Cl0p-Banden-Coup: Massiver Datendiebstahl bei Shell, Philips & Co. – die PTC-Windchill-Attacke im Detail

Am 12. August 2026 veröffentlichte die russische Erpresserbande Cl0p (auch bekannt als FIN11, Graceful Spider oder Lace Tempest) auf ihrer Dark-Web-Seite eine Liste mit fast 50 Unternehmen . Die Gruppe behauptet, sensible Firmendaten gestohlen zu haben – darunter Konstruktionspläne, technische Zeichnungen und Projektunterlagen – von Größen wie Shell, Philips, Fiserv und General Electric (GE) . Dieser Artikel analysiert den Angriff, die ausgenutzte Sicherheitslücke und die Reaktionen der betroffenen Unternehmen.

Was Cl0p behauptet

Die Behauptungen der Gruppe, über die unter anderem Reuters berichtete, sind umfangreich und detailliert. Sie sollen auf einer einzigen Sicherheitslücke beruhen, nicht auf mehreren getrennten Einbrüchen . Die erbeuteten Daten umfassen laut Cl0p:

• Shell: Rund 89 GB Daten. Darunter sollen sich Projektzeichnungen für Energieanlagen, Fotos von Industrieanlagen, Scans von Prüfberichten und detaillierte Projektpläne befinden .
• Philips: Etwa 13,5 GB Daten. Das gestohlene Material soll hauptsächlich aus Diagrammen, Bauplänen und anderen technischen Zeichnungen bestehen .
• Fiserv und GE: Diese Unternehmen wurden auf Cl0ps Seite genannt, ohne dass die Gruppe zunächst separate Datenmengen oder Inhalte bekannt gab .

Wichtige Einschränkung: Die Liste der Opfer und die behaupteten Datenmengen stammen von Cl0p selbst und wurden weder von Sicherheitsforschern noch von den genannten Unternehmen unabhängig bestätigt .

Wie die Unternehmen reagierten

Die betroffenen Konzerne haben unterschiedlich reagiert – mal mit Bestätigungen, mal mit verhaltenen Statements. Allen gemeinsam ist, dass sie sich noch in der Untersuchungs- oder Eindämmungsphase befinden. Keines hat den vollen Umfang der Cl0p-Behauptungen bestätigt.

• Philips: Die deutlichste Antwort kam vom niederländischen Medizintechnik-Riesen. Philips bestätigte, einen „versuchten Sicherheitskompromittierungsangriff auf einen spezifischen Unternehmensserver mit internen Daten“ erkannt und eingedämmt zu haben. Das Unternehmen betonte, dass Kunden nicht betroffen seien .
• Shell: Der Energiekonzern erklärte, man untersuche einen „möglichen Vorfall“ und arbeite mit Sicherheitsteams und externen Experten an der Aufklärung . Eine Bestätigung oder ein Dementi des Datenabflusses gab es nicht.
• Fiserv und GE: Beide Unternehmen wurden von Cl0p genannt, haben aber bislang keine detaillierten öffentlichen Stellungnahmen abgegeben, die den Vorfall bestätigen oder dementieren .

Der vermutete Angriffsvektor: CVE-2026-12569 (PTC Windchill)

Eine gemeinsame Warnung von Ransom-ISAC, eCrime.ch und DEFUSED brachte die Kampagne mit der Ausnutzung von CVE-2026-12569 in Verbindung – einer kritischen Sicherheitslücke in PTC Windchill PDMLink und PTC FlexPLM .

Was ist CVE-2026-12569? Es handelt sich um eine kritische Remote Code Execution (RCE)-Lücke, die durch die Deserialisierung nicht vertrauenswürdiger Daten entsteht . Sie hat einen CVSS-Score von 9,8 (kritisch) und betrifft Windchill- und FlexPLM-Versionen vor 11.0 M030 . Die Schwachstelle erlaubt es einem nicht authentifizierten Angreifer, auf einem internetverbundenen Server mit der verwundbaren Software beliebigen Code auszuführen . Das US-Heimatschutzministerium (CISA) nahm CVE-2026-12569 am 25. Juni 2026 in seinen Katalog bekannter ausgenutzter Schwachstellen (KEV) auf .

Die Angriffskette: Die Angreifer nutzten CVE-2026-12569 nicht isoliert. Sie kombinierten sie mit einer Pre-Authentication Information Disclosure im FlexPLM-WSDL-Endpunkt . Diese Kette ermöglichte es:

1. Systemdetails ohne Anmeldung zu sammeln.
2. CVE-2026-12569 auszunutzen, um hexadezimal benannte JSP-Webshells auf den Zielservern zu platzieren.
3. Über die Webshells Dateien zu sichten, Konstruktions- und Entwicklungsdaten zusammenzutragen und aus dem Netzwerk zu stehlen .

Zeitlicher Ablauf der Ereignisse:

• Anfang Juni 2026: Sicherheitsforscher gehen davon aus, dass Cl0p-nahe Akteure die Schwachstelle CVE-2026-12569 bereits als Zero-Day ausnutzten, bevor ein Patch verfügbar war .
• 17. Juni 2026: PTC veröffentlichte die Schwachstelle und stellte ein Sicherheitsupdate bereit .
• 25. Juni 2026: CISA nahm CVE-2026-12569 in den Katalog bekannter ausgenutzter Schwachstellen auf .
• 22. Juli 2026: ReliaQuest berichtete öffentlich von der aktiven Ausnutzung der Lücke durch Cl0p .
• 12. August 2026: Cl0p veröffentlichte die Liste mit rund 50 betroffenen Unternehmen auf ihrer Erpressungsseite .

Wie dieses Vorgehen zu Cl0ps etabliertem Erpressungsmodell passt

Diese Kampagne ist ein Paradebeispiel für Cl0ps operative Taktik – reine Datenerpressung ohne Verschlüsselung. Die Gruppe verschlüsselte keine Dateien auf den Zielsystemen. Stattdessen konzentrierte sie sich auf :

• Reinen Datendiebstahl: Ziel war es, sensible Konstruktionspläne, Produktdesigns und Fertigungsspezifikationen zu stehlen, nicht den Zugriff auf Dateien zu sperren .
• Naming and Shaming: Cl0p übt Druck aus, indem sie die Namen der Opfer und die gestohlenen Datenmengen auf ihrer öffentlichen Leak-Seite veröffentlicht. Sie droht mit der Veröffentlichung der Daten, falls kein Lösegeld gezahlt wird – anstatt den Zugang zu Systemen zu verwehren .
• Massenhafter, zeitgleicher Angriff über eine einzige Software-Supply-Chain: Cl0p ist für diese „Big-Game-Hunting“-Strategie berüchtigt. Sie nutzt eine kritische Sicherheitslücke in einem einzelnen Unternehmenssoftwareprodukt – zuvor MOVEit Transfer und GoAnywhere MFT, nun PTC Windchill – um mit einem einzigen Exploit viele Opfer gleichzeitig zu kompromittieren . Das maximiert die Erpressungshebel bei vergleichsweise geringem operativem Aufwand.

Kurz gesagt: Cl0p nutzte eine einzige Zero-Day-Sicherheitslücke (CVE-2026-12569), um rund 50 Unternehmen weltweit zu kompromittieren, stahl sensible Konstruktions- und Entwicklungsdaten und wandte dann ihr Standard-Erpressungsrepertoire an: Namen veröffentlichen, mit der Veröffentlichung drohen, Lösegeld fordern.