![\"Sicherheit](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" "\\"Sicherheit")
Ende Dezember 2025 kam es zu einer Serie hochgradig koordinierter, destruktiver Cyberangriffe auf das polnische Energienetz. In Folge musste eine Turbine in einem Kraftwerk abgeschaltet werden. CERT Polska und und internationalen Sicherheitsdienste haben den Ablauf analysiert und dokumentiert. Ich stelle mal einige Erkenntnisse hier im Blog ein.<\/p>\n
<\/p>\n
Am 29. und 30. Dezember 2025 gab es eine Serie hochgradig koordinierter, destruktiver Cyberangriffe auf das polnische Energienetz. Im Zentrum der Sabotage standen dezentrale Energieanlagen (Edge Assets), darunter ein System zur Steuerung der Stromerzeugung aus erneuerbaren Energien (EE) f\u00fcr\u00a0mindestens 30 Wind- und Solarparks sowie zwei gro\u00dfe Kraft-W\u00e4rme-Kopplungs-Anlagen (Heizkraftwerke), die rund 500.000 Haushalte versorgen.<\/p>\n
\"Alles deutet darauf hin, dass diese Angriffe von Gruppen vorbereitet wurden, die in direktem Zusammenhang mit den russischen Geheimdiensten stehen\", erkl\u00e4rte Polens Ministerpr\u00e4sident Donald Tusk Mitte Januar 2026 in dieser Mitteilung<\/a>.\u00a0Polen habe sich erfolgreich gegen den Cyberangriff verteidigt. Es gab keine negativen Folgen wie eine Destabilisierung des nationalen Energiesystems oder einen Stromausfall.<\/p>\n \"Die Systeme, \u00fcber die wir heute in Polen verf\u00fcgen, haben sich als wirksam erwiesen. Zu keinem Zeitpunkt war die kritische Infrastruktur bedroht, also die \u00dcbertragungsnetze und alles, was die Sicherheit des gesamten Systems gew\u00e4hrleistet\", betonte der Ministerpr\u00e4sident.\u00a0Der Regierungschef zeigte sich zuversichtlich, dass das polnische Energiesystem zwar sicher und widerstandsf\u00e4hig gegen\u00fcber dieser Art von Eingriffen oder Angriffen sei, dennoch aber weiter gest\u00e4rkt werden m\u00fcsse.<\/p>\n Ich hatte Mitte Januar 2026, als der Vorfall durch obige Mitteilung bekannt wurde, hier im Blog nicht zeitnah berichtet. Es gibt lediglich den Blog-Beitrag Dragos Analyse: Cyberangriff auf das polnische Stromsystem 2025<\/a> vom 8. Februar 2026 mit ersten Erkenntnissen zum Ablauf des Angriffs, der der Gruppe ELECTRUM zugeschrieben wird.<\/p>\n ELECTRUM ist eine fortgeschrittene, auf kritische Infrastrukturen spezialisierte APT-Hacker-Gruppe (Advanced Persistent Threat). Sie steht im Verdacht, mit russischen Geheimdiensten bzw. dem Umfeld der Gruppe Sandworm (APT44) in Verbindung zu stehen. Die Gruppe agiert jedoch als eigenst\u00e4ndiges Cluster und ist weltweit bekannt f\u00fcr hochkomplexe Angriffe auf die Stromversorgung und industrielle Steuerungssysteme (ICS\/SCADA).<\/p>\n Dragos Security hat in diesem Artikel einige Informationen<\/a> ver\u00f6ffentlicht. In meinem oben verlinkten Blog-Beitrag hatte ich erw\u00e4hnt, dass ELECTRUM auch f\u00fcr den Ransomware-Angriff auf einen Satellitenbetreiber im Jahr 2022 verantwortlich gemacht wurde. Dieser betraf nicht nur milit\u00e4rische Kommunikationssysteme in der Ukraine, sondern auch zivile Infrastrukturen. Diese beinhaltete auch Windenergieanlagen in Deutschland, die \u00fcber satellitengest\u00fctzte Netzwerke angebunden waren. Ich hatte seinerzeit im Blog-Beitrag\u00a0Cyberangriffe auf Nordex und die Windkraft AG<\/a> berichtet.<\/p><\/blockquote>\n Bei der heutigen Nachschau bin ich noch auf diesen Artikel<\/a> von Mimikama von Ende Januar 2026 gesto\u00dfen, der das Thema etwas einordnet.<\/p>\n Zum Wochenende bin ich durch Zufall auf einen Tweet<\/a> gesto\u00dfen, der den Ablauf des Angriffs detaillierter skizziert.<\/p>\n Der Text ist im Original auf polnisch, wurde mir aber auf Deutsch angeboten, so dass ich den Inhalt erfassen konnte. Der Tweet verlinkt auf den Bericht des CERT Polska<\/a>, der Details zum Cyberangriff enth\u00e4lt.\u00a0Ich h\u00e4tte den Fall nicht weiter aufgegriffen, aber im Excerpt wird es spannend. Der oben erw\u00e4hnte Tweet fasst die Erkenntnisse des polnischen CERT zusammen. Und die dort gemachten Fehler sind auch f\u00fcr die Leserschaft des IT-Blogs relevant.<\/p>\n Der Cyberangriff begann laut obigem Tweet mit einem Angriff auf eine Photovoltaik-Anlage (Solaranlage). Dort wurde eine Fortigate-Instanz mit VPN-Schnittstelle, die im Internet freigegeben war, \u00fcbernommen. CERT Polen schrieb in der Analyse dazu: \"Die VPN-Schnittstelle war aus dem Internet erreichbar und erm\u00f6glichte das Anmelden an in der Konfiguration definierte Konten ohne mehrfache Authentifizierung (MFA)\".<\/p>\n In der Steuerungstechnik dieser Photovoltaikanlage befand sich auch ein Mobilrouter (mit SIM-Karte), der eine private APN (d. h. der Access Point Name war nicht aus dem Internet erreichbar) konfiguriert hatte. Diese APN diente zur Kommunikation zwischen industriellen Ger\u00e4ten. Der Router besa\u00df auch eine Ethernet-Schnittstelle, die vom Fortigate-Ger\u00e4t erreichbar war.<\/p>\n Die Angreifer konnten per Internet die Fortigate-Instanz \u00fcbernehmen und im Anschluss in dem \u00fcbernommenen Netzwerk den Mobilrouter lokalisieren. Im n\u00e4chsten Schritt nutzten sie eine Schwachstelle in der HTTP- oder SSH-Schnittstelle des Routers (oder erraten das Passwort) und drangen in das private APN-Netz ein.<\/p>\n Die Angreifer f\u00fchrten eine Erkundung der verf\u00fcgbaren Ger\u00e4te \/ Dienste durch, die \u00fcber den APN erreichbar waren. Dabei konnten die Angreifer den verwendeten WAGO-PFC200-Controller lokalisierten. CERT PL schreibt dazu:\u00a0\"Der Controller besa\u00df ein WWW-Administrationspanel (…) und verwendete Standardzugangsdaten f\u00fcr das Admin-Konto (…). Der WAGO-Controller hatte Zugriff sowohl auf SCADA-Systeme als auch auf Netzwerksegmente mit industriellen Ger\u00e4ten, die f\u00fcr die Steuerung kritischer technologischer Prozesse verantwortlich sind\".<\/p>\n Das war quasi der Jackpot, ein mit Standardzugangsdaten konfiguriertes Admin-Konto eines WAGO-PFC200-Controllers, der Zugriff auf SCADA-Systeme und weitere Netzwerksegmente mit industriellen Ger\u00e4ten hatte. Dummerweise war auch das\u00a0Kraft-W\u00e4rme-Kraftwerk in dasselbe APN (privates Netz im Rahmen des Mobilfunknetzes) eingebunden wie die Solaranlage. Die Angreifer konnten\u00a0vom \u00fcbernommenen Controller aus den Angriff auf das Kraftwerk beginnen.<\/p>\n Jetzt startete die finale Phase des Angriffs, die zum Abschalten einer Turbine f\u00fchrte. Die\u00a0 erste Handlung des Angreifers im Netzwerk des Kraft-W\u00e4rme-Kraftwerks nach dem Aufbau des Tunnels \u00fcber den WAGO-Controller war die Herstellung einer Verbindung zum WWW-Panel des SCADA-Servers, und kurz darauf zum Siemens-S7-300-Controller der Anlage \u00fcber dessen S7-Protokoll.<\/p>\n Laut Berichten der Mitarbeiter des Kraft-W\u00e4rme-Kraftwerks wurden die Controller in den STOP-Modus umgeschaltet und mit einem Passwort gesichert, das \u00c4nderungen ihres Betriebsmodus sowie Modifikationen der Software verhinderte.<\/p>\n Als Folge kam es zur\u00a0 Stilllegung der Dampfturbine und der Wasseraufbereitungsstation f\u00fcr technische Zwecke. Damit wurde sowohl die Stromerzeugung als auch die W\u00e4rmeerzeugung des Heizkraftwerks unterbrochen. Gl\u00fcck in der ganzen Angelegenheit war, dass die Mannschaft des Kraft-W\u00e4rme-Kraftwerks schnell reagierte und den Cyberangreifer aussperren sowie die Steuerungstechnik wieder in Betrieb nehmen konnten. Dummerweise wurden bei diesen Operationen die Logs mit den Aufzeichnungen gel\u00f6scht. Dadurch fehlte die M\u00f6glichkeit einer noch genaueren Analyse des Vorfalls. Der Abschlussbericht des polnischen CERT ist auf dieser Seite<\/a> sowohl in polnisch als auch in englisch (als PDF-Dokument, 19 Seiten) abrufbar.<\/p>\n Interessant wird dieser Cyberangriff bzw. die Erkenntnisse daraus, weil die Details nun bekannt sind. Die oben angerissenen Vers\u00e4umnisse widersprechen allem, was einer guten Basis f\u00fcr Cyber-Security entspricht. Obiger Tweet fasst das so zusammen:<\/p>\n Auch der Anbieter Omicron Cyber Security geht bereits zum 1. M\u00e4rz 2026 in diesem Artikel<\/a> auf diesen Cyberangriff ein und zieht entsprechende Schl\u00fcsse. Vielleicht f\u00fcr den einen oder anderen Leser oder Leserin interessant.<\/p>\n","protected":false},"excerpt":{"rendered":" Ende Dezember 2025 kam es zu einer Serie hochgradig koordinierter, destruktiver Cyberangriffe auf das polnische Energienetz. In Folge musste eine Turbine in einem Kraftwerk abgeschaltet werden. CERT Polska und und internationalen Sicherheitsdienste haben den Ablauf analysiert und dokumentiert. Ich stelle … Weiterlesen Details zum Cyberangriff durch CERT Polsky & Co.<\/h2>\n
Neue Erkenntnisse zum Angriff<\/h3>\n
![\"Polen](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/08\/Polen-Cyberangriff-Kraftwerk-12.2025.jpg\")
<\/p>\nDer Cyberangriff startete in einer Photovoltaik-Anlage<\/h3>\n
Ausbreitung per privatem APN<\/h3>\n
Angriff auf das Kraftwerk<\/h3>\n
Die Lehren aus dem Vorfall<\/h2>\n
\n