Hoymiles-Sicherheitslücke: Balkonkraftwerk per Funk abschaltbar — was Betreiber jetzt wirklich wissen müssen

Hoymiles-Sicherheitslücke: Wechselrichter per Funk abschaltbar

Anfang Juli 2026 hat der Chaos Computer Club (CCC) gemeinsam mit dem Sicherheitsforscher, der unter dem Namen „Hunz” auftritt, eine unangenehme Schwäche in Wechselrichtern des chinesischen Herstellers Hoymiles öffentlich gemacht. Der Kern: Viele der weit verbreiteten Mikrowechselrichter lassen sich aus kurzer Entfernung per Funk abschalten, umkonfigurieren oder dauerhaft lahmlegen — mit Bauteilen aus der Bastelkiste und ohne besonderes Vorwissen. Aufgegriffen und mit einer eigenen Recherche unterlegt hat das Thema die ZEIT unter dem Titel „Hier steckt die Schwachstelle der Energiewende”.

Weil Hoymiles nach eigenen Angaben rund 20 Prozent des europäischen Marktes für Mikrowechselrichter bedient, betrifft das potenziell viele Anlagen. Trotzdem lohnt ein ruhiger Blick: Die Lücke ist ernst, aber sie macht Balkonkraftwerke nicht plötzlich zu einer Gefahr — und du kannst dich in wenigen Minuten selbst besser schützen. Wir ordnen ein, was gesichert ist, was übertrieben wurde und was konkret zu tun ist.

Kurzantwort

Was genau ist passiert?

Der Forscher hat den Angriff nicht nur theoretisch beschrieben, sondern im Alltag vorgeführt. In einem Augsburger Wohnviertel spürte er laut ZEIT binnen einer Stunde 42 Balkonkraftwerke auf, deren Wechselrichter offen für Funkbefehle von außen waren. Bei einer Anlage, deren Eigentümer vorher zugestimmt hatten, schaltete er das Gerät per Fernzugriff ab. Der CCC hat den Fund in einem technischen Bericht dokumentiert und ihn bereits ab Februar an Hoymiles sowie an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet.

Reagiert hat der Hersteller lange nicht. Erst als sich das BSI über die chinesische Partnerbehörde einschaltete, meldete sich Hoymiles Ende Juni: Die Hinweise seien „untergegangen”, man nehme die Sache nun „sehr ernst”. Wenige Tage später kündigte das Unternehmen eine aktualisierte Software mit stärkerer Verschlüsselung an — geplant für Mitte Oktober 2026. Weil ein halbes Jahr lang nichts geschah, entschied sich der CCC, die Schwachstelle öffentlich zu machen, um Betreiber warnen und eine Lösung anstoßen zu können.

Die Technik dahinter: ein Passwort, das die Anlage selbst verrät

Der Angriff ist technisch erstaunlich schlicht. Der Zugriff auf einen Hoymiles-Wechselrichter ist ab Werk über die Seriennummer geschützt — genauer über deren letzte acht Stellen. Diese Seriennummer sollte eigentlich nur kennen, wer das Gerät physisch in der Hand hatte. Genau hier liegt der Fehler: Hunz entdeckte in der Firmware einen undokumentierten Rundruf-Befehl. Wird er gesendet, antworten alle erreichbaren Hoymiles-Wechselrichter in der Umgebung und funken ihre Seriennummer im Klartext zurück. Das eigentlich geheime Passwort wird dem Angreifer also frei Haus geliefert.

Die Kommunikation zwischen Wechselrichter und Steuereinheit läuft unverschlüsselt über die Funkbänder 868 Megahertz und 2,4 Gigahertz. Das passende Funkprotokoll ist öffentlich dokumentiert — was jahrelang Bastler freute, die damit eigene Auswertungen bauten (Stichwort OpenDTU), wird nun zum Einfallstor. Ein passender Funkempfänger lässt sich für wenig Geld zusammenlöten. Wer beides kombiniert, steht mit einem kleinen Gerät in Funkreichweite und kann die Anlage übernehmen. Wie ein Wechselrichter überhaupt arbeitet und warum diese Steuerschnittstelle existiert, erklären wir im Detail unter was ein Wechselrichter im Balkonkraftwerk genau macht.

Was ein Angreifer wirklich kann — und was nicht

Hier lohnt es sich, genau zu trennen, was vorgeführt wurde und was behauptet wird. Belegt sind drei Dinge: Ein Angreifer kann die Anlage abschalten und neu starten, er kann Netzparameter umkonfigurieren, und er kann eine fremde Firmware ohne jede Anmeldung aufspielen — dafür reichen Seriennummer und eine simple Prüfsumme. Am gravierendsten ist das gezielte Löschen des Speichers: Danach ist das Gerät funktionsunfähig und nur noch zu retten, wenn jemand das Gehäuse öffnet und den Chip neu programmiert. Ein solches „Bricking” legt einen Wechselrichter für Laien endgültig lahm — das ist real und ernst zu nehmen.

Vorsicht ist dagegen bei der oft zitierten „Zerstörung” und „Brandgefahr” geboten. In der Pressemitteilung ist davon die Rede, Anlagen ließen sich „dauerhaft physisch zerstören”. Im technischen Bericht selbst steht das differenzierter: Die Zerstörung durch gezielte Überlast wurde nicht demonstriert — dem Forscher fehlte dafür ein Test-Aufbau. In einer Fußnote hält er sogar fest, dass die eingebaute Netzüberwachung des Wechselrichters einen naiven Überlastversuch vermutlich einfach zum Abschalten bringen würde, statt ihn zu zerstören. Ein Restrisiko für Sachschäden über manipulierte Ausgangsspannung benennt der Bericht als theoretische Möglichkeit, nicht als vorgeführten Angriff. Für die Praxis heißt das: Das Abschalten und Lahmlegen ist die reale Gefahr, das Bild vom brennenden Balkon ist mindestens nicht belegt. Grundsätzliches zu Brand- und Steckerrisiken haben wir separat im Ratgeber Balkonkraftwerk-Sicherheit: Brandgefahr, Stecker, Gewitter eingeordnet.

Ist das Stromnetz in Gefahr?

Der Gedanke liegt nahe: Wenn sich Tausende Anlagen per Funk abschalten lassen, kippt dann das Stromnetz? Nach heutigem Stand nein. Im Marktstammdatenregister sind zwar rund 1,4 Millionen Steckersolargeräte gemeldet, doch selbst alle zusammen haben zu wenig Leistung, um das Verbundnetz zu destabilisieren — das hält auch die ZEIT-Recherche ausdrücklich fest, und die Netzbetreiber könnten kurzfristige Ausfälle problemlos auffangen. Zudem wirkt ein Funkangriff nur lokal: Der Angreifer muss in Reichweite jeder einzelnen Anlage sein, ein bundesweiter Knopfdruck ist damit nicht möglich.

Das eigentliche systemische Risiko liegt woanders — bei großen Wechselrichtern im Kraftwerksmaßstab, die ganze Solar- und Windparks anbinden. Genau dort untersuchen Behörden derzeit die Herkunft und Absicherung der verbauten Geräte. Balkonkraftwerke sind bei dieser Frage nicht das Problem.

Bin ich betroffen?

Betroffen sind die Funk-fähigen Mikrowechselrichter der HM-, HMS- und HMT-Serie — etwa Modelle wie HM-800, HM-1500 oder der bei Balkonkraftwerken beliebte HMS-800W-2T, den wir im Daten-Check zum Hoymiles HMS-800W-2T ausführlich vorstellen. Voraussetzung für einen Angriff ist, dass das Gerät über die herstellereigene Funkschnittstelle erreichbar ist. Eine Anlage ganz ohne Funk- oder Internetanbindung lässt sich schlicht nicht per Funk ansprechen und ist damit praktisch außen vor — allerdings kann sie dann auch das kommende Update nicht ohne Weiteres empfangen.

Wer unsicher ist, welcher Wechselrichter überhaupt verbaut ist, findet die Angabe auf dem Typenschild und im Datenblatt des Sets. Einen Überblick über die gängigen Modelle und ihre Unterschiede gibt unser Wechselrichter-Vergleich Hoymiles, Deye und Growatt.

Was du jetzt tun kannst

Panik ist der falsche Reflex, Nichtstun aber auch. Drei Schritte sind sinnvoll. Erstens: Setze für die Datenerfassungseinheit (DTU) beziehungsweise die WLAN-/Funkschnittstelle ein eigenes, individuelles Passwort, sofern dein Gerät das zulässt. Das ist nach aktuellem Wissensstand nur eine Minimalhürde und schützt nicht gegen jeden Angriffsweg — aber es erschwert den einfachen Zugriff spürbar und ist in wenigen Minuten erledigt. Zweitens: Spiele das für Mitte Oktober 2026 angekündigte Hoymiles-Update mit stärkerer Verschlüsselung ein, sobald es verfügbar ist. Prüfe dafür jetzt, ob deine Anlage überhaupt mit dem Internet verbunden ist — sonst musst du die Aktualisierung manuell nachholen.

Drittens: Behalte die Lage im Blick, statt vorschnell Hardware zu entsorgen. Die Lücke ist ein Software- und Protokollproblem; eine funktionierende Anlage wegen einer behebbaren Schwäche wegzuwerfen, wäre unnötig. Wer ohnehin über einen Neukauf nachdenkt, kann Cybersicherheit künftig als Kriterium mitnehmen — einen Überblick über die Anbieter gibt unser Hersteller-Vergleich 2026. Wer die Steuerung ohnehin smart nutzt, findet in unserem Ratgeber zur Nulleinspeisung und smarten Steuerung den Rahmen dafür, welche Schnittstellen sinnvoll und welche verzichtbar sind.

Der eigentliche Punkt: Normen prüfen keine Cybersicherheit

Die spannendste Erkenntnis dieser Geschichte steckt nicht im einzelnen Gerät, sondern in einer Lücke im System. Ein Wechselrichter muss in Deutschland die Netzverträglichkeit nach VDE-AR-N 4105 erfüllen, dazu kommen CE-Kennzeichnung und Normen zur elektromagnetischen Verträglichkeit. Keine dieser Prüfungen fragt danach, ob sich das Gerät per Funk kapern lässt. Ein Wechselrichter kann also jeden Prüfstempel tragen und trotzdem ein offenes Scheunentor sein, weil im Zertifizierungsprozess niemand nach Cybersicherheit sucht. Was sich seit Dezember 2025 bei den Produktnormen für Steckersolar ohnehin bewegt, haben wir in was die DIN VDE V 0126-95 für dein Balkonkraftwerk ändert zusammengefasst.

Genau diese Lücke soll der Cyber Resilience Act (CRA) der EU schließen. Er ist seit Ende 2024 in Kraft, greift aber erst gestaffelt: Eine Meldepflicht für aktiv ausgenutzte Schwachstellen gilt ab September 2026, die verbindliche Pflicht zu Security-by-Design und zu Sicherheitsupdates über die gesamte Produktlebensdauer erst ab Dezember 2027. Der Fall Hoymiles fällt damit noch in eine Grauzone — ab Ende 2027 wäre genau das, was Hunz vorführte, ein klarer Gesetzesverstoß. CCC-Sprecher Dirk Engling bringt es auf den Punkt: Kritische Infrastruktur beginne „nicht erst bei großen Kraftwerken, sondern bereits im Vorgarten”.

Kein reines Hoymiles- oder China-Problem

So berechtigt die Kritik an Hoymiles ist — vor allem am monatelangen Schweigen —, so falsch wäre der Kurzschluss, das Problem an einem Hersteller oder Herkunftsland festzumachen. Schon 2024 fanden Sicherheitsforscher Schwachstellen in der Verwaltungsplattform Solarman, über die unter anderem Deye-Wechselrichter gesteuert werden. Auch der Deye-Fall von 2023 rund um ein fehlendes Schutzrelais zeigte, dass Sicherheitsfragen die ganze Branche betreffen. Das eigentliche Muster ist ein Protokoll- und Normproblem vernetzter Technik insgesamt — von der Wärmepumpe mit Cloud-Anbindung bis zur Wallbox. Solar ist hier nur der Aufhänger, weil jemand genau hingeschaut hat.

Einordnung: kein Grund gegen das Balkonkraftwerk

Unterm Strich ist der Fund ein Weckruf, aber kein Argument gegen Steckersolar. Elektrische Sicherheit ist bei Solartechnik längst selbstverständlich — Cybersicherheit muss dieselbe Selbstverständlichkeit erst noch erreichen, und der Cyber Resilience Act wird sie ab 2027 einfordern. Für dich als Betreiber heißt das heute: individuelles Passwort setzen, Update einplanen, ruhig bleiben. Die Energiewende scheitert nicht an einem schlecht gewählten Werkspasswort — sie stellt nur die berechtigte Anforderung, gute Technik so zu bauen, dass sie diesen Namen auch verdient.

Quellen und weiterführende Informationen

Die technischen Details stammen aus der Veröffentlichung des Chaos Computer Clubs vom 6. Juli 2026 sowie aus der Recherche der ZEIT und der Berichterstattung von heise online. Hintergrund zur Rolle der Behörden liefert das Bundesamt für Sicherheit in der Informationstechnik. Wir haben die Angaben mehrerer Quellen abgeglichen und dort, wo Pressemitteilung und technischer Bericht auseinandergehen (Stichwort Zerstörung durch Überlast), den belegten Stand wiedergegeben.

Update-Hinweis (Stand: 08.07.2026)

Wir aktualisieren diesen Beitrag, sobald Hoymiles das für Mitte Oktober 2026 angekündigte Sicherheits-Update veröffentlicht hat. Beobachtungspunkte: der genaue Umfang des Updates, die Frage, wie Betreiber ohne Internetanbindung erreicht werden, sowie mögliche Open-Source-Alternativen aus der OpenDTU-Community.