die Einspeiseleistung … vollständig oder, sobald jeweils die technische Möglichkeit besteht, stufenweise oder stufenlos ferngesteuert regeln können“.

Zwei Formulierungen darin werden regelmäßig überlesen. Erstens „oder andere Berechtigte“ – der Netzbetreiber ist nicht der einzig mögliche Steuernde, ein Direktvermarkter kann derselbe Kanal sein. Zweitens „jederzeit“: Die Norm knüpft den Abruf an keine Voraussetzung, keine Ankündigung und keine Netzengpasslage. Die Grenzen, ab wann der Netzbetreiber tatsächlich eingreifen darf, stehen nicht hier, sondern im Einspeisemanagement des EnWG.

Bis zum Einbau eines intelligenten Messsystems gilt eine Übergangsstaffel nach § 9 Absatz 2 EEG 2023, gestaffelt nach installierter Leistung:

Für ein Einfamilienhaus mit 10 Kilowatt bedeutet das: keine Fernsteuertechnik, aber – solange die Anlage der Einspeisevergütung zugeordnet ist – eine harte Kappung auf 6 Kilowatt Einspeiseleistung am Verknüpfungspunkt. Der darüber liegende Ertrag ist nicht „verloren“, sondern nur nicht einspeisbar; verbrauchst du ihn selbst oder lädst du damit den Speicher, zählt er weiter.

Ob diese Kappung bei dir überhaupt aktiv ist, kannst du selbst nachsehen: Prüfe im Wechselrichter unter den Einstellungen zur Wirkleistungsbegrenzung, welcher Prozentwert dort steht, und vergleiche ihn mit der installierten Leistung auf dem Typenschild. Ein typischer Fehler bei Erweiterungen ist, dass die alte Begrenzung stehen bleibt, obwohl die Anlage inzwischen größer ist – dann kappt der Wechselrichter auf 60 Prozent der alten Leistung.

Seit wann Kleinanlagen überhaupt getestet werden – und was du ab 2028 dafür bekommst

Dass eine Anlage steuerbar sein muss, heißt nicht, dass jemand nachsieht, ob sie es ist. Genau das hat der Gesetzgeber in § 12 Absatz 2b EnWG nachgeschärft: Jeder Betreiber eines Elektrizitätsversorgungsnetzes muss jährlich Anpassungen und Abrufe der Ist-Einspeisung testweise vornehmen – „wobei Anlagen mit einer Nennleistung von unter 100 Kilowatt erst ab dem 1. Januar 2026 einzubeziehen sind“.

Die Übertragungsnetzbetreiber legen dazu bis zum 30. November jedes Jahres einen Gesamtbericht vor, erstmals zum 30. November 2025.

Für Betreiber kleiner Dachanlagen heißt das: Der Testabruf am eigenen Zähler ist seit 2026 Routine, nicht Ausnahme. Wer dabei durchfällt, weil der Wechselrichter die Steuerbefehle nicht umsetzt, bekommt das jetzt gemeldet – vorher fiel es schlicht nicht auf.

Die Gegenrichtung ist ebenfalls geregelt und praktisch unbekannt: Nach § 9 Absatz 2a EEG 2023 zahlt dir der Netzbetreiber ab dem 1. Januar 2028 für jedes angefangene Jahr 100 Euro brutto, wenn nach dem Einbau des intelligenten Messsystems die Testung auf Ansteuerbarkeit noch nicht erfolgreich war – als Ausgleich dafür, dass du deine alte Fernsteuertechnik parallel weiterbetreiben musst. Die Zahlungspflicht entfällt nur, wenn der Netzbetreiber die erfolglose Testung nicht zu vertreten hat.

§ 14a EnWG steuert deinen Verbrauch, nicht deine Erzeugung

Die zweite Norm, die in diesem Zusammenhang genannt wird, ist § 14a EnWG – und sie regelt etwas anderes. Absatz 1 Satz 1 ermächtigt die Bundesnetzagentur zu bundeseinheitlichen Regelungen über die „netzorientierte Steuerung von steuerbaren Verbrauchseinrichtungen“ im Gegenzug für reduzierte Netzentgelte. Das ist die Entnahmeseite deines Hausanschlusses, nicht die Einspeiseseite deiner Module.

Welche Geräte gemeint sind, sagt Absatz 3 ausdrücklich: Wärmepumpen, nicht öffentlich zugängliche Ladepunkte für Elektromobile, Anlagen zur Erzeugung von Kälte oder zur Speicherung elektrischer Energie und Nachtstromspeicherheizungen. Der Hausspeicher steht also in beiden Welten – als Verbraucher unter § 14a EnWG, als Teil der Erzeugungsanlage unter § 9 EEG 2023 mit dessen Schwellen bei 25 und 100 Kilowatt.

Wichtig ist Absatz 1 Satz 3 Nummer 1: Wirtschaftliche Anreize und Vereinbarungen über Netzanschlussleistungen haben Vorrang vor der direkten Steuerung einzelner Verbrauchseinrichtungen. Der Zugriff auf das einzelne Gerät ist im Gesetz als das nachrangige Mittel angelegt, nicht als Regelfall. Wie die Details ausgestaltet sind, steht in den Festlegungen der Bundesnetzagentur; wir behandeln sie im Ratgeber zu § 14a EnWG und den Netzentgelten.

Der zugelassene Steuerkanal ist das Smart-Meter-Gateway, nicht die Herstellercloud

Hier wird es für die Praxis entscheidend. § 14a Absatz 4 EnWG bestimmt: Sobald die Messstelle mit einem intelligenten Messsystem ausgestattet ist, hat die Steuerung „über ein Smart-Meter-Gateway“ zu erfolgen – nach den Vorgaben des Messstellenbetriebsgesetzes und den konkretisierenden Technischen Richtlinien und Schutzprofilen des Bundesamts für Sicherheit in der Informationstechnik.

§ 21 Absatz 1 Nummer 1 MsbG beschreibt, was dieses System können muss: die zuverlässige Administration und Fernsteuerbarkeit der Anlagen sowie den Abruf der jeweiligen Ist-Einspeisung von Erzeugungsanlagen. § 22 Absatz 2 MsbG regelt den Prüfmaßstab: Die Einhaltung des Standes der Technik wird vermutet, wenn die im Anhang genannten Schutzprofile und Technischen Richtlinien des BSI in der jeweils geltenden Fassung eingehalten werden; die geltende Fassung wird im Bundesanzeiger bekannt gemacht.

Der Prüfmaßstab liegt damit nicht beim Netzbetreiber und auch nicht beim Gerätehersteller, sondern bei einer Zertifizierung nach fremden Vorgaben. Das ist der eigentliche Unterschied zur Cloud-Anbindung des Wechselrichters, für die es kein solches Verfahren gibt.

Und § 19 Absatz 2 MsbG benennt die Gefahr, um die es dabei geht, in erstaunlich klaren Worten. Der Verordnungsgeber wird dort ermächtigt, Regeln zu erlassen „zum Schutz vor Datenabfluss an unbefugte Dritte sowie zum Schutz vor Fremdkontrolle durch unbefugte Dritte“ – bis hin zu der Befugnis nach Nummer 3, unabhängige Weitverkehrsnetzverbindungen ganz zu untersagen oder die Anbindung nur über ein Smart-Meter-Gateway zu erlauben. Der Gesetzgeber hat also ausdrücklich vorgesehen, dass der eigene Internetkanal eines Geräts abgeschnitten werden kann.

Für den Zeitpunkt gibt § 19 Absatz 5 MsbG eine Marke: Messsysteme, die den Anforderungen der Absätze 2 und 3 nicht entsprechen, dürfen über den 31. Dezember 2025 hinaus – in den Fällen des § 30 Absatz 1 Nummer 1 über den 31. Dezember 2028 hinaus – nur noch unter engen Bedingungen eingebaut und genutzt werden. Eine dieser Bedingungen ist deine Einwilligung, und die kannst du als Haushaltskunde nach demselben Absatz jederzeit widerrufen.

Wer deine Messdaten sehen darf – und wer ausdrücklich nicht

Beim Datenzugriff ist das Messstellenbetriebsgesetz deutlich strenger, als die meisten erwarten. § 49 Absatz 1 MsbG lässt die Verarbeitung personenbezogener Daten „ausschließlich“ durch die in Absatz 2 genannten Stellen zu und setzt einen Satz hinterher, der selten zitiert wird: „Eine Verarbeitung dieser Daten nach anderen Rechtsvorschriften des Bundes oder der Länder ist unzulässig.“

Der Katalog des Absatzes 2 umfasst neun Positionen: Messstellenbetreiber, Netzbetreiber, Bilanzkoordinatoren, Bilanzkreisverantwortliche, Direktvermarktungsunternehmer nach dem EEG, Energielieferanten, Aggregationsverantwortliche, Messwertweiterverarbeiter – und als neunte „jede Stelle, die über eine Einwilligung des Anschlussnutzers verfügt, die den Anforderungen des Artikels 7 der Verordnung (EU) 2016/679 genügt“.

Der Hersteller deines Wechselrichters steht in den ersten acht Positionen nicht. Er kann nur über Position neun in den Kreis kommen – über deine Einwilligung. Das ist der eigentliche Hebel, den die meisten Betreiber nie benutzen. Ergänzend verbietet § 49 Absatz 5 MsbG, die Belieferung mit Energie oder den Zugang zu Tarifen von der Angabe personenbezogener Daten abhängig zu machen, die dafür nicht erforderlich sind.

Die zweite Datenspur: das Portal deines Herstellers

Damit ist die Sache aber nicht erledigt, denn der Hersteller sammelt seine Daten nicht aus dem Messsystem, sondern aus dem Wechselrichter selbst. Diese Spur läuft nicht über das MsbG, sondern über die Datenschutz-Grundverordnung – und dort hast du ein Werkzeug, das kaum jemand einsetzt.

Nach Artikel 15 Absatz 1 DSGVO kannst du Auskunft verlangen über die Verarbeitungszwecke, die Kategorien der verarbeiteten Daten, die Empfänger – „insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen“ –, die geplante Speicherdauer sowie über deine Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch. Genau die Frage nach den Empfängern in Drittländern ist bei Wechselrichter-Portalen die interessante.

Antworten muss der Verantwortliche nach Artikel 12 Absatz 3 DSGVO unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags; die Frist kann um zwei weitere Monate verlängert werden. Ein solcher Antrag kostet nichts und ist formlos möglich.

Kann der Hersteller die Anlage aus der Ferne abschalten?

Die ehrliche Antwort besteht aus zwei Teilen. Technisch: Ein Wechselrichter, der Firmware-Updates aus der Cloud entgegennimmt, kann durch ein Update in seinem Betriebsverhalten verändert werden – das ist keine Spekulation, sondern die Funktionsbeschreibung eines updatefähigen Geräts. Rechtlich: Ob der Hersteller das darf, richtet sich nach deinem Vertrag mit ihm, nicht nach dem EEG oder dem EnWG. Diese Gesetze adressieren den Netzbetreiber, nicht den Gerätelieferanten.

Deshalb ist der Blick in die Nutzungsbedingungen des Portals der einzige Weg zu einer belastbaren Antwort für dein Gerät. Zwei Punkte sind dabei entscheidend: Erstens, ob das Portal als Voraussetzung der Garantie verlangt wird – dann bist du an die Anbindung gebunden, solange du die Garantie behalten willst. Zweitens, ob sich der Hersteller ein Recht zur Änderung von Betriebsparametern über Updates vorbehält, und ob er sich dafür ein Kündigungs- oder Abschaltrecht des Dienstes einräumt.

Was der Cyber Resilience Act ab 2027 an dieser Lage ändert

Die europäische Verordnung (EU) 2024/2847 – der Cyber Resilience Act – erfasst „Produkte mit digitalen Elementen“, und ein netzverbundener Wechselrichter mit Cloud-Anbindung ist ein Musterbeispiel dafür. Ihre Zeitachse steht in Artikel 71 Absatz 2 und ist gestaffelt:

Artikel 14 ist der Teil, der für Anlagenbetreiber am schnellsten spürbar wird. Er verpflichtet Hersteller, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle „unverzüglich, in jedem Fall aber innerhalb von 24 Stunden“ nach Kenntniserlangung abzugeben und innerhalb von 72 Stunden eine vollständige Meldung nachzureichen. Dieselben Fristen – 24 Stunden für die Frühwarnung, 72 Stunden für die Meldung – gelten für schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts auswirken.

Für die Frage, wie lange dein Gerät Sicherheitsupdates bekommt, gibt Erwägungsgrund 60 der Verordnung die Richtung vor: Der Unterstützungszeitraum soll mindestens fünf Jahre betragen, und wenn nach vernünftigem Ermessen von einer längeren Nutzung auszugehen ist, entsprechend länger. Bei einer PV-Anlage mit 20 Jahren Vergütungsdauer und Wechselrichtern, die üblicherweise mehr als ein Jahrzehnt laufen sollen, ist das ein Punkt, den man beim Kauf ansprechen sollte – der Unterstützungszeitraum ist nach der Verordnung eine Angabe, die der Hersteller festlegt und begründen muss.

→ Anbieter mit dokumentierter Update-Zusage kostenlos vergleichen

Was du vor der Unterschrift und bei der Inbetriebnahme festhalten solltest

Fast alles, was später Ärger macht, ist zum Zeitpunkt des Angebots noch eine einzige Rückfrage. Die folgenden Punkte gehören schriftlich geklärt – am besten als Zusatz zum Angebot, nicht als mündliche Zusage beim Ortstermin.

Wie du die Daten aus dem Portal anschließend sinnvoll auswertest, steht im Ratgeber zur Ertragsüberwachung. Wenn du die Vermarktung deines Stroms an einen Dritten abgibst, verschiebt sich die Steuerbefugnis noch einmal – dazu passt der Ratgeber zur Direktvermarktung für Kleinanlagen. Und die Pflichten rund um den neuen Zähler behandelt der Ratgeber zur Smart-Meter-Pflicht bei Photovoltaik.