Security · 1.9.2026
Der Hersteller Hoymiles stellt Firmware-Updates für seine DTU-Kommunikationseinheiten bereit, um unverschlüsselte Funkprotokolle abzusichern.
Der Hersteller Hoymiles hat Sicherheitsupdates für seine Data Transfer Units (DTU) veröffentlicht. Zuvor war bekannt geworden, dass die proprietären Funkprotokolle zwischen den Photovoltaik-Wechselrichtern und den DTU-Schnittstellen unverschlüsselt übertragen wurden. Dies ermöglichte es Angreifern in Funkreichweite, sensible Daten abzufangen oder potenziell manipulierte Steuerungsbefehle an die Solaranlagen zu senden.
Viele Unternehmen im DACH-Raum betreiben mittlerweile eigene Solaranlagen auf Firmengebäuden, um Energiekosten zu senken und Nachhaltigkeitsziele zu erreichen. Auch anspruchsvolle Privatnutzer und IT-Verantwortliche im Homeoffice nutzen häufig Wechselrichter von Hoymiles für Balkonkraftwerke oder Aufdachanlagen. Unverschlüsselte Steuerungsdaten im IoT- und OT-Bereich (Operational Technology) stellen ein erhebliches Sicherheitsrisiko dar. Angreifer können über solche Schwachstellen nicht nur Leistungsdaten manipulieren, sondern im schlimmsten Fall die Geräte abschalten oder unbefugte Änderungen an den Parametern vornehmen, was die Stabilität der lokalen Stromversorgung gefährden kann.
Betreiber von Hoymiles-Anlagen sollten dringend prüfen, ob ihre DTU-Firmware auf dem neuesten Stand ist. Die Updates werden in der Regel über die Cloud-Plattform des Herstellers (S-Miles Cloud) oder die entsprechende Smartphone-App bereitgestellt. Da viele DTUs standardmäßig mit dem Internet verbunden sind, erfolgt die Aktualisierung oft automatisch; dies sollte jedoch manuell im Administrations-Dashboard verifiziert werden. Für Systeme, die ohne direkte Internetverbindung in isolierten Netzen betrieben werden, müssen die Updates manuell über die lokalen Schnittstellen eingespielt werden. Zudem empfiehlt es sich, die Netzwerksegmentierung zu überprüfen, um IoT-Geräte konsequent vom produktiven Unternehmensnetzwerk zu trennen.
Der Vorfall zeigt erneut, dass die Absicherung von IoT-Geräten und dezentralen Energieerzeugern im geschäftlichen wie privaten Umfeld oft vernachlässigt wird. Ein proaktives Patch-Management ist längst nicht mehr nur auf klassische IT-Systeme wie Windows-Clients und Office-Server zu beschränken, sondern muss zwingend auf die gesamte OT-Infrastruktur ausgeweitet werden.
Quelle: heise Security