Von der GRU unterstützter Z-Pentest-Cyberangriff auf das Wasserwerk Tureby Alkestrup: Rohrbrüche und Wasserausfälle in Køge, Dänemark

Ende 2024 griff die prorussische Hackergruppe Z-Pentest über einen im Internet zugänglichen VNC-Dienst, der durch ein schwaches Passwort oder ein Standardpasswort geschützt war, auf die Mensch-Maschine-Schnittstelle des Wasserwerks Tureby Alkestrup in Køge, Dänemark, zu. Mithilfe von Open-Source-Scan-Tools zur Identifizierung des exponierten Geräts und mithilfe von Passwort-Brute-Force zur Authentifizierung manipulierten die Angreifer die Wasserdruckkontrollen über den HMI, was zum Platzen von drei Wasserleitungen führte. Ungefähr 50 Haushalte in Køge hatten sieben Stunden lang keinen Wasseranschluss; Etwa 450 weitere Haushalte verloren für eine Stunde ihre Versorgung. Jan Hansen, Leiter des Wasserwerks, bestätigte den Angriff und räumte ein, dass das Versorgungsunternehmen in der Zeit vor dem Einbruch auf eine günstigere und weniger sichere Cybersicherheitslösung umgestiegen sei. Der dänische Verteidigungsnachrichtendienst (DDIS) schrieb den Angriff am 19. Dezember 2025 öffentlich Z-Pentest zu. Es war das erste Mal, dass dänische Behörden offiziell einen Cyberangriff, der Schäden an der physischen Infrastruktur verursachte, einem mit Russland verbundenen Akteur zuschrieben. Die CISA-Beratung AA25-343A (9. Dezember 2025), die gemeinsam mit FBI, NSA und internationalen Partneragenturen herausgegeben wurde, dokumentiert die Betriebsmethodik von Z-Pentest: Scannen nach mit dem Internet verbundenen VNC-Diensten auf den Standardports 5900 bis 5910, Brute-Force für schwache oder Standardkennwörter und Erteilen von Befehlen direkt über HMI ohne Bereitstellung jegliche Malware. Das Gutachten identifiziert Wasser- und Abwassersysteme als primären Zielsektor. Das US-Justizministerium bestätigte am 10. Dezember 2025, dass CyberArmyofRussia_Reborn (CARR), die Organisation, von der sich die Gründungsmitglieder von Z-Pentest im September 2024 trennten, vom russischen Militärgeheimdienst (GRU) „gegründet, finanziert und geleitet“ wurde.

In Køge, Dänemark, brachen drei Wasserleitungen. Ungefähr 50 Haushalte verloren sieben Stunden lang die Wasserversorgung; Bei etwa 450 weiteren Haushalten kam es zu etwa einstündigen Ausfällen. Es wurden keine Verletzungen gemeldet und es wurden keine Probleme mit der Wasserqualität festgestellt. Die finanziellen Kosten für das Versorgungsunternehmen wurden nicht öffentlich bekannt gegeben.