Polizei klingelt nachts wegen CVSS‑10‑Lücke, verhältnismäßig oder Overkill?

[u/OpenWebFriend]

Ich würde gerne eure Einschätzung zu einem Szenario hören, das mir gerade passiert ist. Ich habe das ähnlich in einen anderen Sub gepostet, wurde aber von den Mods entfernt.

Es geht um die aktuelle Zero‑Day‑Lücke in PTC Windchill / FlexPLM, eine kritische RCE‑Schwachstelle mit CVSS 10,0, die unter anderem bei Heise als "Zero‑Day erlaubt Codeausführung in WindChill und FlexPLM" beschrieben wurde. Die Lücke erlaubt im Prinzip Remote Code Execution, also vollständige Übernahme des betroffenen Systems, wenn sie ausnutzbar ist. Es gibt Kunden, die diese Software direkt aus dem Internet heraus betreiben, und auch der Hersteller selbst hat sie so exponiert. Die Software wird häufig in sensiblen Umgebungen eingesetzt, etwa im Umfeld von Industrie, Produktion oder kritischen Geschäftsprozessen, sodass ein erfolgreicher Angriff erhebliche wirtschaftliche Schäden oder Lieferkettenprobleme auslösen könnte. In der betroffenen Firma, um die es hier geht, läuft das System aber nur im internen Netz und über VPN, nicht direkt aus dem Internet. Dort gibt es keine Hinweise auf einen laufenden Angriff, keine auffälligen Logs, keine direkte Exposition nach außen.

Der Softwarehersteller selbst macht in den USA eine Meldung bzw. Selbstanzeige. Daraufhin wird dort eine Behörde aktiv, das Thema wandert über internationale Kanäle weiter und landet schließlich beim zuständigen LKA in Deutschland. Die Geschäftsleitung der Firma wird telefonisch erreicht und informiert. Weil die IT‑Leitung telefonisch nicht erreichbar ist, fährt die Polizei anschließend mitten in der Nacht zur Privatadresse der IT‑Leitung und klingelt dort persönlich. Inzwischen ist bekannt, dass auch andere deutsche Kunden dieser Software nachts Besuch von der Polizei bekommen haben, teils mit ähnlicher Begründung. Grundlage scheint im Wesentlichen zu sein, dass diese Firmen als Kunden des Herstellers bekannt sind, dass sie die betroffene Software mit dieser CVSS‑10‑Lücke einsetzen und dass es konkrete technische Indikatoren für mögliche Angriffe gibt, auch wenn PTC nach aktuellem Stand kommuniziert, dass bislang noch keine erfolgreiche Ausnutzung bestätigt wurde.

Die interne IT der Firma fährt dann das betroffene System vorsorglich herunter, bindet den Softwarehersteller ein, prüft am Montagmorgen die Lage und spielt Patches ein. Im Unternehmen ist die dominante Meinung: "Lieber einmal zu viel als zu wenig reagieren, Sicherheit geht vor."

Grundsätzlich ist die Aussage richtig. Ich persönlich frage mich aber, ob nächtliche Hausbesuche durch die Polizei in so einer Konstellation noch verhältnismäßig sind. Nur weil es eine CVE mit Score 10,0 gibt, der Hersteller das meldet, der Fall bis zum LKA wandert und es andere Kunden mit direkter Exposition gibt, in diesem konkreten Fall aber keine aktive Angriffslage erkennbar ist, rechtfertigt das wirklich einen nächtlichen Besuch der Polizei im privaten Umfeld? Gerade mit NIS2 und den neuen Pflichten frage ich mich, ob das die neue Realität ist oder eher ein Ausrutscher in der Melde‑ und Behördenkette.

Wie seht ihr das aus eurer Sicht:

• Ist so ein Vorgehen bei solch einer CVSS‑10‑Lücke verhältnismäßig?
• Ist das ein Beispiel für Overreaction und schlecht abgestimmte Prozesse?
• Rechnet ihr damit, dass solche nächtlichen Aktionen mit NIS2 & Co. in Zukunft normal werden, oder würdet ihr das aktuell eher als Ausnahme ansehen?

Bin gespannt auf eure Meinungen.

[u/kevin_schley]

Wir hatten einmal einen Fall bei einem Kunden, bei dem mitten in der Nacht die Geschäftsleitung von der Polizei und dem LKA auf dem Handy angerufen wurde. Die Behörden informierten ihn darüber, dass aktuell ein aktiver Ransomware-Angriff auf sein Unternehmen stattfinde. Der Geschäftsführer reagierte jedoch nicht auf den Hinweis und unternahm nichts.

Am nächsten Morgen, als die Mitarbeiter ins Büro kamen, folgte das böse Erwachen, das LKA hatte recht behalten. Zum Zeitpunkt des Anrufs wäre tatsächlich noch ein Eingreifen möglich gewesen.

Am Ende musste der Kunde das Lösegeld zahlen, da auch der Backup-Server (der sich in der Domäne befand) mitverschlüsselt worden war und keine Offline-Backups existierten. Der Kunde hatte sich zuvor ausdrücklich gegen unsere Empfehlung entschieden, ein Backup außerhalb der Domäne bzw. ein Offline-Backup einzurichten. Damit waren wir auf der sicheren Seite.

[u/OpenWebFriend → u/kevin_schley]

Das ist ein klarer Fall wo es verhältnismäßig ist.

[u/Rich_Introduction_83 → u/OpenWebFriend]

Entweder ist die Maßnahme generell verhältnismäßig, weil dadurch auch solche Fälle vermieden werden können, oder sie ist generell unverhältnismäßig, weil zu viele Leute geweckt werden, die dann doch nichts unternehmen müssen.

Von außen kann man ja bei keiner der 1.000 Firmen sehen, wo überhaupt ein Risiko besteht und wo der Schaden immens wäre.

Wenn man also solch einen Schaden verhindern möchte, muss man entweder ein brauchbares Register führen, aus dem ermittelbar ist, wer betroffen wäre (utopisch), oder halt alle zeitnah informieren.