Den Fernzugriff auf die Wallbox absichern

Ratgeber 6 Min. Lesezeit 10.09.2026
Wer seine Wallbox per App oder Webportal fernsteuert, öffnet ein Netzwerk-Interface — und damit eine potenzielle Angriffsfläche. Dieser Ratgeber zeigt, welche Schutzmaßnahmen technisch notwendig sind, welche Einstellungen Sie selbst vornehmen können und wo Sie einen Fachbetrieb hinzuziehen müssen.
Das Wichtigste in Kürze

Was Fernzugriff bei Wallboxen konkret bedeutet

Moderne Wallboxen kommunizieren über WLAN, LAN oder Mobilfunk (4G/LTE) mit Hersteller-Clouds, Smartphone-Apps oder Heimautomatisierungs-Systemen. Das Protokoll OCPP 1.6J (Open Charge Point Protocol) ist dabei der de-facto-Standard für die Kommunikation zwischen Ladestation und Backend-System. Über diese Verbindung lassen sich Ladevorgänge starten und stoppen, Ladeprofile hinterlegen und Verbrauchsdaten auslesen.

Genau diese Funktionen sind das Angriffsziel: Ein kompromittierter Fernzugriff erlaubt es Dritten, Ladevorgänge zu manipulieren, Stromkosten auf fremde Konten zu buchen oder die Wallbox als Einfallstor ins Heimnetzwerk zu nutzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft vernetzte Ladepunkte seit 2023 als Teil kritischer Infrastruktur ein, sobald sie öffentlich zugänglich sind — für private Anlagen gelten dieselben technischen Grundsätze.

Netzwerk-Segmentierung: Wallbox ins eigene VLAN

Die wirksamste Einzelmaßnahme ist die Netzwerk-Segmentierung. Platzieren Sie die Wallbox in einem separaten VLAN (Virtual Local Area Network), das vom Rest des Heimnetzwerks — NAS, PC, Smart-Home — durch Firewall-Regeln getrennt ist. Moderne FRITZ!Box-Router (ab FRITZ!OS 7.50) und Ubiquiti-Access-Points unterstützen dies ohne Zusatz-Hardware.

Konkret bedeutet das: Die Wallbox erhält eine eigene IP-Range (z. B. 192.168.10.0/24), während das Heimnetz in 192.168.1.0/24 bleibt. Eine Firewall-Regel erlaubt der Wallbox ausgehenden HTTPS-Verkehr auf Port 443 zur Hersteller-Cloud, blockiert aber eingehende Verbindungen aus dem Wallbox-VLAN ins Heimnetz. Diese Konfiguration nehmen Sie im Router-Interface vor — bei komplexeren Setups ist ein Netzwerkfachbetrieb sinnvoll.

Zugangsdaten und Authentifizierung absichern

Ändern Sie das werkseitige Admin-Passwort sofort nach der Erstinbetriebnahme. Viele Hersteller liefern Geräte mit identischen Standard-Passwörtern aus — diese sind öffentlich dokumentiert. Ein sicheres Passwort hat mindestens 16 Zeichen und kombiniert Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen.

Aktivieren Sie Zwei-Faktor-Authentifizierung (2FA), sofern die Wallbox-App diese unterstützt. Gängige Verfahren sind TOTP (Time-based One-Time Password, z. B. via Google Authenticator) oder Push-Benachrichtigungen. Wallboxen, die 2FA nicht unterstützen, sollten keinen direkten Port ins Internet geöffnet bekommen — nutzen Sie stattdessen einen VPN-Tunnel.

VPN statt offener Port-Weiterleitung

Viele Nutzer richten eine Port-Weiterleitung im Router ein, um die Wallbox von unterwegs zu erreichen. Das ist der unsicherste Weg: Jeder Port, der direkt aus dem Internet erreichbar ist, wird innerhalb von Minuten von automatisierten Scannern gefunden. Stattdessen empfiehlt sich ein VPN-Tunnel zum Heimrouter.

WireGuard ist heute der technische Standard: Der Protokoll-Overhead ist gering, die Verschlüsselung basiert auf ChaCha20-Poly1305, und FRITZ!Box-Router unterstützen WireGuard-Server nativ seit FRITZ!OS 7.50. Die Einrichtung dauert ca. 20 Minuten; das VPN-Profil wird als QR-Code auf das Smartphone übertragen. Sobald das VPN aktiv ist, greift die Wallbox-App über den verschlüsselten Tunnel zu — kein Port muss offen sein.

Firmware aktuell halten: Warum und wie oft

Hersteller schließen Sicherheitslücken über Firmware-Updates. Prüfen Sie alle 4 bis 8 Wochen, ob ein Update verfügbar ist — oder aktivieren Sie automatische Updates in der Wallbox-App, falls angeboten. Wallboxen ohne Firmware-Update seit mehr als 12 Monaten gelten als potenziell verwundbar; prüfen Sie in diesem Fall die Herstellerseite auf bekannte CVEs (Common Vulnerabilities and Exposures).

Nach jedem Firmware-Update: Überprüfen Sie, ob die Netzwerkeinstellungen und Firewall-Regeln erhalten geblieben sind. Manche Updates setzen Netzwerkkonfigurationen auf Werksstandard zurück.

Prüfliste: Diese Punkte können Sie selbst abarbeiten

  • Standard-Passwort geändert (mindestens 16 Zeichen, keine Wörter aus dem Wörterbuch)
  • 2FA in der Hersteller-App aktiviert
  • Wallbox im Router auf ein separates WLAN-Netz oder VLAN beschränkt
  • Keine direkte Port-Weiterleitung auf die Wallbox im Router aktiv
  • VPN-Zugang zum Heimnetz eingerichtet (WireGuard oder OpenVPN)
  • Firmware-Version geprüft, automatische Updates aktiviert oder Kalender-Erinnerung alle 6 Wochen gesetzt
  • OCPP-Backend-URL in den Wallbox-Einstellungen auf HTTPS (wss://) überprüft — nicht http://
  • Router-Protokoll auf unbekannte Verbindungsversuche kontrolliert (einmal monatlich)

Was die Herstellerangabe „sicher“ nicht aussagt

Viele Wallboxen werben mit „verschlüsselter Verbindung“ oder „sicherer Cloud“. Das beschreibt ausschließlich den Transportweg (TLS 1.2 oder 1.3 zwischen Gerät und Hersteller-Server) — nicht die Sicherheit des Hersteller-Backends selbst, nicht den Schutz Ihrer Zugangsdaten beim Anbieter und nicht die Absicherung Ihres lokalen Netzwerks. Ein Datenleck beim Cloud-Anbieter betrifft Sie unabhängig davon, wie sicher Ihre eigene Netzwerkkonfiguration ist.

Prüfen Sie in der Datenschutzerklärung des Herstellers: Wo werden Daten gespeichert (EU oder Drittland)? Welche Daten werden erhoben (Ladezeiten, Standort, Energieverbrauch)? Gibt es eine Zwei-Jahres-Löschfrist oder dauerhafte Speicherung? Diese Fragen sind unabhängig von der technischen Netzwerksicherheit zu bewerten.

Wann ein Fachbetrieb notwendig ist

Einige Maßnahmen erfordern elektrisches oder netzwerktechnisches Fachwissen und sollten nicht ohne entsprechende Kenntnisse durchgeführt werden. Beauftragen Sie einen Elektrofachbetrieb oder Netzwerkspezialisten bei folgenden Punkten:

  • Kabelgebundene LAN-Integration der Wallbox (besser als WLAN — kein Funknetz, das abgehört werden kann)
  • Konfiguration verwalteter Switches mit VLAN-Tagging (802.1Q)
  • Einrichtung einer dedizierten Firewall-Appliance (z. B. pfSense, OPNsense) für komplexere Heimnetz-Setups
  • Prüfung der Wallbox auf offene Dienste per Netzwerk-Scan (z. B. nmap) — erfordert Kenntnisse zur Interpretation der Ergebnisse

Zu Fragen rund um die Anmeldepflicht der Wallbox beim Netzbetreiber und rechtliche Aspekte des Fernzugriffs (z. B. bei vermieteten Objekten) beachten Sie die Hinweise in der Rechtsrubrik dieses Portals.

Häufige Fragen

Nein. Eine kabelgebundene LAN-Verbindung ist sicherer als WLAN, weil kein Funksignal abgehört werden kann. Viele Wallboxen bieten einen RJ45-Anschluss; prüfen Sie das Datenblatt Ihres Modells. Ist kein Kabel verlegbar, nutzen Sie zumindest WPA3-Verschlüsselung im WLAN.

OCPP (Open Charge Point Protocol) ist das Standardprotokoll für die Kommunikation zwischen Wallbox und Backend. Version 1.6J überträgt Daten per WebSocket; entscheidend ist, dass die URL mit wss:// (verschlüsselt) beginnt und nicht mit ws:// (unverschlüsselt). Prüfen Sie diese Einstellung in der Wallbox-Konfiguration.

Ja, eine Wallbox im reinen Offline-Betrieb ohne Netzwerkverbindung hat keine remote-angreifbare Oberfläche. Sie verliert damit aber Funktionen wie dynamisches Lastmanagement, Solarüberschussladen und Firmware-Updates über die Luft. Abwägen: Wer diese Funktionen nicht benötigt, kann WLAN deaktiviert lassen.

Prüfen Sie im Router-Protokoll unbekannte ausgehende Verbindungen von der IP der Wallbox. Ungewöhnliche Ladezeiten (nachts ohne Fahrzeug) oder gestiegene Stromkosten ohne Mehrverbrauch sind weitere Indikatoren. Ein Netzwerk-Scan mit nmap zeigt offen lauschende Dienste; die Auswertung erfordert Fachkenntnisse.

Nein. WPA2/WPA3-Verschlüsselung sichert nur den Funkkanal zwischen Gerät und Router. Sie verhindert nicht, dass eine kompromittierte Wallbox im selben Netz andere Geräte angreift. Netzwerk-Segmentierung per VLAN ist daher zusätzlich notwendig.