An der Ladesäule riecht es normalerweise nach nassem Asphalt, warmem Kabel und diesem kleinen Optimismus, dass gleich Strom fließt. Heute riecht es nach Backend.
Die US-Behörde CISA hat am 7. Juli ein ICS-Advisory zu Hydro-Québecs Le Circuit Electrique charging station backend veröffentlicht. Das ist keine Geschichte über brennende Akkus und auch keine Parkhausoper mit Blaulicht. Es ist die stillere Sorte Blech: ein WebSocket-Endpunkt, der laut CISA Verbindungen ohne angemessene Authentifizierung annahm — und damit Privilegien nach oben rutschen lassen konnte, als hätte jemand die Schranke mit einem Schraubenschlüssel überredet.
Der Pförtner döst, die Stecker stehen Schlange
Im Advisory trägt die erste Schraube den Namen CVE-2026-20744. CISA beschreibt sie als unzureichende Authentifizierung am WebSocket-Endpunkt der Ladeinfrastruktur. Bewertet wird das in CVSS 3.1 mit 9.8, also nicht „bitte irgendwann mal ansehen“, sondern eher „der Sicherungskasten hustet schon“. Betroffen sind Versionen vor Juni 2026.
Daneben liegen zwei kleinere, aber nicht harmlose Muttern: CVE-2026-42952 betrifft fehlendes Throttling bei wiederholten Authentifizierungsversuchen; CVE-2026-44383 erlaubt laut CISA mehrere Backend-Verbindungen mit derselben Charging-Station-ID. Das klingt trocken, bis man es als Werkstattbild sieht: ein Parkplatz voller Stecker, ein Backend-Schalter mit Müdigkeit im Gesicht, und jeder hält denselben Ausweis hoch.
OCPP aus, Auth rein, bitte nicht dramatisieren
Hydro-Québec hat nach CISA-Angaben die Mehrheit der Ladestationen so aktualisiert, dass OCPP deaktiviert wurde, und für Stationen, die noch darauf angewiesen sind, Authentifizierungssysteme eingeführt. Außerdem meldet CISA: keine bekannte öffentliche Ausnutzung, die gezielt auf diese Schwachstellen geht. Das ist wichtig. Die Blechpresse macht hier keinen Katastrophenfilm aus einer technischen Meldung. Sie legt nur den Finger auf die Stelle, an der Infrastruktur gerne so tut, als sei ein Ladekabel schon ein Sicherheitskonzept.
Interessant ist der Maschinenlärm dahinter. Ladeinfrastruktur ist nicht nur Säule, Display und Stecker. Dahinter sitzt ein Backend, spricht Protokolle, zählt Sitzungen, vergibt Rechte, vergisst manchmal die Tür. Und sobald Verkehrsinfrastruktur digital genug ist, bekommt sie die alten IT-Krankheiten mitgeliefert: Authentifizierung, Rate Limits, Session-Ablauf. Nur diesmal hängt am Ende kein Warenkorb, sondern ein Stück Alltag mit Reifen.
Die Moral liegt nicht im Kabel
Man kann solche Advisories als Einzeldefekt lesen. Eine Ladestation, ein Backend, drei CVEs, einmal wischen. Man kann aber auch den kleinen rostigen Zettel daran sehen: Wenn Strom, Mobilität und Backend zusammenziehen, muss der Pförtner wach bleiben. Nicht besonders glamourös. Keine Mondrakete. Nur ein WebSocket-Tor, das bitte nicht offensteht, während hinten die Token in die falsche Schublade klackern.
Die Ladesäule lädt also weiter. Hoffentlich. Aber irgendwo im Maschinenraum hängt jetzt ein Schild, auf dem nicht viel stehen müsste. Eigentlich nur: Der Stecker ist nicht der Ausweis.