Wasser und Energie unter Beschuss: Dezember 2025, die Generalprobe für Sachschäden

Im Dezember 2025 schrieb Dänemark Russland den Angriff auf ein Wasserwerk zu, bei dem Rohre geplatzt waren, Ransomware verschlüsselte 1.000 Systeme der rumänischen Wasserbehörde, und ein zerstörerischer Angriff traf mehr als 30 Energieanlagen in Polen. Die Analyse: Sachschaden, Ausschlüsse für staatliche Akteure, Kumul und Fragen für die Vertragsverlängerung.

Archiv: Rekonstruktion, geschrieben im November 2026

Thema des Monats Dezember 2025 · von cybercoverinsurance

Im Dezember 2025 zeigten drei Vorfälle innerhalb weniger Wochen, was geschieht, wenn Angriffe die Anlagen erreichen. Am 18. Dezember schrieb Dänemark Russland einen Angriff von 2024 auf ein Wasserwerk zu, bei dem Rohre geplatzt und Haushalte ohne Wasser geblieben waren. Ende des Monats verschlüsselte Ransomware rund 1.000 Systeme der nationalen Wasserbehörde Rumäniens. Am 29. Dezember traf ein zerstörerischer Angriff mehr als 30 Wind- und Solaranlagen sowie ein großes Heizkraftwerk in Polen.

Für Cyber-Risikoträger sind die drei Fälle ein Prüfstand für drei Themen: Sachschäden durch Cyberangriffe, Ausschlüsse für staatliche Akteure und Kumul bei kritischen Infrastrukturen. Keiner der drei verursachte einen schweren Schaden, und gerade deshalb sollten sie als Generalproben gelesen werden.

Was bekannt ist

Dänemark, das Wasserwerk. Ende 2024 veränderte die prorussische Gruppe Z-Pentest den Wasserdruck im Wasserwerk Tureby Alkestrup in Køge, 35 km südlich von Kopenhagen. Mindestens drei Rohre platzten, rund 50 Haushalte waren sieben Stunden und 450 eine Stunde ohne Wasser. Am 18. Dezember 2025 schrieb der dänische Militärnachrichtendienst den Angriff Gruppen mit Verbindungen zum russischen Staat zu, die erste öffentliche Zuschreibung dieser Art durch Kopenhagen. Der Leiter des Wasserwerks, Jan Hansen, riet anderen Unternehmen, nicht an der Cybersicherheit zu sparen und eine Cyberversicherung abzuschließen (Euronews). Derselbe Dienst nannte die Gruppe NoName057(16) für Überlastungsangriffe auf dänische Websites vor den Kommunalwahlen 2025 (Security Affairs).

Rumänien, die Wasserbehörde. Ende Dezember 2025 kompromittierte ein Angriff rund 1.000 IT-Systeme der nationalen Behörde Apele Române und von 10 ihrer 11 Flussgebietsverwaltungen. Die Angreifer nutzten BitLocker, das in Windows enthaltene Verschlüsselungswerkzeug, statt eigener Ransomware. Betroffen waren Anwendungsserver, Datenbanken, E-Mail, Websites und DNS. Laut der nationalen Direktion für Cybersicherheit waren die Betriebssysteme zur Steuerung der Wasseranlagen nicht betroffen, und die Wasserbewirtschaftung lief weiter (eSecurity Planet).

Polen, das Energienetz. Am 29. Dezember 2025 griff ein Angreifer mehr als 30 Wind- und Solaranlagen an ihren Netzanschlusspunkten an, dazu ein großes Heizkraftwerk, das fast eine halbe Million Kunden mit Wärme versorgt, und ein Fertigungsunternehmen. In den Erneuerbare-Energien-Anlagen wurden Fernwirkgeräte, Schutzrelais und Kommunikationstechnik beschädigt: Die Stationen verloren die Verbindung zum Verteilnetzbetreiber, die Stromerzeugung lief aber weiter. Im Kraftwerk blockierte eine Erkennungssoftware ein Programm zur Datenlöschung. CERT Polska ordnete die genutzte Infrastruktur einer als Berserk Bear oder Dragonfly bekannten, Russland zugeordneten Gruppe zu und sprach von der ersten öffentlich beschriebenen zerstörerischen Aktivität dieser Gruppe (CERT Polska).

Wie sie in Polen eindrangen. Laut CERT Polska drangen die Angreifer in allen Fällen über aus dem Internet erreichbare Perimetergeräte ein, die als VPN und Firewall konfiguriert waren und Anmeldungen ohne Mehrfaktor-Authentifizierung zuließen. Beim Fertigungsunternehmen wurde eine zuvor gestohlene und in einem kriminellen Forum veröffentlichte Konfiguration genutzt (Help Net Security). Ein Folgebericht vom August 2026 beschrieb einen vierten Angriff am selben Tag auf ein kleineres Kraftwerk, bei dem eine Dampfturbine kurz stillstand, und einen Zugang über ein falsch konfiguriertes privates Mobilfunknetz (CERT Polska).

Was nicht bekannt ist. Die Kosten der drei Vorfälle, ein etwaiger Versicherungsschutz und, für Rumänien, Täter und Einfallsweg wurden nicht veröffentlicht.

Von Daten zum Sachschaden

Das Risiko ändert seine Natur. Ein Datendiebstahl verursacht Meldekosten und Haftung. Ein veränderter Druck in einem Wasserwerk verursacht geplatzte Rohre und Kunden ohne Wasser. Erreicht der Angriff die Anlage, wandert der Schaden von der Cyberpolice zu Sach- und Haftpflichtpolicen, und die Frage lautet, welche davon leistet.

Silent Cyber kommt zurück. Viele Sachpolicen haben das Cyberrisiko in den letzten Jahren ausgeschlossen oder klargestellt. Ein durch einen Angriff verursachter Sachschaden kann zwischen beide Deckungen fallen: in der Sachpolice ausgeschlossen, in der Cyberpolice nicht vorgesehen. Die Fälle in Dänemark und Polen zeigen, dass das Szenario nicht theoretisch ist.

Die Trennung von Büro-IT und Anlagen zählt. In Rumänien blieb die Verschlüsselung bei den Bürosystemen stehen, und das Wasser floss weiter (eSecurity Planet). In Polen erreichten die Angreifer die Feldgeräte. Für Risikoträger ist die Trennung der beiden Netze der Wert, der einen Unterbrechungsschaden von einem Schaden mit Sachschäden unterscheidet.

Staatliche Akteure und Ausschlüsse

Drei Vorfälle, drei verschiedene Zuschreibungen. In Dänemark ist die Zuschreibung offiziell, durch einen Nachrichtendienst. In Polen stammt sie von CERT Polska, der nationalen technischen Stelle. In Rumänien gibt es keine Zuschreibung. Ausschlüsse für staatliche Angriffe, die eine Zuschreibung durch eine Regierung verlangen, würden in den drei Fällen unterschiedlich greifen.

Kritische Infrastrukturen, der heikelste Punkt. Die in den letzten Jahren eingeführten Ausschlüsse zielen oft auf Angriffe, die das Funktionieren eines wesentlichen Dienstes eines Staates beeinträchtigen. Wasser und Energie sind der typische Fall. Ein Angriff wie der polnische wäre, hätte er die Erzeugung gestoppt, nahe an der Schwelle dieser Klauseln gewesen.

Der Versicherte wählt den Angreifer nicht. Ein Wasserversorger oder Energieerzeuger kann nicht vorhersehen, ob ihn Kriminelle oder eine staatliche Gruppe treffen. Die Bedingungen müssen im Voraus klären, wie ein Angriff behandelt wird, der erst nach dem Schaden zugeschrieben wird, auch Monate später, wie in Dänemark.

Kumul bei Infrastrukturen

Mehr als 30 Anlagen am selben Tag. In Polen traf derselbe Angreifer Dutzende Anlagen verschiedener Eigentümer mit derselben Technik (CERT Polska). Für ein Portfolio von Erzeugern erneuerbarer Energie, oft klein und zahlreich, ist das ein konkretes Kumulszenario.

Überall dieselbe Schwäche. Perimetergeräte ohne Mehrfaktor-Authentifizierung im Internet, und Konfigurationen privater Mobilfunknetze, die laut CERT Polska auch außerhalb Polens verbreitet sind. Eine Schwäche, die viele Versicherte teilen, ist der Ausgangspunkt eines Kumulereignisses.

Der kleine Betreiber ist am stärksten exponiert. Ein lokales Wasserwerk wie Tureby Alkestrup hat begrenzte Mittel für Sicherheit. Der Rat seines Leiters, sich zu versichern (Euronews), zeigt eine Nachfrage nach Deckung genau dort, wo die Kontrollen am schwächsten sind.

Was in die Vertragsverlängerung gehört

Auswirkung für VersichererHoch

Innerhalb eines Monats trafen Russland zugeschriebene oder mit Russland verbundene Angriffe Wasser- und Energieanlagen in Dänemark und Polen, mit geplatzten Rohren und Dutzenden beschädigter Anlagen, während Ransomware die rumänische Wasserbehörde lahmlegte.

Auf Portfolioebene legen die Fälle vom Dezember nahe zu zählen, wie viele Versicherte aus Energie- und Wasserwirtschaft dieselben Perimetergeräte und dieselben Kommunikationsnetze nutzen. Ein koordinierter staatlicher Angriff auf Dutzende kleiner Anlagen ist ein Kumulszenario, das zusammen mit den Ausschlüssen getestet werden sollte, denn dort treffen Portfoliolimit und Bedingungen aufeinander.