Der polnische IT-Sicherheitsdienst CERT.PL hat über einen zweiten Cyberangriff auf den Energiesektor berichtet. Die Tat zielte laut Bericht in erster Linie auf zerstörerische Eingriffe in industrielle Steuerungsumgebungen (OT/ICS). Besonders brisant: Zum Einsatz kam dabei offenbar ein Private APN Angriff als neue beziehungsweise ungewöhnliche Angriffsroute.
Ende Dezember 2025 wurden Angreifer mit einer Verbindung zum russischen Staat in Verbindung gebracht. Die dabei genannte Gruppierung Sandworm soll unter anderem Kommunikations- und Leitsysteme an rund 30 Standorten angegriffen haben. Im zweiten, nun detaillierten Fall ging es jedoch um eine kleinere Anlage für Kraft-Wärme-Kopplung (CHP), die Wärme für etwa 50.000 Anwohner bereitstellte.
Was CERT.PL über den zweiten Angriff sagt
Die Untersuchung beschreibt, dass die Attacke parallel zu einem zuvor bekannt gewordenen Hack erfolgt sei. Das Ziel war diesmal nicht die großflächige Stromerzeugung, sondern eine gezielte Störung am CHP-Standort mit Auswirkungen auf die Wärmeversorgung.
Im Kern berichtet CERT.PL, dass die Angreifer im Verlauf des Zugriffs vor allem Sicherheits- und Stabilitätsfunktionen im Netz sowie zentrale Prozesskomponenten störten. Zwar wurden einige Steuerungsgeräte dauerhaft beschädigt, doch es kam nicht zu Stromausfällen im Sinne von flächendeckenden Unterbrechungen.
Private APN als neue Angriffsroute
Der Bericht macht besonders deutlich, warum dieser Fall für Sicherheitsteams so wichtig ist. Laut CERT.PL scheint es das erste Mal zu sein, dass Bedrohungsakteure einen Private APN als Angriffskomponente nutzen. Dabei handelt es sich um ein privates Mobilfunknetz, das für den Datenaustausch zwischen einer Leit- und einer Steuerungsebene eingerichtet wird.
In der beschriebenen Architektur ermöglichen private APN-Netze die Kommunikation zwischen dem SCADA-System des Verteilnetzbetreibers (DSO) und den ICS-Komponenten, die an Umspannwerken bzw. Anlageteilen installiert sind. Angreifer nutzten diese Verbindung, um nach dem initialen Zugriff in die OT-Umgebung vorzudringen und dort gezielt weiterzugehen.
Warum das so riskant ist: CERT.PL warnt, dass dieselbe Konfiguration in Polen sowie in anderen Ländern häufig anzutreffen sei. Dadurch kann ein Muster entstehen, das sich leicht übertragen lässt, wenn ähnliche Netz- und Kopplungswege überall gleich eingerichtet sind.
Vom Einstieg über VPN bis zur OT-Verbindung
Der technische Ablauf beginnt an einem Internetzugangspunkt. Der Eindringversuch startete über ein Fortinet VPN- und Firewall-Gerät, das an einem Windparkstandort installiert ist und eine Verbindung ins Internet ermöglicht.
Als Nächstes identifizierten die Angreifer ein Teltonika-Zellular-Router-Gerät im gleichen Netzwerk. Dort verschafften sie sich Zugang zur Administrationsoberfläche. Über einen auf dem Gerät laufenden SSH-Dienst bauten die Angreifer anschließend einen Tunnel auf, mit dem sie in das private APN-Netz eines Netzbetreibers gelangten.
Im nächsten Schritt wurde das private APN-Netz durchscannt. Dabei soll unter anderem eine Wago-speicherprogrammierbare Steuerung (PLC) an einem CHP-Standort gefunden worden sein. Über einen ebenfalls verfügbaren SSH-Zugriff auf dieser Steuerung konnten die Angreifer schließlich in die OT-Netzwerke der Anlage eindringen.
Gezielte Manipulation: „Stop“-Modus und gesperrte Konfiguration
Nachdem die Angreifer ihre Position in der Anlage konsolidiert hatten, führte die Recherchephase laut Bericht über etwa eine Woche. Danach griffen sie bestimmte speicherprogrammierbare Steuerungen an.
Für die Steuerungstechnik wird im Bericht genannt, dass Bedrohungsakteure im Umfeld von Siemens-PLC-Systemen die Geräte in einen „Stop“-Modus versetzt hätten. Zusätzlich wurde ein Passwort gesetzt, das Operatoren daran hindern sollte, den Betriebszustand oder Teile der Logik wieder zu ändern.
Die Folgen waren konkret: Der Bericht nennt die Abschaltung einer Dampfturbine sowie eines Wasseraufbereitungssystems. Dadurch kam der Prozess der Kraft-Wärme-Kopplung (Kogeneration) ins Stocken.
Wie der Betrieb wiederhergestellt wurde – und was beschädigt blieb
Ein wichtiger Punkt: Die Angriffe führten zwar zu einer Störung, aber die Anlage konnte schnell wieder in Betrieb genommen werden. Laut Bericht gelang es dem Personal, die Ausfallzeit zu begrenzen, indem die betroffenen PLCs auf die Werkseinstellungen zurückgesetzt und die Logik aus Backups neu geladen wurden.
Damit waren Wärme und Stromversorgung nicht unterbrochen. Dennoch war der Angriff nicht folgenlos: CERT.PL beschreibt, dass Angreifer auch versuchten, ihre Spuren zu verwischen und dabei mehrere ICS-Komponenten „brickten“, also in einen unbrauchbaren Zustand versetzten.
Umschalten in der Praxis: Wartung, anfängliche Annahmen und echte Ursache
Der Zeitpunkt spielte ebenfalls eine Rolle. Der Angriff wurde während Wartungsarbeiten entdeckt beziehungsweise bemerkbar. Zu Beginn interpretierte man die Störung als möglichen Fehler im Engineering oder in der Durchführung.
Erst später klärte CERT.PL die Ursache: Es handelte sich um Aktivität durch Angreifer. Diese Einordnung ist wichtig, weil sie zeigt, wie leicht sich echte Manipulationen in kritischen Umgebungen in „normale“ Betriebsvorfälle einbetten lassen.
Beschädigte Gateway-Logik und verlorene Spuren
Besonders gravierend ist ein detaillierter Befund zum Gateway-Zugriff. Laut Bericht beschädigten die Angreifer die WAGO-Steuerung, die als Gateway in das Netzwerk diente. Das geschah durch das Verfälschen der Partitionstabelle, sodass das Gerät die eigenen Daten nicht mehr korrekt lesen konnte.
Als Reaktion führte die betroffene Einheit zwar einen Factory Reset durch, jedoch blieb die Partitionstabelle weiter problematisch. Das Gerät konnte dadurch weiterhin nicht booten. Hinzu kommt: Im Zuge der Untersuchung ließen sich laut CERT.PL keine verwertbaren Logs von der betroffenen Komponente wiederherstellen.
Für Incident-Responder ist das entscheidend, denn fehlende Logs erschweren die forensische Aufarbeitung und die Wiederherstellung von Angriffspfaden.
Welche weiteren Systeme betroffen waren
Neben den Steuerungen wurden weitere OT-Komponenten ins Visier genommen. Der Bericht nennt Moxa serielle Device Server und Moxa Netzwerk-Switches. Ziel war offenbar, den legitimen Betriebsteams den Zugriff zu erschweren oder die Nutzung dieser Komponenten zu verhindern.
Außerdem wurden ABB– und Schneider Electric-Komponenten im Umfeld von Frequenzumrichtern (Variable Frequency Drives) adressiert. Ob die Angreifer dort tatsächlich operative Änderungen vornahmen, bleibt laut CERT unklar. Einige Verbindungsversuche hätten außerdem nicht funktioniert.
Warum der Private AP Angriff so relevant bleibt
Dieser Fall zeigt, dass ein Private APN Angriff nicht nur ein theoretisches Risiko ist. Wenn private Funknetz- und Kopplungswege zwischen SCADA und ICS genutzt werden, kann ein Angreifer die Sicherheitsgrenzen in einer Anlage überraschend gut überwinden.
Für Betreiber ergeben sich daraus klare Handlungsfelder: die Absicherung von VPN-/Firewall-Zugangspunkten, die sichere Verwaltung von Routern und SSH-Services sowie ein genauer Blick auf Konfigurationen, die private APN-Netze als Kommunikationsbrücke nutzen. Gleichzeitig ist eine zügige Wiederherstellungsfähigkeit wichtig, etwa durch vorbereitete Backups und definierte Wiederanlaufprozesse.
Fazit
Der zweite Angriff im polnischen Energiesektor verdeutlicht, wie gezielt Bedrohungsakteure in OT-Umgebungen vorgehen können. Laut CERT.PL führte der Private APN Angriff zu Abschaltungen zentraler Anlagenteile und zu dauerhaften Schäden an bestimmten Steuerungs- und Gateway-Komponenten. Dank Reset- und Backup-Prozessen konnte die Anlage jedoch rasch wieder hochgefahren werden, sodass keine Strom- oder Wärmelieferung flächendeckend ausfiel.
Der Bericht mahnt zugleich zur Aufmerksamkeit: Wenn eine ähnliche private APN-Konfiguration weit verbreitet ist, steigt das Risiko, dass Musterangriffe auch andernorts Schaden verursachen.
