Wie sicher sind Deye-Wechselrichter? – Ein Blick in die Firmware ist er sicher?
Viele Photovoltaik-Besitzer und Sicherheitsexperten stellen sich die Frage:
Wie sicher sind eigentlich moderne Deye-Wechselrichter gegen Remote-Angriffe? Gibt es versteckte Backdoors, die den Hersteller oder Dritte ins System lassen?
Wir haben eine aktuelle Deye-Firmware bis auf Assembler-Ebene auseinandergenommen, alle Klartext-Daten, Protokolle und Kontrollflüsse durchleuchtet und dabei auf Backdoors, Universalpasswörter oder versteckte Zugangsmöglichkeiten geachtet.
📋 Kurzfassung: Eine aktuelle Deye-Firmware wurde bis auf Assembler-Ebene zerlegt und gezielt auf Backdoors, Universalpasswörter und versteckte Fernzugänge untersucht. Das Ergebnis fällt beruhigender aus, als die Debatte vermuten lässt.
- Gefunden: keine Masterpasswörter, keine root- oder admin-Hintertüren, keine Magic-Strings
- OTA und Cloud: funktionieren nur, wenn der Wechselrichter Internetzugang hat
- Serviceport: setzt physischen Zugang zum Gerät voraus
- Empfehlung: kein Cloud-Konto, keine Portfreigaben, im Zweifel ein eigenes VLAN
Das Ergebnis:
1. Keine klassischen Backdoors, keine Universalpasswörter
Im gesamten Quellcode finden sich keine Masterpasswörter, keine „root“/„admin“/„superuser“-Hintertüren und keine Magic-Strings, die einen geheimen Fernzugang ermöglichen würden. Auch sonst gibt es keinen Hinweis auf undokumentierte Remote-Kommandos oder Trigger, mit denen der Hersteller oder Dritte das Gerät unbemerkt übernehmen könnten.
2. Sicherheitsrelevante Features: OTA/Cloud nur auf Wunsch
Die Firmware unterstützt Over-the-Air-Updates (OTA) und Cloud-Funktionen, wie man es von modernen Geräten erwartet.
Wichtig:
Ein Firmware-Update „von außen“ kann nur dann erfolgen, wenn der Wechselrichter Internetzugang hat und Cloud-Funktionen aktiv sind.
Wer dies nicht wünscht, kann den Wechselrichter problemlos isolieren:
- Kein Cloud-Konto einrichten
- Keine Portfreigaben oder offenen Verbindungen ins Internet
- Im Heimnetz bleiben oder – maximal sicher – ein eigenes VLAN verwenden
3. Physische Schnittstellen: Kein Remote-Risiko
Natürlich bietet der Wechselrichter – wie praktisch jedes Embedded-System – lokale Wartungsschnittstellen (UART/Serviceport).
ABER:
Um diese zu missbrauchen, müsste ein Angreifer physischen Zugang zum Gerät haben – sprich: Er müsste auf den Dachboden, ins Kellerabteil oder direkt an den Inverter.
Für reale Remote-Angriffe ist das völlig uninteressant.
4. Individuelle Passwörter und Update-Mechanismen
Neue Geräte werden mit individuellem Admin-Passwort ausgeliefert – weg vom früheren Standard „admin123456“.
OTA-Updates sind, wenn das Gerät isoliert bleibt, kein Risiko. Die Firmware prüft Authentizität und nutzt Zertifikate für verschlüsselte Übertragung.
5. Community & Open Source Review
Die Deye-Firmware ist kein „Closed Book“ mehr – sie wird inzwischen von vielen in der Community analysiert, dokumentiert und mit offenen Protokollen wie Modbus verwendet.
Bis heute gibt es keine bestätigten Berichte über einen aktiven, missbräuchlichen Remote-Backdoor im Code.
Häufige Fragen
Hat der Hersteller eine Hintertür in der Firmware?
In der untersuchten Firmware nicht. Weder Masterpasswörter noch undokumentierte Remote-Kommandos oder Magic-Strings waren zu finden.
Kann jemand aus der Ferne ein Firmware-Update aufspielen?
Nur wenn der Wechselrichter Internetzugang hat und die Cloud-Funktionen aktiv sind. Ohne Cloud-Konto und ohne Portfreigaben entfällt dieser Weg.
Wie betreibe ich das Gerät möglichst sicher?
Kein Cloud-Konto einrichten, keine Portfreigaben setzen, den Wechselrichter im Heimnetz belassen — und wenn es maximal sicher sein soll, in ein eigenes VLAN stecken.
