- Am Morgen des 15. November 2024 häuften sich im DIY Solar Power Forum Berichte über gebrickte Wechselrichter der Marke Deye; auf einigen Displays erschien der Hinweis, dass sie in bestimmten Ländern nicht verwendet werden können, sowie die Aufforderung zur Eingabe eines fünfstelligen Passcodes
- Deye ist der Auftragsfertiger der Hybrid-Wechselrichter von Sol-Ark, und Sol-Ark besitzt seit 2018 die exklusiven Vertriebsrechte in den USA, die das Unternehmen in mehreren Gerichtsverfahren durchgesetzt hat
- Fälle wurden nicht nur aus Puerto Rico und Arizona gemeldet, sondern auch aus Panama und Kanada, sodass offen bleibt, ob das Problem möglicherweise nicht auf US-Gebiet beschränkt war
- Sol-Ark erklärte, die Maßnahmen von Deye nicht zu kontrollieren, bietet aber vom 15. November bis 31. Dezember 2024 betroffenen privaten Haushaltskunden ein Programm zum vergünstigten Kauf eines gleichwertigen Sol-Ark-Wechselrichters an
- Da deutlich wurde, dass mit dem Internet verbundene Solarwechselrichter aus der Ferne konfiguriert und gesteuert werden können, sollten Installateure und Nutzer neben der offiziellen Unterstützung auch sicherere Netzwerkarchitekturen prüfen
Berichte über gebrickte Deye-Wechselrichter
- Am Morgen des Freitag, 15. November 2024, kamen Berichte auf, dass Wechselrichter der Marke Deye in den gesamten USA absichtlich gebrickt worden seien
- Auf einigen Wechselrichter-Displays wurde Folgendes angezeigt
- Der betreffende Wechselrichter könne in Pakistan/USA/UK nicht verwendet werden
- Für Pakistan solle man Inverex kontaktieren, für die USA Sol-Ark und für das UK Sunsynk
- Der Hinweis, das Gerät an den Lieferanten zurückzugeben
- Der Hinweis, dass zum Start auf dem nächsten Bildschirm ein fünfstelliger Passcode erforderlich sei und dieser Passcode im Ausland automatisch generiert werde
- James Showalter, Founder/Owner von EG4 Electronics und Signature Solar, kritisierte im DIY Solar Power Forum, es sei ethisch problematisch, Geräte abzuschalten, die Hausbesitzer gekauft hätten und auf die sie sich verlassen, nur wegen einer Geschäftsstrategie
Schadensfälle aus mehreren Regionen
- Im Thread des DIY Solar Power Forum folgten Schadensmeldungen mehrerer Nutzer
- Screenshot eines Beitrags aus einer Facebook-Gruppe eines Installateurs in Puerto Rico
- webbbn aus Arizona meldete einen gebrickten Wechselrichter
- PanGirl aus Panama berichtete, dass von zwei Deye-Wechselrichtern nur der eine mit Dongle gebrickt worden sei
- van-traveler86 aus Puerto Rico berichtete, zwei Kunden mit demselben Problem zu haben
- Auch newageddrywall aus Kanada meldete, dass ein Wechselrichter gebrickt worden sei
- Ein Forennutzer, der Sol-Ark anrief, berichtete, der zuständige Techniker habe das Problem offenbar nicht gekannt, habe aber erwähnt, dass auch aus Kanada Anrufe wegen desselben Problems eingegangen seien
- Wegen der Fälle in Panama und Kanada könnte dieses Problem nicht nur Wechselrichter innerhalb von US-Gebiet betreffen
Exklusive Vertriebsbeziehung zwischen Sol-Ark und Deye
- Deye ist der Auftragsfertiger der Hybrid-Wechselrichter von Sol-Ark
- Sol-Ark besitzt seit 2018 die Exklusivrechte für den Vertrieb dieser Wechselrichter in den USA; dies wurde in Gerichtsverfahren über mehrere Jahre hinweg bestätigt
- Einige Unternehmen haben Wechselrichter der Marke Deye für Installationen verkauft, was offenbar gegen die Exklusivvereinbarung zwischen Sol-Ark und Deye verstößt
- Sol-Ark hat seine Exklusivrechte über Gerichtsverfahren durchgesetzt
- Was der unmittelbare Auslöser für diese Abschaltung war, warum sie jetzt erfolgte und warum sie nicht früher erfolgte, ist unklar
Begrenztes Unterstützungsprogramm von Sol-Ark
- Nach ersten Berichten gab Deye am 30. November 2024 eine eigene Stellungnahme zu dieser Angelegenheit ab
- Sol-Ark erklärte, man sei sich der Situation bewusst, die durch unautorisiert verkaufte Deye-Wechselrichter in Puerto Rico und den USA entstanden sei
- Sol-Ark erklärte, man kontrolliere die Maßnahmen von Deye nicht; die Meldung auf den Displays der Deye-Wechselrichter könne zwar den Eindruck erwecken, Sol-Ark könne Garantie oder Service anbieten, tatsächlich sei dies aber nicht möglich
- Da die Maßnahmen von Deye jedoch einzelne Haushalte direkt beeinträchtigen könnten, legte Sol-Ark eine begrenzte Lösung vor
- Zeitraum: 15. November 2024 bis 31. Dezember 2024
- Zielgruppe: Private Haushaltskunden, die einen Deye-Wechselrichter installiert haben, dessen Funktion von Deye deaktiviert wurde
- Angebot: Möglichkeit, einen neuen Sol-Ark-Wechselrichter mit gleichwertiger Leistung zu einem stark reduzierten Preis zu kaufen
- Sol-Ark übernimmt die Versandkosten für Sol-Ark-Geräte an Adressen in Puerto Rico
- Nach dem 31. Dezember 2024 wird das Angebot nicht mehr verfügbar sein
- Gewerbliche Anlagen oder Unternehmen sind nicht teilnahmeberechtigt
- Installationskosten, Kosten für die Entfernung des Deye-Wechselrichters sowie Kosten für Schäden, die durch den Deye-Wechselrichter oder Maßnahmen von Deye entstanden sind, übernimmt Sol-Ark nicht
- Antragsteller müssen Fotos der Seriennummer und Modellnummer des Deye-Wechselrichters machen und anschließend Adriana Navarro von Sol-Ark kontaktieren
- Sol-Ark behält sich die endgültige Entscheidungsbefugnis und das Ermessen über die Verfügbarkeit des Programms und die Betriebsbedingungen vor
MySolArk und Remote-Management-Architektur
- Simon McLean, Marketing Vice President von Sol-Ark, erklärte, dass Sol-Ark-Wechselrichter über die eigene Plattform MySolArk verwaltet, aktualisiert und gewartet werden
- MySolArk wurde entwickelt und implementiert, um Sicherheit und Datenschutz der Sol-Ark-Kunden zu gewährleisten
- Die über die Plattform gewonnenen Daten werden von Sol-Ark in den USA verarbeitet und gepflegt und gemäß der Datenschutzrichtlinie von Sol-Ark verwendet
- Sol-Ark erklärte, man werde MySolArk mit den Grundprinzipien Energiesicherheit, Resilienz und Schutz der Kundendaten weiterentwickeln und bereitstellen
Offene Fragen für Installateure und Nutzer
- Einige Nutzer können derzeit möglicherweise keine Solarstromproduktion und keine Backup-Stromversorgung nutzen
- Auch der Eindruck, ein chinesisches Unternehmen habe den Schalter an Wechselrichtern aus der Ferne umgelegt und damit die Stromerzeugung gestoppt, verstärkte die Sorgen
- Viele in den USA installierte Solaranlagen erzeugen Strom mit in China hergestellten Wechselrichtern, und angesichts wachsender Spannungen und Handelskonflikte mit China könnte ein unangenehm hohes Maß an Einfluss bestehen
- Selbst wenn man politische Fragen zwischen Staaten ausklammert, erweist sich die Internetkonnektivität der in den vergangenen 5 bis 10 Jahren installierten Solaranlagen als großes potenzielles Problem
- Die meisten Wechselrichterhersteller verfügen grundsätzlich über Möglichkeiten, Wechselrichter aus der Ferne zu konfigurieren, und solche internen Systeme können ein großes Ziel für Cyberangreifer sein
- Installateure sollten Wechselrichter mit offizieller und direkter Unterstützung in den USA sorgfältig auswählen
- Für Systeme, die bei Stromausfällen als Backup-Stromversorgung dienen oder als vollständig netzunabhängige Wechselrichter eingesetzt werden, ist eine sicherere Netzwerkarchitektur erforderlich
- Die endgültige Lösung für betroffene Kunden ist noch nicht absehbar, und da Deye bei der Erstinstallation keine geografische Prüfung vorgenommen hat, ist die Wahrscheinlichkeit hoch, dass die falschen Personen geschädigt werden
1 Kommentare
Meinungen auf Hacker News
Das Grundproblem ist, wie so oft, dass es inzwischen als normal gilt, dass ein Gerät im eigenen Haus Cloud-Zugriff braucht, um so etwas zu tun – oder überhaupt zu funktionieren –, obwohl der Zugriff auf das Gerät innerhalb des Hauses erfolgt.
Früher wären die Messwerte des Inverters über einen lokalen Webserver im Gerät bereitgestellt worden. Vielleicht hätte man sogar einen QR-Code auf das Gerät geklebt, damit auch normale Smartphone-Nutzer darauf zugreifen können. Firmware-Updates sollten eine physische Opt-in-Anwendung sein, etwa indem man einen USB-Stick oder eine MicroSD-Karte einsteckt und einen Knopf drückt.
Nicht irgendeine dubiose Cloud, die wegen rechtlicher Probleme, Böswilligkeit oder schierer Inkompetenz Funktionen ohne Warnung ändern oder entfernen kann. An unserem Geschirrspüler leuchtet immer noch eine kleine Anzeige, die uns daran erinnert, dass er noch nicht mit dem WLAN verbunden ist – und ich werde ihn ganz sicher nie verbinden. Das Geschirr wird auch jetzt noch sauber.
Das kann man mit einem 5-Dollar-USB-Seriell-Adapter an einen PC anschließen, direkt an einen Raspberry Pi oder an einen dieser 20-Dollar-Cloud-Dongles. Wenn man nur eine serielle Schnittstelle vorschreibt, braucht der Inverter selbst überhaupt kein Webinterface.
[0]: https://en.wikipedia.org/wiki/IEC_62056
[1]: https://jensd.be/1183/linux/read-data-from-the-belgian-digit...
Größere Funktionsänderungen als Opt-in zu machen, ist in Ordnung.
So etwas wird erst aufhören, wenn es als böswilliger Angriff behandelt wird. Wie bei Ransomware sollten die Täter zur Fahndung ausgeschrieben werden und, wenn sie gefasst werden, erhebliche Haftstrafen bekommen.
Das gilt für das mutwillige Unbrauchbarmachen gewöhnlicher Verbrauchergeräte genauso wie für Angriffe auf kritische Infrastruktur dieser Art. Letztere sollten natürlich entsprechend härter bestraft werden.
https://pemc.coop/bill-protecting-critical-infrastructure-si...
Dem Artikel nach scheint die Überschrift falsch zu sein. Es sieht so aus, als habe nicht der US-Vertrieb Sol-Ark das getan, sondern der Hersteller Deye.
Denn es ist schwer, Deye oder chinesische Unternehmen zur Verantwortung zu ziehen. Darüber hinaus sollte das als Warnschuss verstanden werden: Wenn man für kritische Infrastruktur ständig internationale Lieferanten austauscht, kann das zu einem Problem der nationalen Sicherheit werden. Es ist inakzeptabel, dass sie alle die Fähigkeit bekommen, den US-Strom abzuschalten.
Es gibt keinen Grund, solche Dinge importieren zu müssen.
Deye hat vermutlich so etwas gesagt wie: „Wir haben vertragliche Verpflichtungen.“ Ich denke, beide tragen Schuld.
Ich habe das Gefühl, solche Dinge sollten nicht einmal in die Nähe des Internets kommen. Nicht nur, weil der Hersteller sie plötzlich deaktivieren kann, sondern auch, weil die Software üblicherweise voller Löcher ist.
Die Internetverbindung sollte höchstens darin bestehen, dass das Gerät gelegentlich einen Server kontaktiert und nach Updates fragt; es sollte von außen nicht direkt erreichbar sein. Solange nicht auch der Update-Server kompromittiert wird, ist mir nicht ganz klar, was tatsächlich passieren könnte.
Ich nutze einen SolarEdge-Inverter und habe ihn nicht mit dem Internet verbunden, weil ich befürchtet habe, dass so etwas möglich sein könnte. Es ist zwar ein anderes Unternehmen, aber jetzt fühlt sich diese Sorge bestätigt an.
Ich verstehe nicht ganz, warum Sol-Ark die Schuld bekommt.
Leute haben auf dem Graumarkt, etwa über AliExpress, chinesische Inverter für den chinesischen Markt gekauft und in andere Länder gebracht, und Deye hat beschlossen, dagegen vorzugehen. Nach aktuellem Stand gibt es keinen Beleg dafür, dass Sol-Ark damit zu tun hat – abgesehen davon, dass Sol-Ark der autorisierte Vertrieb für umgelabelte Deye-Inverter in den USA ist.
Deshalb sind die Leute wegen Sol-Arks Spielchen ganz selbstverständlich zu nicht gelisteten Deye-Invertern gewechselt. Jetzt sitzen sie ohne Strom da, und um das zu beheben, müssen sie zu Sol-Ark gehen und vermutlich viel Geld zahlen.
Wenn Deye ein in den USA rechtmäßig gekauftes Produkt zerstört hat, sehe ich darin einen Verstoß gegen US-Recht. Ich hoffe, die Besitzer der Inverter reichen in den USA eine Sammelklage gegen Deye ein. Ein Gericht könnte den Verkauf der Produkte des Unternehmens in den USA untersagen, bis die Inverter wiederhergestellt und Entschädigungen gezahlt wurden.
Kann jemand, der einen Solarwechselrichter besitzt, erklären, warum solche Geräte mit dem Internet verbunden werden?
In der Praxis bedeutet das aber fast immer eine Internetverbindung. Denn die einfachste Schnittstelle ist Wi-Fi, und Datenerfassung sowie Anzeige laufen über die Server des Herstellers. Deshalb heißt Zusatzfunktionalität schnell: Internetverbindung.
Offenbar gab es zwischen den beiden Streit ums Geld, denn der Subunternehmer sagte mir, ich solle die Rechnung direkt an ihn bezahlen. Andernfalls würden sie meine neu installierte Solaranlage abschalten. Während ich am Telefon fragte: „Geht das überhaupt?“, habe ich natürlich das Wi-Fi-Passwort geändert.
Diese App ermöglicht außerdem Fernsteuerung und Überwachung des Wechselrichters über unbekannte Cloud-Server. Ich betreibe alles ausschließlich lokal, daher wird das bei mir niemals passieren.
Dieser Hersteller hat aus Kostengründen beides in dieselbe „Box“ gepackt, und dadurch könnte ein Fehlerzustand des Controllers dazu geführt haben, dass der Wechselrichterteil nicht mehr arbeitet. Manche Systeme, wie mein Enphase-System, sind so gut konstruiert, dass der Wechselrichter unabhängig von der Monitoring-/Steuerungssoftware funktioniert. Dafür müsste man allerdings im Wechselrichter selbst Datenspeicher hinzufügen, damit er auch während eines „Ausfalls“ des Controllers Daten protokollieren kann.
Jede Web-UI, in der man den Verbrauch sieht, sammelt auch nützliche Informationen, die für Prognosemodelle verwendet werden können. Einer der Forscher, mit denen ich zusammengearbeitet habe, schrieb eine Arbeit darüber, wie verteilte Messwerte der Leistung von privaten Solaranlagen helfen können, Vorhersagen der Sonneneinstrahlung sowie Ist-/Beobachtungswerte mit höherer Auflösung zu schätzen. Um das zuverlässig zu machen, ist viel Datenbereinigung nötig. Soweit ich mich erinnere, wurden solche Daten für verschiedene Forschungs- und kommerzielle Wettermodellierungen gekauft und verkauft.
Diese Rechtslage gab es schon vor zehn Jahren.
https://www.finnegan.com/en/insights/articles/u-s-supreme-co...
„Der Oberste Gerichtshof der USA entschied, dass bei im Ausland gedruckten und verkauften Büchern das Urheberrecht nach dem First-Sale-Grundsatz erschöpft ist und sie daher in den USA frei weiterverkauft werden können … Die Kirtsaeng-Entscheidung ist für Urheberrechtsinhaber wichtig und könnte auch für Patentinhaber, die durch US-Patente geschützte Waren im Ausland herstellen und verkaufen, erhebliche Auswirkungen haben.“
https://www.iveticlaw.com/owning-vs-controlling-understandin...
Der First-Sale-Grundsatz ist ein Rechtsprinzip, das die Kontrolle des Urheberrechtsinhabers über ein bestimmtes Exemplar eines Werks beschränkt, nachdem dieses rechtmäßig verkauft wurde. Praktischer gesagt: Wenn man ein Buch, eine CD, DVD, ein Kunstwerk oder ein anderes autorisiertes Exemplar eines urheberrechtlich geschützten Werks gekauft hat, braucht man in der Regel keine Erlaubnis des Urheberrechtsinhabers, um genau diesen Gegenstand weiterzuverkaufen, zu verleihen, zu verschenken oder sogar zu zerstören.
Für Remote-Bricking braucht man Software, und Software wird unter dem Urheberrecht verkauft.
Und das hat nichts mit einem Exklusivvertrag zwischen Unternehmen zu tun, wonach es hier aussieht.
Ich nutze Deye seit 2019. Ich hatte einen blauen netzgekoppelten Wechselrichter mit Limiter, um ohne Einspeisung zu fahren, und darauf klebte ein Deye-Herstelleraufkleber. Also habe ich danach gesucht, ihn auf Alibaba gefunden und selbst ein paar gekauft. Erst später erfuhr ich, dass es eine Verbindung zu Sol-Ark gab. Zum Glück habe ich ihrer Dongle-/Cloud-Lösung nicht vertraut und sie nur eingesteckt, wenn ich ein Firmware-Update angefordert habe.
Irgendwann erfuhr ich, dass das Produkt zusammen mit Sol-Ark entwickelt worden war, dass Sol-Ark Deye unter Druck setzte, den Verkauf auf dem US-Markt einzustellen, und dass Deye tatsächlich den Direktverkauf in den USA stoppte. Ich verstehe Sol-Arks Position, aber viele Leute haben gekauft, ohne irgendeine Kenntnis von dieser Beziehung zu haben, oder wussten nicht, dass es als Graumarkt gelten würde, weil Direktkäufe von Produkten aus China so verbreitet sind. Außerdem hätten wir, wie fast alle, die mit so etwas herumexperimentieren, Sol-Ark ohnehin nie gekauft und kannten es kaum, weil es viel zu teuer war.
Selbst wenn diese Entscheidung allein von Deye ausging, ist sie eine direkte Folge des Drucks von Sol-Ark, den Verkauf von Wechselrichtern in den US-Markt zu verhindern. Als Zwischenhändler das ausreichend umgangen haben, fühlte man sich offenbar zu diesem Schritt gezwungen.
Noch einmal: Ich verstehe Sol-Arks Position, aber es sieht sehr schlecht aus. Ich sehe darin eine gewisse Ähnlichkeit zu Medienpiraterie. Die Leute hätten für das, was ihr anbietet, ohnehin nicht bezahlt, und alles, was ihr jetzt tut, ist, potenzielle künftige Kunden dazu zu bringen, euch zu hassen. Es wäre mit Sicherheit profitabler, diese Ressourcen anderswo einzusetzen.
Sol-Ark scheint wirklich „eine Krise nicht ungenutzt verstreichen lassen“ vorzuleben.
Sol-Ark hat vielleicht nicht selbst den Abzug gedrückt, um die Wechselrichter zu bricken, aber es klingt so, als hätten ihre rechtlichen Schritte Deye unter Druck gesetzt. Und erst recht, wenn sie den Privatleuten mit kaputten Wechselrichtern für begrenzte Zeit neue Geräte aus dem eigenen Haus andrehen wollen.
Sol-Ark hat Deye nicht zu diesem Verhalten gezwungen; im Gegenteil wirken sie selbst überrascht. Das anders darzustellen, erscheint ziemlich unredlich.