Faktenkern, mit Blechrand: CISA hat am 7. Juli 2026 ein ICS-Advisory zum Backend von Hydro-Québecs „Le Circuit Electrique“-Ladeinfrastruktur veröffentlicht. Es geht um drei Schwachstellen, keine gemeldete öffentliche Ausnutzung und um die alte Frage, ob ein Backend eigentlich merkt, wer da gerade mit dem Schraubenschlüssel anklopft.
Die Zukunft tankt Strom, das Backend tankt Prüfung
Vorne steht die Ladesäule: ordentlich, aufrecht, ein bisschen wie ein Parkscheinautomat mit Karriereplan. Hinten, dort wo Kabel in Serverluft übergehen, sitzt aber das eigentliche Gerät: ein Backend mit offenen Steckplätzen, Sitzungsuhren und der Hoffnung, dass jeder Stecker schon wissen wird, was er darf.
Laut CISA Advisory ICSA-26-188-01 betreffen die gemeldeten Schwachstellen das Hydro-Québec Le Circuit Electrique charging station backend in Versionen vor Juni 2026. Der schwerste Teil quietscht bei einem Websocket-Endpunkt, der Verbindungen nicht sauber authentifiziert. In Blechpresse-Sprache: Da steht eine Seitentür am Maschinenraum offen, und der Türsteher kontrolliert heute nur, ob jemand ungefähr kabelartig aussieht.
Drei CVEs und ein Maschinenraum voller Stecker
- CVE-2026-20744: Der Websocket-Endpunkt der Ladesäulen kann laut CISA Verbindungen ohne angemessene Authentifizierung akzeptieren; möglich ist Privilegienausweitung.
- CVE-2026-42952: Wiederholte Authentifizierungsversuche waren laut Advisory nicht ausreichend gedrosselt; daraus kann ein Denial-of-Service-Szenario entstehen.
- CVE-2026-44383: Mehrere Verbindungen mit derselben Ladesäulen-ID können zugelassen werden; mehrere bösartige OCPP-Clients könnten das Backend damit überrollen.
Die CVSS-Werte im Advisory reichen bis kritisch. Das heißt nicht automatisch, dass morgen jede Ladesäule zum digitalen Klingelstreichkasten wird. Es heißt aber: Die Infrastruktur hängt nicht nur an Beton, Kupfer und Parkbuchten, sondern an Sitzungen, Protokollen und kleinen Entscheidungen im Code. Genau dort rostet Technik gerne besonders leise.
OCPP: Wenn der Stecker zu gesprächig wird
CISA nennt als betroffene Umgebung den Bereich Transportation Systems, Einsatzland Kanada. Hydro-Québec habe laut Advisory die Mehrheit der Ladestationen aktualisiert, um OCPP zu deaktivieren, und für weiterhin auf OCPP angewiesene Stationen Authentifizierungssysteme umgesetzt. Das klingt nach Werkstatt: Nicht die ganze Maschine wird weggeworfen, aber die offen stehende Klappe bekommt endlich einen Riegel.
Der Punkt ist größer als eine einzelne Meldung aus Kanada. Ladeinfrastruktur ist längst kein dummer Stromhahn mehr. Sie ist eine verteilte, protokollsprechende, abrechnende, fernwartbare Gerätekette. Wenn dort Identitäten, Sitzungen und Wiederholversuche nicht sauber geführt werden, wird aus Elektromobilität ein Backend-Ballett mit Stolperdraht.
Was Betreiber aus dem Geklapper mitnehmen
CISA empfiehlt wie üblich: Netzwerkexposition minimieren, Kontrollsysteme hinter Firewalls setzen, von Geschäftsnetzen trennen, Fernzugriff nur mit sicheren und aktuellen Verfahren betreiben und vor Gegenmaßnahmen die eigene Auswirkung prüfen. Trocken formuliert. In der Werkstatt heißt das: Nicht jede Dose ins Internet hängen, nur weil das Kabel lang genug ist.
Außerdem meldet CISA zum Veröffentlichungszeitpunkt keine bekannte öffentliche Ausnutzung speziell dieser Schwachstellen. Das ist die gute Nachricht. Die schlechte ist die normale: Infrastruktur wartet nicht, bis jemand mit Trommelwirbel kommt. Sie scheppert meistens zuerst im Protokoll, dann im Monitoring und irgendwann im echten Betrieb.