Die größten Cyberangriffe in Polen (2020–2026)

Kurz gesagt: Cyberangriffe auf polnische Organisationen (cyberataki w Polsce) nehmen rapide zu, und die Zahlen sind öffentlich zugänglich. CERT Polska, das von NASK betriebene nationale Incident-Response-Team, verzeichnete im Jahr 2025 260.783 Vorfälle, was einem Anstieg von 152 % gegenüber dem Vorjahr entspricht. Hinter diesen Zahlen verbergen sich eine Handvoll Angriffe, die die Sichtweise Polens auf das Thema Sicherheit verändert haben: die Ransomware-Attacke auf CD Projekt, der Datenleck bei ALAB im Gesundheitswesen, eine gefälschte Mobilisierungsmeldung bei der staatlichen Nachrichtenagentur PAP sowie ein zerstörerischer Angriff auf mehr als 30 Wind- und Solarparks im Dezember 2025. Im Folgenden: die zwölf am besten dokumentierten Fälle, ihre Gemeinsamkeiten und ihre Bedeutung im Rahmen des polnischen NIS2-Gesetzes.

Die größten Anschläge im Überblick

Zeitleiste: Die Angriffe, die die polnische Cybersicherheit geprägt haben

2021: CD Projekt und die Mailbox des Ministers

Am 9. Februar 2021 gab CD Projekt, das Studio hinter „The Witcher“ und „Cyberpunk 2077“, bekannt, dass ein Teil seines Netzwerks verschlüsselt worden sei und die Angreifer behaupteten, im Besitz des Quellcodes seiner Spiele zu sein. Das Unternehmen erklärte, es werde „den Forderungen weder nachgeben noch verhandeln“ und stellte die Daten anhand intakter Backups wieder her. Im Juni 2021 gaben die Sicherheitsbehörden ABW und SKW bekannt, dass die Gruppe UNC1151 mehr als 4.000 polnische E-Mail-Konten mit Social-Engineering-Methoden ins Visier genommen hatte, darunter über 100 Konten von Politikern und Beamten. Eines davon war das Postfach von Michał Dworczyk, dem damaligen Leiter der Kanzlei des Ministerpräsidenten, dessen E-Mails später online veröffentlicht wurden.

2022 und 2023: ein Krankenhaus in Łódź, die Eisenbahn und ALAB

Ende Oktober 2022 schaltete das „Instytut Centrum Zdrowia Matki Polki“ in Łódź einen Teil seiner IT-Systeme ab, um einen Angriff einzudämmen, und kehrte zur papierbasierten Dokumentation zurück. Am 25. August 2023 führte ein unbefugtes „Radio-Stop“-Signal – ein über den Eisenbahnfunk gesendeter Notbremsbefehl – zu Verspätungen bei etwa 20 Zügen im Raum Stettin. Zwar wurde kein Computer gehackt, doch zeigte sich, wie anfällig ältere Eisenbahnsysteme sind. Am 19. November 2023 wurde die Laborkette ALAB Laboratoria angegriffen. Die Gruppe RA World veröffentlichte Testergebnisse von Zehntausenden Patienten aus den Jahren 2017 bis 2023, einschließlich PESEL-Nummern und Adressen. ALAB weigerte sich, Verhandlungen zu führen.

2024: Eine Falschmeldung der staatlichen Nachrichtenagentur

Am 31. Mai 2024 verbreitete die Nachrichtenagentur Polska Agencja Prasowa (PAP) zweimal eine Meldung, wonach Polen am 1. Juli eine Teilmobilmachung verkünden und 200.000 Bürger in die Ukraine entsenden würde. Die Meldung war falsch und wurde beide Male zurückgezogen. Laut RMF FM hatten die Angreifer den Account eines PAP-Mitarbeiters mithilfe von Malware übernommen. Der Minister für digitale Angelegenheiten, Krzysztof Gawkowski, erklärte, der Angriff sei höchstwahrscheinlich das Werk „der russischen Seite“. Die Staatsanwaltschaft in Warschau leitete Ermittlungen ein und übergab den Fall an den ABW.

2025: EuroCert, die Weltraumagentur, ein Krankenhaus in Krakau und die Wasserversorgung einer Stadt

In der Nacht vom 12. Januar 2025 verschlüsselte Ransomware die Server von EuroCert, einem der wenigen polnischen Anbieter qualifizierter elektronischer Signaturen. PESEL-Nummern, Personalausweisnummern sowie Anmeldedaten von Kunden und Mitarbeitern wurden offengelegt, woraufhin die Regierung die Kunden von EuroCert aufforderte, ihre Zugangsdaten zu ändern. Medienberichten zufolge wurde der Angriff der Gruppe „RansomHub“ zugeschrieben, die angab, 65 GB an Daten zu besitzen. Am 2. März trennte die Polnische Weltraumagentur (Polska Agencja Kosmiczna, POLSA) ihr Netzwerk nach einem Einbruch vom Internet. Am 8. März wurde das Krankenhaus des Innenministeriums in Krakau (Szpital MSWiA) von Ransomware befallen; dessen Direktor sprach von einer Wiederherstellung in „Tagen und Wochen, nicht in Stunden“. Und am 13. August hätte eine namentlich nicht genannte Großstadt beinahe ihre Wasserversorgung verloren, sagte Gawkowski einen Tag später. Der Angriff konnte rechtzeitig abgewehrt werden.

Dezember 2025: Scheibenwischer gegen Wind- und Solarparks

Am 29. Dezember 2025 traf ein koordinierter Angriff mindestens 30 Wind- und Photovoltaikparks, ein Blockheizkraftwerk, das fast eine halbe Million Kunden mit Wärme versorgt, sowie ein Produktionsunternehmen. Das Ziel war Zerstörung, nicht Lösegeld. Die Angreifer löschten Steuerungen und setzten Geräte zurück, wodurch die Verbindung zwischen den Anlagen und den Netzbetreibern unterbrochen wurde, und versuchten, in der Anlage eine Wiper-Malware namens „DynoWiper“ auszuführen, die jedoch von der Sicherheitssoftware blockiert wurde. Es kam zu keinen Ausfällen bei Strom- oder Wärmeversorgung. Der Einstiegspunkt laut dem Bericht von CERT Polska, wie von Help Net Security zusammengefasst, war banal: mit dem Internet verbundene FortiGate-Geräte, deren VPN Anmeldungen ohne Multi-Faktor-Authentifizierung akzeptierte.

2026: Krankenhäuser und Patientendaten

Innerhalb von 25 Tagen im März 2026 wurden das Regionalkrankenhaus in Stettin, die Bonifraterskie Centrum Medyczne-Gruppe mit Krankenhäusern in Katowice, Krakau und Łódź sowie zwei kleinere Gesundheitsdienstleister Opfer einer Ransomware-Attacke. Im August berief Gawkowski das nationale Cybersicherheits-Einsatzzentrum wegen eines möglichen Datenlecks bei MyDr ein, einem Anbieter von Software für Arztpraxen. In den Medien war von Daten von bis zu 19 Millionen Menschen die Rede, eine Zahl, die jedoch nicht bestätigt wurde. Im Oktober nutzten Angreifer eine Schwachstelle in einem Förderantragssystem des Kulturministeriums mit etwa 24.000 registrierten Nutzern aus. Anfang November 2026 prüfte das Ministerium noch, ob Daten kopiert worden waren.

Was die polnischen Fälle gemeinsam haben

• Der Zugang erfolgt über eine Anmeldung, nicht über einen Zero-Day-Angriff. Bei PAP handelte es sich um das Konto eines Mitarbeiters, bei der Kampagne im Jahr 2021 um Social Engineering und beim Angriff auf die Energiebranche um VPN-Konten ohne Zwei-Faktor-Authentifizierung. Deshalb stehen Schulungen und die Zwei-Faktor-Authentifizierung an erster Stelle.
• Das Gesundheitswesen ist am stärksten betroffen. Łódź im Jahr 2022, ALAB im Jahr 2023, Krakau im Jahr 2025, vier Organisationen innerhalb eines Monats im Jahr 2026. Das brancheninterne Reaktionsteam CSIRT CeZ verzeichnete im Jahr 2025 insgesamt 1.441 Vorfälle – über 60 % mehr als im Jahr 2024.
• Die Anbieter vergrößern den Schaden noch. EuroCert, MyDr und der Dienstleister, der das System des Kulturministeriums betreibt, haben jeweils Kunden gefährdet, die selbst nichts falsch gemacht hatten.
• Die Weigerung zu zahlen ist die gängige Praxis. Sowohl CD Projekt als auch ALAB haben abgelehnt. CD Projekt konnte dies tun, da seine Sicherungskopien intakt waren.

CERT Polska und die Zahlen hinter den Schlagzeilen

CERT Polska ist Teil des Forschungsinstituts NASK und fungiert als CSIRT NASK, eines von drei nationalen Incident-Response-Teams neben CSIRT GOV (unter der Leitung des Sicherheitsdienstes ABW) und CSIRT MON (Militär). Im Jahr 2025 gingen dort 658.320 Meldungen ein und es wurden 260.783 Vorfälle registriert, gegenüber 103.449 im Jahr 2024. Computerbetrug, vor allem Phishing und gefälschte Investitionswebsites, machte 97 % aus. Zudem wurden 179 Ransomware-Vorfälle gezählt, was etwa einem Vorfall alle zwei Tage entspricht. Laut dem Jahresbericht des Ministeriums für digitale Angelegenheiten bearbeiteten alle nationalen Teams zusammen im Jahr 2025 fast 273.000 Vorfälle.

Der geopolitische Kontext, wie ihn die polnischen Behörden beschreiben

Polnische Behörden bringen einen Teil dieser Aktivitäten offen mit Russland und Weißrussland in Verbindung. ABW und SKW schrieben die E-Mail-Kampagne von 2021 der Gruppe UNC1151 zu und brachten diese mit russischen Geheimdiensten in Verbindung. Nach der Meldung der PAP sprach die Staatsanwaltschaft von Personen, die im Auftrag eines ausländischen Geheimdienstes handelten. In der Zusammenfassung des CERT-Polska-Berichts durch die Regierung wird der Angriff auf die Energieversorgung als seit langem vorbereitet und staatlich gestützt bezeichnet und mit den als „Static Tundra“, „Berserk Bear“, „Ghost Blizzard“ und „Dragonfly“ bekannten Clustern in Verbindung gebracht. Zwei Vorbehalte: Die Zuordnung ist eine Einschätzung von Behörden und Analysten, kein Gerichtsurteil. Und die Ransomware-Attacke auf Krankenhäuser im Jahr 2026 wird von der Polizei als Werk einer kriminellen Gruppe behandelt, die es auf Geld abgesehen hat.

Was dies für polnische Unternehmen im Rahmen des neuen KSC-Gesetzes bedeutet

Seit dem 3. April 2026 gilt in Polen das NIS2-Gesetz: das geänderte Gesetz über das nationale Cybersicherheitssystem (ustawa o krajowym systemie cyberbezpieczeństwa, KSC). Es setzt die oben genannten Erkenntnisse in Verpflichtungen für zentrale und wichtige Einrichtungen in Branchen wie Energie, Gesundheitswesen, Fertigung und Lebensmittel um: Risikomanagement, Sicherheit der Lieferkette, Multi-Faktor-Authentifizierung, Meldung von Vorfällen innerhalb von 24 und 72 Stunden, Schulung der Mitarbeiter und jährliche Fortbildung für die Führungskräfte. Die vollständigen Verpflichtungen gelten ab dem 3. April 2027. Unser NIS2-Leitfaden erläutert den Geltungsbereich, die Fristen und die Bußgelder. Die größten Angriffe in Deutschland, den Niederlanden und Spanien weisen dieselben Muster auf.

Der menschliche Faktor: Worauf sollten polnische Teams trainiert werden?

1. Phishing in makellosem Polnisch. Der Jahresbericht des Ministeriums beschreibt Phishing-Angriffe, die mit KI verfasst wurden, keine Rechtschreibfehler enthalten und mit Deepfake-Stimmen von Führungskräften versehen sind. Üben Sie mit den Arten von Phishing-Angriffen, mit denen das Ministerium tatsächlich konfrontiert ist.
2. Testen statt vermuten. Phishing-Simulationen zeigen, wer auf einen Link klicken würde, noch bevor ein Angreifer dies herausfindet. Guardey kombiniert diese mit einer wöchentlichen Herausforderung und einem Teamwettbewerb in vielen Sprachen, mit Berichten, die von Auditoren für NIS2 und ISO 27001 anerkannt werden.
3. Ein weiterer Faktor, der das gesamte Internet betrifft. Die Angreifer vom Dezember 2025 loggten sich über ein VPN ohne Multi-Faktor-Authentifizierung ein.

Häufig gestellte Fragen

Was war der größte Cyberangriff (Cyberatak) in Polen?

Nach potenziellen Auswirkungen: der Angriff vom 29. Dezember 2025 auf mehr als 30 Wind- und Solarparks sowie ein Heizkraftwerk. Nach Sensibilität der Daten: die ALAB-Datenpanne von 2023. Nach politischer Tragweite: die falsche Mobilisierungsmeldung zum PAP im Mai 2024.

Wie viele Cyberangriffe gibt es pro Jahr in Polen?

CERT Polska verzeichnete im Jahr 2025 260.783 Vorfälle, das sind 152 % mehr als im Jahr 2024. Alle nationalen Einsatzteams zusammen bearbeiteten fast 273.000 Vorfälle.

Wer steckt hinter den Hackerangriffen (ataki hakerskie) auf Polen?

Vor allem Kriminelle: 97 % der von CERT Polska registrierten Vorfälle sind Computerbetrug wie beispielsweise Phishing. Die polnischen Behörden führen mehrere vielbeachtete Angriffe, darunter den Angriff auf die Energieversorgung im Dezember 2025, auf staatlich verknüpfte Gruppen zurück und verweisen auf Russland und Weißrussland.

Wo kann man in Polen einen Cyberangriff melden?

Unternehmen und Bürger melden Vorfälle an CERT Polska (CSIRT NASK), und verdächtige SMS-Nachrichten können an die Nummer 8080 weitergeleitet werden. Zentrale und wichtige Einrichtungen im Sinne des KSC-Gesetzes melden schwerwiegende Vorfälle über das staatliche S46-System.