Cyber-Risiken bei PV- und BESS-Projekten: Die unterschätzte Gefahr für Betreiber und Investoren

Photovoltaikanlagen und Batteriespeicher werden immer digitaler. Moderne Solarparks und BESS-Projekte sind heute hochvernetzte Energieanlagen, die über Fernüberwachung, Energiemanagementsysteme, Handelsplattformen, Netzleitstellen und Cloud-Anwendungen gesteuert werden.

Diese Digitalisierung schafft erhebliche Vorteile für Betreiber. Gleichzeitig entsteht jedoch ein Risiko, das in vielen Wirtschaftlichkeits- und Risikomodellen noch nicht ausreichend berücksichtigt wird:

Cyber-Angriffe auf Energieanlagen.

Während Sachschäden durch Sturm, Hagel oder Brand längst zum Standard-Risikomanagement gehören, werden Cyber-Risiken häufig unterschätzt. Dabei können digitale Angriffe heute zu erheblichen Ertragsausfällen, Betriebsunterbrechungen und Haftungsrisiken führen.

Für Investoren, Betreiber und Finanzierer stellt sich daher zunehmend die Frage:

Wie hoch ist das Cyber-Risiko eines Projekts – und lässt es sich überhaupt versichern?

Der moderne Solarpark ist längst ein IT-System

Ein heutiger Solarpark mit Batteriespeicher besteht nicht mehr nur aus Modulen, Wechselrichtern und Transformatoren.

Zum Anlagenbetrieb gehören heute häufig:

• SCADA-Systeme

• Batteriemanagementsysteme (BMS)

• Energiemanagementsysteme (EMS)

• Fernwartungszugänge

• Cloud-Plattformen

• Stromhandelsplattformen

• Direktvermarktungsschnittstellen

• Netzbetreiber-Anbindungen

Jede dieser Verbindungen stellt potenziell eine Angriffsfläche dar.

Je stärker Anlagen digitalisiert werden, desto wichtiger wird die Frage nach ihrer Cybersicherheit.

Die größten Cyber-Risiken liegen nicht im Datendiebstahl

Viele Betreiber verbinden Cyber-Risiken zunächst mit gestohlenen Daten oder gehackten E-Mail-Konten.

Bei PV- und insbesondere BESS-Projekten liegen die tatsächlichen Gefahren jedoch an anderer Stelle.

Aus Sicht von Investoren und Banken sind insbesondere fünf Risiken besonders kritisch:

• Manipulation des Batteriemanagementsystems (BMS)

• Ausfall von Stromhandel und Vermarktungssystemen

• Angriffe auf SCADA- und Leitsysteme

• Ransomware-Angriffe

• Haftungsansprüche gegenüber Dritten

Genau diese Risiken können direkte Auswirkungen auf Umsatz, Cashflow und Projektrendite haben.

Manipulation des Batteriemanagementsystems (BMS)

Das BMS ist das Herzstück jedes Batteriespeichers.

Es kontrolliert unter anderem:

• Ladezustände

• Zellspannungen

• Temperaturbereiche

• Sicherheitsfunktionen

• Lade- und Entladevorgänge

Wird ein BMS manipuliert oder fällt es infolge eines Cyberangriffs aus, können schwerwiegende Folgen entstehen:

• Fehlsteuerungen einzelner Zellen

• beschleunigte Alterung der Batterie

• Kapazitätsverluste

• Notabschaltungen

• Ausfall ganzer Speichercontainer

Im Extremfall können technische Fehlfunktionen erhebliche Sachschäden verursachen.

Gerade deshalb gehört die Sicherheit des BMS mittlerweile zu den wichtigsten Risikofaktoren bei der Bewertung von BESS-Projekten.

Ausfall des Energiehandels kann unmittelbar Umsätze vernichten

Viele moderne Batteriespeicher erzielen ihre Erlöse nicht allein durch das Speichern von Strom.

Zentrale Erlösquellen sind heute:

• Intraday-Handel

• Arbitragegeschäfte

• Regelenergie

• Redispatch

• Flexibilitätsmärkte

Ein erfolgreicher Cyberangriff auf Handels- oder Kommunikationssysteme kann dazu führen, dass diese Erlöse über Stunden, Tage oder sogar Wochen nicht realisiert werden können.

Für rein handelsorientierte Speicherprojekte können die finanziellen Schäden schnell deutlich höher ausfallen als klassische Sachschäden.

Gerade deshalb achten Investoren zunehmend auf die Absicherung dieser Risiken.

Angriffe auf SCADA- und Leitsysteme

SCADA-Systeme überwachen und steuern wesentliche Funktionen moderner Energieanlagen.

Cyberkriminelle können versuchen:

• Anlagen abzuschalten,

• Leistungswerte zu manipulieren,

• Fehlmeldungen zu erzeugen,

• Betriebsparameter zu verändern oder

• Steuerungssysteme lahmzulegen.

Das Problem:

Viele Betreiber erkennen zunächst nicht, dass ein Cyberangriff vorliegt und vermuten technische Störungen.

Dadurch werden Ausfälle oft erst spät erkannt und die wirtschaftlichen Schäden können erheblich steigen.

Ransomware: Das aktuell größte Cyber-Risiko

Besonders gefürchtet sind heute sogenannte Ransomware-Angriffe.

Dabei werden zentrale Systeme verschlüsselt und erst nach Zahlung eines Lösegelds wieder freigegeben.

Betroffen sein können:

• Betriebsführungssysteme

• Monitoring-Plattformen

• Handelsplattformen

• Dokumentationssysteme

• Cloud-Services

Für Betreiber entstehen dadurch häufig:

• Betriebsunterbrechungen

• Ertragsausfälle

• Wiederherstellungskosten

• Kosten für IT-Forensiker

• Krisenmanagementkosten

Aus Sicht vieler Versicherer gehört Ransomware mittlerweile zu den wahrscheinlichsten Cyber-Schadenereignissen.

Cyber-Risiken können zu Haftungsfällen werden

Ein Cybervorfall betrifft nicht immer nur den Betreiber selbst.

Unter Umständen können auch Dritte geschädigt werden.

Mögliche Folgen sind:

• Nichterfüllung von Regelenergieverträgen

• Verletzung von Direktvermarktungsverträgen

• Bilanzkreisprobleme

• Netzstörungen durch Fehlsteuerungen

• Vertragsverletzungen gegenüber Energiehändlern

Daraus können Schadenersatzforderungen entstehen, die weit über den eigentlichen IT-Schaden hinausgehen.

Gerade institutionelle Investoren betrachten diese Haftungsrisiken zunehmend als Bestandteil ihrer Due-Diligence-Prüfungen.

Das Kostenrisiko für Betreiber und Investoren

Cyber-Schäden verursachen häufig nicht nur IT-Kosten.

Hinzu kommen oftmals:

• Ertragsausfälle

• Handelsverluste

• Vertragsstrafen

• externe IT-Spezialisten

• Wiederherstellungskosten

• Rechtsberatung

• Reputationsschäden

Je stärker die Erlösstruktur eines Projekts digitalisiert ist, desto größer wird das wirtschaftliche Risiko.

Für Banken und Investoren wird Cybersecurity damit zunehmend zu einem finanzierungsrelevanten Thema.

Sind Cyber-Risiken überhaupt versicherbar?

Die gute Nachricht lautet:

Ja, viele Cyber-Risiken lassen sich heute versichern.

Allerdings unterscheiden sich Cyber-Versicherungen deutlich von klassischen Sach- oder Haftpflichtversicherungen.

Viele Betreiber gehen davon aus, dass bestehende Versicherungen digitale Schäden automatisch mit absichern.

In der Praxis bestehen jedoch häufig Deckungslücken.

Daher sollte geprüft werden, ob insbesondere folgende Risiken abgesichert sind:

Eigenschäden

• Wiederherstellung von Daten

• Wiederherstellung von Software

• IT-Forensik

• Krisenmanagement

• Incident-Response-Kosten

Betriebsunterbrechung

Besonders relevant für PV- und BESS-Projekte:

• Ertragsausfälle

• Ausfall von Stromhandelsplattformen

• Unterbrechungen des Anlagenbetriebs

• Vermarktungsausfälle

Cyber-Haftpflicht

• Schadenersatzansprüche Dritter

• Vertragsverletzungen

• Vermögensschäden

Kosten für Cyber-Spezialisten

• IT-Forensiker

• Rechtsanwälte

• Verhandlungsspezialisten

• Krisenkommunikation

Nicht jedes Projekt ist gleich gut versicherbar

Wie bei BESS- oder Umweltrisiken hängt auch die Versicherbarkeit von Cyber-Risiken stark von der Qualität des Risikomanagements ab.

Versicherer bewerten heute insbesondere:

• Mehrfaktor-Authentifizierung

• Backup-Strategien

• Fernwartungskonzepte

• Netzsegmentierung

• Update-Management

• Cyber-Notfallpläne

• Trennung von Office-IT und Anlagensteuerung

• Zugriffskontrollen für Dienstleister

Je professioneller diese Maßnahmen umgesetzt werden, desto besser sind in der Regel Versicherbarkeit, Deckungsumfang und Prämienniveau.

Warum ein spezialisierter Versicherungsmakler wichtig ist

Cyber-Versicherungen gehören mittlerweile zu den anspruchsvollsten Bereichen der Projektversicherung.

Ein spezialisierter Makler unterstützt Betreiber dabei:

• Cyber-Risiken zu analysieren,

• Deckungslücken aufzudecken,

• Cyber- und Sachversicherungen aufeinander abzustimmen,

• Anforderungen von Banken und Investoren umzusetzen,

• geeignete Versicherer auszuwählen,

• Cyber-Risiken in die Rentabilitätsbetrachtung einzubeziehen.

Insbesondere bei BESS-Projekten lohnt sich die frühzeitige Einbindung eines Spezialisten bereits während der Projektentwicklung.

Fazit

Mit der Digitalisierung von Solarparks und Batteriespeicherprojekten wächst auch die Bedeutung von Cyber-Risiken. Die größten Gefahren liegen heute nicht im klassischen Datendiebstahl, sondern in der Manipulation von Batteriemanagementsystemen, dem Ausfall von Handelsplattformen, Angriffen auf Leitsysteme, Ransomware-Attacken und daraus resultierenden Haftungsrisiken.

Ein erfolgreicher Cyberangriff kann erhebliche Ertragsausfälle verursachen und damit die Wirtschaftlichkeit eines Projekts unmittelbar beeinträchtigen.

Die gute Nachricht: Viele dieser Risiken sind versicherbar. Voraussetzung ist jedoch, dass Cybersecurity frühzeitig in das technische, wirtschaftliche und versicherungsseitige Risikomanagement integriert wird.

Denn bei modernen PV- und BESS-Projekten schützt eine gute Cyber-Versicherung nicht nur die IT – sondern letztlich die Rentabilität des gesamten Investments.