DynoWiper und Sandworm: Wiper-Malware gegen dezentrale Energieanlagen
Am 29. Dezember 2025 griff die Russland-nahe Gruppe Sandworm einen polnischen Energieversorger mit einem bis dahin unbekannten Wiper an, den ESET DynoWiper nennt. Der Angriff sollte Daten zerstören, nicht stehlen. Er scheiterte. Dieser Artikel erklärt, was DynoWiper technisch macht, warum dezentrale Energieanlagen eine besondere Angriffsfläche sind und was du als Energieversorger jetzt tun solltest.
DynoWiper ist eine zerstörerische Wiper-Malware, die die Russland-nahe Gruppe Sandworm Ende Dezember 2025 gegen einen polnischen Energieversorger einsetzte. ESET erkennt sie als Win32/KillFiles.NMO und ordnet sie Sandworm mit mittlerer Zuversicht zu. Am 29. Dezember 2025 rollten die Angreifer drei Samples in ein geteiltes Verzeichnis der Opferdomäne aus. Die Malware überschreibt Dateien mit einem 16-Byte-Zufallspuffer, wirkt auf Wechseldatenträger und feste Laufwerke und erzwingt einen Neustart. Betroffen waren laut Berichten zwei Heizkraftwerke und ein Managementsystem für erneuerbare Energien, rund 500.000 Kunden potenziell bedroht. Der Angriff scheiterte, weil eine EDR/XDR-Lösung die Ausführung blockierte. Für deutsche Versorger ist das ein Testlauf für die eigenen Pflichten aus NIS2, dem KRITIS-Dachgesetz und dem IT-Sicherheitskatalog nach Paragraf 5c EnWG. Die Prioritäten sind klar: flächendeckendes EDR/XDR, strikte Trennung von IT und OT, unveränderliche Offline-Backups und ein Meldeprozess binnen 24 Stunden. Wiper zielen auf Verfügbarkeit, nicht auf Vertraulichkeit, also reicht klassischer Datenschutz allein nicht.
Was ist passiert: der abgewehrte Angriff auf Polen
Der Angriff scheiterte. Das ist die erste und wichtigste Aussage, und sie ist ungewöhnlich gut belegt. Ende Dezember 2025 versuchte Sandworm, einen polnischen Energieversorger mit einer neuen Wiper-Malware lahmzulegen. Kein Diebstahl, kein Lösegeld, keine Erpressung. Reine Zerstörung. Eine EDR/XDR-Lösung stoppte die Ausführung, bevor Schaden entstand.
Und das Datum? Kein Zufall. Der 29. Dezember 2025 fiel fast genau auf den zehnten Jahrestag des Sandworm-Angriffs auf das ukrainische Stromnetz von 2015, der damals rund 230.000 Menschen für vier bis sechs Stunden von der Versorgung abschnitt. Zehn Jahre später, dieselbe Gruppe, diesmal ein EU-Land.
Getroffen wurden laut Berichten zwei Heizkraftwerke und ein Managementsystem, das Wind- und Solaranlagen bündelt. Betroffen: rund 500.000 Kunden. Polens Ministerpräsident Donald Tusk sprach von Angriffen, die Gruppen mit direkter Verbindung zu russischen Diensten vorbereitet hätten. Deutlicher wird ein Regierungschef selten.
Was DynoWiper technisch macht
DynoWiper zerstört, mehr nicht. Die Malware überschreibt Dateien und erzwingt einen Neustart, damit das System nicht mehr hochkommt. ESET führt sie als Win32/KillFiles.NMO. Keine Verschlüsselung, kein Erpresserbrief, kein Angebot zur Wiederherstellung gegen Geld. Wer so etwas baut, will keinen Profit. Er will Ausfall.
Wie überschreibt sie? Mit einem 16-Byte-Zufallspuffer. Dateien bis 16 Byte trifft es ganz, größere teilweise, und das reicht, um sie unbrauchbar zu machen. Wechseldatenträger, feste Laufwerke, dann der erzwungene Neustart. Ein Detail verdient Aufmerksamkeit: Sie blieb im IT-Netz. Die Leit- und Steuerungssysteme, also die eigentliche Betriebstechnik, hat ESET nicht als Ziel gesehen.
Und Sandworm? ESET ordnet die Malware der Gruppe mit mittlerer Zuversicht zu, nicht mit Gewissheit. Die Belege sind Überschneidungen im Code und im Vorgehen mit dem ZOV-Wiper, den dieselbe Gruppe im November 2025 gegen eine ukrainische Bank einsetzte. Attribution im Cyberraum bleibt eine Wahrscheinlichkeitsrechnung. Einen Fingerabdruck gibt es hier nicht.
Wer hinter Sandworm steht
Sandworm gilt als Einheit des russischen Militärnachrichtendienstes GRU. Die Gruppe trägt mehrere Namen, je nach Analysehaus: APT44, Seashell Blizzard, UAC-0113. Seit einem Jahrzehnt steht sie für Sabotage an kritischer Infrastruktur.
- 2015 und 2016: Angriffe auf das ukrainische Stromnetz mit BlackEnergy und Industroyer, das erste Mal, dass Malware nachweislich einen Stromausfall auslöste.
- 2025: mehr als zehn Vorfälle mit zerstörerischer Malware, fast alle in der Ukraine, darunter die Wiper ZEROLOT, Sting und ZOV.
- Erklärtes Muster laut ESET: die gegnerische Wirtschaft schwächen, nicht Daten stehlen. Energie, Logistik und der Getreidesektor standen im Fokus.
Neu ist der Sprung von der Ukraine nach Polen. Er holt die Bedrohung aus dem Kriegsgebiet heraus und stellt sie vor die Tür eines EU- und NATO-Landes. Für jeden, der in Deutschland Energieanlagen betreibt, heißt das: Die Angreifer und ihre Werkzeuge sind bereits erprobt, seit Jahren, gegen die Ukraine. Abstrakt ist daran nichts mehr.
Warum dezentrale Energieanlagen exponiert sind
Die Energiewende verteilt die Erzeugung auf tausende kleinere Anlagen. Solarparks, Windparks, Batteriespeicher, virtuelle Kraftwerke. Gut fürs Klima. Schlecht für die Angriffsfläche. Denn viele dieser Betreiber haben keine professionelle IT-Sicherheit, oft nicht einmal eine Person, die dafür zuständig wäre.
Virtuelle Kraftwerke bündeln viele dezentrale Anlagen zu einer steuerbaren Einheit. Ein einziges kompromittiertes Managementsystem reicht dann, um viele nachgelagerte Anlagen zu erreichen. Und genau dort setzte DynoWiper an. Nicht am Kraftwerksblock, sondern am Managementsystem, das die Fäden zusammenhält.
Fernwartung, Cloud-Anbindung und geteilte Verzeichnisse sind der Preis der Digitalisierung. Sie schaffen Wege für die laterale Ausbreitung, also die Bewegung von einem gekaperten System zum nächsten. Wie schnell aus Automatisierung eine Angriffskette wird, zeigt auch die wachsende Angriffsfläche durch Agentic AI. Und wie sehr die Lieferkette selbst zum Risiko wird, macht die Debatte um chinesische PV-Wechselrichter als Sicherheitsrisiko deutlich.
Deutsche und EU-Perspektive: NIS2 und die Sicherheitskataloge
Für deutsche Energieversorger ist der polnische Fall ein Testlauf für die eigenen Pflichten. Der Rechtsrahmen ist da, er muss nur greifen. NIS2 und das KRITIS-Dachgesetz verschärfen die Anforderungen europaweit, im Energiesektor setzen der IT-Sicherheitskatalog nach Paragraf 5c EnWG und der Netzkodex Cybersicherheit sie um.
Was verlangt der Rahmen konkret? Betreiber müssen systematisches Risikomanagement betreiben und Systeme zur Angriffserkennung einsetzen. Sicherheitsvorfälle sind in der Regel binnen 24 Stunden zu melden. Das BSI adressiert in seinem Positionspapier zur Cybersicherheit im Energiesektor ausdrücklich die Risiken erneuerbarer und dezentraler Anlagen. Wer die Pflichten aus NIS2 und dem KRITIS-Dachgesetz und dem IT-Sicherheitskatalog nach Paragraf 5c EnWG ernst nimmt, hat den Großteil dessen, was DynoWiper gestoppt hat, ohnehin auf der Liste. Für Netzbetreiber kommen die Vorgaben aus dem Netzkodex Cybersicherheit hinzu.
Der Unterschied zwischen Polen und einem möglichen deutschen Fall liegt nicht im Gesetz. Er liegt in der Umsetzung. Ein Katalog auf Papier hält keinen Wiper auf. Eine ausgerollte EDR/XDR-Lösung schon.
Herausforderungen und Risiken
Der DynoWiper-Fall ist eine Warnung, kein Grund für Alarmismus. Er scheiterte an Standard-Schutz, nicht an Zufall. Trotzdem lohnt der ehrliche Blick auf die Kehrseite.
Ein Punkt wird leicht überlesen. DynoWiper blieb diesmal im IT-Netz. Das war Glück im Rahmen, kein Naturgesetz. Wenn IT und OT nicht sauber getrennt sind, ist der Weg vom Büro-Rechner zur Steuerung einer Anlage kürzer, als vielen lieb ist. Genau hier setzt die nächste Section an.
Was Energieversorger jetzt tun sollten
Der abgewehrte Angriff liefert eine klare Prioritätenliste. Sie orientiert sich an den vier Phasen, in denen ein Wiper vorgeht, und an der Schutzmaßnahme, die jede Phase stoppt. Kein neues Framework, sondern konsequente Umsetzung des Bekannten.
-
IT und OT strikt segmentieren
Die Netze für Büro-IT und Betriebstechnik trennen, mit kontrollierten Übergängen statt offener Verbindungen. DynoWiper blieb nur deshalb harmlos, weil er die Leittechnik nicht erreichte. Segmentierung macht diesen Zufall zur Regel.
-
Freigaben härten, Rechte begrenzen
Die Angreifer nutzten ein geteiltes Verzeichnis in der Domäne, um die Samples zu verteilen. Least Privilege heißt: jedes Konto und jeder Dienst bekommt nur die Rechte, die er wirklich braucht. Offene Schreibfreigaben für alle sind ein Verteilweg, kein Komfort.
-
EDR/XDR flächendeckend ausrollen
Genau diese Technik stoppte DynoWiper. Endpoint Detection and Response erkennt verdächtiges Verhalten und blockiert die Ausführung, bevor die Malware ihre Wirkung entfaltet. Wichtig ist die Fläche: eine Lücke im Rollout ist die Tür, die der Wiper sucht.
-
Unveränderliche Offline-Backups führen
Gegen einen Wiper ist das Backup die letzte Verteidigungslinie. Es hilft aber nur, wenn es offline oder unveränderlich ist, sonst überschreibt die Malware auch die Sicherung. Dazu gehören regelmäßige Wiederherstellungstests, nicht nur das Anlegen der Kopie.
Die vier Maßnahmen stehen längst in NIS2 und im IT-Sicherheitskatalog. Der polnische Fall zeigt nur, dass sie im Ernstfall wirklich greifen. Dezentrale Anlagen und Dienstleister gehören dabei mit ins Konzept, nicht nur das eigene Rechenzentrum.
Weiterführende Informationen
Häufig gestellte Fragen
DynoWiper ist eine zerstörerische Wiper-Malware, die ESET Ende Dezember 2025 nach einem Angriff auf einen polnischen Energieversorger entdeckte. ESET erkennt sie als Win32/KillFiles.NMO. Die Malware überschreibt Dateien mit einem 16-Byte-Zufallspuffer, wirkt auf Wechseldatenträger und feste Laufwerke und erzwingt danach einen Neustart, um Systeme unbrauchbar zu machen. Sie stiehlt keine Daten, sie zerstört sie.
Sandworm gilt als Einheit des russischen Militärnachrichtendienstes GRU und trägt weitere Namen wie APT44, Seashell Blizzard und UAC-0113. Die Gruppe ist seit einem Jahrzehnt für Sabotage gegen kritische Infrastruktur bekannt, darunter die Angriffe auf das ukrainische Stromnetz 2015 und 2016. ESET ordnet DynoWiper Sandworm mit mittlerer Zuversicht zu.
Nein. Am 29. Dezember 2025 wurden drei DynoWiper-Samples in ein geteiltes Verzeichnis der Opferdomäne ausgerollt. Eine installierte EDR/XDR-Lösung blockierte die Ausführung, sodass keine Betriebsstörung eintrat. Laut Berichten waren zwei Heizkraftwerke und ein Managementsystem für erneuerbare Energien betroffen, rund 500.000 Kunden potenziell bedroht.
Wiper-Malware ist Schadsoftware, die Daten unwiderruflich löscht oder überschreibt, statt sie zu stehlen oder zu verschlüsseln. Anders als Ransomware verlangt sie kein Lösegeld und bietet keine Wiederherstellung an. Ihr Ziel ist die Verfügbarkeit: Systeme sollen ausfallen. Deshalb helfen gegen Wiper vor allem unveränderliche Offline-Backups und schnelle Angriffserkennung.
Der Fall zeigt, dass zerstörerische Malware nicht mehr nur ein ukrainisches Kriegsszenario ist, sondern die dezentrale Energieversorgung eines EU-Nachbarlands trifft. Für deutsche Versorger gelten NIS2, das KRITIS-Dachgesetz und der IT-Sicherheitskatalog nach Paragraf 5c EnWG. Praktisch heißt das: flächendeckendes EDR/XDR, strikte Trennung von IT und OT, unveränderliche Backups und ein 24-Stunden-Meldeprozess.