Techniek • 8 min lezen

Thuisbatterij beveiligen tegen hackers: zo doe je dat

In het kort: De grootste zwakke plekken van omvormers en thuisbatterijen zijn standaardwachtwoorden en verouderde software, bleek uit onderzoek van de Rijksinspectie Digitale Infrastructuur. Vervang het installateurswachtwoord, zet tweefactorauthenticatie en automatische updates aan en hang je energieapparatuur aan een apart netwerk. De kans op een grootschalige aanval op het stroomnet is volgens het kabinet zeer klein, maar een slecht beveiligde batterij kan wel worden uitgezet of je verbruik prijsgeven.

Hoe groot het risico echt is

Een thuisbatterij is een computer met een grote accu eraan. De omvormer en de batterij praten met een app, met de servers van de fabrikant en soms met een energieleverancier die de batterij aanstuurt. Elke verbinding is een deur, en een deur met een slecht slot kan open. Dat is geen theorie: de Rijksinspectie Digitale Infrastructuur (RDI) testte vanaf 2021 negen omvormers voor zonnepanelen van acht fabrikanten, allemaal tot 3,6 kW. Geen enkele voldeed aan de cybersecuritynorm die de inspectie gebruikte, en bij vier fabrikanten noemde de RDI de uitkomsten zeer kritiek. De risico's die de inspectie in mei 2023 noemde: apparaten zijn makkelijk te hacken, ze kunnen op afstand worden uitgeschakeld, ze kunnen worden misbruikt voor DDoS-aanvallen en persoonlijke gegevens en verbruiksgegevens kunnen worden onderschept.

De oorzaak lag vooral bij gewone zaken. Zwakke of standaardwachtwoorden en verouderde software waren de hoofdproblemen. Installateurs stellen een apparaat vaak eenmalig in, waarna updates blijven liggen of lastig zijn voor de gebruiker. Minister Hermans schreef in oktober 2024 aan de Tweede Kamer dat er in twee jaar tijd drie keer was ingebroken in de software van bedrijven die zonne-installaties in Nederland beheren. Ook daar noemde zij niet-unieke standaardwachtwoorden en het niet bijwerken van apparatuur als oorzaak, en ze merkte op dat niet elke fabrikant tijdig updates levert.

Zet dat wel in verhouding. Dezelfde minister schat de kans op een grootschalige aanval op het stroomnet via omvormers zeer klein in, omdat gelijktijdige toegang tot grote aantallen apparaten niet waarschijnlijk is. Voor jou als eigenaar gaat het dus minder om een landelijke black-out en meer om drie praktische dingen: dat een vreemde je batterij uitzet of verkeerd instelt, dat iemand meekijkt in je verbruik (waaruit blijkt wanneer je thuis bent) en dat een slecht beveiligd apparaat een opstapje vormt naar de rest van je thuisnetwerk.

Stap voor stap je thuisbatterij beveiligen

De meeste maatregelen kosten geen geld en vragen een avond werk. Ze komen uit de adviezen van het Nationaal Cyber Security Centrum (NCSC) voor slimme apparaten, de Rijksoverheid en de RDI. Neem de handleiding van je omvormer en batterij erbij, plus de inloggegevens van je router.

  1. Wachtwoord van de installateur vervangen. Vraag welk wachtwoord op het installateursmenu en de lokale webinterface staat en zorg dat het uniek is voor jouw installatie.
  2. Eigen app-account beveiligen. Gebruik een wachtwoord dat je nergens anders gebruikt en zet tweefactorauthenticatie aan als de app dat aanbiedt.
  3. Automatische updates aanzetten. Doe dat voor de omvormer, de batterij, de energiemeter of dongle en de app op je telefoon.
  4. Apart netwerk gebruiken. Zet de omvormer en batterij op een gastnetwerk of apart netwerk voor slimme apparaten, los van je laptop en telefoon.
  5. Router nalopen. Zet UPnP uit en laat de firewall inkomende verbindingen blokkeren die je zelf niet hebt gestart.
  6. Toegangslijst bekijken. Controleer in de app wie er meekijkt of mag bedienen: installateur, leverancier, aggregator of een vorige eigenaar.
  7. Jaarlijks controleren. Kijk of de firmware recent is, of de fabrikant het model nog ondersteunt en of er nieuwe apparaten op je netwerk zijn bijgekomen.

Het installateurswachtwoord

Dit is de stap die het vaakst blijft liggen, terwijl juist dit menu de batterij volledig laat herconfigureren. De Gedragscode Zon op Woningen van branchevereniging Holland Solar vraagt installateurs per installatie een sterk en uniek wachtwoord in te stellen, en de minister raadt aan je installateur daar expliciet om te vragen. Laat het wachtwoord bij oplevering op papier achter in de meterkast of in je wachtwoordbeheerder, niet als sticker op de behuizing. Weet je niet of het ooit is aangepast, ga er dan van uit dat het nog de fabrieksinstelling is.

Een apart netwerk voor energieapparatuur

Het NCSC raadt aan slimme apparaten te scheiden van de rest van je netwerk, bijvoorbeeld via een gastnetwerk. Wordt de omvormer dan toch gekraakt, dan staat de aanvaller niet meteen naast je laptop met bankzaken. Let wel op: sommige systemen hebben lokaal contact nodig met een energiemeter, een P1-dongle of een energiemanagementsysteem. Staan die op verschillende netwerken, dan kan de sturing haperen. Zet in dat geval alle energieapparatuur samen op hetzelfde aparte netwerk. Een netwerkkabel naar de omvormer is meestal stabieler dan wifi en scheelt een draadloos aanvalspunt, al is dat geen vervanging voor een goed wachtwoord.

Updates, ondersteuning en wie er nog meer toegang heeft

Updates dichten lekken die na de verkoop ontdekt worden. De RDI zag dat updates in de praktijk vaak niet gebeuren omdat niemand er na de installatie nog naar kijkt. Veel moderne batterijen werken zichzelf bij via de cloud van de fabrikant, maar dat staat niet altijd standaard aan en een losse dongle of energiemeter heeft soms een eigen updateknop. Kijk in de app bij instellingen of apparaatinformatie welke firmwareversie er draait en wanneer die is verschenen. Een versie van jaren oud is een signaal om de installateur of fabrikant te bellen.

Minstens zo belangrijk is hoe lang een fabrikant updates blijft leveren. Een thuisbatterij hangt jarenlang aan de muur, terwijl de ondersteuning van software en app eerder kan stoppen. Het NCSC adviseert vóór aankoop na te gaan hoe lang de fabrikant ondersteuning geeft, en periodiek te controleren of een apparaat nog wordt ondersteund. Staat er in de offerte of datasheet niets over softwareondersteuning, vraag er dan naar. Een fabrikant die niet kan zeggen tot wanneer updates komen, geeft je een open eind op een apparaat dat jarenlang aan internet hangt.

Vergeet de partijen niet die op afstand meekijken. Een installateur houdt soms toegang voor service op afstand, en wie de batterij laat sturen door een energieleverancier of een virtuele energiecentrale, geeft die partij bewust bedieningsrechten. Dat is prima zolang je weet wie het zijn. Koop je een huis met een batterij of stap je over naar een andere leverancier, controleer dan in de app of oude koppelingen en accounts zijn verwijderd. Welke gegevens die partijen mogen zien, lees je in ons artikel over wie recht heeft op de gegevens van je thuisbatterij.

Moet je de batterij offline halen?

Het NCSC en de Vlaamse energieminister Demir geven allebei het advies om apparaten alleen met internet te verbinden als dat nodig is. Voor een thuisbatterij ligt dat genuanceerd. Een batterij die alleen je eigen zonnestroom opslaat en 's avonds weer afgeeft, kan dat vaak ook zonder internet, op basis van de meting in de meterkast. Een batterij die laadt op lage uurprijzen van een dynamisch contract of meedoet aan handel op de stroommarkt, heeft wel een verbinding nodig, anders weet hij niet wanneer stroom goedkoop is. Offline halen betekent dan inleveren op de opbrengst. Wat er precies gebeurt als de verbinding wegvalt, staat in wat er gebeurt als internet of de software van je thuisbatterij uitvalt.

Een tussenweg is lokale sturing. Sommige batterijen kun je via het thuisnetwerk aansturen zonder de cloud van de fabrikant, bijvoorbeeld met Home Assistant. Dat vermindert je afhankelijkheid van externe servers, maar je wordt dan zelf beheerder: jij houdt de software bij en jij sluit de deuren. Hoe dat in de praktijk gaat, lees je in een thuisbatterij zelf sturen met Home Assistant. Zet in geen geval een poort in je router open om de batterij van buitenaf te bereiken. Het NCSC raadt voor toegang op afstand een versleutelde verbinding of een VPN naar je router aan.

Waar je bij aankoop op let

Sinds 1 augustus 2025 gelden onder de Europese radioapparatuurrichtlijn (RED) cybersecurityeisen voor apparaten met een draadloze verbinding, waaronder omvormers. De Cyber Resilience Act gaat volgens de minister naar verwachting eind 2027 gelden voor alle producten met digitale onderdelen, ook zonder draadloze verbinding. Wat die Europese regels nu al betekenen, staat in ons artikel over de Europese cybermeldplicht voor thuisbatterijen. Nieuwe regels maken oude apparaten niet met terugwerkende kracht veiliger: een omvormer van vijf jaar geleden blijft zo goed beveiligd als de fabrikant hem toen maakte en sindsdien heeft bijgewerkt.

De Rijksoverheid adviseert de privacyverklaring van de fabrikant te lezen en voorzichtig te zijn met apparaten van buiten de EU, omdat die mogelijk niet aan de Europese eisen voldoen en gegevens naar servers buiten de EU sturen. Controleer ook de CE-markering. De RDI merkte in zijn onderzoek op dat die op sommige apparaten ten onrechte was aangebracht, dus het is een minimum, geen garantie. Drie vragen die je bij een offerte kunt stellen: krijgt mijn installatie een uniek installateurswachtwoord, hoe lang levert de fabrikant beveiligingsupdates en kan de batterij blijven werken als de cloud wegvalt.

Een praktijksituatie

Neem een rijtjeshuis met zonnepanelen uit 2019 en een thuisbatterij die in 2025 is bijgeplaatst, aangestuurd via de app van de fabrikant en gekoppeld aan een dynamisch contract. De bewoner logt in op de router en ziet dat omvormer, batterij en P1-dongle gewoon op het hoofdnetwerk hangen, samen met de werklaptop. Hij maakt een gastnetwerk aan, verhuist de drie energieapparaten daarheen en zet UPnP uit. In de app staat tweefactorauthenticatie uit; die gaat aan. Bij de vraag naar het installateurswachtwoord blijkt de installateur van de zonnepanelen dat in 2019 nooit te hebben gewijzigd, dus dat laat hij bij het volgende servicebezoek aanpassen. De omvormer uit 2019 heeft al jaren geen update gehad. Dat is het moment om bij de fabrikant na te vragen of het model nog wordt ondersteund, en anders bij een vervanging een model te kiezen waarvan de updateperiode bekend is.

Als vuistregel geldt: alles wat op afstand kan schakelen hoort een uniek wachtwoord, een eigen netwerk en actuele software te hebben. Heeft je installatie die drie, dan heb je het grootste deel van de risico's die de RDI en de minister noemden afgedekt. Mist er een, begin dan bij het wachtwoord, want dat kost vijf minuten en sluit de deur die het vaakst openstaat.

Veelgestelde vragen

Kan een hacker mijn thuisbatterij laten ontploffen of in brand zetten?

De onderzoeken van de RDI en de brieven van de minister noemen als risico's dat apparaten op afstand worden uitgeschakeld, misbruikt voor DDoS-aanvallen of gegevens lekken. Brand door een hack wordt in die bronnen niet als risico genoemd. Het batterijmanagementsysteem bewaakt temperatuur en spanning in de batterij zelf.

Moet ik mijn thuisbatterij loskoppelen van internet?

Alleen als je de online functies niet gebruikt. Een batterij die alleen je eigen zonnestroom opslaat, werkt vaak ook zonder internet. Voor laden op lage uurprijzen van een dynamisch contract of handel op de stroommarkt is een verbinding nodig. Beveilig die verbinding dan met een uniek wachtwoord, updates en een apart netwerk.

Hoe weet ik of het installateurswachtwoord nog de fabrieksinstelling is?

Vraag het je installateur. De Gedragscode Zon op Woningen van Holland Solar vraagt installateurs per installatie een sterk en uniek wachtwoord in te stellen. Krijg je geen duidelijk antwoord, ga er dan van uit dat het niet is gewijzigd en laat het aanpassen.

Is een gastnetwerk genoeg om mijn omvormer te scheiden van mijn computer?

Het NCSC noemt een gastnetwerk als manier om slimme apparaten van de rest van je netwerk te scheiden. Zet dan wel alle energieapparatuur die lokaal met elkaar praat, zoals batterij, omvormer, P1-dongle en energiemanagementsysteem, op hetzelfde aparte netwerk, anders kan de sturing haperen.

Bronnen en controle

Past een thuisbatterij bij jou?

Doe de gratis scan in 2 minuten en ontvang advies op basis van je verbruik en opwek.

Start de gratis scan Direct offertes vergelijken