Was Clop tatsächlich erbeutet hat

Clops Behauptungen von Mitte August nannten Shell, Philips, General Electric und Fiserv unter fast 50 Unternehmen, die nach eigenen Angaben über PTC Windchill und FlexPLM getroffen wurden, die Product-Lifecycle-Management-Software, mit der viele Hersteller CAD-Konstruktionen, Stücklisten und Werksprüfdokumentation verwalten. Shell bestätigte lediglich, sich eines möglichen Vorfalls bewusst zu sein und diesen mit internen und externen Sicherheitsteams zu untersuchen, nachdem Clop behauptet hatte, rund 89 GB vom Unternehmen erbeutet zu haben - beschrieben als technische Zeichnungen, gescannte Werksprüfberichte, Anlagenfotos und Projektpläne.

Philips erklärte, Clop habe versucht, einen Unternehmensserver mit internen Daten zu kompromittieren, der Versuch sei erkannt und eingedämmt worden, Kundenumgebungen seien nicht betroffen gewesen. Fiserv erklärte, die eigene Untersuchung habe keine Hinweise darauf gefunden, dass Kundendaten, Bankinformationen, Transaktionsdaten oder personenbezogene Daten kompromittiert wurden. Reuters, das über die breitere Kampagne berichtete, erklärte, es könne den Umfang oder die Menge dessen, was Clop tatsächlich entwendet hat, nicht unabhängig verifizieren - ein Vorbehalt, der für jede Zahl in dieser Geschichte gilt, die von der Erpressergruppe selbst stammt und nicht von den Opfern oder einer unabhängigen forensischen Prüfung.

Ein Patch, der zwei Monate Zeit hatte zu wirken

CVE-2026-12569 ist eine kritische, unauthentifizierte Remote-Code-Execution-Lücke in PTC Windchill und FlexPLM mit einem CVSS-Wert von 9,3. PTC begann Mitte Juni 2026 mit der Veröffentlichung von Patches. Die CISA nahm die Lücke rund um den 25. Juni in ihren Known-Exploited-Vulnerabilities-Katalog auf, setzte eine Behebungsfrist zum 28. Juni für US-Bundesbehörden und bestätigte, dass die Ausnutzung bereits lief. PTC selbst warnte Kunden in den folgenden Tagen vor erhöhter Bedrohungsaktivität, und Sicherheitsforscher berichteten, dass bis Ende Juni JSP-Webshells auf ungepatchten Windchill-Servern platziert wurden.

Berichten zufolge begannen betroffene Organisationen ab Mitte bis Ende Juli, Erpresserschreiben von Clop zu erhalten - rund einen Monat nach dem Patch und der KEV-Aufnahme. Die Massenoffenlegung der Opfer, die Shell, Philips, GE und Fiserv nannte, wurde erst Mitte August öffentlich, fast zwei Monate nachdem PTCs Fix verfügbar war und die eigene Frist der CISA für Bundesbehörden verstrichen war. Der Abstand zwischen der Verfügbarkeit eines Patches und der öffentlichen Bekanntheit einer Massenausnutzung ist das vertraute Muster einer Clop-Kampagne - derselben Gruppe hinter den MOVEit- und GoAnywhere-Wellen -, doch die Zielkategorie ist hier neu: keine Dateiübertragungssoftware, sondern die Systeme, in denen die tatsächlichen Produktentwürfe eines Herstellers liegen.

Die Meldelücke, in die das fällt

Ein Diebstahl von Kundendaten löst einen eingespielten Compliance-Reflex aus: die 72-Stunden-Frist der DSGVO prüfen, bewerten, ob personenbezogene Daten betroffen waren, die zuständige Datenschutzbehörde informieren. Ein Diebstahl technischer Zeichnungen, Werksprüfberichte und Projektpläne löst nichts davon aus, weil nichts davon personenbezogene Daten im Sinne der DSGVO sind. Genau das macht diese Vorfallklasse leicht innerhalb der eigenen Compliance-Kartierung eines Herstellers zu unterschätzen.

Die NIS2-Richtlinie der EU arbeitet mit einem anderen Auslöser: Sie verpflichtet wesentliche und wichtige Einrichtungen - eine Kategorie, die ausdrücklich Energieversorger wie Shell und Gesundheitshersteller wie Philips einschließt - dazu, signifikante Vorfälle zu melden, unabhängig davon, ob personenbezogene Daten betroffen waren. Ein PLM-Vorfall, der nie einen einzigen Kundendatensatz berührt, kann dennoch die Schwelle für einen meldepflichtigen Vorfall nach NIS2 erreichen, wenn er die Vertraulichkeit, Integrität oder Verfügbarkeit von Systemen betrifft, auf die die Einrichtung angewiesen ist. Ein Compliance-Team, das seine Meldepflicht-Logik nur um DSGVO-Auslöser herum aufgebaut hat, läuft real Gefahr, diese Pflicht vollständig zu übersehen - nicht weil die Regel unklar ist, sondern weil der Vorfall nicht wie die Art von Datenpanne aussieht, auf die die DSGVO alle geschult hat.

Was Hersteller jetzt konkret prüfen sollten

Jede Organisation, die PTC Windchill oder FlexPLM betreibt, sollte unabhängig davon, ob sie von Clop gehört hat, bestätigen, dass die Juni-Patches eingespielt sind, und Protokolle aus dem Zeitfenster zwischen erster Offenlegung und Patch auf die von Sicherheitsforschern veröffentlichten JSP-Webshell-Indikatoren hin überprüfen. Diese Prüfung zählt unabhängig von der Unternehmensgröße: Clops Kampagnen liefen historisch über opportunistisches Scannen internetzugänglicher Instanzen, nicht über die gezielte Auswahl bekannter Namen.

Die zweite Prüfung ist organisatorisch, nicht technisch: Enthält Ihr Playbook für Vorfallreaktion und regulatorische Meldung einen Auslöser für die NIS2-Meldepflicht signifikanter Vorfälle, der nicht davon abhängt, ob personenbezogene Daten betroffen sind? Wenn die Antwort nur die DSGVO abdeckt, könnte ein PLM-Vorfall genau wie dieser den eigenen Compliance-Prozess durchlaufen, ohne je einen Alarm auszulösen - bis eine Vertragspartei oder eine Aufsichtsbehörde fragt, warum er nicht gemeldet wurde.

Weiterlesen: Deutschlands NIS2-Schonfrist ist vorbei  |  361 vCenter-Server vor KEV-Listung angegriffen