Hacktivisten brüsten sich immer häufiger mit Zugriffen auf Industrieanlagen. Die meisten Behauptungen sind heiße Luft. Warum Versorger das Thema trotzdem ernst nehmen sollten, zeigt ein Blick nach Polen – und der ist unbequem, weil dort fast alles an Standardpasswörtern hing.
Die Zahlen: Ein Trend, der nach oben zeigt
Die EU-Cybersicherheitsagentur ENISA hat im September 2026 ihren Threat Landscape Report veröffentlicht. Ausgewertet wurden 8.257 Vorfälle aus dem Kalenderjahr 2025. Zwischen DDoS-Statistiken und Ransomware-Rankings geht eine Entwicklung leicht unter, die Energie- und Wasserversorger aufhorchen lassen sollte: Hacktivistische Gruppen behaupten zunehmend, in Betriebstechnik (OT) und Industrieanlagen eingedrungen zu sein.
- Q2 2025: Die prorussische Z-Pentest Alliance meldet Zugriffe auf Energie- und Wasserinfrastruktur.
- Q3 2025: ENISA zählt 37 OT-bezogene Behauptungen.
- Q4 2025: Es sind 124.
Neu im Feld ist NoName057(16), bisher vor allem für DDoS-Kampagnen bekannt und mit 48 Prozent aller hacktivistischen Aktivitäten die mit Abstand aktivste Gruppe in der EU. Deutschland war 2025 das meistangegriffene Land (16 Prozent der Claims), der Energiesektor kommt auf knapp 5 Prozent der hacktivistischen Ziele.
Die Einschränkung: Viel Lärm, wenig Beleg
In den meisten Fällen nannten die Gruppen weder betroffene Organisationen noch ihre Vorgehensweise. Eine Bewertung der tatsächlichen Auswirkungen war deshalb kaum möglich. Auch die Mitgliedstaaten berichten nur von begrenzten, verifizierten Störungen.
Das passt zu einem anderen Befund des Berichts. ENISA hat die DDoS-Behauptungen von NoName057(16) mit unabhängigen Verfügbarkeitsmessungen abgeglichen. Nur 23,8 Prozent ließen sich bestätigen. Hacktivismus ist zu einem guten Teil Informationsoperation: Er soll Unsicherheit erzeugen, nicht zwingend Anlagen stilllegen.
ENISA erwartet entsprechend mehr OT-Behauptungen, aber keinen Anstieg bestätigter Vorfälle mit Betriebsauswirkung. Entwarnung also? Nicht ganz.
Der Ernstfall: Polen, 29. Dezember 2025
Im selben Bericht stuft ENISA einen Vorfall als besonders besorgniserregend ein: einen koordinierten Angriff auf den Energiesektor im Dezember 2025, bei dem Wiper-Schadsoftware zum Einsatz kam. Gemeint ist Polen. CERT Polska hat den Fall in einem ausführlichen Bericht dokumentiert, und der liest sich wie eine Mängelliste aus einem OT-Audit.
Am Vormittag des 29. Dezember 2025 wurden mindestens 30 Wind- und Solarparks, ein Heizkraftwerk mit knapp einer halben Million Wärmekunden und ein Industrieunternehmen angegriffen. Tiefe Temperaturen, Schneestürme, kurz vor Silvester. Das Ziel war nach CERT Polska rein zerstörerisch, vergleichbar mit Brandstiftung. Lösegeld wurde nicht gefordert.
Die Wind- und Solarparks: Standardpasswörter von vorne bis hinten
Angegriffen wurden die Netzanschlusspunkte, also die meist unbemannten Umspannwerke, über die der Verteilnetzbetreiber die Anlagen fernüberwacht und -steuert. Der Weg hinein war in jedem Fall derselbe:
- Das Einfallstor: In jeder betroffenen Anlage stand eine FortiGate als VPN-Konzentrator und Firewall. Die VPN-Schnittstelle war aus dem Internet erreichbar und erlaubte die Anmeldung mit lokalen Konten ohne Multi-Faktor-Authentifizierung. Einige Geräte waren zeitweise, teils über längere Zeiträume, für Remote-Code-Execution-Lücken verwundbar. CERT Polska weist außerdem darauf hin, dass in der Branche offenbar dieselben Konten und Passwörter über mehrere Anlagen hinweg genutzt werden. Ein kompromittiertes Konto öffnet dann viele Türen.
- Die Fernwirkgeräte (RTU): Die Hitachi-RTU560-Steuerungen liefen mit Standardzugangsdaten, inklusive eines Kontos namens „Default“. Darüber spielte der Angreifer manipulierte Firmware ein, die das Gerät in eine Endlos-Neustartschleife schickte. Die Signaturprüfung für Firmware-Updates war zwar vorhanden, aber auf keinem Gerät aktiviert.
- Weitere Steuerungen: Bei Mikronika-RTUs gelang der Root-Zugang per SSH mit Standardpasswort, danach wurden alle Dateien gelöscht. Bei Schutzrelais war der werkseitige FTP-Zugang aktiv, obwohl er bei herstellerkonformer Inbetriebnahme deaktiviert worden wäre.
- Serielle Geräteserver: Alle Moxa-NPort-Geräte liefen mit Standardzugangsdaten. Der Angreifer setzte sie zurück, änderte das Passwort und stellte die IP-Adresse auf 127.0.0.1, um die Wiederherstellung zu verzögern.
- Die HMI-Rechner: Hier liegt die vielleicht wichtigste Lektion. Wo das lokale Administratorkonto noch das Passwort aus der Inbetriebnahme hatte, meldete sich der Angreifer ohne einen einzigen Rateversuch an und startete den Wiper. Wo ein anderes Passwort gesetzt war, scheiterte er – und die HMI blieb unbeschädigt.
Die Folge: Die Anlagen verloren die Verbindung zum Verteilnetzbetreiber und waren nicht mehr fernsteuerbar. Die Stromerzeugung lief weiter, die Netzstabilität war nach Angaben des Übertragungsnetzbetreibers nicht gefährdet. CERT Polska betont aber, dass der erreichte Zugriff auch eine Unterbrechung der Erzeugung ermöglicht hätte.
Das Heizkraftwerk: Monate im Netz, am Ende von einer Köderdatei gestoppt
Im Heizkraftwerk war der Angreifer schon seit März 2025 aktiv, ebenfalls über das SSL-VPN einer FortiGate mit statisch konfigurierten Konten ohne MFA. Einige VPN-Lesezeichen enthielten sogar hinterlegte Zugangsdaten für den Sprungserver. Über Monate folgten Erkundung (mit auffälligem Interesse an Systemen mit „scada“ im Namen), Diebstahl von Zugangsdaten und im Juli der Abzug der kompletten Active-Directory-Datenbank. Nebenbei holte sich der Angreifer mit den erbeuteten Zugangsdaten Dokumente zur OT-Modernisierung und zu SCADA-Systemen aus Microsoft 365.
Am 29. Dezember verteilte er den Wiper per Gruppenrichtlinie auf mehr als 100 Rechner. Der Virenscanner erkannte die Schadsoftware nicht. Gestoppt wurde sie von der EDR-Lösung über einen sogenannten Canary-Mechanismus: präparierte Köderdateien, die Alarm schlagen, sobald ihr Inhalt verändert wird. Die Wärmeversorgung wurde nicht unterbrochen.
Wer war es?
CERT Polska ordnet die Angriffsinfrastruktur dem Cluster zu, der als „Static Tundra“, „Berserk Bear“, „Ghost Blizzard“ bzw. „Dragonfly“ bekannt ist und seit Jahren Interesse am Energiesektor zeigt. Es ist die erste öffentlich beschriebene zerstörerische Aktion dieses Clusters. Einzelne Ähnlichkeiten zu Werkzeugen von Sandworm sieht CERT Polska ebenfalls, hält sie aber für zu schwach für eine Zuordnung. Für Versorger ist die Namensfrage ohnehin zweitrangig. Entscheidend ist, wie der Angreifer hineinkam.
Ein Folgebericht vom August 2026 hat übrigens einen weiteren, bis dahin unbekannten Angriff auf ein zweites Heizkraftwerk aufgedeckt, bei dem ein privates Mobilfunk-APN als Angriffsweg diente. Das Bild ist also noch nicht vollständig.
Was Hacktivisten und Saboteure verbindet
Hacktivistische Angeberei und staatliche Sabotage haben unterschiedliche Ziele und Fähigkeiten. Sie nutzen aber dieselben Einfallstore. ENISA formuliert es so: Auch wenn OT-Störungen weitgehend unbestätigt bleiben, zeigt der Fokus auf diese Umgebungen ein wachsendes Interesse an Konfigurationen, Schnittstellen und Zugangsdaten.
Polen bestätigt das in aller Deutlichkeit. Kein Zero-Day, keine exotische OT-Malware. Stattdessen: offenes VPN ohne MFA, wiederverwendete Passwörter, Werkseinstellungen auf RTUs, Relais, Geräteservern und HMIs, deaktivierte Sicherheitsfunktionen. Das sind die Punkte, die in OT-Audits seit Jahren immer wieder offen bleiben, weil die Anlage „ja läuft“ und niemand sie anfassen will.
Was das für Stadtwerke bedeutet
Die eigene Angriffsfläche von außen ansehen. Welche VPN-Gateways, Fernwartungszugänge, Weboberflächen oder HMIs sind aus dem Internet erreichbar? Mit Shodan oder Censys sieht man in wenigen Minuten, was Angreifer ebenfalls sehen. Auch Außenstationen, Mobilfunkrouter und Anlagen von Dienstleistern gehören dazu.
Edge-Geräte als kritische Assets behandeln. Firewalls und VPN-Gateways sind die Haustür. Updates für diese Geräte gehören ganz nach oben in der Patch-Priorität. Die European Vulnerability Database (EUVD) der ENISA bietet eine zusammengeführte Liste aktiv ausgenutzter Schwachstellen.
MFA für jeden Fernzugriff, ohne Ausnahme. Das gilt auch für lokale Konten auf der Firewall und für Dienstleister, die „nur mal kurz“ auf eine Anlage schauen.
Standardpasswörter in der OT systematisch jagen. RTUs, Schutzrelais, Geräteserver, Router, HMIs: Jedes Gerät mit Werkszugang ist ein offenes Fenster. Und keine gemeinsamen Passwörter über mehrere Standorte hinweg. Polen zeigt, dass ein individuelles Passwort allein schon den Unterschied machen kann.
Vorhandene Sicherheitsfunktionen einschalten. Signierte Firmware-Updates, deaktivierte Werkszugänge, Herstellerempfehlungen zur Härtung: oft ist alles da und nur nicht aktiviert. Ein Abgleich der Inbetriebnahme gegen die Härtungsleitfäden der Hersteller lohnt sich.
Den Betrieb ohne Fernsteuerung planen. In Polen liefen die Anlagen weiter, als die Fernwirktechnik ausfiel. Ist das bei Ihnen auch so? Gibt es geübte Verfahren für den Handbetrieb, und wer fährt im Ernstfall zu welcher Station? Liegen Konfigurationen und Firmware-Stände so vor, dass zurückgesetzte Geräte schnell wieder in Betrieb gehen?
Erkennung im Netz ermöglichen. Im Heizkraftwerk hat eine Erkennungsmaßnahme im Inneren den Schaden begrenzt, nicht die Abwehr am Rand. Wer monatelange Erkundung im eigenen Netz nicht bemerkt, bemerkt sie erst am Tag X.
Krisenkommunikation für Hacktivisten-Claims vorbereiten. Wenn eine Gruppe auf Telegram verkündet, sie habe „das Wasserwerk von X übernommen“, braucht es schnell eine belegte Antwort. Sonst hat die Informationsoperation ihr Ziel erreicht, auch ohne echten Zugriff.
Und regulatorisch?
Die genannten Maßnahmen sind keine Kür. Für Wasserversorger ergeben sie sich aus den Risikomanagementpflichten des BSIG – zum Stand dieses Regimes nach der Sommer-Novelle siehe Herbstputz in der Compliance. Für Betreiber von Energieversorgungsnetzen und Energieanlagen läuft die Kette dagegen nicht über das BSIG – § 28 Abs. 5 BSIG nimmt sie von den zentralen Vorschriften aus –, sondern über das EnWG und die IT-Sicherheitskataloge der Bundesnetzagentur, die ein ISMS nach ISO/IEC 27001 unter Berücksichtigung von ISO/IEC 27019 verlangen. Inhaltlich decken beide Wege die hier genannten Punkte ab: Zugangssteuerung, Härtung, Schwachstellenmanagement, Detektion, Notfallbetrieb.
Die Frage im Audit ist deshalb selten, ob eine Regel existiert. Sondern ob sie auf der Außenstation, am Relais und auf der HMI tatsächlich umgesetzt ist.
Fazit
Die meisten OT-Behauptungen von Hacktivisten sind Propaganda. Die Schwachstellen, auf die sie zielen, sind aber real. Genau diese Schwachstellen haben im Dezember 2025 einem staatlichen Akteur den Weg in die polnische Energieversorgung geöffnet. Wer seine exponierten Zugänge kennt, Werkszugänge abschafft und im eigenen Netz hinschaut, ist gegen beide Bedrohungen besser gerüstet. Das ist kein Hexenwerk. Es ist Handwerk.
regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.