Ein Wiper gestoppt, die Wärme gesichert: Wie knapp entging Polen einem Cyber-Blackout?
In einem grossen Heizkraftwerk, das fast eine halbe Million Kunden in Polen mit Wärme versorgt, hatten die Angreifer das Schwierigste bereits hinter sich. Sie waren lange im Netzwerk gewesen, hatten Betriebsinformationen gestohlen und privilegierte Konten erlangt. Dann versuchten sie, Schadsoftware zu starten, die Daten unwiderruflich zerstören sollte. «Ihre Ausführung wurde von der EDR-Software der Organisation blockiert», schrieb CERT Polska, Polens nationales Computer-Notfallteam.
Der Angriff vom 29. Dezember 2025 erreichte sein Ziel nicht, die Wärmeversorgung der Endkunden zu unterbrechen, so CERT Polska. Anderswo richtete er Schaden an: In mehr als 30 Wind- und Photovoltaikanlagen wurden Geräte lahmgelegt, und die Standorte verloren die Verbindung zum Verteilnetzbetreiber.
Er kam mitten im Winter, zehn Jahre nach dem ersten durch Schadsoftware verursachten Blackout, im Dezember 2015 in der Ukraine. Für ein Land, das an den Krieg grenzt und sein Netz um erneuerbare Energien herum umbaut, ist er ein Lehrstück dafür, wie dezentrale Energie angegriffen – und verteidigt – werden kann.
Was haben die Angreifer getroffen?
Der Bericht von CERT Polska vom 30. Januar 2026 nennt drei Arten von Zielen: Netzanschluss-Unterwerke von mehr als 30 Wind- und Solaranlagen, das Heizkraftwerk sowie ein privates Industrieunternehmen, das opportunistisch mit demselben Wiper angegriffen wurde.
In den Anlagen betrieben die Angreifer zunächst Aufklärung und nahmen dann Fernwirkgeräte, lokale Bedienpanels, Schutzrelais und Kommunikationsgeräte ins Visier. Sie beschädigten Firmware, löschten Systemdateien und setzten den Wiper ein, sodass die Stationen die Verbindung zum Netzbetreiber und die Fernsteuerung verloren. Die Angriffe hätten jedoch «die laufende Stromproduktion nicht beeinträchtigt», hielt CERT Polska fest.
Die Darstellung der Regierung, über die Help Net Security berichtete, nennt zwei Heizkraftwerke und ein System, das Strom aus Windturbinen und Photovoltaikanlagen steuert; die Angriffe werden auf den 29. und 30. Dezember datiert.
Wer steckt dahinter – und warum gehen die Antworten auseinander?
Premierminister Donald Tusk sagte: «Alles deutet darauf hin, dass diese Angriffe von Gruppen vorbereitet wurden, die direkt mit den russischen Diensten verbunden sind», berichtete Help Net Security.
Das Sicherheitsunternehmen ESET taufte die Schadsoftware DynoWiper und schrieb den Angriff «mit mittlerer Sicherheit der russlandnahen APT-Gruppe Sandworm» zu, sagte ihr Forscher Robert Lipovsky laut Infosecurity Magazine. Sandworm gilt als Teil des russischen Militärgeheimdiensts GRU. ESET stützt sich auf Überschneidungen mit früheren Wiper-Angriffen von Sandworm; Lipovsky hielt den Zeitpunkt – den zehnten Jahrestag des Angriffs auf das ukrainische Netz von 2015 – für möglicherweise bewusst gewählt. Damals kam die Schadsoftware BlackEnergy zum Einsatz, rund 230 000 Menschen waren mehrere Stunden ohne Strom.
CERT Polska wies in eine andere Richtung. Die genutzte Infrastruktur überschneide sich mit einem Cluster, den Cisco als «Static Tundra», CrowdStrike als «Berserk Bear», Microsoft als «Ghost Blizzard» und Symantec als «Dragonfly» verfolgt – und es sei «die erste öffentlich beschriebene zerstörerische Aktivität, die diesem Cluster zugeschrieben wird». Einen russischen Dienst nennt die Seite nicht.
Für die Verteidiger zählt der Unterschied weniger als für die Diplomatie: Dasselbe Eindringen lässt sich als Werk des einen oder des anderen Dienstes lesen, und jede Lesart sendet andere Signale.
Warum scheiterte der Angriff?
«Die Systeme, die wir heute in Polen haben, haben sich bewährt», sagte Tusk und fügte hinzu: «Zu keinem Zeitpunkt war die kritische Infrastruktur bedroht», berichtete Infosecurity Magazine. Die Übertragungsnetze seien nicht kompromittiert worden. «Uns ist keine erfolgreiche Störung bekannt», sagte Lipovsky.
Das Kraftwerk rettete eine Software zur Bedrohungserkennung auf den Endgeräten, die ihre Arbeit tat. Die Anlagen blieben nicht verschont: Ihr Strom floss weiter, doch die Verbindung zum Betreiber war gekappt – eine Erinnerung daran, dass in einem Netz aus vielen kleinen Standorten jeder eine Tür ist.
Was ändert Polen?
Tusk sagte, Polens Cyberabwehr habe den Angriff vereitelt, die Energiesysteme müssten aber dennoch gestärkt werden, berichtete Help Net Security. Die Regierungskoalition arbeitet an einem Gesetz mit strengeren Anforderungen an Risikomanagement, den Schutz von IT- und Betriebstechnik sowie die Reaktion auf Vorfälle. Tusk will das Gesetz über das nationale Cybersicherheitssystem, mit dem Polen die EU-Richtlinie NIS2 umsetzt, «so bald wie möglich» einführen und sagte: «Wir streben nach Autonomie und Polonisierung der Sicherheitssysteme», so Infosecurity Magazine.
Was wir nicht wissen
- Wer es war. Die polnische Regierung verweist auf russische Dienste; ESET auf Sandworm mit mittlerer Sicherheit; CERT Polska bringt die Infrastruktur mit einem anderen, seit Langem bekannten Cluster in Verbindung. Keine Zuschreibung ist öffentlich bewiesen.
- Wie viele Kraftwerke. CERT Polska beschreibt ein grosses Heizkraftwerk; die Darstellung der Regierung spricht, wie berichtet, von zweien.
- Die genauen Daten. CERT Polska datiert die Angriffe auf den 29. Dezember, andere Berichte auf den 29. und 30. Dezember.
- Die beabsichtigte Wirkung. ESET erklärte, «die Einzelheiten zur beabsichtigten Wirkung werden weiter untersucht».
Worauf zu achten ist
Der eigentliche Prüfstein ist das Gesetz: ob Polens NIS2-Gesetz verabschiedet wird und ob kleinere Betreiber erneuerbarer Anlagen – genau jene Standorte, die die Verbindung verloren – strengere Sicherheitsregeln erfüllen können. Zu beobachten ist auch, ob andere europäische Netzbetreiber ähnliche Angriffe melden. Der vollständige Bericht von CERT Polska mit Kompromittierungsindikatoren ist öffentlich; für jeden Betreiber von Wind-, Solar- oder Heizkraftwerken ist er eine Checkliste, geschrieben von den Angreifern selbst.
Quellen
Ähnliche Artikel
Kommentare (0)
Melden Sie sich an, um an der Diskussion teilzunehmen.
- Noch keine Kommentare — seien Sie der Erste.