Ein detaillierter Bericht von CERT Polska legt die Schwachstellen offen, die Ende 2025 zur Sabotage eines polnischen Kraftwerks führten. Der Angriff begann in einer Photovoltaikanlage und endete bei einer abgeschalteten Turbine – ermöglicht durch fehlende Sicherheitsvorkehrungen, die in der Industrie-Automatisierung längst hätten Standard sein müssen.
Der Cyberangriff auf das polnische Energienetz im Dezember 2025 markiert einen Wendepunkt in der Bedrohungslage für kritische Infrastrukturen (KRITIS). Neue Erkenntnisse von CERT Polska, veröffentlicht im August 2026, zeichnen den Ablauf eines hochkomplexen Vorfalls nach, bei dem grundlegende Sicherheitsmängel in industriellen Steuerungssystemen (ICS) die Sabotage einer Turbine ermöglichten [1].
Der Angriffsverlauf: Von der Solaranlage in das Kraftwerk
Die Analyse der polnischen Sicherheitsexperten zeigt, dass die Gruppe ELECTRUM, die als arbeitsteilige APT-Hacker-Gruppe mit russischen Geheimdiensten in Verbindung gebracht wird, als Angreifer agierte [1]. Der Einstieg erfolgte über eine Photovoltaikanlage, die als vermeintlich unkritisches Edge-Asset am Stromnetz hing. Die Angreifer nutzten dabei eine im Internet freigegebene Fortigate-VPN-Schnittstelle, die weder gepatcht war noch über eine Zwei-Faktor-Authentifizierung (2FA) verfügte [1].
Nach der Übernahme der VPN-Instanz gelang es den Angreifern, in das dahinterliegende Netzwerk einzudringen. Dort identifizierten sie einen Mobilrouter, der über einen privaten APN (Access Point Name) mit weiteren Anlagenteilen kommunizierte. Diese Konfiguration bot den Angreifern den direkten Zugang zu einem WAGO-PFC200-Controller [1]. Dieser Controller verfügte über ein Web-Administrationspanel, das weiterhin mit Standardzugangsdaten konfiguriert war – ein schwerwiegendes Versäumnis in einer Umgebung, die direkten Zugriff auf SCADA-Systeme erlaubte [1].
Gezielte Sabotage der Energieerzeugung
Über den kompromittierten WAGO-Controller konnten die Angreifer ein Lateral Movement in das Netzwerk des betroffenen Kraft-Wärme-Kopplungskraftwerks ausführen. Die finale Sabotage erfolgte durch das Ansteuern eines Siemens-S7-300-Controllers über das S7-Protokoll [1].
Durch das Umschalten der Steuerung in den STOP-Modus und das gleichzeitige Setzen eines eigenen Administrator-Passworts verhinderten die Angreifer effektiv jede unmittelbare Reaktion des Betriebspersonals auf die Sabotage. In der Folge kam es zum Stillstand einer Dampfturbine sowie der Wasseraufbereitungsstation, was die Strom- und Wärmeerzeugung des betroffenen Kraftwerks unterbrach [1]. Nur durch das entschlossene Eingreifen der Mitarbeiter vor Ort konnte die Kontrolle zurückgewonnen werden, wenngleich bei diesen Rettungsmaßnahmen wichtige Log-Daten verloren gingen, was die forensische Aufarbeitung erschwerte [1].
Sicherheitsfehler als Einfallstor
Der Vorfall unterstreicht eine Diskrepanz zwischen der zunehmenden Vernetzung von OT-Systemen (Operational Technology) und der Umsetzung grundlegender Sicherheitskonzepte. CERT Polska identifizierte drei zentrale Schwachstellen:
-
Fehlende MFA: Die Abwesenheit einer Zwei-Faktor-Authentifizierung für exponierte VPN-Schnittstellen bleibt ein kritisches Sicherheitsrisiko [1].
-
Standardzugangsdaten: Die Verwendung von Werkseinstellungen bei Passwörtern, selbst innerhalb geschlossener industrieller Netzwerke, ermöglichte den Angreifern den unkontrollierten Zugriff [1].
-
Patch-Management: Ungepatchte Netzwerk- und Sicherheitsgeräte wie die Fortigate-Instanz dienten als primäres Einfallstor für die Angreifer [1].
Lehren für KRITIS-Betreiber
Die Lehren aus diesem Vorfall sind für die Betreiber kritischer Infrastruktur eindeutig. Sicherheit in der OT darf nicht nach den Standards der klassischen Büro-IT vernachlässigt werden. Experten betonen, dass auch Geräte in privaten APN-Netzen oder abseits des direkten Internets als potenzielle Angriffsziele betrachtet werden müssen [1]. Eine strikte Trennung der Netzwerksegmente, die konsequente Abschaltung ungenutzter Schnittstellen und die Implementierung von Identitätsmanagement-Lösungen sind zwingende Voraussetzungen, um die Resilienz des Energiesystems nachhaltig zu stärken [1].