Nachts um halb vier: BKA schickt Polizisten wegen Zero-Day zu Firmen

Das Bundeskriminalamt hat in der Nacht zum 22. März 2026 bundesweit Polizisten zu Unternehmen geschickt. Betroffen waren Firmen, die aktuell die Software PTC Windchill einsetzen. Eine kritische Sicherheitslücke mit CVSS-Höchstwertung 10.0 hatte den Einsatz ausgelöst. CVSS steht für Common Vulnerability Scoring System, eine Skala von 0 bis 10, die den Schweregrad von Sicherheitslücken bewertet. Die Beamten klingelten nachts bei Administratoren und übergaben Hotfix-Anleitungen für Windchill und das verwandte Produkt FlexPLM. Ein vergleichbarer Vorgang hat in Deutschland bisher nicht stattgefunden.

Heise Security berichtete als erstes Medium über den Einsatz, gestützt auf eigene Recherche und Leserberichte aus dem heise-Forum.

Was ist passiert?

Auf Veranlassung des BKA rückten Beamte mehrerer Landeskriminalämter in der Nacht zum Sonntag aus. In Thüringen, Rheinland-Pfalz und Schleswig-Holstein standen Polizisten vor Firmen- und Privaträumen. In Hamburg und Niedersachsen griff man zum milderen Mittel und kontaktierte die Betroffenen per Telefon und E-Mail.

Die Beamten übergaben verschlafenen Administratoren eine Kopie des Schreibens, das PTC bereits am Vortag an alle Kunden verschickt hatte. Ein Administrator berichtete gegenüber heise online: „Die Polizei stand um 3:30 Uhr vor der Tür.“ Ein anderer erhielt laut heise gegen 2:45 Uhr einen Anruf, den er zunächst für einen Witz hielt. Sein Unternehmen setzte die betroffene Software laut dem Bericht nicht einmal ein.

Nach Angaben von heise Security sind in Deutschland mehr als 1.000 Kunden betroffen.

Anzeige

Welche Lücke ist so gefährlich?

Die Schwachstelle ist eine Deserialisierungslücke in PTC Windchill und FlexPLM. Bei der Deserialisierung wandelt Software gespeicherte Daten zurück in ausführbare Objekte. Wenn diese Umwandlung nicht ausreichend geprüft wird, können Angreifer eigenen Code einschleusen und auf dem Server ausführen. In der Sicherheitsbranche gilt das als Remote Code Execution, kurz RCE. Betroffen sind Windchill PDMLink 11.0 bis 13.1.3.0 und FlexPLM 11.0 bis 13.0.3.0.

Windchill ist ein Product-Lifecycle-Management-System. Unternehmen verwalten damit Produktdaten, Konstruktionszeichnungen und Stücklisten über den gesamten Lebenszyklus eines Produkts. Die Software wird vor allem in der Fertigung, im Maschinenbau und in der Automobilindustrie eingesetzt.

Warum widerspricht sich der Hersteller?

PTC erklärte in seinem Advisory: „Keinen Beweis für eine bestätigte Ausnutzung.“ Wenige Zeilen darunter listet PTC konkrete Hinweise auf erfolgreiche Angriffe auf. Fachleute nennen solche technischen Spuren Indicators of Compromise, kurz IoC. Dazu gehört eine bestimmte Klassendatei auf kompromittierten Servern. PTC schreibt, die Anwesenheit dieser Datei deute darauf hin, „dass der Angreifer das System erfolgreich waffenfähig gemacht hat.“

Dieser Widerspruch ist der irritierendste Aspekt der Geschichte. PTC bestreitet eine bestätigte Ausnutzung, beschreibt im selben Dokument aber konkrete Angriffsspuren.

Bis Montagnachmittag (23. März 2026) hatte PTC keinen Patch veröffentlicht. Es existiert lediglich ein Workaround über die Apache-Konfiguration. Eine CVE-ID, also eine eindeutige Kennung in internationalen Schwachstellen-Datenbanken, war ebenfalls nicht vergeben. Das BSI hat bis Redaktionsschluss keine öffentliche Warnung herausgegeben. Von der US-Behörde CISA lag ebenfalls keine Stellungnahme vor. Das BKA äußerte sich zum Einsatz nicht öffentlich.

Wer die grundsätzlichen Sicherheitsprobleme bei KI-Agenten verfolgt, kennt die Spannung zwischen schneller Reaktion und lückenhafter Herstellerkommunikation. Der Windchill-Fall zeigt, dass dieses Problem nicht auf KI-Software beschränkt ist.