#hoymiles — Public Fediverse posts

Häufig hasse ich es ja, wenn man erst Infos mühsam zusammensuchen und dann an total vielen verschiedenen, versteckten Stellen eingeben muss.
Ich kann's aber nicht besser, darum schreib ich hier einfach auf, wie's geht – auch als Doku für mich.

Worum geht's? Hoymiles-Wechselrichter haben eine furchtbare Sicherheitslücke, und darum sollte man irgendwann hoffentlich bald ein Update aufspielen, deshalb übe ich schon mal.
(1/)

#Hoymiles #Firmware #OpenDTU

@[email protected] dass mit dem #Hoymiles Update OpenDTU und Verwandte - was ich aktuell nutze - außen vor ist, finde ich schon sehr schmerzhaft. Ich würde ein Risiko einer drive-by-Attacke (mit dem spezifischen Funkmodul) gegen die Abhängigkeit von der chinesischen Cloud nach Setup eines DTU-Gateways oder komplettem Verlust des Monitorings eintauschen. Daher lass ich es lieber.
(via @[email protected] )

@[email protected] dass mit dem #Hoymiles Update OpenDTU und Verwandte - was ich aktuell nutze - außen vor ist, finde ich schon sehr schmerzhaft. Ich würde ein Risiko einer drive-by-Attacke (mit dem spezifischen Funkmodul) gegen die Abhängigkeit von der chinesischen Cloud nach Setup eines DTU-Gateways oder komplettem Verlust des Monitorings eintauschen. Daher lass ich es lieber.
(via @[email protected] )

#Sicherheitsupdates für die Firmware diverser #Hoymiles Wechselrichter verfügbar

https://borncity.com/blog/2026/09/01/sicherheitsupdates-fuer-hoymiles-wechselrichter-30-8-2026/

#Sicherheitsupdates für die Firmware diverser #Hoymiles Wechselrichter verfügbar

https://borncity.com/blog/2026/09/01/sicherheitsupdates-fuer-hoymiles-wechselrichter-30-8-2026/

@heisec Da bin ich ja mal gespannt, ob #OpenDTU da bald einen Hack hat – am besten direkt zum Updaten.
Ein gewisser Olf Egel¹ hat sich da² jetzt jedenfalls angemeldet und aus Versehen meine Email-Adresse dagelassen – mal sehen, was #Hoymiles ihm³ schickt.

--
¹) Name von der Redaktion geändert
²) https://support.hoymiles.com/t/hoymiles/mp/wss/index.html#/datacollection
³) also wohl mir

@heisec Da bin ich ja mal gespannt, ob #OpenDTU da bald einen Hack hat – am besten direkt zum Updaten.
Ein gewisser Olf Egel¹ hat sich da² jetzt jedenfalls angemeldet und aus Versehen meine Email-Adresse dagelassen – mal sehen, was #Hoymiles ihm³ schickt.

--
¹) Name von der Redaktion geändert
²) https://support.hoymiles.com/t/hoymiles/mp/wss/index.html#/datacollection
³) also wohl mir

Ein Sicherheitsforscher hatte mit dem CCC Sicherheitslücken bei PV-Wechselrichtern für Solaranlagen offengelegt: #Hoymiles liefert Firmware-Updates aus www.heise.de/news/PV-Wech...

PV-Wechselrichter: Hoymiles li...

Ein Sicherheitsforscher hatte mit dem CCC Sicherheitslücken bei PV-Wechselrichtern für Solaranlagen offengelegt: #Hoymiles liefert Firmware-Updates aus www.heise.de/news/PV-Wech...

PV-Wechselrichter: Hoymiles li...

Ein Sicherheitsforscher hatte mit dem CCC Sicherheitslücken bei PV-Wechselrichtern für Solaranlagen offengelegt: #Hoymiles liefert Firmware-Updates aus https://www.heise.de/news/PV-Wechselrichter-Hoymiles-liefert-Sicherheitsupdate-aus-11436579.html

Ein Sicherheitsforscher hatte mit dem CCC Sicherheitslücken bei PV-Wechselrichtern für Solaranlagen offengelegt: #Hoymiles liefert Firmware-Updates aus https://www.heise.de/news/PV-Wechselrichter-Hoymiles-liefert-Sicherheitsupdate-aus-11436579.html

Yesterday #Hoymiles published a security update for a kown issue in their microinverter that use their DTU that works on sub 1G not Wifi.

For
- HMS-500-1T, HMS-450-1T, HMS-400-1opendtu #ahoydtuMS-300-1T
- HMS-1000-2T, HMS-900-2T, HMS-800-2T, HMS-700-2T, HMS-600-2T
- HMS-2000-4T, HMS-1800-4T, HMS-1600-4T
- HMT-2000-4T, HMT-1800-4T, HMT-1600-4T

https://www.hoymiles.com/de/official-statement-regarding-the-cybersecurity-issue-of-hoymiles-hm-microinverters-3.html

Thank you for the security experts of @CCC and Hoymiles for the cooperation and quick resolution of the issue.

!!! However: “Following the security update, third-party products for open data communication—such as #OpenDTU and #AhoyDTU—are no longer compatible.”

#Hoymiles #ahoydtums #security #ccc #update #cybersecurity #openDTU #AhoyDTU

Yesterday #Hoymiles published a security update for a kown issue in their microinverter that use their DTU that works on sub 1G not Wifi.

For
- HMS-500-1T, HMS-450-1T, HMS-400-1opendtu #ahoydtuMS-300-1T
- HMS-1000-2T, HMS-900-2T, HMS-800-2T, HMS-700-2T, HMS-600-2T
- HMS-2000-4T, HMS-1800-4T, HMS-1600-4T
- HMT-2000-4T, HMT-1800-4T, HMT-1600-4T

https://www.hoymiles.com/de/official-statement-regarding-the-cybersecurity-issue-of-hoymiles-hm-microinverters-3.html

Thank you for the security experts of @CCC and Hoymiles for the cooperation and quick resolution of the issue.

!!! However: “Following the security update, third-party products for open data communication—such as #OpenDTU and #AhoyDTU—are no longer compatible.”

#Hoymiles #ahoydtums #security #ccc #update #cybersecurity #openDTU #AhoyDTU

#Hoymiles hat gestern für
- HMS-500-1T, HMS-450-1T, HMS-400-1T, HMS-350-1T, HMS-300-1T
- HMS-1000-2T, HMS-900-2T, HMS-800-2T, HMS-700-2T, HMS-600-2T
- HMS-2000-4T, HMS-1800-4T, HMS-1600-4T
- HMT-2000-4T, HMT-1800-4T, HMT-1600-4T

ein Update veröffentlicht, dass die Sicherheitslücke schließen soll: https://www.hoymiles.com/de/official-statement-regarding-the-cybersecurity-issue-of-hoymiles-hm-microinverters-3.html

! Allerdings: “Nach dem Sicherheitsupdate sind Drittanbieter-Produkte für die offene Datenkommunikation – wie z. B. OpenDTU und AhoyDTU – nicht mehr kompatibel."

#Hoymiles #security #ccc #update #cybersecurity

#Hoymiles hat gestern für
- HMS-500-1T, HMS-450-1T, HMS-400-1T, HMS-350-1T, HMS-300-1T
- HMS-1000-2T, HMS-900-2T, HMS-800-2T, HMS-700-2T, HMS-600-2T
- HMS-2000-4T, HMS-1800-4T, HMS-1600-4T
- HMT-2000-4T, HMT-1800-4T, HMT-1600-4T

ein Update veröffentlicht, dass die Sicherheitslücke schließen soll: https://www.hoymiles.com/de/official-statement-regarding-the-cybersecurity-issue-of-hoymiles-hm-microinverters-3.html

! Allerdings: “Nach dem Sicherheitsupdate sind Drittanbieter-Produkte für die offene Datenkommunikation – wie z. B. OpenDTU und AhoyDTU – nicht mehr kompatibel."

#Hoymiles #security #ccc #update #cybersecurity

Das offizielle Statement von #Hoymiles ist auf deren Website: https://www.hoymiles.com/official-statement-cybersecurity-issue-hoymiles-hm-microinverters.html

„The security firmware is currently undergoing validation and is scheduled for official release on August 30, 2026 (…) Upon release, detailed upgrade instructions will be published through our official Security Advisory Portal, with full technical support provided“

👏👏👏

Das offizielle Statement von #Hoymiles ist auf deren Website: https://www.hoymiles.com/official-statement-cybersecurity-issue-hoymiles-hm-microinverters.html

„The security firmware is currently undergoing validation and is scheduled for official release on August 30, 2026 (…) Upon release, detailed upgrade instructions will be published through our official Security Advisory Portal, with full technical support provided“

👏👏👏

@oldperl
ich hab ja selber zwei #Hoymiles HM-600 mit OpenDTU (und nur je einem Modul dran - den zweiten hab ich nachbestellt, damit ich das andere Modul woanders montieren konnte). Sehe ihn trotz der unerfreulichen Veröffentlichung als weniger gefährdet als den Deye damals mit Wifi-Lücke oder ein cloudverbundenes Ding - der Angriffsvektor setzt jemanden in räumlicher Nähe mit einem speziellen Sender voraus, das skaliert also nicht wirklich.
@CCC @HonkHase @BlumeEvolution

@oldperl
ich hab ja selber zwei #Hoymiles HM-600 mit OpenDTU (und nur je einem Modul dran - den zweiten hab ich nachbestellt, damit ich das andere Modul woanders montieren konnte). Sehe ihn trotz der unerfreulichen Veröffentlichung als weniger gefährdet als den Deye damals mit Wifi-Lücke oder ein cloudverbundenes Ding - der Angriffsvektor setzt jemanden in räumlicher Nähe mit einem speziellen Sender voraus, das skaliert also nicht wirklich.
@CCC @HonkHase @BlumeEvolution

Sicherheits­lücke in Wechsel­richtern: Hoymiles verspricht Update bis Ende August https://www.computerbase.de/news/smart-home/sicherheitsluecke-in-wechselrichtern-hoymiles-verspricht-update-bis-ende-august.98384/ #Hoymiles #Balkonkraftwerk #CCC

Sicherheits­lücke in Wechsel­richtern: Hoymiles verspricht Update bis Ende August https://www.computerbase.de/news/smart-home/sicherheitsluecke-in-wechselrichtern-hoymiles-verspricht-update-bis-ende-august.98384/ #Hoymiles #Balkonkraftwerk #CCC

Inzwischen erklärt #Hoymiles: Ende August kommt für die Betroffenen HM Wechselrichter eine neue Firmware mit AES-128-CBC-Verschlüsselung + Security Audit.

https://www.pv-magazine.de/2026/07/13/hoymiles-reagiert-auf-sicherheitsluecke-in-alten-mikro-wechselrichtern/

Inzwischen erklärt #Hoymiles: Ende August kommt für die Betroffenen HM Wechselrichter eine neue Firmware mit AES-128-CBC-Verschlüsselung + Security Audit.

https://www.pv-magazine.de/2026/07/13/hoymiles-reagiert-auf-sicherheitsluecke-in-alten-mikro-wechselrichtern/

Der CCC hat schwerwiegende Sicherheitslücken in Hoymiles-Wechselrichtern (Balkonkraftwerke, kleine PV-Anlagen) veröffentlicht. Die Geräte kommunizieren unverschlüsselt per Funk. Fernsteuerung, Firmware-Manipulation und physische Zerstörung sind ohne Authentifizierung möglich. Hoymiles hat keinen Patch geliefert. #CCC #IoT #Cybersecurity #Solarenergie #Hoymiles #ITSecurity #Energiewende #PVAnlagen

Der CCC hat schwerwiegende Sicherheitslücken in Hoymiles-Wechselrichtern (Balkonkraftwerke, kleine PV-Anlagen) veröffentlicht. Die Geräte kommunizieren unverschlüsselt per Funk. Fernsteuerung, Firmware-Manipulation und physische Zerstörung sind ohne Authentifizierung möglich. Hoymiles hat keinen Patch geliefert. #CCC #IoT #Cybersecurity #Solarenergie #Hoymiles #ITSecurity #Energiewende #PVAnlagen

Why i prefer #inverter #solarinverter to not have #wifi and #internet connection, of course the #software #cyber #security is weak #ofcourse there are #backdoors not only in #wifi #routers from #china https://www.golem.de/news/hoymiles-wechselrichter-unzaehlige-pv-anlagen-per-funk-manipulierbar-2607-210632.html
worst case is a exploding #battery #hoymiles does not use batteries but #huawai does #solar

This Week in Security: Escaping Linux VMs, Vulnerable Solar, Confusing AI (Again), and Confusing NPM Malware

https://fed.brid.gy/r/https://hackaday.com/2026/07/10/this-week-in-security-escaping-linux-vms-vulnerable-solar-confusing-ai-again-and-confusing-npm-malware/

This Week in Security: Escaping Linux VMs, Vulnerable Solar, Confusing AI (Again), and Confusing NPM Malware

https://fed.brid.gy/r/https://hackaday.com/2026/07/10/this-week-in-security-escaping-linux-vms-vulnerable-solar-confusing-ai-again-and-confusing-npm-malware/

Chinesische Balkonkraftwerke lassen sich per Funk abschalten oder anzünden - IT-Security - derStandard.at › Web
https://www.derstandard.at/story/3000000330600/chinesische-balkonkraftwerke-lassen-sich-per-funk-abschalten-oder-anzuenden #Balkonkraftwerk #Sicherheitslücke #Wechselrichter #Hoymiles

Chinesische Balkonkraftwerke lassen sich per Funk abschalten oder anzünden - IT-Security - derStandard.at › Web
https://www.derstandard.at/story/3000000330600/chinesische-balkonkraftwerke-lassen-sich-per-funk-abschalten-oder-anzuenden #Balkonkraftwerk #Sicherheitslücke #Wechselrichter #Hoymiles

Wir haben auf unserer Website die Situation um die Sicherheitsmängel von #Hoymiles Kleinwechselrichtern ruhig zusammengefasst.

https://balkon.solar/news/2026/07/09/sicherheitsluecke-bei-hoymiles-wechselrichtern/

Wir haben auf unserer Website die Situation um die Sicherheitsmängel von #Hoymiles Kleinwechselrichtern ruhig zusammengefasst.

https://balkon.solar/news/2026/07/09/sicherheitsluecke-bei-hoymiles-wechselrichtern/

Hersteller #Hoymiles – Balkonkraftwerke mit gravierenden Sicherheitslücken. Sie lassen sich per Funk abschalten oder zerstören www.derstandard.at/story/300000...

Chinesische Balkonkraftwerke l...

Hersteller #Hoymiles – Balkonkraftwerke mit gravierenden Sicherheitslücken. Sie lassen sich per Funk abschalten oder zerstören https://www.derstandard.at/story/3000000330600/chinesische-balkonkraftwerke-lassen-sich-per-funk-abschalten-oder-anzuenden

Hersteller #Hoymiles – Balkonkraftwerke mit gravierenden Sicherheitslücken. Sie lassen sich per Funk abschalten oder zerstören www.derstandard.at/story/300000...

Chinesische Balkonkraftwerke l...

Hersteller #Hoymiles – Balkonkraftwerke mit gravierenden Sicherheitslücken. Sie lassen sich per Funk abschalten oder zerstören https://www.derstandard.at/story/3000000330600/chinesische-balkonkraftwerke-lassen-sich-per-funk-abschalten-oder-anzuenden

Funkkommunikation: Balkonkraftwerke von #Hoymiles haben riskante Schwachstellen. Wie der Angriff per Funk funktioniert www.morgenpost.de/ratgeber-wis...

Balkonkraftwerke: Forscher ent...

Funkkommunikation: Balkonkraftwerke von #Hoymiles haben riskante Schwachstellen. Wie der Angriff per Funk funktioniert www.morgenpost.de/ratgeber-wis...

Balkonkraftwerke: Forscher ent...

Funkkommunikation: Balkonkraftwerke von #Hoymiles haben riskante Schwachstellen. Wie der Angriff per Funk funktioniert https://www.morgenpost.de/ratgeber-wissen/article412516812/balkonkraftwerke-forscher-entdecken-gefaehrliche-sicherheitsluecke.html

Funkkommunikation: Balkonkraftwerke von #Hoymiles haben riskante Schwachstellen. Wie der Angriff per Funk funktioniert https://www.morgenpost.de/ratgeber-wissen/article412516812/balkonkraftwerke-forscher-entdecken-gefaehrliche-sicherheitsluecke.html

RE: https://chaos.social/@evawolfangel/116886453860894629

»Der Fall zeigt damit ein immer wiederkehrendes Muster: Der Hersteller reagierte offenbar erst auf politischen Druck und nicht, weil er ein originäres Interesse daran hat, Schwachstellen zu beseitigen. Ein halbes Jahr lang wurden diese ignoriert, obwohl ein sauber dokumentierter Bericht dazu vorlag. Anschließend wird das Problem auf die Nutzer abgewälzt.« #hoymiles #infosec

RE: https://chaos.social/@evawolfangel/116886453860894629

»Der Fall zeigt damit ein immer wiederkehrendes Muster: Der Hersteller reagierte offenbar erst auf politischen Druck und nicht, weil er ein originäres Interesse daran hat, Schwachstellen zu beseitigen. Ein halbes Jahr lang wurden diese ignoriert, obwohl ein sauber dokumentierter Bericht dazu vorlag. Anschließend wird das Problem auf die Nutzer abgewälzt.« #hoymiles #infosec

Gefährliche Sicherheitslücken bei #Hoymiles – Angreifer können kleine PV-Anlagen abschalten und beschädigen. Hersteller stellt sich taub https://www.golem.de/news/hoymiles-wechselrichter-unzaehlige-pv-anlagen-per-funk-manipulierbar-2607-210632.html

Gefährliche Sicherheitslücken bei #Hoymiles – Angreifer können kleine PV-Anlagen abschalten und beschädigen. Hersteller stellt sich taub https://www.golem.de/news/hoymiles-wechselrichter-unzaehlige-pv-anlagen-per-funk-manipulierbar-2607-210632.html

Gefährliche Sicherheitslücken bei #Hoymiles – Angreifer können kleine PV-Anlagen abschalten und beschädigen. Hersteller stellt sich taub www.golem.de/news/hoymile...

Hoymiles-Wechselrichter: Unzäh...

Solarstrom vom Balkon klingt super, bis jemand im Vorbeifahren alles abschaltet. 😭

Zum Artikel: https://heise.de/-11357067?wt_mc=sm.red.ho.mastodon.mastodon.md_beitraege.md_beitraege&utm_source=mastodon

#balkonkraftwerk #itsicherheit #solarenergie #chaoscomputerclub #hoymiles

Solarstrom vom Balkon klingt super, bis jemand im Vorbeifahren alles abschaltet. 😭

Zum Artikel: https://heise.de/-11357067?wt_mc=sm.red.ho.mastodon.mastodon.md_beitraege.md_beitraege&utm_source=mastodon

#balkonkraftwerk #itsicherheit #solarenergie #chaoscomputerclub #hoymiles

@oldperl

Mit einer #Opensource Software erlischt alles an Zulassungen was es gibt

Die müsste neu beantragt werden.

Im Schadenfall sagt die Versicherung danke.

Besser ist es solche Geräte erst gar nicht zu kaufen.

Es gibt noch Alternativen.

Bis vor kurzen sogar noch mehr.

Leider hat @balkonsolar lieber die #Hoymiles #Wechselrichter, trotz anderer Hinweise, empfohlen weil diese nen € günstiger sind.

Es wird produziert was gekauft wird

@CCC @HonkHase @BlumeEvolution

@oldperl

Mit einer #Opensource Software erlischt alles an Zulassungen was es gibt

Die müsste neu beantragt werden.

Im Schadenfall sagt die Versicherung danke.

Besser ist es solche Geräte erst gar nicht zu kaufen.

Es gibt noch Alternativen.

Bis vor kurzen sogar noch mehr.

Leider hat @balkonsolar lieber die #Hoymiles #Wechselrichter, trotz anderer Hinweise, empfohlen weil diese nen € günstiger sind.

Es wird produziert was gekauft wird

@CCC @HonkHase @BlumeEvolution

RE: https://bonn.social/@Sascha/116883150705468070

Das ist der Hammer!!!

Deckt sich aber genau mit dem, was ich schon seit Monaten zum Thema sage, und weswegen ich auf eine Opensource Version der Firmware gehofft habe, da ich selbst nicht die Ressourcen für ein Reverse-Engineering habe.

Der @CCC geht das nun endlich an, und ich hoffe auf eine schnelle Lösung.
Bis dahin, Passwort setzen, und möglichst keine Firmware-Updates auf eurem #Hoymiles #Wechselrichter machen.

CC @HonkHase
CC @BlumeEvolution

#KRITIS #solarpunk #solar #security