D1R erpresst Bosch: Konstruktionsdaten über Synopsys-Leck gestohlen

Veröffentlicht am 19.07.2026

Eine bislang unbekannte Ransomware-Gruppe namens D1R hat den deutschen Industriekonzern Robert Bosch GmbH auf ihrer Darknet-Leak-Seite gelistet und droht mit der Veröffentlichung sensibler Entwicklungsdaten. Das Besondere daran: Laut Eigenaussage der Angreifer sind sie nicht direkt in Boschs IT-Systeme eingedrungen. Stattdessen wollen sie die Daten über eine Schwachstelle beim US-Softwarelieferanten Synopsys erbeutet haben – ein klassischer Supply-Chain-Angriff, bei dem der schwächere Zulieferer als Einfallstor dient. Bosch wurde eine Frist von elf Tagen zur Zahlung gesetzt; sie läuft voraussichtlich um den 24. Juli 2026 ab.

Für kleine und mittlere Unternehmen (KMU) in Deutschland ist dieser Fall aus einem einfachen Grund relevant: Er zeigt exemplarisch, dass selbst gut gesicherte Großkonzerne über ihre Lieferkette angreifbar sind – und dass genau dieselbe Angriffsmethode auch Sie treffen kann, wenn Sie spezialisierte B2B-Software oder Cloud-Dienste nutzen.

Was ist konkret passiert?

Am 12. und 13. Juli 2026 tauchten Bosch und Synopsys auf der Tor-basierten Leak-Seite der Gruppe D1R auf. Tor ist ein anonymisierendes Netzwerk, über das solche Erpresser-Seiten typischerweise betrieben werden. Die Angreifer behaupten, über eine fehlerhafte Logik im Registrierungsformular der Synopsys-Website eine komplette Datenbank mit 40.000 Unternehmenskunden-Datensätzen abgezogen zu haben – ohne jemals internen Systemzugriff gehabt zu haben.

In der eigenen Darstellung auf der Leak-Seite formuliert D1R es so (zitiert nach it-daily.net):

„Unser Cybersicherheits-Bewertungsteam hat eine Schwachstelle in Synopsis entdeckt. Eine fehlerhafte Logik in ihrem Registrierungsformular hat es unserem Team ermöglicht, eine gesamte Datenbank mit 40.000 Unternehmenskunden ohne internen Zugriff abzurufen.“

Als angebliche Beweise veröffentlichte die Gruppe zwei Datenproben: einen Auszug aus dem CAN-Protokoll-Handbuch (Controller Area Network – der 1983 von Bosch entwickelte Kommunikationsstandard für Fahrzeugelektronik) sowie ein Verzeichnis mit zahlreichen Dateien der Endung .vhd. Diese VHDL-Dateien (VHSIC Hardware Description Language) beschreiben digitale Schaltkreise und können proprietären Hardware-Design-Code enthalten – für Wettbewerber und Hardware-Hacker also potenziell hochwertvoll.

Zweifel an der Echtheit: Synopsys dementiert

Der Fall ist keineswegs eindeutig. Synopsys, ein führender Anbieter von EDA-Software (Electronic Design Automation – Werkzeuge zum Entwurf elektronischer Schaltungen), hat den Vorfall ausdrücklich bestritten. In einer Stellungnahme gegenüber SecurityWeek vom 14. Juli 2026 erklärte das Unternehmen:

„The security of data and systems is a priority for Synopsys. We are continuously monitoring our network and have found no evidence of Synopsys or customer technical data being subject to unauthorized access. We have not been contacted by this threat actor and, based on our investigation, claims of unauthorized access to customer confidential data are unfounded.“

Auf Deutsch: Man habe keinerlei Hinweise auf einen unbefugten Zugriff gefunden, sei vom Angreifer nicht kontaktiert worden und halte die Behauptungen für haltlos.

Auch Sicherheitsforscher äußern Zweifel. Das Research-Team von Cybernews wies darauf hin, dass das als Beweis vorgelegte CAN-Handbuch-Dokument öffentlich zugänglich ist. Damit taugt es kaum als Nachweis eines echten Datenlecks. Zugleich betonen die Forscher die grundsätzliche Brisanz solcher Daten:

„These networks are mainly used for communication between multiple hardware components, so in Bosch's context, this could relate to products ranging from household appliances to automotive components. This increases the risk of exposing how Bosch designs its hardware, which could be valuable both to competitors and to attackers interested in hardware hacking.“

Bosch selbst lehnte spezifische Stellungnahmen ab und verwies lediglich auf allgemeine Cybersicherheitsmaßnahmen. D1R ist eine erst kürzlich identifizierte Gruppe mit bislang nur drei gelisteten Opfern – ein Indiz für eine sehr frühe Phase ihrer Aktivitäten, in der Behauptungen besonders schwer zu verifizieren sind.

Der technische Hintergrund: Broken Access Control einfach erklärt

Der behauptete Angriffsvektor ist ein sogenannter Business-Logic-Fehler – im Fachjargon oft als IDOR (Insecure Direct Object Reference) oder Broken Access Control bezeichnet. Vereinfacht gesagt: Eine Webanwendung prüft nicht sauber, ob ein Nutzer überhaupt berechtigt ist, auf bestimmte Daten zuzugreifen.

Ein klassisches Beispiel: Sie rufen im Browser die Adresse Ihres eigenen Datensatzes auf (etwa ...profil?id=1001). Ändern Sie die Nummer auf 1002 und bekommen plötzlich fremde Daten angezeigt – dann liegt genau so eine Schwachstelle vor. Angreifer können auf diese Weise durch simple Manipulation von URL-Parametern oder API-Anfragen ganze Datenbanken auslesen, ohne sich „hacken“ zu müssen.

Das Bittere daran: Broken Access Control steht auf Platz 1 der OWASP Top 10, der bekanntesten Liste der häufigsten Web-Schwachstellen – und gehört gleichzeitig zu den am einfachsten vermeidbaren Fehlerkategorien. Eine saubere Berechtigungsprüfung serverseitig hätte den Zugriff verhindert.

Wichtig zur Einordnung: Es wurde keine CVE-Kennung vergeben, und es gibt keinen Patch, weil Synopsys überhaupt keine Schwachstelle bestätigt hat. Der Fall bleibt damit bis auf Weiteres in der Schwebe.

Wer ist betroffen – und wie prüfen Sie das?

Direkt betroffen sind potenziell alle Unternehmen, die Synopsys-Produkte einsetzen – etwa die EDA-Werkzeuge oder Produkte der Software Integrity Group wie Black Duck oder Coverity. Da Synopsys jedoch keinen Vorfall bestätigt, bleibt eine tatsächliche Betroffenheit unklar. Prüfen können Sie es mit diesen Schritten:

1. Software-Inventar prüfen: Nutzt Ihr Unternehmen Synopsys-Produkte oder -Dienste? Falls ja, klären Sie, welche Unternehmensdaten Sie dort registriert haben.
2. Support kontaktieren: Fragen Sie Ihren Synopsys-Ansprechpartner, ob Ihre Kundendaten in der behaupteten Datenbank enthalten sein könnten.
3. Eigene Formulare testen: Überprüfen Sie Ihre eigenen Registrierungs- und Web-Formulare auf denselben IDOR-Fehler – können Nutzer durch manipulierte Parameter fremde Datensätze abrufen?
4. Darknet-Monitoring: Durchsuchen Sie Dienste wie Have I Been Pwned oder DeHashed nach Ihrer Unternehmens-E-Mail-Domain.
5. Lieferkette bewerten: Welche Software-Drittanbieter verarbeiten Ihre Daten? Verfügen diese über Zertifizierungen wie ISO 27001 oder SOC 2?
6. Passwörter und 2FA: Ändern Sie vorsorglich Zugangsdaten zu Synopsys-Portalen und aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA – zusätzliche Sicherung neben dem Passwort).

Das sollten Sie jetzt konkret tun

Unabhängig davon, ob sich dieser konkrete Vorfall bestätigt, illustriert er ein reales Angriffsmuster. Diese Maßnahmen schützen Sie gegen Supply-Chain-Angriffe generell:

1. Drittanbieter-Risikomanagement einführen: Erstellen Sie eine Inventarliste aller Software-Lieferanten mit Zugang zu Ihren Daten. Bewerten Sie deren Sicherheitsstandards und schließen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ab.
2. Datenweitergabe minimieren: Geben Sie an externe Portale nur die Daten weiter, die zwingend nötig sind. Sensible Konstruktionsdaten oder Quellcodes gehören nur mit klarer Notwendigkeit dorthin.
3. Web-Sicherheit prüfen lassen: Lassen Sie eigene Formulare und APIs auf die OWASP Top 10 testen – besonders auf Broken Access Control. Setzen Sie eine Web Application Firewall (WAF) ein und führen Sie Penetrationstests durch.
4. Incident-Response-Plan vorbereiten: Halten Sie einen Notfallplan bereit, der die DSGVO-Meldefrist von 72 Stunden berücksichtigt. Ab 20 Mitarbeitern in der Datenverarbeitung ist ein Datenschutzbeauftragter Pflicht.
5. Darknet-Monitoring einrichten: So erfahren Sie frühzeitig, wenn Ihre Daten auf Leak-Seiten auftauchen.
6. Mitarbeiter schulen: Ransomware-Gruppen kontaktieren Unternehmen oft direkt per E-Mail. Sensibilisieren Sie Ihr Team für Phishing und Erpressungsversuche.
7. Backups nach 3-2-1-Regel: Drei Kopien, zwei Medien, eine offline. Wichtig: Backups schützen nur vor Verschlüsselung, nicht vor der Veröffentlichung gestohlener Daten.
8. NIS2-Compliance prüfen: Unternehmen in Sektoren wie Energie, Transport, Gesundheit oder digitale Infrastruktur unterliegen verschärften Melde- und Sicherheitspflichten.

DSGVO: Warum auch KMU haften können

Selbst wenn Ihre eigene IT nie angegriffen wurde – wird ein Auftragsverarbeiter wie Synopsys kompromittiert und verarbeitet dieser personenbezogene Daten in Ihrem Auftrag, können Ihre eigenen DSGVO-Pflichten ausgelöst werden. Sollte sich ein Datenverlust bestätigen, gelten:

• Meldepflicht (Art. 33 DSGVO): Datenpannen sind innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde zu melden.
• Benachrichtigungspflicht (Art. 34 DSGVO): Betroffene Personen müssen informiert werden, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht.
• Haftungsrisiko: Wer keine ausreichenden technischen und organisatorischen Maßnahmen (TOMs) getroffen oder keinen AVV geschlossen hat, kann selbst haften.
• Bußgelder: Bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4), in schweren Fällen bis 20 Mio. Euro oder 4 % (Art. 83 Abs. 5). Zum Vergleich: Gegen Meta/WhatsApp verhängte die irische Behörde 91 Mio. Euro wegen unzureichender Sicherheit und verspäteter Meldung.

Einordnung: Ein wachsendes Muster

Der Fall Bosch/Synopsys ist Teil eines klaren Trends. Die Zahlen sind eindeutig:

• Laut Verizon DBIR 2025 gehen 30 % aller Datenpannen auf Drittanbieter zurück – eine Verdopplung gegenüber dem Vorjahr.
• Cybersecurity Ventures prognostiziert, dass die weltweiten Kosten von Software-Supply-Chain-Angriffen 2025 auf 60 Mrd. US-Dollar steigen und bis 2031 auf 138 Mrd. US-Dollar anwachsen.
• Mehr als 75 % der Organisationen erlebten laut einer BlackBerry-Umfrage 2024 innerhalb eines Jahres einen Supply-Chain-Angriff.
• Laut BSI-Lagebericht 2025 treffen rund 80 % der Ransomware-Angriffe in Deutschland KMU. Und obwohl 91 % der KMU ihre Sicherheit als „gut“ einschätzen, erfüllen sie im Schnitt nur 56 % der Basisanforderungen des CyberRisikoChecks.
• Der durchschnittliche Schaden eines Datenlecks beträgt laut IBM 2025 rund 4,44 Mio. US-Dollar.

Eric Litowsky, Regional Director bei BlueVoyant, bringt es zum BSI-Lagebericht auf den Punkt:

„Unternehmen sind heute nur so sicher wie das schwächste Glied in ihrer digitalen Lieferkette. Ein kontinuierliches Monitoring des Darknets und der externen Angriffsfläche ist daher unerlässlich.“

Bemerkenswert ist auch, dass Bosch nicht zum ersten Mal über Dritte betroffen ist: Bereits 2021 wurde Quellcode der iSite-5G-IoT-Plattform geleakt, und im Oktober 2025 war Bosch über den Red-Hat/GitLab-Breach der Gruppe „Crimson Collective“ betroffen, bei dem rund 800 Kundennetzwerke kompromittiert wurden.

Fazit

Ob D1R tatsächlich echte Bosch-Konstruktionsdaten besitzt, ist derzeit fraglich – das Dementi von Synopsys und der Hinweis auf ein öffentlich verfügbares Beweisdokument nähren begründete Zweifel. Doch die eigentliche Lehre liegt jenseits dieses Einzelfalls: Supply-Chain-Angriffe sind real, sie nehmen rapide zu und sie treffen überproportional KMU.

Die gute Nachricht: Der behauptete Angriffsvektor – eine fehlerhafte Zugriffskontrolle in einem Web-Formular – gehört zu den am leichtesten vermeidbaren Schwachstellen. Wer seine eigenen Formulare testen lässt, seine Lieferkette dokumentiert, Auftragsverarbeitungsverträge sauber führt und ein Darknet-Monitoring einrichtet, senkt sein Risiko erheblich. Warten Sie damit nicht, bis Ihr Unternehmen selbst auf einer Leak-Seite auftaucht.