PTC Windchill: Warum eine bekannte Sicherheitslücke Monate später zuschlägt
Am 17. August bestätigten General Electric und Philips, dass sie einen Datenabfluss prüfen; Shell hatte sich schon eine Woche zuvor gemeldet. Hinter allen dreien stehen dieselbe Erpresserbande und dieselbe Softwarelücke. Und vor genau dieser Lücke hat das Bundesamt für Sicherheit in der Informationstechnik bereits im Juni Admins nachts aus dem Bett geklingelt.
Was tatsächlich passiert ist
Die Erpressergruppe Clop hat laut BleepingComputer (17. August 2026) 43 neue Opfer auf ihre Leak-Seite gesetzt, darunter General Electric, Philips und Shell. Angegriffen wurden über das Internet erreichbare Instanzen der PTC-Systeme Windchill und FlexPLM über die Schwachstelle CVE-2026-12569 — eine unsichere Deserialisierung, die Angreifer ohne vorherige Anmeldung ausnutzen können. PTC veröffentlicht seit dem 17. Juni Patches. Die US-Sicherheitsbehörde CISA bestätigte die aktive Ausnutzung und nahm die Lücke am 25. Juni in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Wie heise online berichtet, warnte das BSI im Juni deutsche Windchill-Kunden mit nächtlichen Anrufen und E-Mails. Clop will unter anderem Backups, Projektpläne, Zeichnungen und Baupläne erbeutet haben; die Bande setzt dabei JSP-Webshells ein, um Daten abzuziehen (BleepingComputer, 18. August 2026).
Meine Einordnung
Das Interessante an diesem Fall ist nicht die Kriminalität, sondern das Timing. Die Lücke war seit Mitte Juni bekannt, sie war gepatcht, und sie wurde mit einer Dringlichkeit kommuniziert, die es in Deutschland selten gibt — inklusive Anrufen um 2:30 Uhr. Zwei Monate später sitzt dieselbe Lücke auf einer Erpresserseite und hat Konzerne aus Luft- und Raumfahrt, Automobilbau und Medizintechnik erwischt. Wer diesen Abstand zwischen Warnung und Schaden allein auf die Opfer schiebt, macht es sich zu einfach. Wer ihn ignoriert, wiederholt ihn. In meiner Erfahrung verschwindet eine solche Warnung im Betrieb schnell unter „Aufgabe für die IT". Genau dort gehört sie nicht hin.
PLM-Systeme wie Windchill und FlexPLM führen im Unternehmen ein Nischendasein: Sie stehen selten im klassischen IT-Budget, werden oft vom Engineering verantwortet, von einem Dienstleister administriert — und sie haben einen offenen Weg ins Internet, weil Zulieferer und Entwicklungspartner zugreifen müssen. In Mandaten, gerade im Industriegürtel zwischen München, Augsburg und Fürstenfeldbruck, sehe ich regelmäßig, dass niemand mit Bestimmtheit sagen kann, wer die Instanz patcht, wer sie administriert und welche dieser Systeme überhaupt aus dem Netz erreichbar sind. Die Daten darin — Zeichnungen, Projektpläne, Baupläne — sind das Kronjuwel. Ein Angriff auf ein PLM-System ist Industriespionage mit Zahlungsaufforderung.
Der naheliegende Reflex lautet „mehr Firewall". Ich halte das für die falsche Priorität. Ein Pre-Auth-Exploit mit Höchstwertung auf einer exponierten Instanz ist kein Patchproblem, sondern ein Verantwortungsproblem. Solange ein System, das den halben Entwicklungsbetrieb trägt, keinen benannten Verantwortlichen und keinen Zugangskanal hat, der nicht einfach offen im Netz steht, hilft die dickste Firewall nicht. Und das eigentliche Hindernis ist betrieblich: Patchfenster kollidieren im Projektbetrieb mit Change-Freezes. Genau daran scheitert die Umsetzung, nicht an der Technik.
Was Sie jetzt konkret tun können
1. Systeminventar anlegen. Listen Sie alle PDM-/PLM-/CAD-Plattformen (Windchill, FlexPLM, Freigabelaufwerke) und markieren Sie jedes System, das einen Weg ins Internet hat.
2. Patchstand abgleichen. Prüfen Sie Ihre Versionen gegen das PTC-Advisory und bringen Sie sie auf die gepatchen Stände.
3. Kompromittierung ausschließen. Suchen Sie nach den von PTC genannten Merkmalen — etwa JSP-Webshells und den angreiferspezifischen HTTP-Header X-windchill-req.
4. Externen Zugriff neu ordnen. Schließen Sie, wo es geht; wo nicht, über VPN oder Zertifikate statt über ein offenes Webinterface.
5. Verantwortlichkeit schriftlich festhalten. Wer patcht, wer überwacht, wen ruft man nachts? Prüfen Sie den Vertrag mit Ihrem PLM-Dienstleister auf genau diese Punkte.
Wenn eine erreichbare Instanz niemand sauber administriert oder ein Vorfallverdacht im Raum steht, holen Sie sich Unterstützung — das ist kein Nebenbei-Job für zwischendurch. Wie ich solche Fälle strukturiere, steht unter IT-Security; wenn Sie die Zuständigkeiten in Ihren IT- und OT-Projekten neu ordnen wollen, ist die IT-Projektsteuerung der richtige Einstieg.
Quellen
- BleepingComputer, „Philips and GE investigating Clop ransomware data theft claims", 17.08.2026 — https://www.bleepingcomputer.com/news/security/philips-and-ge-investigating-clop-ransomware-data-theft-claims/
- BleepingComputer, „Clop created custom web shell for Windchill data theft attacks", 18.08.2026 — https://www.bleepingcomputer.com/tag/Clop/
- heise online, „PTC Windchill: BSI ruft Admins nachts wegen kritischer Sicherheitslücke an", Juni 2026 — https://www.heise.de/news/PTC-Windchill-BSI-ruft-Admins-nachts-wegen-kritischer-Sicherheitsluecke-an-11338090.html
Häufige Fragen
„Wir haben im Juni gepatcht — sind wir aus dem Schneider?"
Für diese Lücke ja, wenn der Patchstand stimmt und die Instanz nicht unnötig im Netz stand. Generell nein. Clop hat in den Jahren davor Accellion, GoAnywhere, MOVEit und Oracle EBS auf demselben Weg genommen. Das Muster wiederholt sich — das nächste Ziel auch.
„Betrifft das auch kleinere Zulieferer?"
Ja. Betroffen ist, wer eine erreichbare Windchill- oder FlexPLM-Instanz betreibt. Für die Bande ist ein kleiner Zulieferer mit einem einzigen exponierten System oft attraktiver als ein Konzern, weil dort selten ein Security-Team hinschaut.
„Müssen wir selbst nach Webshells suchen?"
Wenn Ihre Instanz erreichbar war und Sie den Patchstand nicht sicher kennen: ja. PTC nennt konkrete Merkmale. Die Suche auf einem PLM-Server ist aber kein Job für zwischendurch — im Zweifel gehört jemand mit Erfahrung drauf.
Eigene Einordnung, keine Rechtsberatung. Quellen: BleepingComputer, „Philips and GE investigating Clop ransomware data theft claims", 17.08.2026 — https://www.bleepingcomputer.com/news/security/philips-and-ge-investigating-clop-ransomware-data-theft-claims/ · BleepingComputer, „Clop created custom web shell for Windchill data theft attacks", 18.08.2026 — https://www.bleepingcomputer.com/tag/Clop/ · heise online, „PTC Windchill: BSI ruft Admins nachts wegen kritischer Sicherheitslücke an", Juni 2026 — https://www.heise.de/news/PTC-Windchill-BSI-ruft-Admins-nachts-wegen-kritischer-Sicherheitsluecke-an-11338090.html