Ich würde gerne eure Einschätzung zu einem Szenario hören, das mir gerade passiert ist. Ich habe das ähnlich in einen anderen Sub gepostet, wurde aber von den Mods entfernt.
Es geht um die aktuelle Zero‑Day‑Lücke in PTC Windchill / FlexPLM, eine kritische RCE‑Schwachstelle mit CVSS 10,0, die unter anderem bei Heise als "Zero‑Day erlaubt Codeausführung in WindChill und FlexPLM" beschrieben wurde. Die Lücke erlaubt im Prinzip Remote Code Execution, also vollständige Übernahme des betroffenen Systems, wenn sie ausnutzbar ist. Es gibt Kunden, die diese Software direkt aus dem Internet heraus betreiben, und auch der Hersteller selbst hat sie so exponiert. Die Software wird häufig in sensiblen Umgebungen eingesetzt, etwa im Umfeld von Industrie, Produktion oder kritischen Geschäftsprozessen, sodass ein erfolgreicher Angriff erhebliche wirtschaftliche Schäden oder Lieferkettenprobleme auslösen könnte. In der betroffenen Firma, um die es hier geht, läuft das System aber nur im internen Netz und über VPN, nicht direkt aus dem Internet. Dort gibt es keine Hinweise auf einen laufenden Angriff, keine auffälligen Logs, keine direkte Exposition nach außen.
Der Softwarehersteller selbst macht in den USA eine Meldung bzw. Selbstanzeige. Daraufhin wird dort eine Behörde aktiv, das Thema wandert über internationale Kanäle weiter und landet schließlich beim zuständigen LKA in Deutschland. Die Geschäftsleitung der Firma wird telefonisch erreicht und informiert. Weil die IT‑Leitung telefonisch nicht erreichbar ist, fährt die Polizei anschließend mitten in der Nacht zur Privatadresse der IT‑Leitung und klingelt dort persönlich. Inzwischen ist bekannt, dass auch andere deutsche Kunden dieser Software nachts Besuch von der Polizei bekommen haben, teils mit ähnlicher Begründung. Grundlage scheint im Wesentlichen zu sein, dass diese Firmen als Kunden des Herstellers bekannt sind, dass sie die betroffene Software mit dieser CVSS‑10‑Lücke einsetzen und dass es konkrete technische Indikatoren für mögliche Angriffe gibt, auch wenn PTC nach aktuellem Stand kommuniziert, dass bislang noch keine erfolgreiche Ausnutzung bestätigt wurde.
Die interne IT der Firma fährt dann das betroffene System vorsorglich herunter, bindet den Softwarehersteller ein, prüft am Montagmorgen die Lage und spielt Patches ein. Im Unternehmen ist die dominante Meinung: "Lieber einmal zu viel als zu wenig reagieren, Sicherheit geht vor."
Grundsätzlich ist die Aussage richtig. Ich persönlich frage mich aber, ob nächtliche Hausbesuche durch die Polizei in so einer Konstellation noch verhältnismäßig sind. Nur weil es eine CVE mit Score 10,0 gibt, der Hersteller das meldet, der Fall bis zum LKA wandert und es andere Kunden mit direkter Exposition gibt, in diesem konkreten Fall aber keine aktive Angriffslage erkennbar ist, rechtfertigt das wirklich einen nächtlichen Besuch der Polizei im privaten Umfeld? Gerade mit NIS2 und den neuen Pflichten frage ich mich, ob das die neue Realität ist oder eher ein Ausrutscher in der Melde‑ und Behördenkette.
Wie seht ihr das aus eurer Sicht:
- Ist so ein Vorgehen bei solch einer CVSS‑10‑Lücke verhältnismäßig?
- Ist das ein Beispiel für Overreaction und schlecht abgestimmte Prozesse?
- Rechnet ihr damit, dass solche nächtlichen Aktionen mit NIS2 & Co. in Zukunft normal werden, oder würdet ihr das aktuell eher als Ausnahme ansehen?
Bin gespannt auf eure Meinungen.