Ende Dezember 2025 kam es zu einer Serie hochgradig koordinierter, destruktiver Cyberangriffe auf das polnische Energienetz. In Folge musste eine Turbine in einem Kraftwerk abgeschaltet werden. CERT Polska und und internationalen Sicherheitsdienste haben den Ablauf analysiert und dokumentiert. Ich stelle mal einige Erkenntnisse hier im Blog ein.
Der Cyberangriff im Dezember 2025
Am 29. und 30. Dezember 2025 gab es eine Serie hochgradig koordinierter, destruktiver Cyberangriffe auf das polnische Energienetz. Im Zentrum der Sabotage standen dezentrale Energieanlagen (Edge Assets), darunter ein System zur Steuerung der Stromerzeugung aus erneuerbaren Energien (EE) für mindestens 30 Wind- und Solarparks sowie zwei große Kraft-Wärme-Kopplungs-Anlagen (Heizkraftwerke), die rund 500.000 Haushalte versorgen.
"Alles deutet darauf hin, dass diese Angriffe von Gruppen vorbereitet wurden, die in direktem Zusammenhang mit den russischen Geheimdiensten stehen", erklärte Polens Ministerpräsident Donald Tusk Mitte Januar 2026 in dieser Mitteilung. Polen habe sich erfolgreich gegen den Cyberangriff verteidigt. Es gab keine negativen Folgen wie eine Destabilisierung des nationalen Energiesystems oder einen Stromausfall.
"Die Systeme, über die wir heute in Polen verfügen, haben sich als wirksam erwiesen. Zu keinem Zeitpunkt war die kritische Infrastruktur bedroht, also die Übertragungsnetze und alles, was die Sicherheit des gesamten Systems gewährleistet", betonte der Ministerpräsident. Der Regierungschef zeigte sich zuversichtlich, dass das polnische Energiesystem zwar sicher und widerstandsfähig gegenüber dieser Art von Eingriffen oder Angriffen sei, dennoch aber weiter gestärkt werden müsse.
Details zum Cyberangriff durch CERT Polsky & Co.
Ich hatte Mitte Januar 2026, als der Vorfall durch obige Mitteilung bekannt wurde, hier im Blog nicht zeitnah berichtet. Es gibt lediglich den Blog-Beitrag Dragos Analyse: Cyberangriff auf das polnische Stromsystem 2025 vom 8. Februar 2026 mit ersten Erkenntnissen zum Ablauf des Angriffs, der der Gruppe ELECTRUM zugeschrieben wird.
ELECTRUM ist eine fortgeschrittene, auf kritische Infrastrukturen spezialisierte APT-Hacker-Gruppe (Advanced Persistent Threat). Sie steht im Verdacht, mit russischen Geheimdiensten bzw. dem Umfeld der Gruppe Sandworm (APT44) in Verbindung zu stehen. Die Gruppe agiert jedoch als eigenständiges Cluster und ist weltweit bekannt für hochkomplexe Angriffe auf die Stromversorgung und industrielle Steuerungssysteme (ICS/SCADA).
Dragos Security hat in diesem Artikel einige Informationen veröffentlicht. In meinem oben verlinkten Blog-Beitrag hatte ich erwähnt, dass ELECTRUM auch für den Ransomware-Angriff auf einen Satellitenbetreiber im Jahr 2022 verantwortlich gemacht wurde. Dieser betraf nicht nur militärische Kommunikationssysteme in der Ukraine, sondern auch zivile Infrastrukturen. Diese beinhaltete auch Windenergieanlagen in Deutschland, die über satellitengestützte Netzwerke angebunden waren. Ich hatte seinerzeit im Blog-Beitrag Cyberangriffe auf Nordex und die Windkraft AG berichtet.
Bei der heutigen Nachschau bin ich noch auf diesen Artikel von Mimikama von Ende Januar 2026 gestoßen, der das Thema etwas einordnet.
Neue Erkenntnisse zum Angriff
Zum Wochenende bin ich durch Zufall auf einen Tweet gestoßen, der den Ablauf des Angriffs detaillierter skizziert.
Der Text ist im Original auf polnisch, wurde mir aber auf Deutsch angeboten, so dass ich den Inhalt erfassen konnte. Der Tweet verlinkt auf den Bericht des CERT Polska, der Details zum Cyberangriff enthält. Ich hätte den Fall nicht weiter aufgegriffen, aber im Excerpt wird es spannend. Der oben erwähnte Tweet fasst die Erkenntnisse des polnischen CERT zusammen. Und die dort gemachten Fehler sind auch für die Leserschaft des IT-Blogs relevant.
Der Cyberangriff startete in einer Photovoltaik-Anlage
Der Cyberangriff begann laut obigem Tweet mit einem Angriff auf eine Photovoltaik-Anlage (Solaranlage). Dort wurde eine Fortigate-Instanz mit VPN-Schnittstelle, die im Internet freigegeben war, übernommen. CERT Polen schrieb in der Analyse dazu: "Die VPN-Schnittstelle war aus dem Internet erreichbar und ermöglichte das Anmelden an in der Konfiguration definierte Konten ohne mehrfache Authentifizierung (MFA)".
In der Steuerungstechnik dieser Photovoltaikanlage befand sich auch ein Mobilrouter (mit SIM-Karte), der eine private APN (d. h. der Access Point Name war nicht aus dem Internet erreichbar) konfiguriert hatte. Diese APN diente zur Kommunikation zwischen industriellen Geräten. Der Router besaß auch eine Ethernet-Schnittstelle, die vom Fortigate-Gerät erreichbar war.
Die Angreifer konnten per Internet die Fortigate-Instanz übernehmen und im Anschluss in dem übernommenen Netzwerk den Mobilrouter lokalisieren. Im nächsten Schritt nutzten sie eine Schwachstelle in der HTTP- oder SSH-Schnittstelle des Routers (oder erraten das Passwort) und drangen in das private APN-Netz ein.
Ausbreitung per privatem APN
Die Angreifer führten eine Erkundung der verfügbaren Geräte / Dienste durch, die über den APN erreichbar waren. Dabei konnten die Angreifer den verwendeten WAGO-PFC200-Controller lokalisierten. CERT PL schreibt dazu: "Der Controller besaß ein WWW-Administrationspanel (…) und verwendete Standardzugangsdaten für das Admin-Konto (…). Der WAGO-Controller hatte Zugriff sowohl auf SCADA-Systeme als auch auf Netzwerksegmente mit industriellen Geräten, die für die Steuerung kritischer technologischer Prozesse verantwortlich sind".
Das war quasi der Jackpot, ein mit Standardzugangsdaten konfiguriertes Admin-Konto eines WAGO-PFC200-Controllers, der Zugriff auf SCADA-Systeme und weitere Netzwerksegmente mit industriellen Geräten hatte. Dummerweise war auch das Kraft-Wärme-Kraftwerk in dasselbe APN (privates Netz im Rahmen des Mobilfunknetzes) eingebunden wie die Solaranlage. Die Angreifer konnten vom übernommenen Controller aus den Angriff auf das Kraftwerk beginnen.
Angriff auf das Kraftwerk
Jetzt startete die finale Phase des Angriffs, die zum Abschalten einer Turbine führte. Die erste Handlung des Angreifers im Netzwerk des Kraft-Wärme-Kraftwerks nach dem Aufbau des Tunnels über den WAGO-Controller war die Herstellung einer Verbindung zum WWW-Panel des SCADA-Servers, und kurz darauf zum Siemens-S7-300-Controller der Anlage über dessen S7-Protokoll.
Laut Berichten der Mitarbeiter des Kraft-Wärme-Kraftwerks wurden die Controller in den STOP-Modus umgeschaltet und mit einem Passwort gesichert, das Änderungen ihres Betriebsmodus sowie Modifikationen der Software verhinderte.
Als Folge kam es zur Stilllegung der Dampfturbine und der Wasseraufbereitungsstation für technische Zwecke. Damit wurde sowohl die Stromerzeugung als auch die Wärmeerzeugung des Heizkraftwerks unterbrochen. Glück in der ganzen Angelegenheit war, dass die Mannschaft des Kraft-Wärme-Kraftwerks schnell reagierte und den Cyberangreifer aussperren sowie die Steuerungstechnik wieder in Betrieb nehmen konnten. Dummerweise wurden bei diesen Operationen die Logs mit den Aufzeichnungen gelöscht. Dadurch fehlte die Möglichkeit einer noch genaueren Analyse des Vorfalls. Der Abschlussbericht des polnischen CERT ist auf dieser Seite sowohl in polnisch als auch in englisch (als PDF-Dokument, 19 Seiten) abrufbar.
Die Lehren aus dem Vorfall
Interessant wird dieser Cyberangriff bzw. die Erkenntnisse daraus, weil die Details nun bekannt sind. Die oben angerissenen Versäumnisse widersprechen allem, was einer guten Basis für Cyber-Security entspricht. Obiger Tweet fasst das so zusammen:
- admin/admin ist keine gute Konfiguration für Geräte, auch wenn sie sich innerhalb eines Netzwerks befinden
- Aktualisiert Netzwerkgeräte laufend (Sicherheitspatches)
- VPN / andere kritische Dienste nur mit Zwei-Faktor-Authentifizierung (2FA) aufsetzen
Auch der Anbieter Omicron Cyber Security geht bereits zum 1. März 2026 in diesem Artikel auf diesen Cyberangriff ein und zieht entsprechende Schlüsse. Vielleicht für den einen oder anderen Leser oder Leserin interessant.
MVP: 2013 – 2016
Moin,
beim letztgenannten Link von Omicron Cyber Security bekomme ich standardmäßig ein 'Forbidden'. (Firefox, Mulvad, Vivaldi) . Gehe ich mit dem opera und seinem eingebauten VPN drauf, kann ich die Seite sehen.
Firefox funktioniert hier, Edge ebenso.
"Die Systeme, über die wir heute in Polen verfügen, haben sich als wirksam erwiesen"
Und dann wird aufgeführt, dass Standardkennwörter belassen wurden, kein 2FA eingerichtet wurde, eine – sagen wir mal – "patchanfällige" Fortigate Firewall eingesetzt wurdeund diese nicht durchgepatcht war, Router mit Schwachstellee, der Angreifer konnte ein eignes Passwort in der Steuerung setzen und Logs löschen, usw.
Da wirkt obige Aussage (Zitat) doch wie blanker Hohn und mancheiner wird sich einreden, dass eine derart "gesicherte" Umgebung (gegen die Russen) immer noch sicher genug ist. Übrigens, wie ich mal in einem anderen Zusammenhang gelesen habe, kann man so eine Dampfturbine bei so einer Gelegenheit nicht nur stoppen (da hatten die echt Glück gehabt) sondern auch in einen Betriebszustand bringen, wo die beschädigt werden kann.
Unabhängig vom konkreten Vorfall glaube ich, daß solche Attacken in Zukunft noch deutlich zunehmen werden.
Ich betreibe hier neben dem eigentlichen Firmennetz noch ein weiteres für die Gebäudeautomatisierung. Das fing vor ca 10 Jahren ganz unscheinbar mit den dort üblichen Protokollen (wie RS485 und LON) an und war immer strikt getrennt vom produktiven Netz und vom Internet.
In den letzten Jahren sind immer mehr neu dazugekommene Komponenten mit Ethernet-Schnittstelle und TCP/IP als Protokoll (oft eine "schicke" Weboberfläche) ausgestattet. Gleichzeitig wachsen leider auch die Begehrlichkeiten der eingebundenen Dienstleister ("wenn Sie mir keinen VPN-Zugang geben, muß ich Ihnen für jede Änderung eine Anfahrt berechnen") und leider auch die gesetzlichen Vorgaben (schlimm sind hier Solaranlagen, die zwecks Förderung Erträge melden müssen sowie E-Lade-Stationen, für die aus steuerlichen Gründen ein Billing erfolgen muß, auch wenn der Strom eigentlich gratis an die Mitarbeiter abgegeben werden soll).
Leider gibt es hier kaum einheitliche Standards, jeder Hersteller kocht sein eigenes Süppchen und am Ende landet man bei einem Zoo von Siemens, Wago, Beckkoff und noch einem dutzend anderen Netzwerkkomponenten.
Erschwerend kommt hinzu, daß die meisten Dienstleister eher aus der Haustechnik-Ecke kommen und von Computersicherheit nur rudimentäre Kenntnisse haben.
Da wird an vielen Stellen einfach nur so lange "hingebastelt" bis die eigentliche Funktion gegeben ist, ohne Sicherheitsaspekte überhaupt näher zu beleuchten.
Was ich da schon erlebt (und vom Dienstleister als "alternativlos" hingestellt bekommen) habe spottet jeder Bechreibung.
Hier muß ich mal die Dienstleister und ausführenden Firmen in Schutz nehmen. Aufwendungen für Cybersicherheit im Angebot werden von den Auftraggebern seltens goutiert. Sie werden dann einfach gestrichen. Wenn der AG den Preisdrückt muß der AN zwangsweise was weglassen. Zudem sind solche Projekte chronisch in Verzug, da steht Funktion an erster Stelle und Cyber Sicherheit kommt unter ferner liefen. Das ist aber vom Auftraggeber so gewünscht. Und dann noch die Forderung nach "keep things simple". 2FA z. B. fällt da nicht darunter. Schon allein das credential management so anches Auftraggebers ist katastrophal oder existiert schlicht weg nicht. Und es wird erwartet, daß Wartungszugänge ad hoc funktionieren aka Paßwörter werden nie gewechselt. Da muß zuerst bei den Auftraggebern ein Umdenken einsetzen, daß Sicherheit Geld kostet und bezahlt werden muß. Schon allein die Dokumentation ist ein kelines Projekt für sich und kann in Stunden sondern muß in Wochen bemessen werden.
you get what you paid for… kapieren Auftraggeber nur meistens nicht ;-P
Ich rede hier nicht von sündhaft teuren Firewalls oder hochkomplexen Overlay-Netzwerken mit eigenem APN. Hatten die Polen ja.
Es geht um einfache und i.d.R. kostenneutrale Konfigurationen.
Etwa die Standardpaßwörter gegen eigene zu ersetzen und das in der Kundenakte zu dokumentieren. Oder 2-Faktor-Authentifizierung.
Auch die Notwendigkeit, vom Installateur imperativ geforderte Einstellungen (Das Gerät muß Mails versenden können! – Das Gerät muß SMS-Gateway XY erreichen können! – Das Gerät muß Telemetriedaten an den Hersteller senden können!) zumindest mal auf Sinnhaftigkeit zu hinterfragen.
Als ich neulich mal ein vom Hersteller generiertes selbst signiertes Zertifikat gegen eines ersetzen wollte, in dem zumindest der Hostname stimmt (wohlgemerkt auf dem im Handbuch dokumentieren Weg!) kam dann gleich die Ansage "Damit verlieren Sie aber die Garantie!"
Oder derjenige, der mir erklären wollte, sein Gerät braucht unbedingt die IP 10.0.0.1 und ich soll doch bitte das ganze Netz umnummerieren, weil er es vermutlich in seinem Halbtags-Crashkurs (wenn überhaupt) nur so gelernt hat.
Letzteres war übrigens ein Überwachungsgerät für Akkus in Notausgangsleuchten. Nichts, was man für den normalen Geschäftsbetrieb überhaupt braucht, aber nun mal gesetzlich vorgeschrieben.
Ehrlicherweise muß man dazu sagen, daß die Hersteller durchaus die Möglichkeit bieten, solche Geräte sicher zu konfigurieren (ist wohl inzwischen Zulassungsvoraussetzung), diese Möglichkeiten von den Installateuren vor Ort aber oft sabotiert werden.
Ja, das kostet mehr Zeit. Bei der Schulung der Techniker, bei der Planung und auch bei der Dokumentation. Bei den aufgerufenen Handwerker-Stundensätzen aber wohl auch erwartbar.
Aber das ist in anderen Branchen (etwa den hier neulich erst besprochenen Arztpraxen und ihrer technischen Ausstattung) nicht anders.
Warum muss ultrakritische Infrastruktur überhaupt im Netz hängen.
Crazy Bastards….
Schon allein Updates sind teilweise nicht mehr offline installierbar.
Das ist aber die andere Richtung. Wieso kann man von außerhalb eine Verbindung initiieren? In der Regel dürfte es Bequemlichkeit sein.
Und Bequemlickeit steht mit der Sicherheit auf Kriegsfuß.
Da wird es aber höchste Zeit, den Anbieter zu wechseln.
Ich stelle mir das ganze mal kurz mit nem Kampfjet vor…..
Äh – Du weißt, wie moderne Kampfjets funktionieren?
Ich konnte mir das mal auf der ILA ansehen.
Bei den Stealth-Jets ist es so, daß die relevante Software überhaupt nur noch in den Arbeitsspeicher geladen wird. Einmal Strom aus und sie ist weg. Damit sie dem Feind nicht in die Hände fällt.
Das ist auch der Grund, weswegen diese nur auf amerikanischem Boden mit Software "befüllt" werden dürfen und dann lieber mit Hilfe von Tankflugzeugen um den halben Erdball fliegen, statt irgendwo in Qatar oder der Türkei zu starten.
Das war eher so hypothetisch gemeint.Russe kommt, Kampfjet kann nicht starten weil Leitrechner nach gescheitertem Update grad nen Rollback fährt…..
Mit Stealth Jet (Singular, es gibt nur einen ) meinst du wohl die F35…wer die freiwillig einsetzt ist eh nicht mehr ganz rund im Schritt….
Beiner Panavia hast du keine neumodischen Rechnercluster, der fliegt noch mit Uhrwerk 😂
Deutschland toppt inzwischen alles. Letzten Sonntag war hier in Thüringen eine großangelegte Rettungsübung mit einem ICE in einem Tunnel. Hundert Komparsen und 250 Einsatzkräfte.
Ergebnis: Fassungslosigkeit beim beobachtenden Innenminister, weil das erste Blaulicht statt wie erwartet in 10-15 Minuten erst nach 2 Stunden (!) anrollte.
Erste Erklärungsversuche waren wohl, daß die Alarmierung von der DB zur Rettungsleitstelle per Fax(!) erfolgt und liegengeblieben ist.
Ach ja, Katwarn und Nina haben auch nicht funktioniert.
Fazit des Spiegel: Im Ernstfall wären hier alle tot.
Was willst du auch in der Faxrepublik Deutschland anderes erwarten. Man kann doch schon froh sein dass die Feuerwehr nicht mehr von einer Dampfmaschine angetrieben wird.
Interessanter wird es dann noch, wenn der Kampfjet zwar startet aber seine Bewaffnung sich dann autonom weigert, das vom Piloten gewählte Ziel anzugreifen bzw. es absichtlich verfehlt, je nachdem was das Ziel ist.
Die einen nennen sowas vielleicht "friendly fire" Vermeidung, andere nennen es Absicherung seitens des Herstellers, dass der Waffensystem Käufer nicht mal seine Meinung ändert, wen er damit angreifen will bzw. soll.
Ein Cyberangriff der anderen Art.
und? dann geht der Techniker kurz an die Maschine und stöpselt das RJ45 Kabel ein, dann wird das Update eingespielt und danach stöpselt der das RJ45 Kabel wieder aus… nix von aussen initiert.
Das kann sogar der dumbe Maschinenbediener sein,wenn man dem das beauftragt… ganz blasphemisch ausgedrückt kann das auch ein trainierter Affe sein…
Es gibt keinen plausiblen notwendigen Grund das sowas am Internet hängt! Das ist grob fahrlässig und gehört entsprechend geahndet.
Die Frage ist doch eher "warum Updates"?
Das Gerät ist offline und macht was es soll – fertig.
Im Fall einer Wartung (System offline) kann ein Update sicher auch per USB-Stick durchgeführt werden.
Zum "Lateral Movement" lässt sich weiter lesen. Produktinfo und Anleitungen vom Controller hier bei WAGO. Mutig laut Hersteller: Das Gerät ist angeblich "Maintenance-free" – jedoch listet selbst die Anleitung der Serie "WAGO I/O System 750" Direktlink Manual (PDF) vom Zertifikatswechsel bis zum Passwortchange diverse Dinge… (Link ist evtl.Sessionabhängig).
Interessant ist das 4G-Netz und APN in einigen Modellen (Koaxialkabel auf ANT für Antenne, s. Bild oben). Der Hersteller kommt aus NRW, WAGO in Minden. Mit einem WAGO Mitarbeiter diskutierte ich schon vor Jahren solche Defizite bei WAGO bis SCADA (Hallo G. aus B. bei MI! Hab ich jetzt Recht?).
@mw – bin bei "Dienstleister [..] in Schutz nehmen" bei Dir. Jedoch auch bei Belassen vom Default-Passwort, alten Zertifikaten oder fehlender Releasepflege bei Roleout? Den Rest sehe ich in der Tat beim Betreiber im Sinne eines ISMS.
Beeindruckt in dem Bericht hat mich z.B., daß das CERT forensisch korrekt den Flash aus der WAGO-Box ausgelötet hat, statt ihn irgendwie per JTAG o.ä. auszulesen.
Auch die anderen Firmen (z.B. Teltonika, ein Litauer, die clevere und für das was sie können auch preiswerte Mobilfunkrouter herstellt) oder MOXA sind keine Unbekannten.
Es geht nicht um das "Blame game", sondern darum, die Technik generell sicherer zu machen.
Nicht vergessen, auch ein (nach diesen Maßstäben) absolut sicheres Netz (das der Uran-Zentrifugen im Iran) ist durch Stuxnet infiltriert worden.
Ja , von innen durch physischen Zugriff (persischer Siemens-Mossad-Mitarbeiter).
…der damit sein Leben riskiert hat, falls das iraelische Wundervirus nicht wie erwartet arbeitet. Die Details sind nach dem Ausbruch von Stuxnet umfangreich forensisch aufgearbeitet worden.
Ich bezog mich nur auf Sätze von oben "dann steckt man halt einen USB-Stick an", oder ein RJ45-Kabel.
Sicherheit fängt im Kopf an, eine Air-Gap ist nur ein Baustein davon.
So dumm sind die nicht, die Perser haben verdammt gute Leute.
Der Mossad muss halt seinen Mythos stützen, deshalb der Cyber Quatscb.
In Wirklichkeit hat der Azubi SPS mit SQl verwechselt….