Seitdem Balkonkraftwerke boomen, finden sich Hunderttausende Wechselrichter von Deye in deutschen Haushalten. Die Geräte sind dabei über WLAN an das Internet angeschlossen und speisen die Daten in die Cloud in China. Mit im "Beipack" ist auch die Möglichkeit, dass der Hersteller Deye per Internet auf die Geräte zugreift und sich die Anlage manipulieren lässt. Weiterhin wäre es auch denkbar, dass der Hersteller über diesen Kanal sich im internen Netzwerk umsieht.
Anzeige
Schwachstellen und Probleme mit Kleinwechselrichtern sind ja nichts neues. Beim Hersteller Hoymiles gab es ja Sicherheitslücken, die Ende September 2023 im Artikel Balkonkraftwerke: Bedrohliche Sicherheitslücken bei Hoymiles von heise thematisiert wurden. Ein Sicherheitsforscher hatte sich mit dem Cloud-Dienst dieses Anbieters befasst und bedrohliche Sicherheitslücken gefunden. Nachdem heise berichtete, wurden die Schwachstellen von Hoymiles teilweise geschlossen (siehe diesen heise-Artikel).
Wechselrichter von Deye, die ebenfalls in vielen Balkonkraftwerken zum Einsatz kommen, fielen Anfang 2023 durch eine Sicherheitslücke in deren Firmware auf. Auch hier hatte heise in diesem Artikel berichtet und darauf hingewiesen, dass ein Firmware-Update zur Absicherung beim Hersteller angefordert werden könne. Soweit so schlecht.
Deye SUN600G3 Modulwechselrichter für Balkonkraftwerk
Die Micro-Wechselrichter von Deye machten im Spätsommer 2023 aber vor allem durch das fehlende Schutzrelais (NA Schutzeinrichtung) Negativ-Schlagzeilen (siehe mein Blog-Beitrag Solaranlagen: Das Deye-Wechselrichterproblem bei Balkonkraftwerken; Schwachstellen bei Überwachungssystemen. Inzwischen liefert Deye ja eine Relaisbox als NA Schutzeinrichtung für betroffene Anlagen aus, die zwischen Wechselrichter und Netzeinspeisestecker geschaltet wird. Ich hatte im Blog-Beitrag Deye-Wechselrichter SUN600G3-EU-230 nach Anschluss des Relaisbox defekt! über die Relaisbox und die damit verbundenen Probleme berichtet.
Der Hersteller hat Zugriff
Zur Inbetriebnahme des Wechselrichters und der Relaisbox müssen beide Komponenten per WLAN mit dem Internet verbunden werden. Im Rahmen des Blog-Beitrags Deye-Wechselrichter SUN600G3-EU-230 nach Anschluss des Relaisbox defekt! meldet sich der Support von Deye um Unterstützung zu gewähren. Dabei gab es auch folgenden Hinweis in diesem Kommentar:
Bitte lassen Sie Ihr Wechselrichter online sein, damit Deye ein Ferndiagnose durchführen kann.
Das war dann die erste (nicht überraschende aber) offizielle Bestätigung, dass der Hersteller Deye über die Cloud-Anbindung auf die Wechselrichter zugreifen und deren Firmware sowie dort gespeicherte Parameter manipulieren kann (siehe auch diesen Kommentar von Karsten H.). Auch eine Abschaltung des Wechselrichters ist wohl möglich. In diesem Kommentar hat Blog-Leser Norddeutsch auf diverse Sicherheitsaspekte der Deye-Lösung hingewiesen. Hier einige Stichpunkte, die der Leser im Kommentar aufgeworfen hat:
- Infrastruktur, Datenausleitungen & Remote Management – mehrere Sichten: Nicht Rechtskonform / unsicher.
- Lokale "Inverter Services" (aka 48899): Verbesserungswürdig oder leicht angreifbar
- Nutzen Eure Geräte auch/noch fest kodierte Passworte wie "12345678" im Modus AP+STA für den internen Access Point?
Wie es mit Datenschutz und den Datenschutzerklärungen in Bezug auf die Ausleitung von Daten durch den Wechselrichter ausschaut, ist auch ungeklärt. Die Implikationen (Abschaltung/Steuerung der Anlagen durch Dritte ist hier angerissen). Auf GitHub gibt es inzwischen ein Projekt Deye Microinverter – Cloud-free, das die Anbindung des Wechselrichters an die Deye-Cloud vermeidet. Zudem gibt es zwei Diskussionsthreads hier und hier zum Thema Zugriff auf die Daten des Wechselrichters ohne Cloud.
Anzeige
Ich habe obiges Thema jetzt nicht im Detail verfolgt und verfüge auch über kein Balkonkraftwerk mit Deye-Wechselrichter, kann also nicht selbst testen. Aber die Tage bin ich auf BlueSky auf den obigen Post gestoßen, der auf diesen Artikel bei Balkon Solar verweist. Dort heißt es, dass sich eine Gruppe von IT Experten aus der WTF Kooperative eG mit dem Wechselrichter befasst haben. Auch dort kommt die Aussage "Über die ab Werk konfigurierte Verbindung zur Monitoring-Plattform Solarman steht deren Betreiber ein Rückkanal zu den Wechselrichtern von Deye zur Verfügung. Darüber können unter anderem Passwörter ausgelesen und gesetzt, sowie umliegende WLAN-Accesspoints ermittelt werden. Ebenso ist eine Veränderung der Betriebsparameter des Wechselrichters möglich, bis hin zur Fernabschaltung." Auch in diesem Artikel wird eine Cloud-freie Lösung zum Betrieb des Wechselrichters angestrebt.
2015
You get what you paid for! Mehr gibt es da nicht zu sagen. Es gibt auch Angebote mit vernünftigen Marken und Qualität, kosten eben etwas mehr. Geiz ist eben nicht Geil.
Bisserl unreflektiert. Als ich das Teil bekommen haben, GAB es NICHTS anderes auf dem Markt. Vorher hatte ich noch einen Hoymiles ohne WLAN bekommen, aber auch die waren dann "aus, keiner mehr da, wurden mir aus den Händen gerissen". Und billig waren sie damals (TM) alle nicht wirklich, ich habe jedes mal auch noch volle 19% Märchensteuer bezahlt.
Aber bei den jetzt noch erhältlichen WR nebst Nachfolgern gebe ich Dir recht. Obwohl es genügend Mitigationsmöglichkeiten gibt (meiner ist DICHT, keine Cloud, nichts kann rein oder raus), übersteigen diese sicherlich die Kapazitäten der meisten Anwender. Dann bekommt man tatsächlich, was man bezahlt hat…
Ohne whataboutism sehe ich allerdings angesichts der 24/7/365 am offenen Netz hängenden Cams, Feuermelder, Türschlösser, Küchengeräte, Waschmaschinen, Kühlschränke and what not viel größere Probleme für die betreffenden Nutzer, das macht ein Scheunentor zusätzlich, das nur tagsüber aktiv ist, auch nichts mehr aus :/
Um auf den Post von Balkon Solar einzugehen: es gibt keine vertrauenswürdige Cloud.
Doch! OwnCloud & Co. Den was direkt unter meiner eigenen Kontrolle ist ist immer vertrauenswürdig. Wenn man sich selbst nicht mehr traut ist alles egal.
Cloud bedeutet mitnichten das man es aus der Hand geben muss. Wird nur meistens mißverstanden.
@Ralph, @Luzifer – Ihr zwei Ihr könnt beide "Recht haben" :-) Lasst mal nicht
Nein!! Doch! Ja! von Louis de Funès spielen :-)
Ausschlaggebend ist das geforderte Sicherheitsniveau, ebenso auch die Definition "Cloud".
Selbst "OwnCloud" muss übrigens nicht immer diesem ominösen "Sicherheitsniveau" (welches sich zB aus dem Schutzbedarf von Daten und Anwendung ableitet) genügen ;-)
Falls bei der deutschen oder EU Politik gegenüber z.B. China eines Tages sagen wir mal "grössere Differenzen" entstehen, könnten zig Millionen von IoT Geräten von heute auf morgen ganz überraschend ihre Funktion verlieren oder je nach Gerät auch sponran in Rauch aufgehen. Die Abhängigkeit ist gigantisch. Man hat sich mit dem Cloud Wahn von verschiedenen Akteuren voll erpressbar gemacht.
Dass der Hersteller über die Cloudanbindung *schreibenden* Zugriff auf die Geräte hat (d.h. aktiv Veränderungen anstoßen kann) ist ja prinzipiell nichts neues, das ist bei nahezu jedem "Cloud-Gerät" so. Auch bei anderen Cloud-Geräten welche am öffentlichen Stromnetz betrieben werden, Stichwort Sonoff, Shelly, Hue, etc..
Dahingehend sollte man sich seitens der zuständigen Behörden (z.B. BNetzA & BSI) vielleicht mal Gedanken machen was das im Worst-Case für die Stabilität des Stromnetzes bedeuten könnte und ob für solche Geräte nicht vielleicht gewisse Vorgaben angemessen wären.
Dass die Wechselrichter im Allgemeinen nicht gerade mit einem Höchstmaß an Sicherheit glänzen ist auch nichts neues, bei vielen Geräten (z.B. Deye, Hoymiles) ist der einzige Identifikations- und Sicherheitsfaktor die Seriennummer (10-15 stellige Zahl), wenn die bekannt ist kann ich mir (theoretisch) Zugriff verschaffen und diesen z.B. meinem Cloud-Account hinzufügen.
Was bei den Deye-Geräten allerdings eklatant auffällt ist, dass diese noch um einiges unsicherer sind, denn sobald die TCP-Ports 8899 (ModBus/TCP) oder 48899 (ModBus/AT) erreichbar sind (egal ob im eigenen WLAN eingebunden oder über den integrierten, dauerhaft aktivierten WLAN-AP), ist das Ding offen wie ein Scheuenentor:
Über entsprechenden ModBus-Befehle kann dann *alles* daran verändert werden, auch elektrische Parameter zum Betrieb am Stromnetz die ganz klar der elektrischen Betriebssicherheit dienen.
Es gibt *keinerlei* Authentifizierung oder irgendwelche Sicherheitsebenen!
Über diesen Weg lässt sich auch die Konfiguration des Wechselrichters auslesen, inklusiver aller Passwörter (WLAN, Webinterface, etc.) im *Klartext*!
Aber auch dieser Umstand ist bereits seit geraumer Zeit bekannt, wenn auch sicherlich nicht in der breiten Masse.
Das Teil ist sicherheitstechnisch einfach eine Katastrophe, auch ohne Cloud-Anbindung. Die Cloud-Anbindung nach China macht es halt noch schlimmer.
Für den "gemeinen Endanwender" bleibt mMn daher nur die Message, dass die "WTF Kooperative" an einer deutschen Cloud-Lösung arbeitet (https://solar.wtf.coop/) die zwar vertrauenswürdiger ist, aber die grundsätzlichen (Design-)Probleme nicht löst.
Der bessere Weg wäre der Einsatz eines Wechselrichters eines anderen Herstellers, der die gesamte Geschichte besser gelöst hat.
Hoymiles + openDTU (https://github.com/tbnobody/OpenDTU) ist mMn für den einigermaßen IT-affinen "Anwender" dahingehend ein sehr vielversprechender Weg, auch wenn es nicht die "Features" der Cloud-Lösung bietet – vertrauenswürdiger ist es aber allemal.
Das klingt jetzt etwas plump nach „Open Source ist der heilige Gral", weil ja jeder den Quelltext lesen kann, weil ja, frei nach unserer Bildungspolitik, auch jeder programmieren kann.
Eigentlich sollten die Dinger mit der Firmware die ab Werk aufgespielt wurde, offline fehlerfrei funktionieren.
Wenn nicht könnte man in das Gerät einen USB Anschluss einbauen über den Firmwareupdates lokal durchgeführt werden können.
Weshalb müssen Wechselrichter überhaupt eine Internetverbindung haben? Wäre es nicht einfacher ein SW Display oder auch Farbdisplay und entsprechende Steuerelemente zum konfigurieren am Gerät bereitzustellen.
beides ist möglich. ein Deye muss nie an das Internet angeschlossen werden und er funktioniert ohne Update. Ein Update kann offline über den Logger eingespielt werden
Muß er ja gar nicht. Meiner hat keine Verbindung nach draußen, noch nie gesehen – Bis zur Fritzbox und dann ist Schluss! Aber dann gibt es halt keine schönen Bildchen, Du kannst nicht mehr sofort sehen, wieviel er gerade produziert, heute bei Sonnenschein produziert hat, und wann die dicke Wolke kam… Der unreflektierte Benutzer kommt sich dann vielleicht vernachlässigt vor, wenn er nicht weltweit sofort seine Produktionszahlen sehen kann…
Ich habe einen eigenen Zwischenzähler, der rückwärts läuft. Genügt mir als Anzeige.
FW kann man "offline" (z.B. per connect auf den AP des Deye, wenn er nicht mit der FB kommuniziert, oder eben über die IP in der FB) einspielen. Damit kommt man dann schließlich auch den Offenen Scheunentoren bei, so dass sich keiner mehr per AP ohne Passwort einloggen kann. Übrigens nichts nachts, denn ohne DC-Solarstrom ist der Wechselrichter abgeschaltet. Und wenn er Strom hat (Licht hat), ist er in der FritzBox angemeldet.
Mit anderen Worten: Der Kunde will das so mit der Cloud, koste es, was es wolle! Kennt man ja auch aus anderen Bereichen…
Man muss die Relaisbox nicht ins Internet einbinden und diese mit dem WR zu verheiraten. Und nachdem sich der WR ohne das Zutun von irgend jemand die Firmware aktualisiert hat kann man auch den WR vom Internet komplett trennen. Das WR braucht nur Internetanschluss, wenn man mit der App Einstellungen vornehmen will oder an den Erzeugungsdaten interessiert ist. Es stimmt auch nicht, dass die 12345678 fest verdrahtet wäre. Man kann den AP abschalten, seine eigenen PW hinterlegen. genau so. wie das sonstwo auch üblich ist
Der Artikel scheint mit vom Zwang gesteuert unbedingt DEYE noch was anhängen zu wollen. Guter Journalismus geht anders.
Es ist ähnlich wie Engelbert schreibt,
die Online Funktion benötigt man nur wenn man auch die CloudApp nutzen will. Die ganzen Firmwareupdates sind ohnehin bisher nur für den Webserver und die AP Funktion gewesen und nicht für die eigentlichen Wechselrichter Betrieb. Dieser funktioniert von Werk aus nämlich tadellos (mal vom fehlenden Relais abgesehen, wobei bei meinem Gerät auch ein deutliches "klicken" aus dem inneren hörbar ist wenn das Teil vom Netz getrennt wird.)
An die Leistungsdaten kommt man aber auch anders, z.B. via intelligentem Zwischenstecker.
Damit der WR nicht von den Nachbarn erreichbar ist, hab ich die Antenne abgemacht und einen Wiederstand auf den Port geschraubt. Jetzt ist das Ding komplett offline aber die Daten zur Stromerzeugung landen trotzdem bei mir auf dem Handy.
BTW. Viele Leute haben einen Staubsaugerroboter, fast alle dieser Dinger haben einen LIDAR Scanner oder auch schon Kameras on Board. Diese Daten gehen ALLE in die China Cloud. . . Schreibt keiner drüber komisch.
Mal Klartext.
Deye macht es tatsächlich schon extra schlecht so wie es aussieht.
Ich habe auch so ein Teil. Tut was er soll.
Verbindung nach außen habe ich blockiert nach der Ersteinrichtung, werkelt in eingenem VLan und wird von Home Assistant ausgelesen.
Am Ende folgen die Hersteller, die alles an eine Cloud anbinden auch nur dem Bedarf der Leute.
Die wollen halt was super einfaches, weil die meisten einfach keine Ahnung haben.
Das kann man niemand vorwerfen.
Und Neuverkauf kann man über Clouds auch super generieren, indem man einfach die "alte" Produktserie "nicht mehr unterstützt".
Beispiele dafür gibt es genug.
Fast alle Wechselrichter aus dem Land haben gigantische Cybersecurity Probleme (nicht nur die Balkon Klasse aber auch größere). "Remote Maintenance", "Remote Firmware Update" kombiniert mit fehlendem Schutz ist der super GAU.
Nicht vergessen: es gibt in Deutschland und in der EU keine gesetzliche Grundlage für Cybersecurity bei solchen Geräten. Der EU Cyber Resilience Act wird vielleicht in 3 Jahre verpflichtend…
Deswegen: keine Hersteller-Cloud nutzen ist die beste Lösung.
Mein Gedanke ist, dass über Wechselrichter und SmartHome-Gadgets aktuellste Netzdaten abgefragt werden können inklusive Stabilität und ausreichender Produktion (Frequenz!) bzw. Spitzenlastfestigkeit.
Daten, die inklusive sekündlich möglicher Erfolgskontrolle jeden potenziellen Angreifer unserer Infrastruktur sehr interessieren dürften.
Ich nehme mal an, an einen Plan des europäischen Verbundnetzes ist auch nicht schwer dranzukommen.
Dieser gnadenlose Cloudfraß sollte dringend die Behörden beschäftigen, die für die zivile und militärische Sicherheit in Europa verantwortlich sind. Dabei nützt es auch gar nichts, wenn die Server in Europa stehen, solange hier wie dort die falschen Leute Zugriff haben könnten…
https://media.ccc.de/v/37c3-11810-decentralized_energy_production_green_future_or_cybersecurity_nightmare
Hallo, ich würde das Thema gern einmal aus der Sicht des DAU angehen. Ich habe vor kurzem ebenfalls eine 800W-Anlage mit Deye SUN-M80G3-EU-Q0 erworben.
Da ich aus dem Starkstrombereich komme, hat mich eher der nachgerüstete N/A-Schutz überzeugt, das Teil zu kaufen.
Nach 2 Stunden Erstinstallation und zwei Abenden mit den Forenbeiträgen sträuben sich mir aber die Haare bezüglich der oft beschriebenen "Daten-Katastrophen" – war mir leider im Vorfeld überhaupt nicht bewusst, was da so an Risiko besteht.
Nun kann ich behaupten, das mir der "Ich-kann-allen-zeigen-was-meine-Anlage-so-cooles-macht"- Hype ziemlich egal ist. Also wäre meine erste Frage, ob der WR auch komplett "datenlos" funktioniert – also DC-Kabel an den WR, WR an die Steckdose und los?
Zweitens habe ich aus den Beiträgen weiter oben entnommen, dass man alternativ auch ohne die Datengeschenke an die Chinesen Leistungsinfos aus dem Gerät kriegt, ("…z.B. via intelligentem Zwischenstecker…, "…Verbindung nach außen habe ich blockiert nach der Ersteinrichtung…", "…meiner ist DICHT, keine Cloud.."), gibt es dafür irgendwo praktische Anleitungen?
Und drittens noch eine Idee (vom DAU:-)): könnte man z.B. mit einem alten Handy und Billigvertrag nicht dauerhaft einen mobilen WLAN-Hotspot öffnen und den WR nur darüber online schalten? Das löst zwar nicht die Datenweitergabe und das Risiko der Fernmanipulation, aber zumindest das Heimnetz bliebe unangetastet…
Die meisten Balkon-Wechselrichter können (noch) ganz ohne Cloud betrieben werden. Ggf. kann man für die Ersteinrichtung die Cloud kurz nutzen, danach das Gerät offline schalten (wenn es nicht einfach auszuschalten ist: irgendein SSID eingeben).
Zum letzten Punkt: es reicht, ein zusätzliches WiFi Router zu nutzen. Der WR wird mit diesem Router verbunden, die WAN Verbindung vom Router wird mit einem LAN Port vom Internet Router verbunden (oder auch per WiFi). Aber – wie Sie schreiben – ist das Problem dadurch nicht wirklich gelöst.
warum verwendet jeder eine App???? habe auch den deye 800 ohne App und Cloud. das Balkonkraftwerk macht was es soll. auch ohne diesen ganzen Blödsinn. zusammen stecken und los. der WR sagt mir auch so was er liefert ohne App.
Ich verwende zwei Deye-Wechselrichter ohne Internetanschluss mit einem Zwischenzähler. Letzterer nur, weil mich die Erzeugung interessiert. Funktional gesehen, braucht der WR kein Internet, kein Netzwerk, keine Cloud, er braucht nur DC-Verbindungen zu den Paneelen und eine AC-Verbindung – fertig.
Läuft einfach. Antenne habe ich gleich weggelassen.
Und der Solarman Server ist vom WR aus auch nicht mehr erreichbar. keine Ahnung, warum.