Angriff auf das polnische Stromnetz zeigt die Fragilität der verteilten Energie

Ende Dezember wurde auf Polens Strominfrastruktur ein orchestrierter Angriff entdeckt, der zwar nicht weit verbreitete Stromschnitte verläßt, aber auf Dutzende dezentraler Generationseinrichtungen Spuren hinterlassen hat. Nach den ersten öffentlichen Berichten wurden mindestens ein Dutzend Standorte betroffen, darunter KWK-Anlagen (CHP) und Bürosysteme für Wind- und Solarparks; die spezialisierte Firma Drago schätzt jedoch, dass die tatsächliche Anzahl der Standorte in der Nähe von 30 liegen könnte. Die Summe der gebundenen Kapazität betrug etwa 1,2 GW, etwa 5 % der nationalen Energieversorgung, eine ausreichende Anzahl, um operationelle Probleme zu verursachen, wenn der Angriff unterschiedlichen Umfang oder Synchronisation hatte.

Die Ermittler, die den Vorfall analysiert haben, stimmen an einem entscheidenden Punkt zu: Das Fehlen von Massenvernichtungen verringert nicht die Schwerkraft des Ereignisses. Was passierte, war ein Angriff auf die operativen Technologiekomponenten (OT) und Netzwerk-Control-Teams, die in einigen Fällen irreversibel beschädigt wurden und ihre Konfiguration außer Betrieb gelassen. Darüber hinaus wurde die Windows-Ausrüstung durch Wischer gelöscht und die Fernkommunikation mit zahlreichen Einheiten wurde unterbrochen. Offensichtlichkeit und Fernsteuerung in vielen Einheiten, die über das Gebiet verteilt sind, ist an sich ein Alarmsignal über die Fragilität dezentraler Energiesysteme.

Dragos setzt die Operation mit moderatem Vertrauen auf einen russischen Schauspieler, den er Electrum nennt, eine Gruppe, die Merkmale mit der bekannten Sandworm Bedrohung teilt (auch in Berichten wie APT44 genannt), die aber laut Analysten eine Gruppe mit eigenen Merkmalen und Kampagnen darstellt. Das mit diesen Operationen verbundene Malware-Repertoire umfasst destruktive Entwürfe und Werkzeuge zur Unterbrechung von Kommunikation und korrupten Kontrollgeräten; Beispiele, die von verschiedenen Reaktionsteams erwähnt werden, sind Familien wie DynoWiper, Caddywiper und Industroyer2, die bei Vorfällen gegen kritische Infrastruktur in der Region beobachtet wurden. Weitere technische Details zu Dragos Forschung finden Sie in Ihrem Bericht: Drago - Bericht über Electrum und den polnischen Stromsektor, und zum Lesen über Bedrohungen und Angriffe mit Wischern können Sie die Erfassung und Analyse von ESET auf Ihrem Forschungsportal besuchen: WeLiveSecurity (ESET).

Aus betrieblicher Sicht konzentrierten sich die Angreifer auf Punkte, die dem Netz- und Grenzgerät zugewandt sind: Remote-Terminaleinheiten (RTU), Edge-Geräte, Bürogeräte und Windows-Maschinen an verteilten Generationsstandorten. Die Wiederholung von Techniken und die Auswahl ähnlicher Konfigurationen in mehreren Einrichtungen weisen darauf hin, dass die Autoren sich bewusst waren, wie diese Assets eingesetzt und verwaltet werden. An vielen Standorten gelang es ihnen, Kommunikationsgeräte zu deaktivieren, die die Überwachungs- und Fernsteuerungskapazität abschalteten; die lokale Generation war jedoch in den meisten Fällen autonom und vermeidet sofortige Blackouts.

Auch die Risiken, die sich aus diesen Einbrüchen ergeben, gehen über einen möglichen Einschnitt hinaus. Durch die Störung des Informationsflusses und der Position, die in der Lastbilanz verteilte Einheiten einnimmt, könnte ein Angreifer Frequenzabweichungen im elektrischen System verursachen. Diese Schwingungen, wenn sie bestimmte Schwellen erreichten und mit Störungen in anderen Teilen des Netzes verbunden sind, lösen Kaskadeneffekte aus, die die Energiegemeinschaft selbst kennt, kann katastrophal sein. Die Analysten erinnerten an die jüngsten Präzedenzfälle, in denen Frequenzschwankungen zu regionalen Zusammenbrüchen beigetragen haben, und unterstreichen daher die Gefahr scheinbar "kleiner" Ziele, wenn sie koordiniert handeln.

Die Forschung hat auch wiederkehrende Probleme gezeigt, die das Eindringen erleichterten: Geräte, die dem Internet ohne entsprechende Schutz-, Standard- oder fehlerhafte Konfigurationen ausgesetzt sind, mangelnde effektive Segmentierung zwischen Unternehmensnetzwerken und OT sowie fehlende zuverlässige Kopien kritischer Gerätekonfiguration. Diese Faktoren sind nicht neu, aber in Kombination mit destruktiven Werkzeugen und gezielter Planung machen sie dezentrale Anlagen zu sehr gefährdeten Zielen.

Aus praktischer Sicht ist die Lektion klar: Moderne Energienetze, die zunehmend durch das Wachstum erneuerbarer und modularer Einheiten verteilt werden, erfordern eine angepasste Cyberprotektion, die präzise Asset-Inventars, sichere Kopien von Konfigurationen, robuste Segmentierung, Zugriffsmanagement und kontinuierliche Überwachung umfasst, die sowohl OT als auch IT-Telemetrie umfasst. Agenturen und Agenturen, die in diesem Bereich tätig sind, wie z.B. die Agentur für Infrastruktur und Cybersicherheit der Vereinigten Staaten, bieten Anleitungen und Ressourcen für bewährte Verfahren für industrielle Kontrollsysteme ( CISA - ICS), und in Europa veröffentlicht die Agentur der Union für Cybersicherheit spezifische Empfehlungen für den Energiesektor ( ENISA)

Es gibt auch eine geopolitische Dimension: wenn solche Angriffe zu Zeiten und Bedingungen auftreten, die die Zivilbevölkerung - zum Beispiel im Winter - beeinflussen können, durchsetzen die potenziellen Auswirkungen die Technik und gelangen in den Bereich der nationalen und humanitären Sicherheit. Aus diesem Grund will die Forschung nicht nur Systeme abschaffen, sondern auch Motivationen, Taktiken und Bindungsketten verstehen, um neue Kampagnen zu verhindern.

Kurz gesagt, die polnische Episode ist eine unbequeme Erinnerung: der Übergang zu grüner und verteilter Netzwerke bringt Umwelt- und Resilienz-Vorteile, aber es stellt auch neue Risikovektoren, wenn Cybersicherheitsmaßnahmen nicht von Design integriert werden. Der Schutz von Strom vor der Zukunft erfordert sowohl technologische Investitionen als auch Änderungen im operativen Management und eine stärkere Zusammenarbeit zwischen Betreibern, Herstellern und Behörden.