POLEN / LONDON (IT BOLTWISE) – Die polnische CERT meldet einen zweiten Vorfall im Energiesektor, bei dem ein Angreifer über eine private APN direkt in das OT-Netz gelangte. Ein fehlendes Client-Isolation-Setup in der Mobilfunkanbindung erlaubte Kommunikation zwischen Geräten in getrennten Einrichtungen. Dadurch konnte der Täter Schritt für Schritt PLCs sowie eine SCADA-Schnittstelle übernehmen und eine Turbine sowie Wasseraufbereitung außer Betrieb setzen. Laut CERT lieferten die betroffenen Anlagen zwar eine schnelle Wiederherstellung, die Grundkonfiguration gilt jedoch als international häufig.
In der Cyberabwehr von Energieunternehmen verschiebt sich der Fokus zunehmend von klassischen IT-Schnittstellen hin zu den Verbindungen, die Mobilfunk und Betriebsleittechnik (OT) miteinander koppeln. Genau an dieser Nahtstelle setzt eine nachträgliche Meldung der polnischen Computer Emergency Response Team (CERT) an: Dort wird ein zweiter Angriff im Strom- und Energiesektor beschrieben, bei dem der Täter über eine private Access Point Name (APN) in das OT-Netz einer kleineren Anlage eingedrungen ist. Der erste Vorfall hatte bereits größere Aufmerksamkeit erzeugt; diesmal geht es um eine kleinere Combined Heat-and-Power-(CHP)-Anlage, die nach CERT-Angaben Wärme für rund 50.000 Einwohner bereitstellt.
Technisch entscheidend ist dabei nicht nur, dass eine private APN genutzt wurde, sondern wie die Netzsegmentierung ausfiel. Die CERT beschreibt eine Fehlkonfiguration: Innerhalb des privaten APN-Netzes konnten beliebige Geräte miteinander kommunizieren, weil eine Client-Isolation fehlte. Für Angreifer bedeutet das, dass sie nach dem Einstieg nicht auf einen einzigen „Sichtbereich“ festgenagelt bleiben, sondern lateral scannen können – also Geräte in anderen Einrichtungen oder Teilnetzen finden und ansprechen. Im konkreten Ablauf begann der Weg nach CERT-Recherche damit, dass eine FortiGate-VPN- bzw. Firewall-Komponente an einem Windpark kompromittiert wurde. Über einen Teltonika-Zellularrouter wurde dann ein Tunnel in die private APN aufgebaut, deren fehlende Trennung die weitere Bewegung erleichterte.
Ab dem 18. Dezember identifizierte der Angreifer dann Zielkomponenten direkt im CHP-Umfeld. Laut Bericht fanden sie eine WAGO PFC200-PLC, deren Weboberfläche auf der privaten APN erreichbar war und zudem mit Standard-Administratorzugang gesichert gewesen sein soll. Nachdem der Controller übernommen war, schaltete der Täter SSH ein und nutzte es als Brücke in das OT-Netz der Anlage. In den folgenden Tagen scannte der Angreifer das Netzwerk nach SCADA-Systemen und weiteren industriellen Geräten; am 25. Dezember gelangten Verbindungen zu drei Siemens-PLCs zustande, vermutlich als Vorbereitung auf den eigentlichen Betriebseingriff.
Der operative Angriffspunkt kam am 29. Dezember gegen 5:30 Uhr: Der Täter griff auf die SCADA-Ansicht sowie die Siemens-PLCs zu, versetzte die Systeme in den STOP-Modus, aktivierte Passwortschutz und brachte damit eine Dampfturbine sowie die Prozess-Wasseraufbereitung zum Stillstand. Das Muster wirkt dabei weniger wie ein punktueller „Knopfdrück“-Fehler, sondern wie ein bewusst geplanter Betriebszustandswechsel, bei dem sowohl Steuerlogik als auch Schnittstellen für die weitere Bedienung blockiert werden. Zusätzlich wurde nach CERT-Angaben versucht, die Wiederherstellung zu erschweren: Der Angreifer resetete und konfigurierte Moxa-Geräte um, zerstörte Logs und behinderte forensische Analysen, indem er den WAGO-Controller, den Teltonika-Router und die FortiGate-Firewall, die während der Intrusion genutzt wurden, korrupt machte oder zurücksetzte. Wichtig: Trotz dieser Maßnahmen kam es nach Angaben der CERT nicht zu einer Unterbrechung der Energieerzeugung und -verteilung im Land, und die Teams im betroffenen Standort konnten die betroffenen Systeme schnell wiederherstellen, sodass der Ausfall kurz blieb und keine Auswirkungen auf die Bevölkerung hatte.
Bemerkenswert ist außerdem die Einstufung als neuartiger Eintrittsweg in reale OT-Umgebungen. Die CERT kommt zu dem Schluss, dass es sich um den ersten bekannten Fall handelt, in dem ein Angreifer einen OT-Zugang durch laterale Bewegung über eine private APN nutzte. „To the best of our knowledge, the incident described in this report, which involved gaining access to an OT network through a private APN, was the first observed instance of this attack vector being used in a real-world cyberattack, “ kommentierte CERT Polska. Gleichzeitig betont der Bericht, dass die Ermittlungen danach ergaben, diese Konfiguration sei in Polen zum damaligen Zeitpunkt verbreitet gewesen; die CERT schätzt, dass vergleichbare Setups auch international häufig vorkommen.
Für Betreiber heißt das: Mobilfunkanbindungen, die als „vertrauenswürdig“ gelten, dürfen in der OT-Architektur nicht wie abgeschottete Inseln behandelt werden. Die CERT empfiehlt deshalb, private APNs als untrusted external networks zu behandeln, Isolierung zwischen verbundenen Clients konsequent zu aktivieren und für den notwendigen Datenaustausch zwischen APN-Gateways und OT-Systemen Allowlists zu verwenden. Daneben zielt die Empfehlung klar auf die typischen Eintrittspunkte in der Praxis: exponierte SSH- und Telnet-Administrationsdienste sollen deaktiviert werden. Genau hier entsteht ein praxisnaher Handlungshebel – denn selbst ein einzelner offener Management-Port oder eine Standardanmeldung kann in einer Umgebung ohne Client-Isolation schnell zur „Seitwärtsbewegung“ werden, unabhängig davon, ob der erste Zugang aus einer VPN-Kette oder über ein anderes peripheres Gerät kam.
Markt- und Betriebsverantwortliche können die Meldung auch als Signal für die nächsten Verteidigungsprioritäten lesen: OT-Security-Programme sollten nicht nur Patch- und Kontrollebenen für PLC/SCADA abdecken, sondern die Kommunikationslogik der Fernzugriffe end-to-end prüfen. Wer private APNs, Gateways und industrielle Router im Bestand hat, sollte die tatsächliche Client-Sichtbarkeit testen und dokumentieren, ob Geräte innerhalb desselben APN logisch voneinander getrennt sind – und wie sich erlaubte Verkehrsströme verhalten, wenn ein Router oder eine Firewall kompromittiert wird. In der Praxis wird damit auch klar, dass die reine Detektion in SIEM/EDR nicht reicht, solange Angriffswege über IT-ähnliche Infrastruktur in OT-Layer durchrutschen: Die „Lücke“ entsteht dort, wo Segmentierungs- und Zugriffsannahmen nicht zur realen Netzwerksemantik passen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Polnische CERT warnt: Angriff über private APN ins OT-Netz" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Polnische CERT warnt: Angriff über private APN ins OT-Netz" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Polnische CERT warnt: Angriff über private APN ins OT-Netz« bei Google Deutschland suchen, bei Bing oder Google News!