Sicherheitslücken in Polens digitaler Infrastruktur: Forscher decken auf der DEF CON 2026 massive Schwachstellen auf

Auf der DEF CON, der bekannten Cybersicherheitskonferenz in Las Vegas, präsentierten die polnischen Sicherheitsforscher Robert Kruczek und Kamil Szczurowski am 7. August 2026 alarmierende Ergebnisse: Ein umfassender Scan der polnischen öffentlichen Webinfrastruktur förderte mehr als 10.000 betroffene öffentliche Einrichtungen und etwa 250.000 Websites mit Sicherheitslücken zutage – darunter Systeme von Flughäfen, Krankenhäusern, Gerichten und Regierungsstellen .

Die entdeckten Kernschwachstellen

Die Forscher identifizierten mehrere spezifische, kritische Schwachstellen:

• Kritische Fehler im Pad CMS – einem weit verbreiteten Content-Management-System, das das "Ende seiner Lebensdauer" (End of Life) erreicht hatte . Die Forscher konnten auf über 300 öffentliche Websites zugreifen, ohne ein Passwort zu benötigen. Der Hersteller weigerte sich, die Software zu patchen, da sie nicht mehr unterstützt wurde .

• Justizweite Kompromittierung – ein weiterer Bug erlaubte den Forschern den Zugriff auf Websites, die etwa zwei Drittel der polnischen Justiz abdecken, also rund 245 Gerichte .

• Weit verbreitete, leicht ausnutzbare Fehler – einige Schwachstellen wurden als "unglaublich einfach auszunutzen" beschrieben, aber von den Herstellern nicht ernst genommen, die die Fehlermeldungen als bloße "Unannehmlichkeiten" abtaten .

Drei systemische Versäumnisse

Kruczek und Szczurowski identifizierten drei miteinander verbundene Fehler, die diese Risiken ermöglichten:

1. Veraltete, nicht mehr unterstützte Software – Pad CMS und andere ungepatchte Plattformen liefen weiterhin in kritischen öffentlichen Diensten, obwohl die Herstellerunterstützung eingestellt war .

2. Kein Bug-Bounty-Programm und keine strukturierten Meldewege – das Fehlen offizieller Bug-Bounty-Programme und sicherer Meldewege bedeutete, dass Forscher und ethische Hacker keine klare Möglichkeit hatten, Sicherheitslücken zu melden .

3. Ignorierte Fehlermeldungen – wenn Forscher ihre Ergebnisse direkt an die Hersteller meldeten, wurden ihre Berichte häufig ignoriert oder als geringfügige Unannehmlichkeiten abgetan, anstatt als kritische Sicherheitsrisiken eingestuft .

Dieselben Schwachstellen werden in kritischer Infrastruktur ausgenutzt

Diese Forschung wurde vor dem Hintergrund eskalierender, mutmaßlich russischer Staatsangriffe auf Polens kritische Infrastruktur präsentiert. Die von Kruczek und Szczurowski in der öffentlichen Webinfrastruktur gefundenen Muster sind dieselben Schwachstellen, die aktiv ausgenutzt werden:

Angriffe auf den Energiesektor (Dezember 2025)

Koordinierte Angriffe zielten auf Polens Energieinfrastruktur, darunter 30 Wind- und Solaranlagen sowie ein großes Heizkraftwerk (KWK). Diese wurden der russischen Staatsgruppe Sandworm zugeschrieben und beinhalteten Wiper-Malware. Es war der erste Cyberangriff auf den polnischen Energiesektor mit einem rein destruktiven Ziel .

Ein paralleler, bisher nicht bekannter Angriff traf ein kleineres Heizkraftwerk, das 50.000 Einwohner versorgt. Die Angreifer nutzten eine neuartige Private-APN-Pivot-Technik (der erste dokumentierte Einsatz dieses Vektors in einem realen Angriff), verschafften sich Zugang zu einer WAGO-SPS, die nur durch Standard-Administrator-Anmeldedaten geschützt war, und legten eine Dampfturbine sowie die Wasseraufbereitungsanlage lahm. Anschließend sabotierten sie Netzwerkgeräte und löschten Protokolle, um die Wiederherstellung zu behindern .

Einbrüche in Wasseraufbereitungsanlagen (2025)

Hacker drangen 2025 in mindestens fünf polnische Wasseraufbereitungsanlagen ein und erlangten Zugang zu den industriellen Steuerungssystemen (ICS), die Pumpen, Filter und Chemikaliendosierung regulieren. Die Angreifer änderten Betriebsparameter und verbreiteten Aufnahmen davon in sozialen Medien .

Der Angriffsvektor war in jedem Fall bemerkenswert banal: Standardpasswörter und direkt mit dem Internet verbundene Steuerungssysteme . Polens Inlandsgeheimdienst ABW erhob offiziell Anklage gegen zwei russische Staatsangehörige wegen einer Kampagne von 17 Cyberangriffen auf kritische Infrastrukturen, darunter sieben Wasser- und Abwasseraufbereitungsanlagen .

Die wichtigste Erkenntnis

Die Enthüllungen von Kruczek und Szczurowski zeigen, dass dasselbe Muster schwacher Sicherheit – veraltete Software, fehlende Meldewege und ignorierte Fehlermeldungen – das Polens öffentliche Webinfrastruktur gefährdet, identisch mit den Schwachstellen ist, die bei den mutmaßlich russischen Angriffen auf Polens Energie- und Wasserversorger ausgenutzt wurden. Schwache Standard-Anmeldedaten, ungepatchte Systeme und un segmentierte Netzwerke waren direkte Angriffsvektoren sowohl bei den Web-Schwachstellen als auch bei den destruktiven OT-Angriffen auf Kraftwerke und Wasseraufbereitungsanlagen.