Hoymiles-Sicherheitslücke: Balkonkraftwerk per Funk abschaltbar — was Betreiber jetzt wirklich wissen müssen

Hoymiles-Sicherheitslücke: Wechselrichter per Funk abschaltbar

Anfang Juli 2026 hat der Chaos Computer Club (CCC) gemeinsam mit dem Sicherheitsforscher, der unter dem Namen „Hunz” auftritt, eine unangenehme Schwäche in Wechselrichtern des chinesischen Herstellers Hoymiles öffentlich gemacht. Der Kern: Viele der weit verbreiteten Mikrowechselrichter lassen sich aus kurzer Entfernung per Funk abschalten, umkonfigurieren oder dauerhaft lahmlegen — mit Bauteilen aus der Bastelkiste und ohne besonderes Vorwissen. Aufgegriffen und mit einer eigenen Recherche unterlegt hat das Thema die ZEIT unter dem Titel „Hier steckt die Schwachstelle der Energiewende”.

Weil Hoymiles nach eigenen Angaben rund 20 Prozent des europäischen Marktes für Mikrowechselrichter bedient, betrifft das potenziell viele Anlagen. Trotzdem lohnt ein ruhiger Blick: Die Lücke ist ernst, aber sie macht Balkonkraftwerke nicht plötzlich zu einer Gefahr — und du kannst dich in wenigen Minuten selbst besser schützen. Wir ordnen ein, was gesichert ist, was übertrieben wurde und was konkret zu tun ist.

Kurzantwort

Was genau ist passiert?

Der Forscher hat den Angriff nicht nur theoretisch beschrieben, sondern im Alltag vorgeführt. In einem Augsburger Wohnviertel spürte er laut ZEIT binnen einer Stunde 42 Balkonkraftwerke auf, deren Wechselrichter offen für Funkbefehle von außen waren. Bei einer Anlage, deren Eigentümer vorher zugestimmt hatten, schaltete er das Gerät per Fernzugriff ab. Der CCC hat den Fund in einem technischen Bericht dokumentiert und ihn bereits ab Februar an Hoymiles sowie an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet.

Reagiert hat der Hersteller lange nicht. Erst als sich das BSI über die chinesische Partnerbehörde einschaltete, meldete sich Hoymiles Ende Juni: Die Hinweise seien „untergegangen”, man nehme die Sache nun „sehr ernst”. Wenige Tage später kündigte das Unternehmen eine aktualisierte Software mit stärkerer Verschlüsselung an. Weil ein halbes Jahr lang nichts geschah, entschied sich der CCC, die Schwachstelle öffentlich zu machen, um Betreiber warnen und eine Lösung anstoßen zu können.

Neuer Stand (Mitte Juli 2026): Gegenüber dem pv magazine hat Hoymiles den Fahrplan nun konkretisiert. Das Update soll am 30. August 2026 erscheinen — früher als die zunächst genannte Mitte Oktober — und für die Funkkommunikation eine AES-128-CBC-Verschlüsselung einführen; es wird laut Hersteller kostenlos auf die Geräte der Kunden aufgespielt. Vor der Auslieferung will Hoymiles es nach der EU-Funkgeräterichtlinie RED EN 18031 prüfen lassen. Zugleich stellt Hoymiles die Reichweite kleiner dar als der CCC: Betroffen sei nur die HM-Serie, die seit August 2023 ohnehin nicht mehr verkauft werde, das aktuelle Portfolio sei sauber. Diese Entwarnung greift allerdings zu kurz — der technische Bericht des Forschers nennt ausdrücklich auch HMS-Modelle und die originale DTU, und Solaranlagen laufen rund zwanzig Jahre, sodass die längst verbauten Geräte nicht verschwinden. Kunden müssten ihre Anlage laut Hoymiles nicht abschalten oder tauschen. Ob und wie sich das Update auf die Steuerung über das quelloffene OpenDTU auswirkt, ließ der Hersteller offen. Ein Termin ist zudem noch kein ausgeliefertes Update; Firmware-Pläne verschieben sich erfahrungsgemäß.

Die Technik dahinter: ein Passwort, das die Anlage selbst verrät

Der Angriff ist technisch erstaunlich schlicht. Der Zugriff auf einen Hoymiles-Wechselrichter ist ab Werk über die Seriennummer geschützt — genauer über deren letzte acht Stellen. Diese Seriennummer sollte eigentlich nur kennen, wer das Gerät physisch in der Hand hatte. Genau hier liegt der Fehler: Hunz entdeckte in der Firmware einen undokumentierten Rundruf-Befehl. Wird er gesendet, antworten alle erreichbaren Hoymiles-Wechselrichter in der Umgebung und funken ihre Seriennummer im Klartext zurück. Das eigentlich geheime Passwort wird dem Angreifer also frei Haus geliefert.

Die Kommunikation zwischen Wechselrichter und Steuereinheit läuft unverschlüsselt über die Funkbänder 868 Megahertz und 2,4 Gigahertz. Das passende Funkprotokoll ist öffentlich dokumentiert — was jahrelang Bastler freute, die damit eigene Auswertungen bauten (Stichwort OpenDTU), wird nun zum Einfallstor. Ein passender Funkempfänger lässt sich für wenig Geld zusammenlöten. Wer beides kombiniert, steht mit einem kleinen Gerät in Funkreichweite und kann die Anlage übernehmen. Wie ein Wechselrichter überhaupt arbeitet und warum diese Steuerschnittstelle existiert, erklären wir im Detail unter was ein Wechselrichter im Balkonkraftwerk genau macht.

Was ein Angreifer wirklich kann — und was nicht

Hier lohnt es sich, genau zu trennen, was vorgeführt wurde und was behauptet wird. Belegt sind drei Dinge: Ein Angreifer kann die Anlage abschalten und neu starten, er kann Netzparameter umkonfigurieren, und er kann eine fremde Firmware ohne jede Anmeldung aufspielen — dafür reichen Seriennummer und eine simple Prüfsumme. Am gravierendsten ist das gezielte Löschen des Speichers: Danach ist das Gerät funktionsunfähig und nur noch zu retten, wenn jemand das Gehäuse öffnet und den Chip neu programmiert. Ein solches „Bricking” legt einen Wechselrichter für Laien endgültig lahm — das ist real und ernst zu nehmen.

Vorsicht ist dagegen bei der oft zitierten „Zerstörung” und „Brandgefahr” geboten. In der Pressemitteilung ist davon die Rede, Anlagen ließen sich „dauerhaft physisch zerstören”. Im technischen Bericht selbst steht das differenzierter: Die Zerstörung durch gezielte Überlast wurde nicht demonstriert — dem Forscher fehlte dafür ein Test-Aufbau. In einer Fußnote hält er sogar fest, dass die eingebaute Netzüberwachung des Wechselrichters einen naiven Überlastversuch vermutlich einfach zum Abschalten bringen würde, statt ihn zu zerstören. Ein Restrisiko für Sachschäden über manipulierte Ausgangsspannung benennt der Bericht als theoretische Möglichkeit, nicht als vorgeführten Angriff. Für die Praxis heißt das: Das Abschalten und Lahmlegen ist die reale Gefahr, das Bild vom brennenden Balkon ist mindestens nicht belegt. Grundsätzliches zu Brand- und Steckerrisiken haben wir separat im Ratgeber Balkonkraftwerk-Sicherheit: Brandgefahr, Stecker, Gewitter eingeordnet.

Ist das Stromnetz in Gefahr?

Der Gedanke liegt nahe: Wenn sich Tausende Anlagen per Funk abschalten lassen, kippt dann das Stromnetz? Nach heutigem Stand nein. Im Marktstammdatenregister sind zwar rund 1,4 Millionen Steckersolargeräte gemeldet, doch selbst alle zusammen haben zu wenig Leistung, um das Verbundnetz zu destabilisieren — das hält auch die ZEIT-Recherche ausdrücklich fest, und die Netzbetreiber könnten kurzfristige Ausfälle problemlos auffangen. Zudem wirkt ein Funkangriff nur lokal: Der Angreifer muss in Reichweite jeder einzelnen Anlage sein, ein bundesweiter Knopfdruck ist damit nicht möglich.

Das eigentliche systemische Risiko liegt woanders — bei großen Wechselrichtern im Kraftwerksmaßstab, die ganze Solar- und Windparks anbinden. Genau dort untersuchen Behörden derzeit die Herkunft und Absicherung der verbauten Geräte. Balkonkraftwerke sind bei dieser Frage nicht das Problem.

Bin ich betroffen?

Entscheidend ist, wie dein Wechselrichter kommuniziert — hier haben wir nach Leser-Rückmeldungen präzisiert. Verwundbar ist die proprietäre Sub-1G-Funkstrecke zwischen Wechselrichter und DTU, also der kleinen Datenerfassungs-Box oder dem USB-Stick. Der Forscher hat unter anderem diese Modelle erfolgreich angesprochen: HM-300/350/400-1T, HM-600/700/800-2T, HM-1000/1200/1500-4T, HMS-600/700/800/900/1000-2T, HMS-1600/1800/2000-4T sowie HERF-600/800-2T und HERF-1600/1800-4T. Baugleiche Geräte werden auch unter den Marken Solenso und TSUN verkauft und sind ebenso betroffen.

Anders liegen die W-Modelle mit integriertem WLAN — etwa der bei Balkonkraftwerken beliebte HMS-800W-2T, den wir im Daten-Check zum Hoymiles HMS-800W-2T ausführlich vorstellen. Sie funken nicht über die verwundbare Sub-1G-Strecke, sondern hängen direkt im heimischen WLAN; auf der Geräteliste des Forschers stehen sie nicht — das bestätigt auch der Verein balkon.solar. Hier ist die Schutzmauer dein Heimnetz: ein starkes WLAN-Passwort, mehr braucht es nach heutigem Stand nicht. Eine Anlage ganz ohne Funk- oder Internetanbindung lässt sich schlicht nicht per Funk ansprechen und ist damit praktisch außen vor — allerdings kann sie dann auch das kommende Update nicht ohne Weiteres empfangen.

Wer unsicher ist, welcher Wechselrichter überhaupt verbaut ist, findet die Angabe auf dem Typenschild und im Datenblatt des Sets. Einen Überblick über die gängigen Modelle und ihre Unterschiede gibt unser Wechselrichter-Vergleich Hoymiles, Deye und Growatt.

Was du jetzt tun kannst

Panik ist der falsche Reflex, Nichtstun aber auch. Drei Schritte sind sinnvoll. Erstens: Prüfe, ob deine DTU das Setzen eines eigenen, individuellen Passworts anbietet, und nutze es, statt beim Werksstandard zu bleiben. Der CCC nennt das ausdrücklich nur eine Minimalhürde für Gelegenheitsangreifer — sie schützt nicht gegen jeden Angriffsweg, ironischerweise nicht einmal gegen das Aufspielen fremder Firmware. Und weil Leser uns genau das gefragt haben, sagen wir es ehrlich: Bei vielen Geräten, etwa der verbreiteten DTU-Lite-S, gibt es diese Option in der S-Miles-App schlicht nicht, und eine offizielle Schritt-für-Schritt-Anleitung existiert bislang weder vom CCC noch von Hoymiles. Wenn du die Einstellung nicht findest, liegt das also nicht an dir. Betreiber eines W-Modells mit integriertem WLAN sichern stattdessen ihr Heimnetz ab: starkes WLAN-Passwort, den Einrichtungsmodus nicht dauerhaft offen lassen. Zweitens: Spiele das von Hoymiles jetzt für den 30. August 2026 angekündigte Update mit stärkerer Verschlüsselung ein, sobald es verfügbar ist. Prüfe dafür jetzt, ob deine Anlage überhaupt mit dem Internet verbunden ist — sonst musst du die Aktualisierung manuell nachholen.

Drittens: Behalte die Lage im Blick, statt vorschnell Hardware zu entsorgen. Die Lücke ist ein Software- und Protokollproblem; eine funktionierende Anlage wegen einer behebbaren Schwäche wegzuwerfen, wäre unnötig. Wer ohnehin über einen Neukauf nachdenkt, kann Cybersicherheit künftig als Kriterium mitnehmen — einen Überblick über die Anbieter gibt unser Hersteller-Vergleich 2026. Wer die Steuerung ohnehin smart nutzt, findet in unserem Ratgeber zur Nulleinspeisung und smarten Steuerung den Rahmen dafür, welche Schnittstellen sinnvoll und welche verzichtbar sind.

Der eigentliche Punkt: Normen prüfen keine Cybersicherheit

Die spannendste Erkenntnis dieser Geschichte steckt nicht im einzelnen Gerät, sondern in einer Lücke im System. Ein Wechselrichter muss in Deutschland die Netzverträglichkeit nach VDE-AR-N 4105 erfüllen, dazu kommen CE-Kennzeichnung und Normen zur elektromagnetischen Verträglichkeit. Keine dieser Prüfungen fragt danach, ob sich das Gerät per Funk kapern lässt. Ein Wechselrichter kann also jeden Prüfstempel tragen und trotzdem ein offenes Scheunentor sein, weil im Zertifizierungsprozess niemand nach Cybersicherheit sucht. Was sich seit Dezember 2025 bei den Produktnormen für Steckersolar ohnehin bewegt, haben wir in was die DIN VDE V 0126-95 für dein Balkonkraftwerk ändert zusammengefasst.

Genau diese Lücke soll der Cyber Resilience Act (CRA) der EU schließen. Er ist seit Ende 2024 in Kraft, greift aber erst gestaffelt: Eine Meldepflicht für aktiv ausgenutzte Schwachstellen gilt ab September 2026, die verbindliche Pflicht zu Security-by-Design und zu Sicherheitsupdates über die gesamte Produktlebensdauer erst ab Dezember 2027. Der Fall Hoymiles fällt damit noch in eine Grauzone — ab Ende 2027 wäre genau das, was Hunz vorführte, ein klarer Gesetzesverstoß. CCC-Sprecher Dirk Engling bringt es auf den Punkt: Kritische Infrastruktur beginne „nicht erst bei großen Kraftwerken, sondern bereits im Vorgarten”.

Kein reines Hoymiles- oder China-Problem

So berechtigt die Kritik an Hoymiles ist — vor allem am monatelangen Schweigen —, so falsch wäre der Kurzschluss, das Problem an einem Hersteller oder Herkunftsland festzumachen. Schon 2024 fanden Sicherheitsforscher Schwachstellen in der Verwaltungsplattform Solarman, über die unter anderem Deye-Wechselrichter gesteuert werden. Auch der Deye-Fall von 2023 rund um ein fehlendes Schutzrelais zeigte, dass Sicherheitsfragen die ganze Branche betreffen. Das eigentliche Muster ist ein Protokoll- und Normproblem vernetzter Technik insgesamt — von der Wärmepumpe mit Cloud-Anbindung bis zur Wallbox. Solar ist hier nur der Aufhänger, weil jemand genau hingeschaut hat.

Einordnung: kein Grund gegen das Balkonkraftwerk

Unterm Strich ist der Fund ein Weckruf, aber kein Argument gegen Steckersolar. Elektrische Sicherheit ist bei Solartechnik längst selbstverständlich — Cybersicherheit muss dieselbe Selbstverständlichkeit erst noch erreichen, und der Cyber Resilience Act wird sie ab 2027 einfordern. Für dich als Betreiber heißt das heute: individuelles Passwort setzen, Update einplanen, ruhig bleiben. Die Energiewende scheitert nicht an einem schlecht gewählten Werkspasswort — sie stellt nur die berechtigte Anforderung, gute Technik so zu bauen, dass sie diesen Namen auch verdient.

Quellen und weiterführende Informationen

Die technischen Details stammen aus der Veröffentlichung des Chaos Computer Clubs vom 6. Juli 2026 sowie aus der Recherche der ZEIT und der Berichterstattung von heise online. Hintergrund zur Rolle der Behörden liefert das Bundesamt für Sicherheit in der Informationstechnik. Die Liste der getesteten, verwundbaren Modelle stammt aus dem technischen Bericht des Forschers; eine gut verständliche Aufbereitung samt Einordnung der W-Modelle liefert der Verein balkon.solar. Wir haben die Angaben mehrerer Quellen abgeglichen und dort, wo Pressemitteilung und technischer Bericht auseinandergehen (Stichwort Zerstörung durch Überlast), den belegten Stand wiedergegeben. Die Reaktion von Hoymiles samt Update-Termin und Modell-Einordnung stammt aus der Meldung des pv magazine vom 13. Juli 2026, aufgegriffen unter anderem von ComputerBase.

Update-Hinweis (Stand: 15.07.2026)

Update 15.07.2026: Hoymiles hat auf die Vorwürfe reagiert. Gegenüber dem pv magazine nennt der Hersteller nun einen konkreten Termin für das Sicherheits-Update — den 30. August 2026, früher als die zuvor genannte Mitte Oktober. Das Update soll eine AES-128-CBC-Verschlüsselung einführen und wird vorab nach der Norm RED EN 18031 geprüft. Zugleich erklärt Hoymiles, betroffen sei nur die HM-Serie (seit August 2023 nicht mehr im Verkauf); der technische Bericht des Forschers führt allerdings auch HMS-Modelle. Bis das Update ausgeliefert ist, bleibt die beste Maßnahme unverändert: wo möglich ein eigenes DTU-Passwort setzen — und das Update einspielen, sobald es tatsächlich verfügbar ist.

Update 14.07.2026: Nach Rückmeldungen aus der Community haben wir die Liste der betroffenen Geräte präzisiert (W-Modelle mit integriertem WLAN stehen nicht auf der Verwundbaren-Liste) und die Passwort-Empfehlung ehrlich eingeordnet: Bei vielen DTUs — etwa der DTU-Lite-S — gibt es die Option schlicht nicht. Danke an die Leser, die nachgehakt haben.

Wir aktualisieren diesen Beitrag erneut, sobald Hoymiles das für den 30. August 2026 angekündigte Sicherheits-Update tatsächlich veröffentlicht hat. Beobachtungspunkte: der genaue Umfang des Updates, die Frage, wie Betreiber ohne Internetanbindung erreicht werden, sowie mögliche Open-Source-Alternativen aus der OpenDTU-Community.