Allgemeine Stellungnahme zu Cybersecurity bei FENECON

Wie bei jedem Sicherheitsthema, gibt es auch hier keine 100-%ige Sicherheit; Sicherheitslücken und "Sollbruchstellen" können in jedem beliebigen Bauteil versteckt werden. PV-, Batteriewechselrichter und Energiemanagementsysteme sind aber Schlüsselkomponenten, weil sie drei ungünstige Eigenschaften gleichzeitig vereinen:

Ein marktübliches Batteriespeichersystem — bestehend aus Batteriewechselrichter, BMS und Batteriemodulen — ist wie folgt aufgebaut und nutzt meist die dargestellten Kommunikationseinrichtungen:

(1) BSI-konforme (Bundesamt für Sicherheit in der Informationstechnik) Kommunikation und Steuerung über Marktkommunikation, Messstellenbetreiber, Smart-Meter-Gateway-Infrastruktur (SMGW) und FNN Steuerbox:

(2) Dauerhafte, bidirektionale Internetverbindung zur Hersteller-Cloud des Wechselrichter- und/oder BMS-Herstellers:

(3) Hersteller-Clouds sind weitgehend unreguliert, ohne Anforderungen wie KRITIS, ISO 27001, ggf. NIS2, etc.

(4) Interne Kommunikation zwischen Komponenten, nicht Cloud-Connected:

(5) Passive Komponenten wie Batteriezellen/-module:

Je nach Einsatzzweck oder Systemgröße kommen noch weitere vernetzte Komponenten hinzu. Zum Beispiel Wallboxen und Wärmepumpen im Bereich Heimanwendungen, Hypercharger in der Industrie oder Klimageräte bei Outdoor-Batteriespeichersystemen. Dabei besteht ggf. ein ähnliches Risiko einer Einwirkung auf das Energiesystem, wenn diese mit unregulierten Hersteller-Clouds vernetzt sind.

Die regulatorischen Anforderungen an die Cybersicherheit vernetzter Energiesysteme nehmen europaweit deutlich zu. Mit Regelwerken wie der NIS2-Richtlinie, dem Cyber Resilience Act (CRA), der Radio Equipment Directive (RED), IEC 62443 und ETSI EN 303 645 werden Informationssicherheit, sichere Softwareentwicklung, Schwachstellenmanagement und Transparenz über den gesamten Produktlebenszyklus zunehmend verbindlich geregelt.

Gleichzeitig gewinnen Themen wie digitale Souveränität, resiliente Lieferketten und der Umgang mit kritischen Komponenten an Bedeutung. FENECON begrüßt einheitliche europäische Standards, die Sicherheit, Transparenz, Nachvollziehbarkeit und fairen Wettbewerb fördern und damit das Vertrauen in die digitale Energiewende stärken.

Die Verbindung von Energiespeichersystemen zum Internet ist aus vielen Gründen sinnvoll. Sie ermöglicht aktives Monitoring und Überwachung der Anlage auch außerhalb des lokalen Netzwerks. Außerdem ermöglicht sie die Verbindung zu externen Diensten, z. B. zum Abruf von Strompreisen und eine schnelle Servicierbarkeit durch den Installateur oder Hersteller.

Gleichzeitig bietet genau diese Internetverbindung eben auch Angriffsflächen.

Cybersecurity by Design heißt deshalb, eine Internetverbindung ist immer optional und alle Funktionen müssen - soweit möglich - auch ohne Internetverbindung funktionieren: "Wer offline denkt, denkt auch resistent."

Als deutsches Unternehmen unterliegen wir dem deutschen Haftungsrecht, deutschen Gerichten und den deutschen und europäischen Verordnungen zur Cybersicherheit (z. B. DSGVO, NIS2, CRA)

In einem Katastrophenfall haben Behörden weitreichende Zugriffsmöglichkeiten auf Unternehmen — diese Verlässlichkeit ist nur bei deutschen Unternehmen praktisch umsetzbar.

Wer bei einem deutschen Hersteller wie FENECON kauft, unterstützt somit nicht nur den Wirtschaftsstandort Deutschland mit lokaler Wertschöpfung, sondern leistet einen direkten Beitrag zur inneren und äußeren Sicherheit und Energiesouveränität.

Die Auditierung von Quellcode (Source Code Audit) ist ein wesentlicher Bestandteil der Nachweisprüfung für Betreiber kritischer Infrastrukturen (KRITIS) nach § 8 a des BSI-Gesetzes (BSIG).

FENECON geht hier einen Schritt weiter: indem wir — gemeinsam mit einer weltweiten Community — OpenEMS als das "Open-Source-Betriebssystem der Energiewende" entwickeln, setzen wir uns maßgeblich für kontinuierliche Verbesserung der Sicherheit der eingesetzten Software ein.

OpenEMS ist aber keine Monokultur, sondern so aufgebaut, dass verschiedene Integratoren daraus eigene Lösungen bauen können. Das führt zu Vielfalt bei Herstellern, Hardware und Betriebsmodellen und verhindert die Schaffung eines Single-Point-of-Failure bzw. eines zentralen Angriffspunkts.

"Ist Open Source nicht unsicher?"
Sicherheitslücken entstehen nicht durch Offenheit, sondern durch fehlende Prüfung.

Im Rahmen unserer Wachstums- und Professionalisierungsstrategie verfolgen wir aktiv die offizielle Zertifizierung unserer Prozesse und Maßnahmen.

Die Informationssicherheit ist fester Bestandteil der Unternehmensstrategie von FENECON. Ziel ist es, Verfügbarkeit, Integrität und Vertraulichkeit von Informationen kontinuierlich zu schützen und Risiken für Kunden, Partner und das Unternehmen zu minimieren.

Cybersecurity ist kein Zustand, sondern ein fortlaufender Prozess, der bei FENECON in der Entwicklung fest integriert ist. Updates für FEMS werden in einem regelmäßigen Turnus von im Regelfall zwei Wochen veröffentlicht. Wenn Schwachstellen entdeckt werden existieren klare Meldeketten — und organisatorische Möglichkeiten schnell Entwicklungsressourcen für die Schwachstellenbekämpfung bereitzustellen. FEMS wird von einem eigenen in-house Team aus Softwareentwicklern und DevOps-Ingenieuren in Deutschland entwickelt und betrieben. Weiterentwicklungen und Fehlerbehebungen sind lückenlos nachvollziehbar über das unternehmensweite Aufgabenmanagement und die Versionierung des Quellcodes, eindeutige Markierung von Release-Versionen und verständliche Changelogs.
Somit wird sichergestellt, dass identifizierte Sicherheitslücken zeitnah geschlossen werden.