Was CERT Polska am 8. August offenlegte

CERT Polska, das polnische nationale Computer-Notfallteam, machte am 8. August 2026 öffentlich, dass Angreifer ein Heizkraftwerk sabotiert hatten, das rund 50.000 Bewohner mit Wärme versorgt. Der Einbruch begann mit einer Aufklärungsphase, die CERT Polska auf den Zeitraum vom 18. bis 25. Dezember 2025 datiert, gefolgt von einer zerstörerischen Phase, die am 29. Dezember 2025 von 5:30 bis 10:10 Uhr lief.

In diesen Stunden zwangen die Angreifer die Dampfturbine und die Prozesswasseraufbereitung des Kraftwerks zum Stillstand, schalteten die Siemens-Steuerungen der Baureihen S7-300, S7-1200 und S7-1500 in den STOP-Modus und setzten sieben serielle Moxa-Geräteserver sowie drei Netzwerk-Switches auf Werkseinstellungen zurück. Das Personal begann gegen 7:30 Uhr mit der Wiederherstellung, während die Angreifer noch im Netz aktiv waren, und nahm den Betrieb wieder auf, ohne dass ein einziger Kunde Wärme oder Strom verlor.

Der Sprung: von der Windpark-APN in ein fremdes Kraftwerk

Der Einstiegspunkt war nicht das Heizkraftwerk selbst. Berichten zufolge stand ein FortiGate-Gerät, das zugleich als Firewall und als VPN-Konzentrator diente, in einer privaten Mobilfunk-APN, die zur Überwachung der Umspannstation eines Windparks genutzt wurde. Ein Konfigurationsfehler erlaubte es jedem in dieser APN erreichbaren Gerät, mit jedem anderen darin zu kommunizieren, darunter ein Teltonika-Mobilfunkrouter vom Typ RUTX50 und eine WAGO-Steuerung vom Typ PFC200 weiter hinten in der Kette. Dadurch erhielten die Angreifer einen Weg aus dem Überwachungssegment des Windparks bis hin zu einer Steuerung im Heizkraftwerk.

CERT Polska bezeichnet dies als den ersten dokumentierten Fall, in dem eine private APN als Übergang zwischen zwei betrieblichen Netzwerken ohne erkennbaren Zusammenhang diente. Forscher bringen den Einbruch mit der russlandnahen Gruppe Sandworm in Verbindung und verweisen dabei auf Überschneidungen mit früherer Wiper-Aktivität der Gruppe; die Zuordnung erfolgt mit mittlerer Konfidenz. Die Offenlegung folgte auf eine Untersuchung, die laut CERT Polska mehr als drei Monate dauerte.

Warum 'privat' nicht 'isoliert' bedeutet

Versorger und Industriebetriebe in der gesamten EU behandeln private Mobilfunk-APNs meist als sicherere Netzkategorie als das offene Internet und verzichten häufig auf jene Segmentierungskontrollen, die sie bei einer internetseitigen Verbindung verlangen würden, weil sie annehmen, eine private APN sei schon konstruktionsbedingt isoliert. Diese Annahme wird meist einmalig getroffen, beim Abschluss eines Fernüberwachungsvertrags für einen Windpark oder eine Umspannstation, und danach selten überprüft.

Dieser Vorfall zeigt, dass die Annahme nicht trägt. Eine private APN, die zur Überwachung eines Windparks gebaut wurde, wurde zum Weg in die Turbinen- und Wasseraufbereitungssteuerung eines Heizkraftwerks - zwei Systeme, die keinen betrieblichen Grund haben, sich einen Netzpfad zu teilen. Für jeden Fernwärmebetreiber, Energieversorger oder Industriebetrieb in der EU, der SCADA- oder OT-Überwachung über eine private Mobilfunkverbindung betreibt, ist dies nun ein dokumentierter, vorstandsrelevanter Grund zu prüfen, ob diese Verbindung von der OT getrennt ist.

Was vor dem nächsten Audit-Zyklus zu prüfen ist

Beginnen Sie mit einer Bestandsaufnahme: Listen Sie jede private APN oder Mobilfunkverbindung auf, die ein OT-Netz erreicht, benennen Sie die darauf eingesetzten Herstellergeräte, etwa Fortinet-Firewalls, Teltonika-Router, WAGO-Steuerungen, Siemens-SPS oder serielle Moxa-Gateways, und prüfen Sie per Konfigurationsreview, ob Geräte auf dieser APN Geräte eines anderen Standorts oder eines anderen Betreibers erreichen können. Bedient eine einzige APN mehrere entfernte Anlagen, wie es hier der Fall war, dann ist genau diese gemeinsame Erreichbarkeit die Schwachstelle.

Prüfen Sie anschließend die Glieder der Kette, die dieser Angriff tatsächlich genutzt hat: Werks- oder Standardzugangsdaten auf seriellen Geräteservern und Switches, VPN-Konzentrator-Regeln, die weiter gefasst sind als der Überwachungsverkehr, für den sie gedacht waren, und ob sich eine SPS von jedem in der APN erreichbaren Gerät aus in den STOP-Modus zwingen lässt, statt nur von einer Engineering-Workstation im eigenen Netz des Kraftwerks. Fernwärme und Energie zählen unter NIS2 zu den wesentlichen Einrichtungen, weshalb dies für eine Aufsichtsbehörde nun ein reales Beispiel ist, kein hypothetisches mehr.

Weiterlesen: Ein totes Gebäude kostet mehr als ein Lösegeld  |  18 Jahre alter Cisco-Fehler: jetzt 3 Tage Frist