Cl0p führt knapp 50 Konzerne auf seiner Leak-Seite, darunter Shell, Philips, General Electric und Fiserv. Als Einfallstor diente laut Reuters eine Lücke in PTC Windchill, dem System, in dem Industriebetriebe ihre Konstruktionszeichnungen verwalten. Weltweit standen weniger als 100 solcher Server offen im Netz.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die Windchill-Lücke CVE-2026-12569 erreicht nach CVSS 3.1 den Wert 9,8 und erlaubt Angreifern, ohne Zugangsdaten fremden Code auszuführen.[1] PTC lieferte die Korrektur am 17. Juni 2026, acht Tage später setzte die US-Behörde CISA den Bundesbehörden eine Frist von drei Tagen.[2] Die Erpresser-Mails gingen am 19. und 20. Juli hinaus. Philips bestätigte einen kompromittierten internen Server, Fiserv fand keine Hinweise auf abgeflossene Kundendaten.
Das Wichtigste in Kürze
- Cl0p listet knapp 50 Unternehmen, Reuters konnte die Behauptung nicht überprüfen.
- CVE-2026-12569 in PTC Windchill und FlexPLM erlaubt Fernsteuerung ohne Anmeldung, Schweregrad 9,8.
- Censys zählte weniger als 100 erreichbare Windchill-Server, bei MOVEit waren 2023 über 2.000 offen.
- Konstruktionsdaten sind keine personenbezogenen Daten, die 72-Stunden-Meldung nach Artikel 33 DSGVO greift meist nicht.
Wie kamen die Angreifer in die PLM-Server?
Zwei Fehler in Reihe. Der Angriff beginnt am WSDL-Endpunkt von FlexPLM, den Windchill ohne Anmeldung ausliefert. Der Abruf verrät Version und Aufbau der Installation. Damit steht die Zielliste. Danach greift der eigentliche Fehler im Login-Servlet: Windchill nimmt ein serialisiertes Java-Objekt entgegen und packt den Inhalt aus, bevor sich jemand angemeldet hat.[1]
Die Hintertür bleibt. Auf diesem Weg legten die Angreifer JSP-Dateien mit hexadezimalen Namen unter /Windchill/login/ ab und listeten das Dateisystem in einer Datei namens flst.txt auf.[4] Ein nachgeschobener Patch räumt diese Webshell nicht weg. Wie kurz die Frist bis zum ersten Zugriff ausfällt, zeigte zuletzt die SharePoint-Lücke CVE-2026-55040.
Warum reichen 80 Server für knapp 50 Konzerne?
Kleine Angriffsfläche. Censys zählte ab dem 1. Juni 2026 weniger als 100 erreichbare Windchill-Installationen, am 20. Juli noch rund 80, davon 80 Prozent in den USA.[3] Bei MOVEit standen 2023 mehr als 2.000 Instanzen offen. Auf jedem Windchill-Server liegt dafür mehr: Konstruktionszeichnungen, Stücklisten, Prüfberichte und Projektpläne eines ganzen Produktportfolios.
Ein bekanntes Muster. Brandon Parsons, Threat Intelligence Manager bei Ascent Solutions, ordnet die Gruppe so ein: „Die Angreifer zielen nicht auf ein bestimmtes Unternehmen, sondern auf eine bestimmte Zero-Day-Lücke, die sie dann konsequent ausnutzen.“ Dieselbe Choreografie lief bei Accellion, GoAnywhere, MOVEit, Cleo und Oracle. Massenerpressung über eine Plattform kennt der Markt seit dem Salesforce-Datendiebstahl durch ShinyHunters.
Auf einem Windchill-Server im offenen Netz liegt das Archiv der gesamten Entwicklungsabteilung. Deutsche Maschinenbauer sollten deshalb nicht nur patchen, sondern belegen können, dass sie diese Zeichnungen überhaupt geschützt haben.
— Markus Seyfferth, Chefredakteur Dr. Web
Stand 13. August 2026. Die Zahl der erreichbaren Instanzen stammt aus den Scans von Censys, die Schwere aus der National Vulnerability Database.
Im Internet erreichbare Instanzen je Cl0p-Kampagne
Was gilt jetzt für deutsche Industriebetriebe?
Die Meldepflicht greift oft nicht. Konstruktionszeichnungen sind keine personenbezogenen Daten, ihr Abfluss löst die 72-Stunden-Meldung nach Artikel 33 DSGVO in aller Regel nicht aus. Nach § 32 BSIG melden allein NIS2-regulierte Einrichtungen, binnen 24 Stunden eine Erstmeldung. Brüssel hat zugleich 28.700 Mittelständler von der NIS2-Hauptlast befreit, womit ein großer Teil des Maschinenbaus ohne Meldeweg dasteht.
Der Geheimnisschutz wackelt. Nach § 2 Nummer 1 GeschGehG gilt eine Information nur als Geschäftsgeheimnis, sofern der Inhaber angemessene Geheimhaltungsmaßnahmen getroffen hat. Ein ungepatchter, aus dem Internet erreichbarer PLM-Server mit einer im CISA-Katalog geführten Lücke ist vor Gericht ein schwaches Argument.[2] Mit dem Status fallen die Unterlassungs- und Schadensersatzansprüche gegen jeden, der die Zeichnungen später verwendet.
Zwei Prüfungen für diese Woche. Sehen Sie im Verzeichnis /Windchill/login/ gerne nach hexadezimal benannten JSP-Dateien und nach flst.txt. Prüfen Sie danach die Zugriffslogs auf Abrufe mit ?wsdl und dokumentieren Sie Ihre Schutzmaßnahmen für die Konstruktionsdaten, von den Zugriffsrechten bis zur Protokollierung. Das technische Minimum für den Mittelstand steht in unseren Cybersecurity-Grundlagen.
Quellen
[1] National Vulnerability Database: „CVE-2026-12569 Detail“
[2] Cybersecurity and Infrastructure Security Agency: „Known Exploited Vulnerabilities Catalog“
[3] Censys: „A Chill in the Air: Cl0p Targets Windchill, Another Enterprise Software Product“
[4] Ransom-ISAC: „Cl0p Exploitation of PTC Windchill & FlexPLM (CVE-2026-12569)“
Mehr Newshunger?
- Offener Gastzugang: 17 Monate las ein Fremder in Salesforce- und ServiceNow-Portalen
- SharePoint-Lücke CVE-2026-55040: Ein Tag zwischen Beispielcode und erstem Angriff
- Gunra-Ransomware: Zwei alte Fortinet-Lücken öffnen die Firewall
- Metabase-Sicherheitslücke: Angreifer stehlen Kundendaten über die Analyse-Plattform
- Marinedrohne funkt nach China: die blinde Stelle bei chinesischen Komponenten
- Cybersecurity Grundlagen: Was KMU 2026 können müssen
