Der neue Bericht „Nation-Aligned APTs in 2025“ dokumentiert eine deutliche Eskalation staatlicher Cyberoperationen im Umfeld des Ukraine-Kriegs. Der Report analysiert erstmals koordinierte Angriffe russisch-verbundener Gruppen auf Energieinfrastruktur in NATO-Staaten und bewertet das vergangene Jahr als Wendepunkt hybrider Kriegsführung im Cyberraum. Ein APT-Report von TrendAI.
Am 29. Dezember 2025 attackierten russlandnahe Cyberangreifer rund 30 Wind- und Solarparks, ein Privatunternehmen sowie ein Heizkraftwerk in Polen, das eine halbe Million Menschen versorgt. Sie setzten die Schadsoftware DynoWiper und LazyWiper ein, um Systemdaten zu überschreiben und den Master Boot Record zu zerstören. Die Stromversorgung blieb stabil, da die Attacke rechtzeitig eingedämmt werden konnte. Dennoch markiert der Vorfall eine klare Eskalation: Akteure mit Verbindungen zu Russland greifen nicht mehr nur ukrainische Stromnetze an, sondern auch die Energieinfrastruktur verbündeter Staaten.
Ukraine als Testfeld für Cyberwaffen
🔎 Der vollständige Report Nation-Aligned APTs in 2025: AI-Fueled Threats and the Shifting Global Cyber Balance ist online frei verfügbar (Bild: TrendAI).
Der Report dokumentiert kontinuierliche Angriffe auf ukrainische Infrastruktur durch mehrere russlandnahe Cyberakteure. Die Gruppe Sandworm attackierte Logistiknetzwerke, Getreideanlagen-Hersteller und Eisenbahnbetreiber mit zerstörerischer Schadsoftware. Ziel war die direkte Störung der wirtschaftlichen Stabilität und der militärischen Versorgungslinien. Bei Angriffen auf Energieversorger, Wasserwerke und Heizungsanlagen setzten die Angreifer mehrstufige Attacken ein, die auf langfristige Informationsbeschaffung und anschließende Zerstörung ausgelegt waren.
Die Gruppe Pawn Storm (APT28) griff westliche Logistik- und Technologieunternehmen an, die die Ukraine unterstützen. Frankreich und die USA veröffentlichten 2025 offizielle Warnungen und ordneten Angriffe öffentlich dem russischen Militärgeheimdienst zu – ein ungewöhnlich scharfer diplomatischer Schritt.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenKI-gestützte Malware im Einsatz
Eine technologische Zäsur stellt der erstmalige Einsatz von KI in aktiver Schadsoftware dar. Die von Pawn Storm eingesetzte Malware LAMEHUG generiert Befehle dynamisch über große Sprachmodelle (LLMs). Dies ermöglicht eine Anpassung an Verteidigungsmaßnahmen in Echtzeit. TrendAI bewertet diese Entwicklung als Beginn einer neuen Phase, in der Angreifer KI nicht mehr nur zur Vorbereitung, sondern direkt im operativen Einsatz nutzen.
Nordkorea als Partner im Cyberkrieg
Der Report dokumentiert eine vertiefte Zusammenarbeit zwischen Russland und Nordkorea. Ein 2025 geschlossener Verteidigungspakt ermöglicht Nordkorea Zugang zu Hochleistungsrechnern, die das Regime für KI-gestützte Cyberkriminalität nutzt – insbesondere für automatisierten Kryptowährungsdiebstahl und Deepfake-basiertes Social Engineering. Im Gegenzug entsendet Nordkorea Personal und Drohnenaufklärung an die ukrainische Front.
Bemerkenswert ist, dass nordkoreanische Hackergruppen dennoch auch russische Regierungsstellen ausspionieren. Die Gruppe Earth Imp (KONNI) attackierte das russische Außenministerium – offenbar um die eigene Verhandlungsposition gegenüber dem nominellen Verbündeten zu stärken.
Cyberraum und Schlachtfeld verschmelzen
Erkenntnisse über die Synchronisierung von Cyberoperationen mit militärischen Aktionen sind ein Leitthema des gesamten Reports: Nordkoreanische Drohnenaufklärung in der Ukraine erfolgte parallel zu Cyberkampagnen. Sabotage-Attacken auf Energie- und Verkehrsnetze begleiteten Bodenoffensiven. Spionagekampagnen fanden zeitgleich mit diplomatischen Verhandlungen statt. Diese Verzahnung zeigt: Cyberangriffe sind kein isoliertes Phänomen mehr, sondern integraler Bestandteil moderner Kriegsführung.
Internationale Reaktionen
Westliche Staaten verstärkten 2025 ihre Gegenmaßnahmen. NATO-Mitglieder intensivierten den Informationsaustausch über das Cyber Defence Centre. Die EU verhängte Sanktionen gegen Einzelpersonen und Organisationen. Japan verurteilte erstmals öffentlich spezifische Bedrohungsgruppen. Eine gemeinsame G7-Erklärung forderte koordiniertes Vorgehen gegen staatliche Cyberaktivitäten. Diese Maßnahmen erhöhen den diplomatischen Druck, können laufende Angriffe jedoch nicht unmittelbar stoppen.
Handlungsempfehlungen für Unternehmen
TrendAI™ empfiehlt Unternehmen, geopolitische Risiken in ihre Sicherheitsstrategien zu integrieren. Insbesondere Unternehmen in den Bereichen Energie, Transport, Logistik und Fertigung sowie Betreiber Kritischer Infrastrukturen müssen staatliche Angriffsszenarien in ihre Notfallplanung einbeziehen. Zentral sind die Zusammenarbeit mit Behörden und Branchenpartnern, regelmäßige Incident-Response-Übungen unter Einbeziehung von APT-Szenarien sowie auf technischer Ebene eine Netzwerksegmentierung, die den Schaden bei erfolgreichen Angriffen begrenzt.
Mehr bei TrendMicro.com
Über TrendAI TrendAI, ein Geschäftsbereich von Trend Micro und einer der weltweit führenden Anbieter von KI-Sicherheit, unterstützt Unternehmen dabei, Innovationen mutig voranzutreiben, indem er KI, Cloud-Umgebungen, Netzwerke, Endpunkte und Daten über die moderne Angriffsfläche hinweg absichert. Im Zentrum steht TrendAI Vision One™, eine einheitliche Cybersicherheitsplattform, die das Management von Cyberrisiken und Sicherheitsoperationen zentralisiert, um den gesamten KI-Lebenszyklus von der Infrastruktur über Modelle bis hin zu den Nutzern zu schützen. In diese Plattform fließen weltweit einzigartige Threat Intelligence und Forschungsergebnisse ein, die dabei helfen, Unternehmen vor Hunderten Millionen von Bedrohungen täglich zu schützen. Mit 6.000 TrendAI™ Experten in 75 Ländern versetzt TrendAI™ Sicherheitsverantwortliche in die Lage, Bedrohungen voraus zu sein und proaktive Sicherheit über die gesamte Angriffsoberfläche voranzutreiben. Dazu zählen kritische Umgebungen wie AWS, Google, Microsoft und NVIDIA. AI Fearlessly.
Passende Artikel zum Thema
Geopolitische Eskalation: TrendAI-Report belegt koordinierte APT-Angriffe auf NATO-Energieversorger und KI-Malware
Fachliche Einordnung Die Fachplattform B2BCS ordnet die Erkenntnisse aus dem aktuellen TrendAI-Bericht „Nation-Aligned APTs in 2025“ als sicherheitspolitischen Wendepunkt für den DACH-Raum ein. Die Bedrohungslage hat eine neue, kinetisch-hybride Qualitätsstufe erreicht: Russlandnahe APT-Gruppen beschränken ihre destruktiven Sabotageakte nicht mehr nur auf das ukrainische Staatsgebiet, sondern attackieren gezielt die kritische Infrastruktur (KRITIS) von NATO-Mitgliedstaaten. Der koordinierte Großangriff auf polnische Energie- und Wärmenetze am Jahresende 2025 markiert das Ende einer Ära, in der westliche Versorger primär im Fokus von Spionage- statt von Zerstörungskampagnen standen.
Key-Takeaways
- Gezielte Sabotage an NATO-Infrastruktur: Der Angriff auf polnische Solar- und Windparks sowie ein Heizkraftwerk demonstriert den Übergang zu destruktiven Operationen im Westen. Zum Einsatz kamen die Wiper-Malware-Familien DynoWiper und LazyWiper, die darauf ausgelegt sind, den Master Boot Record (MBR) von Systemen irreparabel zu zerstören.
- Militärische Synchronisation durch Sandworm: Die berüchtigte Gruppierung Sandworm fokussiert sich auf die Zerschlagung von Logistikketten, Getreideanlagen und Eisenbahnbetreibern, um Transport- und Versorgungslinien strategisch parallel zu militärischen Bodenoffensiven zu sabotieren.
- Technologische Zäsur durch generative KI-Malware: Die Gruppe Pawn Storm (APT28), die dem russischen Militärgeheimdienst GU (ehemals GRU) zugeordnet wird, setzt mit LAMEHUG erstmals eine Malware ein, die ihre Befehlsstrukturen dynamisch über Large Language Models (LLMs) generiert. Dies erlaubt es der Schadsoftware, sich in Echtzeit an die Abwehrmuster von Endpoint-Detection-Systemen anzupassen.
- Die Achse Moskau-Phönjan: Ein bilateraler Verteidigungspakt gewährt Nordkorea Zugriff auf russische Hochleistungsrechner, die das Regime für automatisierte Krypto-Diebstähle und Deepfake-basiertes Social Engineering nutzt. Trotz der Allianz spioniert die nordkoreanische Gruppe Earth Imp (KONNI) weiterhin das russische Außenministerium aus, um geopolitische Hebel aufrechtzuerhalten.
Strategische Analyse Für CISOs, IT-Sicherheitsverantwortliche in Energie- und Versorgungsunternehmen sowie KRITIS-Betreiber im DACH-Raum verdeutlicht die TrendAI-Analyse, dass die Trennlinie zwischen physischem Schlachtfeld und digitalem Raum endgültig kollabiert ist. Der Einsatz von KI-gesteuerter, adaptiver Malware wie LAMEHUG hebelt traditionelle, signaturbasierte Erkennungsmechanismen vollständig aus. Wenn Schadcode in der Lage ist, seine Verhaltensweise und Payload autonom während der Ausführung anzupassen, mutieren Verteidigungsmaßnahmen zu einem asymmetrischen Wettlauf gegen die Zeit. Die geopolitische Motivation der Angreifer zielt nicht auf monetäre Erpressung ab, was klassische Business-Continuity-Strategien (wie das Verhandeln mit Ransomware-Akteuren) komplett obsolet macht.
Handlungsempfehlung: Unternehmen im KRITIS-Umfeld sowie in den Sektoren Transport, Fertigung und Logistik müssen ihre Cyberresilienz auf staatlich gelenkte Sabotageszenarien ausrichten.
- Einführung von proaktivem Wiper-Schutz und unveränderlichen Backups: Da Gruppen wie Sandworm und Pawn Storm auf die totale Systemzerstörung (MBR-Wiping) setzen, müssen Backups architektonisch isoliert sein. Unverzichtbar sind Immutable Backups (unveränderliche Datensicherungen), die physisch oder logisch über ein Air-Gap-System vom Kernnetzwerk getrennt sind und nicht verschlüsselt oder gelöscht werden können.
- Strikte Netzwerksegmentierung zwischen IT und OT: Die operativen Steuerungssysteme (OT/ICS) von Energie- und Industrieanlagen müssen physisch und logisch strikt von den klassischen Unternehmensnetzwerken (IT) separiert werden. Der Übergang darf nur über stark reglementierte Demilitarized Zones (DMZs) mit obligatorischer Multi-Faktor-Authentifizierung erfolgen, um laterale Bewegungen von KI-Malware zu blockieren.
- Integration geopolitischer Indikatoren in das Threat Intelligence Management: Sicherheitsabteilungen sollten globale Bedrohungsdaten (Cyber Threat Intelligence) in Echtzeit in ihr SOC einspeisen. Erkennungsregeln müssen gezielt auf die Taktiken, Techniken und Prozeduren (TTPs) von Akteuren wie APT28 und Sandworm angepasst und Incident-Response-Playbooks im Rahmen von simulierten APT-Krisenübungen regelmäßig durchgespielt werden.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200