Wien, 02. Juni 2026 – Der neue Bericht „Nation-Aligned APTs in 2025“ von TrendAI™, dem Enterprise-Cybersecurity-Geschäftsbereich von Trend Micro, dokumentiert eine deutliche Eskalation staatlicher Cyberoperationen im Umfeld des Ukraine-Kriegs. Der Report analysiert erstmals koordinierte Angriffe russisch-verbundener Gruppen auf Energieinfrastruktur in NATO-Staaten und bewertet das vergangene Jahr als Wendepunkt hybrider Kriegsführung im Cyberraum.
Am 29. Dezember 2025 attackierten russlandnahe Cyberangreifer rund 30 Wind- und Solarparks, ein Privatunternehmen sowie ein Heizkraftwerk in Polen, das eine halbe Million Menschen versorgt. Sie setzten die Schadsoftware DynoWiper und LazyWiper ein, um Systemdaten zu überschreiben und den Master Boot Record zu zerstören. Die Stromversorgung blieb stabil, da die Attacke rechtzeitig eingedämmt werden konnte. Dennoch markiert der Vorfall eine klare Eskalation: Akteure mit Verbindungen zu Russland greifen nicht mehr nur ukrainische Stromnetze an, sondern auch die Energieinfrastruktur verbündeter Staaten.
Ukraine als Testfeld für Cyberwaffen
Der Report dokumentiert kontinuierliche Angriffe auf ukrainische Infrastruktur durch mehrere russlandnahe Cyberakteure. Die Gruppe Sandworm attackierte Logistiknetzwerke, Getreideanlagen-Hersteller und Eisenbahnbetreiber mit zerstörerischer Schadsoftware. Ziel war die direkte Störung der wirtschaftlichen Stabilität und der militärischen Versorgungslinien. Bei Angriffen auf Energieversorger, Wasserwerke und Heizungsanlagen setzten die Angreifer mehrstufige Attacken ein, die auf langfristige Informationsbeschaffung und anschließende Zerstörung ausgelegt waren.
Die Gruppe Pawn Storm (APT28) griff westliche Logistik- und Technologieunternehmen an, die die Ukraine unterstützen. Frankreich und die USA veröffentlichten 2025 offizielle Warnungen und ordneten Angriffe öffentlich dem russischen Militärgeheimdienst zu – ein ungewöhnlich scharfer diplomatischer Schritt.
KI-gestützte Malware im Einsatz
Eine technologische Zäsur stellt der erstmalige Einsatz von KI in aktiver Schadsoftware dar. Die von Pawn Storm eingesetzte Malware LAMEHUG generiert Befehle dynamisch über große Sprachmodelle (LLMs). Dies ermöglicht eine Anpassung an Verteidigungsmaßnahmen in Echtzeit. TrendAI bewertet diese Entwicklung als Beginn einer neuen Phase, in der Angreifer KI nicht mehr nur zur Vorbereitung, sondern direkt im operativen Einsatz nutzen.
Nordkorea als Partner im Cyberkrieg
Der Report dokumentiert eine vertiefte Zusammenarbeit zwischen Russland und Nordkorea. Ein 2025 geschlossener Verteidigungspakt ermöglicht Nordkorea Zugang zu Hochleistungsrechnern, die das Regime für KI-gestützte Cyberkriminalität nutzt – insbesondere für automatisierten Kryptowährungsdiebstahl und Deepfake-basiertes Social Engineering. Im Gegenzug entsendet Nordkorea Personal und Drohnenaufklärung an die ukrainische Front.
Bemerkenswert ist, dass nordkoreanische Hackergruppen dennoch auch russische Regierungsstellen ausspionieren. Die Gruppe Earth Imp (KONNI) attackierte das russische Außenministerium – offenbar um die eigene Verhandlungsposition gegenüber dem nominellen Verbündeten zu stärken.
Cyberraum und Schlachtfeld verschmelzen
Erkenntnisse über die Synchronisierung von Cyberoperationen mit militärischen Aktionen sind ein Leitthema des gesamten Reports: Nordkoreanische Drohnenaufklärung in der Ukraine erfolgte parallel zu Cyberkampagnen. Sabotage-Attacken auf Energie- und Verkehrsnetze begleiteten Bodenoffensiven. Spionagekampagnen fanden zeitgleich mit diplomatischen Verhandlungen statt. Diese Verzahnung zeigt: Cyberangriffe sind kein isoliertes Phänomen mehr, sondern integraler Bestandteil moderner Kriegsführung.
Internationale Reaktionen
Westliche Staaten verstärkten 2025 ihre Gegenmaßnahmen. NATO-Mitglieder intensivierten den Informationsaustausch über das Cyber Defence Centre. Die EU verhängte Sanktionen gegen Einzelpersonen und Organisationen. Japan verurteilte erstmals öffentlich spezifische Bedrohungsgruppen. Eine gemeinsame G7-Erklärung forderte koordiniertes Vorgehen gegen staatliche Cyberaktivitäten. Diese Maßnahmen erhöhen den diplomatischen Druck, können laufende Angriffe jedoch nicht unmittelbar stoppen.
Handlungsempfehlungen für Unternehmen
TrendAI™ empfiehlt Unternehmen, geopolitische Risiken in ihre Sicherheitsstrategien zu integrieren. Insbesondere Unternehmen in den Bereichen Energie, Transport, Logistik und Fertigung sowie Betreiber Kritischer Infrastrukturen müssen staatliche Angriffsszenarien in ihre Notfallplanung einbeziehen. Zentral sind die Zusammenarbeit mit Behörden und Branchenpartnern, regelmäßige Incident-Response-Übungen unter Einbeziehung von APT-Szenarien sowie auf technischer Ebene eine Netzwerksegmentierung, die den Schaden bei erfolgreichen Angriffen begrenzt.
Weitere Informationen
Den vollständigen Report Nation-Aligned APTs in 2025: AI-Fueled Threats and the Shifting Global Cyber Balance finden Sie hier:
https://www.trendmicro.com/vinfo/de/security/news/cybercrime-and-digital-threats/2025-apt-report-staying-ahead-of-the-modern-threat-landscape