BSI fordert verbindliche Cybersicherheit für Ladepunkte

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht bei der öffentlichen Ladeinfrastruktur keinen akuten Alarmzustand, fordert aber strengere verbindliche Sicherheitsvorgaben. Mit wachsender Zahl vernetzter Ladepunkte könnten Schwachstellen, die heute noch begrenzte Folgen haben, künftig zu größeren Schäden führen – bis hin zu Beeinträchtigungen der Stromnetze.

In einem Eckpunktepapier, das die Cybersicherheit anhand von 13 Kommunikationsbeziehungen bewertet, untersucht das BSI unter anderem die Verbindung zwischen Fahrzeug und Ladepunkt, die Steuerung von Ladesäulen durch Betreiber, Roaming- und Abrechnungssysteme, Zertifikatsinfrastrukturen sowie die Kommunikation mit Netzbetreibern. Die Behörde stuft die Gefährdung insgesamt als erhöht ein. Besonders kritisch bewertet sie die Ladesäulenverwaltung zwischen Ladepunkt und Backend des Charge Point Operators (CPO), die Zertifikatsverwaltung, Roaming sowie die Verbindungen von Energiemanagementsystemen und CPOs zum Stromnetz.

Ein Kernproblem sieht die Behörde darin, dass Sicherheitsmechanismen in verbreiteten Standards häufig nur optional sind. Für Energieversorger und Netzbetreiber ist vor allem die Kommunikation zur Laststeuerung relevant. Über sie werden Lastprofile, geplante Ladevorgänge und Befehle zur Begrenzung oder Verschiebung von Leistung ausgetauscht. Das BSI warnt, manipulierte Signale könnten mehrere Ladepunkte gleichzeitig beeinflussen und regional die Netzstabilität gefährden. Bei Protokollen wie OSCP, OpenADR, IEEE 2030.5 oder IEC 61850 fehlten teilweise verbindliche Sicherheitsvorgaben oder es würden veraltete und schwache Verschlüsselungsverfahren zugelassen.

Für die Verbindung zwischen CPO und Netzbetreiber sei zudem unklar, welchen zusätzlichen Nutzen eine direkte Kommunikation in Deutschland habe, da bereits eine gesicherte Kommunikation über den Messstellenbetreiber existiere. Als mögliche Alternative will das BSI deshalb prüfen lassen, ob intelligente Messsysteme stärker in die öffentliche Ladeinfrastruktur eingebunden werden können. Ein Smart Meter Gateway in der Ladesäule oder am Netzanschlusspunkt könnte sichere Kommunikationskanäle zu externen Akteuren bereitstellen.

Insgesamt schlägt das Papier elf Maßnahmen und vier „Quick Wins“ vor. Dazu gehören ein regelmäßiges Monitoring, einheitliche technische Mindeststandards, interoperable Public-Key-Infrastrukturen, Vorgaben zur Kryptoagilität und eine konsequente Anwendung des Cyber Resilience Act.

Die Behörde will die Vorschläge nun weiter ausarbeiten. BSI und Bundesverkehrsministerium haben dazu im Juni 2026 eine Verwaltungsvereinbarung geschlossen. Die Projekte sollen von 2027 bis 2029 gemeinsam mit weiteren Bundesministerien, der Nationalen Leitstelle Ladeinfrastruktur und Marktakteuren umgesetzt werden. Ziel sind möglichst EU-weit einheitliche Anforderungen an Hersteller, Betreiber und Backend-Systeme.

Das Eckpunktepapier steht auf der Internetseite des BSI zum Download zur Verfügung. (fw)