Die Cybersecurity-Lage in der polnischen Wasserwirtschaft zeigt ein Muster, das Experten und Behörden zunehmend beunruhigt: staatlich gesponserte Hackergruppen rücken von bloßen Datendiebstählen ab und zielen nun gezielt auf die physische Sabotage kritischer Infrastruktur ab.
Die ABW-Untersuchungen identifizierten Sicherheitsverletzungen an Wasseraufbereitungsanlagen in Jabłonna Lacka, Szczytno, Małdyty, Tolkmicko und Sierakowo. In mehreren Fällen gelang es den Angreifern nicht nur, in die ICS-Systeme einzudringen, sondern auch Betriebsparameter zu verändern — ein kritisches Risiko für die kontinuierliche Versorgung und die öffentliche Wassersicherheit.
Altbekannte Sicherheitsmängel als Einfallstor
Die Analyse zeigt keine spektakulären Zero-Day-Exploits. Stattdessen zeigten sich zwei klassische OT-Sicherheitslücken als verheerend wirksam: schwache Passwortrichtlinien und Systeme, die direkt mit dem Internet verbunden waren. Diese Mängel sind in der Branche seit Jahren bekannt, werden aber hartnäckig ignoriert.
Ähnliche Schwachstellen wurden kürzlich auch bei Angriffen auf polnische Energieinfrastruktur ausgenutzt — ebenfalls mit russischen Fingerabdrücken. Das Muster wiederholt sich: Alte Systeme, minimale Segmentierung, mangelnde Authentifizierung.
Breitere Angriffswelle auf kritische Strukturen
Neben Wasserwerken dokumentierte die ABW steigende Angriffe auf Lieferketten, Abwasserreinigungsanlagen und Müllverbrennungsanlagen. Besonders bemerkenswert: Angreifer zielten gezielt auf Vertragsdaten, Projektdokumentationen und Authentifizierungsdaten ab — offensichtlich um Zugang zu nachgelagerten Systemen zu sichern.
Staatliche Akteure hinter den Attacken
Die ABW benannte konkret russische APT-Gruppen APT28 und APT29 sowie die belarussisch verbundene Gruppe UNC1151 als Angreifer. Während teilweise auch Hacktivist-Gruppen genannt werden, handelt es sich dabei häufig um Tarnidentitäten staatlicher Dienste.
August 2025 hatte ein polnischer Offizieller bereits erwähnt, dass eine Cyberattacke eine Stadt zum Wassermangel hätte führen können — aber die Attacke sei abgewehrt worden. Der aktuelle Bericht zeigt nun: Es war knapper als gedacht.
Für deutsche Behörden und Wasserversorger sollte dies ein Signal sein: Das BSI und die zuständigen Landesbehörden müssen eine sofortige Überprüfung kritischer OT-Systeme einleiten. Die KRITIS-Verordnung fordert angemessene technische und organisatorische Maßnahmen. Unzureichende Sicherheit kann zu Bußgeldern führen — und schlimmer noch: zu echtem Leid für Millionen Menschen.