Cl0p behauptet, bei einem Datenleck von Harley-Davidson 270 GB gestohlen zu haben

Die Cybercrime-Gruppe Cl0p behauptet, während ihrer jüngsten Erpressungskampagne 270 GB interne Daten von Harley-Davidson gestohlen zu haben. Die Gruppe hat einen Torrent-Link zu den Dateien veröffentlicht. Der Motorradhersteller hat ein Datenleck jedoch nicht bestätigt.

Erste Erkenntnisse deuten darauf hin, dass der mutmaßliche Datendiebstahl bei Harley-Davidson mit Cl0ps Kampagne gegen Unternehmen zusammenhängen könnte, die die Produktlebenszyklusmanagement-Software PTC Windchill verwenden.

Cl0p veröffentlicht angebliche Harley-Davidson-Dateien

Cl0p nahm Harley-Davidson am Donnerstag in seine Leak-Seite im Darknet auf. Später aktualisierte die Gruppe den Eintrag und behauptete, die gestohlenen Informationen über einen Torrent- und Magnet-Link veröffentlicht zu haben.

Die Cyberkriminellen führten Harley-Davidson zusammen mit drei weiteren Unternehmen auf, die angeblich nicht auf ihre Forderungen reagiert hatten. Cl0p veröffentlicht üblicherweise gestohlene Dateien, wenn Opfer Verhandlungen oder die Zahlung einer Erpressungssumme verweigern.

Eine Überprüfung des verfügbaren Magnet-Link-Verzeichnisses zeigte rund 270 GB an Daten. Die Forscher analysierten die Inhalte jedoch noch und hatten die Echtheit der einzelnen Dateien nicht bestätigt.

Ein Sprecher von Harley-Davidson erklärte, das Unternehmen kenne die Behauptungen, wollte aber keine weiteren Einzelheiten nennen. Das vollständige Ausmaß und die möglichen Folgen des mutmaßlichen Vorfalls bleiben daher unklar.

Verzeichnis deutet auf Windchill-Umgebung hin

Öffentlich sichtbare Datei- und Ordnernamen deuten darauf hin, dass die Informationen aus einer Umgebung mit PTC Windchill stammen könnten. Hersteller verwenden diese Plattform für das Produktlebenszyklusmanagement, um Produktinformationen zu organisieren und die Arbeit von Ingenieuren, Produktionsteams und Lieferanten zu koordinieren.

Das Verzeichnis enthielt Berichten zufolge Hinweise auf ein Service Pack für Windchill 13 und zugehörige Software von Drittanbietern. Die Forscher entdeckten zudem mehrere weitere Anzeichen für eine Windchill-Installation.

Dazu gehörten ein WC12-Verzeichnis mit Anwendungskomponenten, ein Home-Verzeichnis des Windchill-Administrators und ein Solr-Server für Suche und Indizierung. Andere Dateien verwiesen auf die Speicherarchitektur, Veröffentlichungsprozesse und Produktionsumgebung von Windchill.

Im verfügbaren Verzeichnis erschienen außerdem Serverprotokolle, Hardwarekonfigurationen, Informationen zu Datensicherungen und mögliche Verweise auf Datentresore. Die Dateinamen allein geben jedoch keinen Aufschluss über den Inhalt der einzelnen Dateien.

Offengelegte Daten könnten Geschäftsgeheimnisse enthalten

Windchill-Plattformen können vertrauliche Informationen aus zahlreichen Bereichen eines Produktionsunternehmens verarbeiten. Dazu können Produktentwürfe, technische Unterlagen, Produktionsabläufe und die Kommunikation mit externen Lieferanten gehören.

Ein unbefugter Zugriff auf eine Windchill-Umgebung könnte daher wertvolles geistiges Eigentum oder betriebliche Details offenlegen. Die Auswirkungen hängen davon ab, auf welche Systeme Cl0p zugreifen konnte und welche Informationen die Gruppe tatsächlich entwendete.

Das verfügbare Material enthält keine Belege dafür, dass die Harley-Davidson-Dateien personenbezogene Daten von Kunden oder Mitarbeitern enthalten. Weitere Analysen müssen klären, ob der Vorfall Einzelpersonen betraf oder hauptsächlich interne technische Informationen umfasste.

GE, ALDO und Henry Pratt erscheinen ebenfalls auf Leak-Seite

Cl0p nahm auch GE, den Schuhhändler ALDO und den Industrieventilhersteller Henry Pratt in seine Opferliste auf.

Ein mit GE verknüpfter Torrent enthielt rund 390 GB angeblicher Daten. Der öffentlich sichtbare Teil bestand jedoch hauptsächlich aus komprimierten Archiven und enthielt keine eindeutigen Hinweise auf Windchill.

Die Forscher konnten die mit ALDO und Henry Pratt verbundenen Verzeichnisse nicht einsehen. Daher liegen derzeit keine öffentlichen Informationen über den möglichen Inhalt dieser Archive oder eine Verbindung zur gleichen Kampagne vor.

Die Aufnahme von ALDO könnte mit PTC FlexPLM zusammenhängen. Diese auf Windchill basierende Plattform richtet sich an Unternehmen aus den Bereichen Bekleidung, Schuhe und Konsumgüter. Diese mögliche Verbindung bleibt jedoch unbestätigt.

Cl0p nutzte Windchill-Zero-Day aus

Cl0p richtete seine Aufmerksamkeit ab Juni 2026 verstärkt auf PTC-Windchill-Systeme. Die Kampagne nutzte eine Schwachstelle zur Remotecodeausführung aus, die inzwischen unter der Kennung CVE-2026-12569 erfasst ist.

Die Angreifer verwendeten die Sicherheitslücke als Zero-Day, bevor Unternehmen einen Patch erhielten. Dadurch könnte die Gruppe ohne Vorwarnung auf eine unbekannte Anzahl von Systemen zugegriffen haben.

Im Juli erhielten betroffene Unternehmen erste Erpressungs-E-Mails, die auf ein schwerwiegendes Datenleck im Windchill-PDMLink-Modul verwiesen. Im folgenden Monat begann Cl0p, Dutzende angeblicher Opfer öffentlich zu nennen, darunter GE, Philips und Shell.

Im Rahmen der Kampagne griff die Gruppe auch PTC-FlexPLM-Systeme an. Beide Plattformen können wertvolle geschäftliche und technische Informationen enthalten, was sie zu attraktiven Zielen für Datendiebstahl und Erpressung macht.

Cl0p konzentriert sich zunehmend auf Datendiebstahl

Cl0p ist seit mindestens 2019 aktiv und hat sich durch umfangreiche Angriffe auf weitverbreitete Unternehmenssoftware einen Namen gemacht.

Frühere Kampagnen nutzten Schwachstellen in MOVEit Transfer sowie Produkten von Fortra GoAnywhere und Cleo aus. Im Jahr 2025 griff die Gruppe außerdem Unternehmen über eine Zero-Day-Schwachstelle in Oracle E-Business Suite an.

Forscher schätzen, dass Cl0p im Laufe der Jahre mehr als 3.000 Unternehmen kompromittiert hat. Allein die MOVEit-Kampagne soll zwischen 75 und 100 Millionen US-Dollar eingebracht haben.

Trotz ihres Rufs als Ransomware-Gruppe scheint Cl0p zunehmend den Diebstahl von Daten zu bevorzugen, ohne die Systeme der Opfer zu verschlüsseln. So kann die Gruppe Unternehmen mit der Veröffentlichung vertraulicher Informationen unter Druck setzen und gleichzeitig den Aufwand für den Einsatz dateiverschlüsselnder Schadsoftware vermeiden.

Der mutmaßliche Datendiebstahl bei Harley-Davidson entspricht diesem Muster. Cl0p behauptet, eine große Sammlung interner Dateien entwendet und nach der angeblich ausgebliebenen Reaktion des Unternehmens veröffentlicht zu haben.