Cyberangriff auf polnisches Energienetz 2025, Details zum Ablauf

Ende Dezember 2025 kam es zu einer Serie hochgradig koordinierter, destruktiver Cyberangriffe auf das polnische Energienetz. In Folge musste eine Turbine in einem Kraftwerk abgeschaltet werden. CERT Polska und und internationalen Sicherheitsdienste haben den Ablauf analysiert und dokumentiert. Ich stelle mal einige Erkenntnisse hier im Blog ein.

Der Cyberangriff im Dezember 2025

Am 29. und 30. Dezember 2025 gab es eine Serie hochgradig koordinierter, destruktiver Cyberangriffe auf das polnische Energienetz. Im Zentrum der Sabotage standen dezentrale Energieanlagen (Edge Assets), darunter ein System zur Steuerung der Stromerzeugung aus erneuerbaren Energien (EE) für mindestens 30 Wind- und Solarparks sowie zwei große Kraft-Wärme-Kopplungs-Anlagen (Heizkraftwerke), die rund 500.000 Haushalte versorgen.

"Alles deutet darauf hin, dass diese Angriffe von Gruppen vorbereitet wurden, die in direktem Zusammenhang mit den russischen Geheimdiensten stehen", erklärte Polens Ministerpräsident Donald Tusk Mitte Januar 2025 in dieser Mitteilung. Polen habe sich erfolgreich gegen den Cyberangriff verteidigt. Es gab keine negativen Folgen wie eine Destabilisierung des nationalen Energiesystems oder einen Stromausfall.

"Die Systeme, über die wir heute in Polen verfügen, haben sich als wirksam erwiesen. Zu keinem Zeitpunkt war die kritische Infrastruktur bedroht, also die Übertragungsnetze und alles, was die Sicherheit des gesamten Systems gewährleistet", betonte der Ministerpräsident. Der Regierungschef zeigte sich zuversichtlich, dass das polnische Energiesystem zwar sicher und widerstandsfähig gegenüber dieser Art von Eingriffen oder Angriffen sei, dennoch aber weiter gestärkt werden müsse.

Details zum Cyberangriff durch CERT Polsky & Co.

Ich hatte Mitte Januar 2026, als der Vorfall durch obige Mitteilung bekannt wurde, hier im Blog nicht zeitnah berichtet. Es gibt lediglich den Blog-Beitrag Dragos Analyse: Cyberangriff auf das polnische Stromsystem 2025 vom 8. Februar 2026 mit ersten Erkenntnissen zum Ablauf des Angriffs, der der Gruppe ELECTRUM zugeschrieben wird.

ELECTRUM ist eine fortgeschrittene, auf kritische Infrastrukturen spezialisierte APT-Hacker-Gruppe (Advanced Persistent Threat). Sie steht im Verdacht, mit russischen Geheimdiensten bzw. dem Umfeld der Gruppe Sandworm (APT44) in Verbindung zu stehen. Die Gruppe agiert jedoch als eigenständiges Cluster und ist weltweit bekannt für hochkomplexe Angriffe auf die Stromversorgung und industrielle Steuerungssysteme (ICS/SCADA).

Dragos Security hat in diesem Artikel einige Informationen veröffentlicht. In meinem oben verlinkten Blog-Beitrag hatte ich erwähnt, dass ELECTRUM auch für den Ransomware-Angriff auf einen Satellitenbetreiber im Jahr 2022 verantwortlich gemacht wurde. Dieser betraf nicht nur militärische Kommunikationssysteme in der Ukraine, sondern auch zivile Infrastrukturen. Diese beinhaltete auch Windenergieanlagen in Deutschland, die über satellitengestützte Netzwerke angebunden waren. Ich hatte seinerzeit im Blog-Beitrag Cyberangriffe auf Nordex und die Windkraft AG berichtet.

Bei der heutigen Nachschau bin ich noch auf diesen Artikel von Mimikama von Ende Januar 2026 gestoßen, der das Thema etwas einordnet.

Neue Erkenntnisse zum Angriff

Zum Wochenende bin ich durch Zufall auf einen Tweet gestoßen, der den Ablauf des Angriffs detaillierter skizziert.

Der Text ist im Original auf polnisch, wurde mir aber auf Deutsch angeboten, so dass ich den Inhalt erfassen konnte. Der Tweet verlinkt auf den Bericht des CERT Polska, der Details zum Cyberangriff enthält. Ich hätte den Fall nicht weiter aufgegriffen, aber im Excerpt wird es spannend. Der oben erwähnte Tweet fasst die Erkenntnisse des polnischen CERT zusammen. Und die dort gemachten Fehler sind auch für die Leserschaft des IT-Blogs relevant.

Der Cyberangriff startete in einer Photovoltaik-Anlage

Der Cyberangriff begann laut obigem Tweet mit einem Angriff auf eine Photovoltaik-Anlage (Solaranlage). Dort wurde eine Fortigate-Instanz mit VPN-Schnittstelle, die im Internet freigegeben war, übernommen. CERT Polen schrieb in der Analyse dazu: "Die VPN-Schnittstelle war aus dem Internet erreichbar und ermöglichte das Anmelden an in der Konfiguration definierte Konten ohne mehrfache Authentifizierung (MFA)".

In der Steuerungstechnik dieser Photovoltaikanlage befand sich auch ein Mobilrouter (mit SIM-Karte), der eine private APN (d. h. der Access Point Name war nicht aus dem Internet erreichbar) konfiguriert hatte. Diese APN diente zur Kommunikation zwischen industriellen Geräten. Der Router besaß auch eine Ethernet-Schnittstelle, die vom Fortigate-Gerät erreichbar war.

Die Angreifer konnten per Internet die Fortigate-Instanz übernehmen und im Anschluss in dem übernommenen Netzwerk den Mobilrouter lokalisieren. Im nächsten Schritt nutzten sie eine Schwachstelle in der HTTP- oder SSH-Schnittstelle des Routers (oder erraten das Passwort) und drangen in das private APN-Netz ein.

Ausbreitung per privatem APN

Die Angreifer führten eine Erkundung der verfügbaren Geräte / Dienste durch, die über den APN erreichbar waren. Dabei konnten die Angreifer den verwendeten WAGO-PFC200-Controller lokalisierten. CERT PL schreibt dazu: "Der Controller besaß ein WWW-Administrationspanel (…) und verwendete Standardzugangsdaten für das Admin-Konto (…). Der WAGO-Controller hatte Zugriff sowohl auf SCADA-Systeme als auch auf Netzwerksegmente mit industriellen Geräten, die für die Steuerung kritischer technologischer Prozesse verantwortlich sind".

Das war quasi der Jackpot, ein mit Standardzugangsdaten konfiguriertes Admin-Konto eines WAGO-PFC200-Controllers, der Zugriff auf SCADA-Systeme und weitere Netzwerksegmente mit industriellen Geräten hatte. Dummerweise war auch das Kraft-Wärme-Kraftwerk in dasselbe APN (privates Netz im Rahmen des Mobilfunknetzes) eingebunden wie die Solaranlage. Die Angreifer konnten vom übernommenen Controller aus den Angriff auf das Kraftwerk beginnen.

Angriff auf das Kraftwerk

Jetzt startete die finale Phase des Angriffs, die zum Abschalten einer Turbine führte. Die  erste Handlung des Angreifers im Netzwerk des Kraft-Wärme-Kraftwerks nach dem Aufbau des Tunnels über den WAGO-Controller war die Herstellung einer Verbindung zum WWW-Panel des SCADA-Servers, und kurz darauf zum Siemens-S7-300-Controller der Anlage über dessen S7-Protokoll.

Laut Berichten der Mitarbeiter des Kraft-Wärme-Kraftwerks wurden die Controller in den STOP-Modus umgeschaltet und mit einem Passwort gesichert, das Änderungen ihres Betriebsmodus sowie Modifikationen der Software verhinderte.

Als Folge kam es zur  Stilllegung der Dampfturbine und der Wasseraufbereitungsstation für technische Zwecke. Damit wurde sowohl die Stromerzeugung als auch die Wärmeerzeugung des Heizkraftwerks unterbrochen. Glück in der ganzen Angelegenheit war, dass die Mannschaft des Kraft-Wärme-Kraftwerks schnell reagierte und den Cyberangreifer aussperren sowie die Steuerungstechnik wieder in Betrieb nehmen konnten. Dummerweise wurden bei diesen Operationen die Logs mit den Aufzeichnungen gelöscht. Dadurch fehlte die Möglichkeit einer noch genaueren Analyse des Vorfalls. Der Abschlussbericht des polnischen CERT ist auf dieser Seite sowohl in polnisch als auch in englisch (als PDF-Dokument, 19 Seiten) abrufbar.

Die Lehren aus dem Vorfall

Interessant wird dieser Cyberangriff bzw. die Erkenntnisse daraus, weil die Details nun bekannt sind. Die oben angerissenen Versäumnisse widersprechen allem, was einer guten Basis für Cyber-Security entspricht. Obiger Tweet fasst das so zusammen:

• admin/admin ist keine gute Konfiguration für Geräte, auch wenn sie sich innerhalb eines Netzwerks befinden
• Aktualisiert Netzwerkgeräte laufend (Sicherheitspatches)
• VPN / andere kritische Dienste nur mit Zwei-Faktor-Authentifizierung (2FA) aufsetzen

Auch der Anbieter Omicron Cyber Security geht bereits zum 1. März 2026 in diesem Artikel auf diesen Cyberangriff ein und zieht entsprechende Schlüsse. Vielleicht für den einen oder anderen Leser oder Leserin interessant.