Ein aktueller Vorfall in Polen zeigt eindrücklich, wie verwundbar industrielle Steuerungsumgebungen (OT) sein können, wenn ein Zugriff über Mobilfunknetzwerke nicht konsequent abgesichert ist. Angreifer brachten in einem Kraftwerksverbund eine Dampfturbine sowie eine Anlage zur Prozesswasserbehandlung zum Stillstand – und nutzten dafür einen privaten APN, also ein dediziertes Mobilfunkdatenangebot, das der Betreiber des Verteilnetzes für die Kommunikation mit entfernten Anlagenkomponenten nutzt.
Das Ziel lieferte Wärme für rund 50.000 Bewohner. Laut den verfügbaren Informationen begann die Wiederaufnahme des Betriebs etwa um 7:30 Uhr, während die Eindringlinge sich zu diesem Zeitpunkt noch im Netzwerk befanden. Kunden verloren dabei weder Strom noch Wärme, doch die Störung in der industriellen Steuerung war klar spürbar.
Wie die Angreifer in die OT-Umgebung gelangten
Der entscheidende Punkt lag nicht allein im Eindringen in ein einzelnes Gerät, sondern im Weg, den die Angreifer über das eigene Mobilfunk-Backbone nehmen konnten. Die Kommunikation zwischen entfernten Komponenten lief über einen privaten APN des Verteilnetzbetreibers. Dieser APN war so konfiguriert, dass Geräte innerhalb des Netzes miteinander kommunizieren konnten.
Genau diese Client-zu-Client-Fähigkeit wirkte wie eine Brücke: Die Angreifer konnten zunächst von einem kompromittierten Windpark-Umfeld in Richtung eines Controllers im Kraftwerksstandort wechseln. Wichtig ist dabei, dass Windpark und Kraftwerk separate Einrichtungen waren und das Mobilfunk-Setup selbst die Verknüpfung herstellte.
Warum private APNs OT-Netze zur Angriffsfläche machen
In der Beurteilung des Vorfalls wird hervorgehoben, dass es sich nach heutigem Kenntnisstand um einen besonders selten dokumentierten realen Angriff auf dieser Art handelt: ein Zugriff auf ein industrielles Kontrollnetz über ein privates APN. Während mobile Verbindungen im Alltag für Erreichbarkeit sorgen sollen, kann eine unzureichend harte Trennung der Datenwege in Kombination mit unsicheren Identitäten schnell gefährlich werden.
Die Ermittler konnten zudem keinen einzelnen bekannten Softwarefehler als eindeutige Ursache ausmachen. Stattdessen deutet die Gesamtschau auf eine Kette aus Konfigurations- und Zugriffsrisiken hin – unter anderem auf Standardzugangsdaten, permissive Netzregeln und eine fehlende Absicherung der Management-Schnittstellen.
Der Vorfall begann in einem Windpark-Umfeld
Der Angriffsweg startete im Windpark: Dort kam ein Firewall- und VPN-Gerät zum Einsatz. Dessen VPN-Zugang war im Internet erreichbar, und Nutzerkonten konnten ohne Multi-Faktor-Authentifizierung angebunden sein. Den Angreifern standen zudem administrative Rechte auf dem Gerät zur Verfügung.
Mit diesen Rechten gelang es ihnen sehr wahrscheinlich, Zugangsdaten für das VPN zu erlangen. Danach konnten sie offenbar auf Netzsegmente zugreifen, in denen auch der für die Anbindung relevante Kommunikationspfad vorbereitet war.
Technisch relevant war außerdem, dass im Verteilnetz ein bestimmtes Transportprotokoll für die Kommunikation zur Remote-Telemetrieeinheit im Umspannwerk erforderlich war. Dieses Anforderungsprofil wurde offenbar erfüllt. Damit war aber noch nicht geklärt, wie die Geräte, die den Mobilfunkzugang tragen, selbst verwaltet wurden. Genau dort klafft häufig eine Lücke zwischen Anforderungen an Nutzdaten und tatsächlicher Absicherung des Verwaltungszugangs.
Von der Mobilfunkverbindung zum WAGO-Controller
Der konkrete Mobilfunkrouter war ein Modell der Teltonika-Reihe (RUTX50). Während bei der Implementierung offenbar das Standardpasswort verändert wurde, konnten Ermittler wiederholt erfolgreiche SSH-Anmeldungen rekonstruieren – ohne eindeutig belegen zu können, wie genau die Angreifer an die gültigen Zugangsdaten gelangten.
Als potenzielle Schwachstellenquelle wurden die veröffentlichten Firmware-Erkenntnisse für diesen Router nach Sichtung der verfügbaren Informationen bewertet. Die bekannten Lücken aus früheren Advisorys setzten jedoch bereits vorhandene Berechtigungen voraus oder führten „nur“ zu Dienstunterbrechungen. Eine nicht veröffentlichte Sicherheitslücke schloss man daher nicht komplett aus.
Für den weiteren Verlauf fanden die Ermittler Indizien, dass die Angreifer SSH-Tunneling nutzten: Sie bauten so eine Art „Kanal“ auf, um den privaten APN für den nächsten Schritt zu verwenden. Ab einem bestimmten Zeitpunkt durchsuchten sie den APN gezielt und stießen dabei auf einen Controller (WAGO), dessen Webadministrationsoberfläche mit Standard-Admin-Zugangsdaten erreichbar war.
Weitere Aktivitäten deuten darauf hin, dass der Dienst über diese Weboberfläche aktiviert worden sein könnte. Anschließend verband sich der Angreifer offenbar über den WAGO-Controller mit dem industriellen Netzwerk des Kraftwerks.
Reconnaissance und späterer Stopp zentraler Prozesse
Nachdem die Angreifer in der OT-Umgebung angekommen waren, verschafften sie sich zunächst Überblick. Es wurden Verbindungen über ein für Siemens-Steuerungen typisches S7-Protokoll zu mehreren SPS-Systemen aufgebaut. Diese Phase wird als wahrscheinlich vorbereitende Erkundung eingeordnet, bevor spätere, potenziell zerstörerische Aktionen folgten.
Am darauffolgenden Tag liefen die Aktivitäten innerhalb des Kraftwerksnetzwerkes in einem Zeitfenster von etwa 5:30 Uhr bis gegen 10:10 Uhr. Die Wiederinbetriebnahme startete ungefähr gegen 7:30 Uhr. Laut den Berichten der Anlagenmitarbeiter wurden zentrale Steuerungen in einen STOP-Zustand versetzt und zusätzlich passwortgeschützt, wodurch die Dampfturbine sowie die Anlage zur Prozesswasserbehandlung abgeschaltet wurden. Damit wurde auch die gleichzeitige Erzeugung von Wärme und Strom unterbrochen.
Automatisierte Änderungen statt Malware
Besonders aufschlussreich ist, dass die Schritte, die den Betrieb störten, über reguläre Funktionsaufrufe der verwendeten Geräte erfolgten. Es wird explizit beschrieben, dass dafür keine Schadsoftware erforderlich war und im Bericht keine entsprechende Malware erwähnt wird.
Ein Teil der technischen Auswirkungen war das Rücksetzen mehrerer serieller Gerätserver sowie das Umkonfigurieren von Passwörtern und die Vergabe nicht erreichbarer IP-Adressen. Die Ermittler ordnen das anhand des Zeitmusters mit hoher Wahrscheinlichkeit als automatisiert ein. Zudem wurden die Controllerfunktionen in einer Weise genutzt, die über die bereits verwendeten Kommunikations- und Steuerprotokolle lief.
„Runterfahren“ und anschließendes Löschen von Spuren
Nachdem die schädigenden Schritte erfolgt waren, gingen die Angreifer daran, die Nachverfolgbarkeit zu erschweren. Beim WAGO-Controller wurde die Partitionstabelle beschädigt, sodass er nicht mehr sinnvoll booten konnte und wichtige Logdaten verloren gingen.
Kurz nach den letzten beobachteten Aktivitäten im Kraftwerksumfeld setzten die Angreifer den Mobilfunkrouter offenbar zurück, änderten das Administratorpasswort und wiesen ihm eine Adresse zu, die nicht als erreichbar gilt. Zusätzlich wurde auch das Firewall/VPN-Gerät am Windpark zurückgesetzt, wodurch ebenfalls Protokolle verloren gingen.
Ergänzend wird erläutert, dass frühere Versionen der Router-Software nach einem Factory-Reset offenbar noch eine Ereignisdatenbank beibehielten. Dadurch konnten SSH-Loginaufzeichnungen trotz Rücksetzung noch rekonstruiert werden.
Was CERT Polska daraus ableitet: konkrete Schutzmaßnahmen
In der Aufarbeitung wurde der Vorfall erst nach längerer Untersuchung offengelegt. Während der Zeit, in der im Kraftwerk bereits ein Ausfall verzeichnet worden war, wurde zunächst eher an einen Wartungsfehler durch einen Auftragnehmer gedacht. Später wurde jedoch klar, dass es sich um einen gezielten Cybervorfall handeln musste.
Als zentrale Empfehlung steht: Konfigurieren und prüfen. Die erste Maßnahme lautet, die Konfiguration des privaten APN zu auditieren und Client-Isolation zu aktivieren. Damit wird verhindert, dass Geräte innerhalb desselben APN ungehindert zueinander kommunizieren.
Darüber hinaus rät CERT zu einem Sicherheitsmodell, bei dem der APN aus Sicht der OT-Seite als nicht vertrauenswürdig behandelt wird. Konkret sollen OT-Netze segmentiert und Netzwerkflüsse eingeschränkt werden. Zudem sollten nicht benötigte Managementdienste von Schnittstellen entfernt werden, die über den APN erreichbar wären. Abschließend gehört das konsequente Ersetzen von Standardkennwörtern für Admin-Zugänge zu den wichtigsten Basisschritten.
Fehlkonfigurationen sind verbreitet
Die Ermittler berichten, dass in Polen private APNs häufig so betrieben werden, dass jedes Gerät auf dem Mobilfunknetz jedes andere Gerät erreichen kann. Die Annahme lautet, dass ähnliche Konfigurationen auch in anderen Ländern verbreitet sind.
In der konkreten Umgebung waren mehrere Dienste entsprechend ihrer Konfiguration aktiv: die SSH-Verwaltung am Router, eine Weboberfläche am Controller sowie die permissiven APN-Regeln. Das Zusammenspiel aus diesen Faktoren machte den Weg für die Angreifer nachvollziehbar – ohne dass ein einzelner „magischer“ Exploit zwingend notwendig gewesen sein muss.
Fazit: private APNs OT-Netze brauchen echte Trennung
Der Vorfall verdeutlicht: Ein privater APN ist nicht automatisch sicher. Wenn Netzsegmentierung, Client-Isolation und der Schutz von Managementschnittstellen fehlen, entsteht eine Angriffsfläche, die von einem kompromittierten Standort aus bis in die OT-Steuerung reichen kann.
Wer seine private APNs OT-Netze robust absichern will, sollte deshalb bei der Basishygiene beginnen: Standardzugänge entfernen, Managementdienste minimieren, OT konsequent segmentieren und den APN aus OT-Sicht als potenziell unsicher betrachten. So reduzieren Betreiber das Risiko, dass ein Fernzugriff zur Einfallstür für Störungen im laufenden Betrieb wird.
Quelle: https://thehackernews.com/2026/08/hackers-breach-polish-power-plant.html
