Starkloff und sein Team analysierten den Login-Prozess des Cloud-Portals und entdeckten, dass das Portal mindestens acht verschiedene Anmeldeverfahren unterstützte. Durch die Manipulation eines Parameters ließ sich bei einem davon die Passwortprüfung umgehen. So konnten die Forscher zunächst auf fremde Nutzerkonten und schließlich auf Administrator-Accounts zugreifen. Über diesen Zugang konnte Starkloff auf alle angeschlossenen Solaranlagen zugreifen, inklusive der zugehörigen Adressen mit Straßennamen und Hausnummern. Das Portal zeigte zudem Verwaltungs-Accounts deutscher Anbieter wie Enpal und 1KOMMA5°.

Starkloff zufolge hätten Angreifer möglicherweise Schadsoftware auf weltweit rund 2,5 Millionen Wechselrichter verteilen oder diese abschalten können. Sungrow bestreitet allerdings, dass solche Eingriffe ohne zusätzliche Sicherheitsprüfungen möglich gewesen wären. Die Forscher haben eine massenhafte Abschaltung der Wechselrichter nicht praktisch durchgeführt. Ende August zeigte das Portal für Europa eine Echtzeitleistung von knapp 18 Gigawatt an. Starkloff zufolge hätte das Abschalten zahlreicher Wechselrichter die Stabilität des europäischen Stromnetzes gefährden können. Im Extremfall sei ein Blackout denkbar gewesen. Der IT-Sicherheitsexperte Harm van den Brink warnte ebenfalls vor diesem Risiko: Bereits das plötzliche Abschalten von rund drei Gigawatt im europäischen Netz könnte einen Blackout auslösen. Netzbetreiber verweisen allerdings auf vorhandene Reserven und Schutzmechanismen, die Leistungsausfälle auffangen sollen. Ein Blackout wäre daher nicht zwangsläufig die Folge gewesen.

Sungrow räumte ein, dass ein fehlerhaftes Login-Modul vorübergehend das Umgehen der üblichen Authentifizierung ermöglichte. Der Hersteller widerspricht aber der Einschätzung von Starkloff teilweise: Kritische Einstellungen der Wechselrichter hätten nicht ohne Passwort geändert werden können. Starkloff hält dagegen, dass ein Zurücksetzen des Passworts möglich gewesen sei. Der Entwickler meldete die Schwachstelle dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und Sungrow. Nach Angaben des Herstellers wurde die Sicherheitslücke am 25. August per Hotfix geschlossen. Das BSI bestätigte die schnelle Behebung. Hinweise auf eine aktive Ausnutzung der Schwachstelle gibt es nicht.

Nein. Die Sicherheitslücke betraf die Cloud-Plattform iSolarCloud und wurde von Sungrow bereits behoben. Besitzer von Sungrow-Anlagen müssen deshalb weder die Firmware ihres Wechselrichters aktualisieren noch selbst einen Sicherheitspatch installieren. Nach Angaben des Herstellers sind keine Maßnahmen durch Kunden erforderlich. Unabhängig von dem Vorfall sollten Betreiber verfügbare Sicherheitsfunktionen wie die Zwei-Faktor-Authentifizierung nutzen und ihre Systeme regelmäßig aktualisieren. Für die Entdeckung und Meldung der Sicherheitslücke erhielt Starkloff 800 Euro. Solche Prämien für das Finden und verantwortungsvolle Melden von Sicherheitslücken heißen in der IT-Branche "Bug Bounties".