Ladesäule gehackt: So schützt du Zahlung und App beim Laden

Du stehst an einer öffentlichen Ladesäule, willst nur schnell Strom nachladen – und plötzlich sieht der Bildschirm „komisch“ aus: neue Logos, eine Fehlermeldung, ein QR-Code, der gestern noch nicht da war. In dem Moment taucht sofort die Frage auf: Ist nur die Anzeige manipuliert oder ist auch deine Zahlung betroffen?

Genau diese Unterscheidung ist im Alltag entscheidend. Eine Ladesäule ist kein einzelnes Gerät, sondern eher ein kleines System: Sie hat eine Bedienoberfläche, eine Steuerung für den Ladevorgang, eine Datenverbindung zum Betreiber-Backend und oft zusätzlich eine Lösung fürs Bezahlen. Je nachdem, welcher Teil angegriffen wird, ändern sich die Risiken für dich komplett.

Gleichzeitig verschiebt sich die Situation in Europa: Seit dem 13. April 2024 gelten für neu installierte öffentlich zugängliche Ladepunkte strengere Vorgaben für den Ad-hoc-Zugang und gängige elektronische Zahlungsarten. Das verbessert den Komfort – aber jeder zusätzliche Zahlungsweg ist auch eine Oberfläche, die sauber abgesichert werden muss.

Du bekommst jetzt ein klares Modell, woran du einen „optischen“ Hack von echtem Zahlungs- oder Abrechnungsbetrug unterscheiden kannst – plus eine Checkliste, die du in zwei Minuten vor Ort anwenden kannst.

Wenn Leute sagen „Die Ladesäule wurde gehackt“, meinen sie oft zuerst etwas Sichtbares: ein veränderter Bildschirm, ein neu geklebter QR-Code oder eine andere Support-Nummer. Das kann tatsächlich ein Hinweis auf Manipulation sein – muss aber nicht bedeuten, dass das Ladenetz oder dein Zahlungsmittel kompromittiert wurde.

Hilfreich ist es, die Station grob in vier Schichten zu denken. Erstens: die Oberfläche (Display, Tasten, QR auf dem Screen). Zweitens: die lokale Steuerung (die Technik, die den Strom freigibt und misst). Drittens: die Kommunikation nach außen (Mobilfunk/Ethernet) zum Betreiber-System. Viertens: Payment und Abrechnung (Kartenleser, Web-Zahlung nach QR-Scan, App-Zahlung).

Sinngemäß nach den Tokenization Guidelines des PCI Security Standards Council: Tokenisierung und ausgelagerte Zahlungsabwicklung können die Angriffsfläche senken – aber nur, wenn die Zuordnung von Token zu Kartendaten strikt abgeschottet und geschützt ist.

Das Zitat ist wichtig, weil es eine Alltagsintuition korrigiert. Selbst wenn ein Betreiber „Tokenisierung“ nutzt und Kartendaten nicht auf der Ladesäule speichert, kann es trotzdem Betrugswege geben: etwa über gefälschte QR-Codes, über manipulierte Support-Kontakte oder über falsche Session-Infos. Umgekehrt heißt ein defekter oder veränderter Bildschirm nicht automatisch, dass jemand die Steuerung oder das Backend übernommen hat.

Damit öffentliches Laden alltagstauglich ist, muss es ohne Hürden funktionieren: ankommen, laden, zahlen. Genau dafür gibt es in der EU seit 2023 eine zentrale Regel: die AFIR-Verordnung (EU) 2023/1804. Sie verpflichtet, dass neu installierte öffentlich zugängliche Ladepunkte ab dem 13. April 2024 das Ad-hoc-Laden ermöglichen und dafür gängige, in der EU weit verbreitete Zahlungsinstrumente akzeptieren. Außerdem spielt Transparenz eine Rolle: Preise sollen vor dem Start erkennbar sein, und Daten zu Infrastruktur und Tarifen sollen standardisiert verfügbar werden.

Für dich heißt das: Du wirst in Deutschland zunehmend mehr Ladepunkte sehen, an denen du ohne vorherigen Vertrag laden kannst – zum Beispiel per kontaktloser Karte, per Bezahlterminal oder über einen QR-Code, der dich auf eine Zahlungsseite führt. Technisch sind das sehr unterschiedliche Wege. Ein Kartenleser ist näher an klassischer Kartenzahlung im Handel. Ein QR-Flow ähnelt eher einem Online-Kauf: Du scannst, landest im Browser und bezahlst bei einem Zahlungsdienst.

Spannend ist, dass die Sicherheitsforschung die Infrastruktur hinter solchen Stationen schon länger kritisch betrachtet. Eine große Studie zu EV-Charging-Management-Systemen (also den Betreiber-Backends) hat internetweit zehntausende exponierte Systeme identifiziert und eine dreistellige Zahl an Schwachstellenklassen dokumentiert. Eine andere Messstudie im CCS-Ökosystem fand, dass Transportverschlüsselung zwischen Auto und Ladepunkt in der Praxis deutlich seltener aktiv ist, als man es aus der Theorie erwarten würde. Das ist kein Grund für Panik, aber ein guter Grund für klare Prozesse: Updates, Zugangskontrollen, Monitoring – und auf Nutzerseite ein paar einfache Regeln gegen Betrug.

Auch das Bezahlen selbst ist stark reguliert. Bei Kartenzahlungen und Online-Zahlungen greifen in Europa Vorgaben rund um starke Kundenauthentifizierung (PSD2/RTS), während in der Kartenwelt Standards wie EMV 3-D Secure für Online-Transaktionen und PCI DSS für den Umgang mit Kartendaten relevant sind. Für dich ist vor allem die praktische Konsequenz wichtig: Seriöse Zahlungsflows wirken „normal“ – verschlüsselt, plausibel, nicht drängend und ohne merkwürdige Umleitungen.

Die häufigsten Probleme im Alltag sind nicht die spektakulären „Fernsteuerungen“ aus Vorträgen, sondern ganz einfache Betrugsmaschen, die an der Ladesäule starten. Der Klassiker: ein zusätzlicher QR-Code als Aufkleber. Du scannst ihn, weil du schnell laden willst, und landest auf einer Seite, die wie der Betreiber aussieht – aber deine Kartendaten oder deinen App-Login abgreifen soll. Genau dieses Muster ist so effektiv, weil du an der Säule wenig Zeit hast und weil QR-Codes wie „offiziell“ wirken.

Ein zweites Risiko ist der manipulierte Support-Kanal: Aufkleber mit falscher Hotline oder „Support per Messenger“. Das Ziel ist nicht zwingend Technik, sondern Verhalten. Du wirst im Gespräch zu einer „Sofortlösung“ geführt: App installieren, Fernzugriff erlauben, Geld „zurückbuchen“ oder Kartendaten „zur Verifikation“ durchgeben. Das ist Social Engineering – und es funktioniert auch ohne jeden Backend-Hack.

Drittens: Apps. Viele Fahrer nutzen Roaming-Apps oder Betreiber-Apps, weil es bequem ist. Hier entstehen zwei Angriffsflächen: erstens dein Account (Passwort, E-Mail, eventuell Zahlungsdaten), zweitens die Verbindung zwischen App und Betreiber-Backend. Du merkst einen App-Angriff oft nicht sofort, sondern erst über ungewöhnliche Ladesessions oder Rechnungsdaten. Darum lohnt sich ein nüchterner Check nach jeder Ladung: Stimmt Standort, Zeit, Energiemenge und Preis ungefähr? Wenn nicht, ist das ein Hinweis auf ein Problem – egal, ob es ein Fehler, Betrug oder ein Abrechnungsbug ist.

Was du konkret tun kannst, ohne zum IT-Profi zu werden:

• Scanne keine fremden Aufkleber-QR-Codes. Wenn ein QR-Code genutzt wird, dann lieber den, der sichtbar zur Station gehört (z. B. sauber im Display integriert) und nicht neu überklebt wirkt.
• Verifiziere den Ladepunkt in der App. Vergleiche Standort, Betreibername und Ladepunkt- oder Säulen-ID in der App mit dem, was auf der Säule steht.
• Gib niemals Zugangsdaten am Telefon durch. Ein seriöser Support fragt nicht nach deinem Passwort. Bei „Fernwartungs“-Aufforderungen: abbrechen.
• Nutze nach Möglichkeit begrenzte Zahlungswege. Eine virtuelle oder limitierte Zahlungskarte kann das Risiko bei Datenabfluss reduzieren, weil der nutzbare Betrag begrenzt ist.
• Belege prüfen. Sichere dir nach der Session den digitalen Beleg/Session-Report und prüfe die wichtigsten Eckdaten.

Diese Schritte adressieren genau die Angriffe, die mit wenig Aufwand funktionieren. Sie helfen unabhängig davon, ob eine Säule „gehackt“ war oder ob nur jemand versucht, dich umzulenken.

Viele Sicherheitsmaßnahmen liegen nicht bei dir, sondern beim Betreiber und den Herstellern. Forschungsergebnisse zu Betreiber-Backends zeigen, dass öffentlich erreichbare Management-Systeme und Web-Portale eine große Angriffsfläche haben können. Das ist ein starkes Argument für Basics, die in anderen Branchen längst Standard sind: Admin-Oberflächen nicht offen ins Internet stellen, starke Authentisierung, sauberes Patch-Management, Härtung nach OWASP-Grundsätzen und kontinuierliches Monitoring.

Auch auf Protokoll-Ebene gilt: Verschlüsselung und Zertifikatsmanagement sind kein Nice-to-have. Messungen im CCS-Ökosystem legen nahe, dass Transportverschlüsselung zwischen Fahrzeug und Ladepunkt in der Praxis nicht überall aktiv ist. Betreiber können das nicht immer allein entscheiden, weil Fahrzeugseite, Ladepunkt-Firmware und Backend zusammenpassen müssen. Trotzdem ist die Richtung klar: neue Geräte sollten sichere Defaults haben, und Updates müssen im Feld wirklich ankommen.

Für die Payment-Seite hilft eine saubere Trennung: Je weniger Komponenten entlang der Kette Kartendaten sehen, desto kleiner wird der Schaden bei einem Zwischenfall. Tokenisierung und ausgelagerte Zahlungsseiten/Terminals sind genau dafür gedacht – solange die sensiblen Teile (Token-Vault, Schlüssel, De-Tokenisierung) abgeschottet bleiben und PCI-DSS-konform betrieben werden. Bei QR-Zahlungen kommt zusätzlich ein operativer Punkt dazu, den manche Implementierungen bereits berücksichtigen: QR-Links sollten nicht „statisch für immer“ sein, sondern kurzlebig und eindeutig, damit abgefilmte oder kopierte Codes weniger wert sind.

Was ist dagegen eher unwahrscheinlich, wenn du nur einen „komischen Bildschirm“ siehst? Dass automatisch deine Karte leergeräumt wird, ohne dass du irgendetwas tust. Oder dass jede sichtbare Manipulation sofort bedeutet, dass ein Angreifer den Stromfluss gefährlich verändert. Sicherheitsforscher und Medien diskutieren zwar Szenarien mit physischen Folgen, aber zwischen einem defaced Display und einem sicherheitskritischen Eingriff liegen mehrere Hürden: Hardware-Schutz, Sicherheitsabschaltungen, Backend-Checks und oft auch Hersteller-spezifische Grenzen. Für dich zählt daher eine pragmatische Regel: Behandle auffällige Stationen so, als könnten sie dich in einen Betrugspfad lenken, und wähle im Zweifel einen anderen Ladepunkt.

Wenn du selbst Betreiberanforderungen formulieren musst (z. B. in einem Unternehmen mit Ladeinfrastruktur), sind diese Punkte besonders wirksam: regelmäßige Updates, signierte Firmware, abgesicherte Management-Zugänge (VPN), Protokoll-Härtung, Anomalie-Erkennung und physische Manipulationsmerkmale wie Siegel, die auffallen, wenn etwas geöffnet oder überklebt wurde.

Ein sichtbarer „Hack“ an einer Ladesäule ist oft weniger ein technischer Superangriff als ein Hinweis auf Manipulation an der Oberfläche oder auf einen Versuch, dich in eine falsche Zahlungs- oder Support-Schleife zu lenken. Gerade QR-Aufkleber und umgeleitete Support-Kontakte sind realistische Risiken, die du mit wenigen Regeln stark entschärfen kannst: nur offizielle Apps nutzen, keine fremden QR-Codes scannen, Session-Details prüfen und im Zweifel den Ladepunkt wechseln. Gleichzeitig steigt durch EU-Vorgaben wie AFIR der Druck, Ad-hoc-Zahlungen einfach und breit verfügbar zu machen. Das ist gut für den Alltag – aber nur dann wirklich sicher, wenn Betreiber ihre Backends und Geräte konsequent härten, aktualisieren und überwachen. Für dich gilt: Wachsam ja, Angst nein. Mit einem klaren Blick auf die wahrscheinlichsten Betrugswege bist du beim Laden deutlich besser geschützt.