Największe cyberataki w Niemczech

Niemieckie firmy i instytucje publiczne należą do najczęściej atakowanych w Europie. Federalny Urząd Kryminalny (Bundeskriminalamt) odnotował w 2025 roku 333 922 przypadki cyberprzestępstw, a straty oszacowano na 202,4 mld euro. W tym samym roku zgłoszono 1 041 ataków ransomware, a Niemcy zajęły trzecie miejsce na świecie pod względem liczby potwierdzonych incydentów związanych z tym rodzajem oprogramowania.

Za tymi liczbami kryją się konkretne przypadki: miejski dostawca usług IT, który pozbawił dostępu do sieci 72 miast, gigant z branży części samochodowych, który stracił 40 terabajtów danych, oraz szpital uniwersytecki, który musiał odmówić przyjęcia pacjentów. W tym artykule omówiono sześć udokumentowanych ataków, ich koszty oraz jedną cechę, która łączy prawie wszystkie z nich.

Największe cyberataki w Niemczech

1. Südwestfalen IT (2023): 72 gminy bez dostępu do internetu

30 października 2023 r. dostawca usług informatycznych dla gmin, firma Südwestfalen IT, padł ofiarą ataku ransomware przypisywanego grupie Akira. Centrum danych odcięło połączenia z obsługiwanymi gminami, przez co 72 gminy i powiaty, które do niego należały, straciły dostęp do sieci. Mieszkańcy nie mogli rejestrować pojazdów, składać wniosków o dokumenty ani korzystać z usług gminnych.

W pracach naprawczych brało udział około 170 osób, które przepracowały w sumie około 43 000 godzin, a pełne przywrócenie usług trwało aż do jesieni następnego roku. Do dziś jest to największy i najbardziej skomplikowany incydent tego typu w Niemczech.

2. Continental (2022): skradziono 40 terabajtów danych

Latem 2022 roku grupa LockBit włamała się do sieci dostawcy części samochodowych Continental i przez około miesiąc pozostawała niewykryta. Ukradli około 40 terabajtów danych: plany budżetowe, inwestycyjne i strategiczne, akta osobowe oraz poufną korespondencję kierownictwa i rady nadzorczej. Wśród skradzionych danych znalazły się również dane klientów, w tym Volkswagena.

Hakerzy opublikowali plik zawierający listę ścieżek dostępu do 55 milionów plików. Firma Continental wysłała pisma do dziesiątek tysięcy osób, których dotyczyła ta sytuacja, i publicznie wezwała do zaprzestania płacenia okupu.

3. Szpital Uniwersytecki w Düsseldorfie (2020): szpital odmówił przyjęcia

Atak ransomware na szpital uniwersytecki w Düsseldorfie zmusił go do wycofania się z świadczenia pomocy doraźnej. Systemy zostały zaszyfrowane, a pacjentów trzeba było kierować do innych szpitali. Sprawa ta przyciągnęła międzynarodową uwagę jako jeden z najbardziej jaskrawych przykładów tego, co się dzieje, gdy zawodzi infrastruktura opieki krytycznej. Niemieckie służby bezpieczeństwa przypisały ten atak, wraz z innymi incydentami, grupie znanej jako Double Spider.

4. Powiat Anhalt-Bitterfeld (2021): pierwsze ogłoszenie stanu katastrofy cybernetycznej

Po ataku ransomware powiat Anhalt-Bitterfeld ogłosił „Katastrophenfall”, czyli oficjalny stan klęski żywiołowej. Był to pierwszy przypadek, kiedy niemieckie władze podjęły taki krok z powodu cyberataku. Wypłaty świadczeń i obsługa mieszkańców były zakłócone przez kilka tygodni, a powiat potrzebował miesięcy, żeby wrócić do normalnego funkcjonowania.

5. Funke Mediengruppe (2020): wydawnictwo bez redakcji

Jedna z największych niemieckich grup medialnych padła ofiarą ataku ransomware, który rozprzestrzenił się na systemy redakcyjne i produkcyjne. Gazety ukazały się w wydaniach awaryjnych. Podobnie jak w przypadku Düsseldorfu i Anhalt-Bitterfeld, niemieckie władze wskazały na grupę Double Spider.

6. Co kryje się za nagłówkami (2025)

Pojedyncze przypadki trafiają do wiadomości, ale ważniejsza jest ogólna tendencja. W 2025 roku sektor produkcyjny odpowiadał za 23 procent wszystkich wycieków danych w Niemczech, a za nim uplasowały się usługi prawne i doradcze (14 procent) oraz budownictwo i inżynieria (11 procent). Według Google Threat Intelligence grupa SafePay była odpowiedzialna za około jedną czwartą opublikowanych w tym roku informacji o wyciekach danych w Niemczech. Celami ataków nie są już tylko znane firmy.

Co łączy te przypadki

Przeczytaj te raporty obok siebie, a zobaczysz pewien schemat. Nie były to żadne egzotyczne ataki typu zero-day na dobrze zabezpieczone systemy. W każdym z tych przypadków atakujący dostali się do środka przez zwykłe „drzwi”: skradzione dane logowania, przekonujący e-mail albo pracownik, który podjął działanie, zanim zaczął się zastanawiać.

Przypadek firmy Continental jest pouczający. Atakujący byli w sieci przez około miesiąc, zanim ktokolwiek to zauważył. To nie jest wina zapór sieciowych, tylko wina systemów wykrywania i sygnałów od ludzi, które powinny były to zasygnalizować wcześniej. Ktoś, gdzieś, zauważył coś, co wyglądało podejrzanie.

Właśnie dlatego BSI i BKA wciąż zwracają uwagę na ten sam słaby punkt. Środki techniczne powstrzymują znane zagrożenia. Nie powstrzymują jednak pracownika przed otwarciem załącznika, który wygląda jak faktura, podłączeniem pendrive’a znalezionego na parkingu ani zatwierdzeniem prośby o logowanie po rozmowie telefonicznej z kimś podającym się za pracownika pomocy technicznej. Ta ostatnia metoda została wykorzystana w niektórych z największych europejskich wycieków danych ostatnich lat, a przynęta działa dokładnie na tej samej zasadzie: ciekawość, a nie luka techniczna.

Jak chronić swoją organizację

Kopie zapasowe, instalowanie poprawek i segmentacja sieci to podstawowe środki zabezpieczeń, a każda z wyżej wymienionych organizacji miała je w jakiejś formie. To, co odróżnia firmy, które poradziły sobie z atakiem, od tych, które trafiły na pierwsze strony gazet, to zazwyczaj to, jak szybko ktoś zorientował się, co się dzieje.

Tę umiejętność rozpoznawania można wyćwiczyć. W praktyce decydujące znaczenie mają trzy rzeczy:

• Regularne, krótkie szkolenia zamiast corocznej sesji. Świadomość z czasem słabnie. Podczas corocznej sesji uczysz się faktów, o których do marca już zapomnisz; cotygodniowe powtarzanie pozwala wyrobić sobie odruch.
• Realistyczne symulacje phishingu. Czytanie o phishingu to nie to samo, co otrzymanie takiej wiadomości. Symulacje pokazują, które działy potrzebują wsparcia, zanim atakujący sam się o tym przekona.
• Kultura, w której zgłaszanie problemów to coś normalnego. Pracownik, który zauważył problem i zgłosił go w ciągu pięciu minut, jest bardziej wartościowy niż ten, który milczy przez pięć dni.

Dla organizacji objętych dyrektywą NIS2 nie jest to już kwestia wyboru. Dyrektywa wyraźnie wymienia szkolenia uświadamiające, a nasz przewodnik po NIS2 wyjaśnia, co to oznacza w praktyce.