Sicherheit hat Vorfahrt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt zwar bei der öffentlichen Ladeinfrastruktur nicht akut Alarm, warnt aber vor wachsenden Risiken. Die Behörde fordert deshalb strengere verbindliche Sicherheitsvorgaben. Mit der wachsenden Zahl vernetzter Ladepunkte könnten Schwachstellen, die heute noch begrenzte Folgen haben, künftig zu größeren Schäden führen − bis hin zu Beeinträchtigungen der Stromnetze.

In einem Eckpunktepapier, das die Cybersicherheit anhand von 13 Kommunikationsbeziehungen bewertet, untersucht das BSI unter anderem die Verbindung zwischen Fahrzeug und Ladepunkt, die Steuerung von Ladesäulen durch Betreiber, Roaming- und Abrechnungssysteme, Zertifikatsinfrastrukturen sowie die Kommunikation mit Netzbetreibern. Die Behörde stuft die Gefährdung insgesamt als erhöht ein. Besonders kritisch bewertet sie die Ladesäulenverwaltung zwischen Ladepunkt und Backend des Charge Point Operators (CPO), die Zertifikatsverwaltung, Roaming sowie die Verbindungen von Energiemanagementsystemen und CPO zum Stromnetz.

Zwischen Fahrzeug und Ladesäule werden etwa Steuerparameter, Authentifizierungsinformationen und Ladepläne ausgetauscht. Manipulationen könnten Ladevorgänge unterbrechen oder verzögern und unter ungünstigen Umständen technische Schäden verursachen oder sogar lokale Auswirkungen auf die Stromversorgung haben. Werden viele Verbindungen gleichzeitig beeinflusst, hält das BSI auch Folgen auf Systemebene für denkbar.

Besonders weitreichend ist die Verbindung zwischen Ladesäule und Backend des Ladepunktbetreibers. Über das Open Charge Point Protocol (OCPP) lassen sich unter anderem Ladevorgänge steuern, Nutzer autorisieren, Abrechnungen abwickeln, Ladeleistungen beeinflussen sowie Zertifikate und Software aktualisieren. Bei bidirektionalem Laden kommt die Steuerung der Rückspeisung hinzu. Über die Systeme können zudem sensible Kundendaten übertragen werden.

Ein Kernproblem sieht die Behörde darin, dass Sicherheitsmechanismen in verbreiteten Standards häufig nur optional sind. Für Energieversorger und Netzbetreiber ist vor allem die Kommunikation zur Laststeuerung relevant. Über sie werden Lastprofile, geplante Ladevorgänge und Befehle zur Begrenzung oder Verschiebung von Leistung ausgetauscht. Das BSI warnt, manipulierte Signale könnten mehrere Ladepunkte gleichzeitig beeinflussen und regional die Netzstabilität gefährden. Bei Protokollen wie OSCP, OpenADR, IEEE 2030.5 oder IEC 61850 fehlten teilweise verbindliche Sicherheitsvorgaben oder es würden veraltete und schwache Verschlüsselungsverfahren zugelassen.

Für die Verbindung zwischen CPO und Netzbetreiber sei zudem unklar, welchen zusätzlichen Nutzen eine direkte Kommunikation in Deutschland habe, da bereits eine gesicherte Kommunikation über den Messstellenbetreiber existiere. Als mögliche Alternative will das BSI deshalb prüfen lassen, ob intelligente Messsysteme stärker in die öffentliche Ladeinfrastruktur eingebunden werden können. Ein Smart Meter Gateway in der Ladesäule oder am Netzanschlusspunkt könnte sichere Kommunikationskanäle zu externen Akteuren bereitstellen.

BSI schlägt vier „Quick Wins“ vor

Insgesamt schlägt das Eckpunktepapier elf Maßnahmen und vier „Quick Wins“ vor. Dazu gehören neben weiterer Forschung ein regelmäßiges Monitoring, einheitliche technische Mindeststandards, interoperable Public-Key-Infrastrukturen sowie Vorgaben zur Kryptoagilität. Sicherheitsanforderungen sollten, wo sinnvoll, gesetzlich verankert und ihre Einhaltung transparent und unabhängig überprüft werden.

Die Behörde will die Vorschläge nun weiter ausarbeiten. BSI und Bundesverkehrsministerium haben dazu im Juni 2026 eine Verwaltungsvereinbarung geschlossen. Die Projekte sollen von 2027 bis 2029 gemeinsam mit weiteren Bundesministerien, der Nationalen Leitstelle Ladeinfrastruktur und Marktakteuren umgesetzt werden. Ziel sind möglichst EU-weit einheitliche Anforderungen an Hersteller, Betreiber und Backend-Systeme. Entsprechend soll auch der Cyber Resilience Act (CRA) der EU auf Produkte der öffentlichen Ladeinfrastruktur angewendet werden.

Er setzt an einer anderen Stelle an als viele energiewirtschaftliche Sicherheitsvorschriften. Die EU-Verordnung richtet sich grundsätzlich an Produkte mit digitalen Elementen, also Hard- und Software, die auf dem europäischen Markt bereitgestellt werden. Die unmittelbaren Pflichten treffen deren Hersteller, daneben bestehen Vorgaben für Importeure und Händler. Ein Energieversorger oder Ladepunktbetreiber wird nicht allein deshalb zum Adressaten des CRA, weil er digitale Technik einsetzt oder Ladepunkte betreibt.

Für die Ladeinfrastruktur ist die Verordnung dennoch von erheblicher Bedeutung. Eine vernetzte Ladesäule ist ein Produkt mit digitalen Elementen. Gleiches kann für separat vermarktete Software gelten. Zum Produkt kann zudem eine vom Hersteller bereitgestellte Datenfernverarbeitung gehören, wenn diese für eine Funktion des Produkts erforderlich ist. Nicht jeder Cloud- oder Software-as-a-Service-Dienst fällt allerdings automatisch unter den CRA.

Die Verordnung verlagert einen Teil der Verantwortung für Cybersicherheit an den Anfang der Wertschöpfungskette. Hersteller müssen Cybersicherheitsrisiken ihrer Produkte bewerten und grundlegende Anforderungen an deren Sicherheit erfüllen. Dazu gehören unter anderem der Schutz vor unbefugtem Zugriff, der Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Daten sowie der Umgang mit Schwachstellen und Sicherheitsupdates über einen festgelegten Unterstützungszeitraum.

Die vollständigen Produktanforderungen des CRA gelten ab dem 11. Dezember 2027. Ein Teil der Pflichten ist allerdings bereits wirksam: Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei ihren Produkten melden. Eine erste Warnung muss grundsätzlich innerhalb von 24 Stunden erfolgen.

Nicht nur Betreiber verantwortlich

Mit seinem Eckpunktepapier macht das BSI deutlich, dass es die Cybersicherheit der Ladeinfrastruktur nicht allein den Betreibern überlassen will, die ihre Backend-Systeme und Kommunikationswege absichern müssen. Sicherheitsanforderungen sollen bereits für die eingesetzten Produkte verbindlicher werden. Die Behörde verbindet damit technische Empfehlungen zu sicheren Kommunikationsprotokollen, Zertifikaten, Software und Firmware mit einer europäischen Produktregulierung, die Hersteller verpflichtet, Sicherheitsrisiken bereits bei Entwicklung und Bereitstellung ihrer Produkte zu berücksichtigen und später bekannt werdende Schwachstellen zu behandeln.

Für Ladepunktbetreiber wirkt der CRA damit vor allem über die Technik, die sie beschaffen und einsetzen. Betreibt ein Unternehmen lediglich Ladesäulen, wird es dadurch noch nicht zum Hersteller nach EU-Recht. Bringt es allerdings selbst Hard- oder Software unter eigenem Namen auf den Markt, können sich daraus unmittelbar Herstellerpflichten ergeben. Ähnlich ist bei Backend- und Cloud-Lösungen genau zu unterscheiden, ob es sich um ein eigenständiges Produkt mit digitalen Elementen beziehungsweise um die notwendige Datenfernverarbeitung eines solchen Produkts oder lediglich um einen Cloud-Dienst handelt.

Auch von § 14a EnWG, der das Steuern von Verbrauchseinrichtungen in der Niederspannung regelt, ist die Ladeinfrastruktur betroffen. Demnach können Netzbetreiber den Leistungsbezug unter anderem von Wallboxen bei drohenden Netzengpässen begrenzen. Die dafür vorgesehene Infrastruktur setzt grundsätzlich auf intelligente Messsysteme mit einem vom BSI zertifizierten Smart Meter Gateway und einem sicheren Kommunikationskanal.

Eine andere Größenordnung erreicht die Frage der Cybersicherheit dort, wo nicht nur eine einzelne Anlage oder an einem einzelnen Netzanschluss gesteuert wird, sondern zahlreiche Anlagen als virtuelles Kraftwerk vermarktet und gegebenenfalls netzdienlich eingesetzt werden. Genau an dieser Stelle setzt seit Ende vergangenen Jahres auch der Begriff der digitalen Energiedienste im Energiewirtschaftsgesetz an.
Das EnWG zählt dazu Anlagen oder Systeme, die einen zentralen und standortübergreifenden Zugriff auf die Steuerung oder die unmittelbare Beeinflussung von Energieanlagen oder dezentralen Verbrauchsanlagen ermöglichen. Nicht jeder Aggregator unterliegt jedoch automatisch den besonderen Vorgaben: Nach Angaben der Bundesnetzagentur richtet sich die Regulierung an Betreiber digitaler Energiedienste, die zugleich nach dem BSI-Gesetz als wichtige oder besonders wichtige Einrichtung gelten und den Dienst an einer an das Energieversorgungsnetz angeschlossenen Energieanlage ausüben.
 
EnWG bezieht sich auf digitale Energiedienste

Seit dem 6. Dezember 2025 unterliegen diese Unternehmen im Bereich der Informationssicherheit der Regulierung durch die Bundesnetzagentur. Die Behörde arbeitet deshalb gemeinsam mit dem BSI an einem neuen, konsolidierten IT-Sicherheitskatalog. Die bisherigen Kataloge für Energieversorgungsnetze und Betreiber kritischer Energieanlagen sollen zusammengeführt und um Anforderungen für Betreiber digitaler Energiedienste ergänzt werden. Die Konsultation der Festlegung hat die Bundesnetzagentur für den Herbst 2026 angekündigt.

Wie groß die Herausforderungen der Cybersicherheit sind, zeigen die jährlichen Lageberichte des BSI. Im noch aktuellen Report betrachtete die Behörde den Zeitraum von Juli 2024 bis Juni 2025 und bewertete die IT-Sicherheitslage weiterhin als angespannt. Durchschnittlich seien 119 neue Schwachstellen pro Tag bekannt geworden. Gegenüber dem vorherigen Berichtszeitraum habe dies einem Anstieg um 24 Prozent entsprochen. Gleichzeitig nahmen sogenannte Exploitation-Angriffe, bei denen Angreifer bekannte Schwachstellen von über das Internet erreichbaren Systemen ausnutzen, um 38 Prozent zu.

Bei den kritischen Infrastrukturen registrierte das BSI allerdings auch Fortschritte. Fast 80 Prozent der bei der Behörde eingereichten Nachweise über Informationssicherheits-Managementsysteme (ISMS) wiesen einen Reifegrad von mindestens drei auf, was nach der BSI-Systematik einem etablierten ISMS entspricht.

Für Entwarnung sieht das BSI dennoch keinen Anlass. Im Sommer 2026 erklärte Präsidentin Claudia Plattner bei der Innenministerkonferenz, Spionage, Sabotage, Hacktivismus und mögliches sogenanntes Pre-Positioning im Cyberraum nähmen deutlich zu. Darunter versteht man den vorsorglichen Aufbau von Zugängen zu IT-Systemen, die bei Bedarf später für Angriffe genutzt werden können.
Wegen geopolitischer Konflikte und technologischer Entwicklungen geht das BSI von einer weiteren Verschärfung der Bedrohungslage aus. Wie sich diese Entwicklung in den Zahlen niederschlägt, wird der nächste Jahresbericht zeigen, der im Spätherbst vorliegen dürfte. fw