Bosch im Visier: Erpressergruppe D1R droht mit angeblichen Synopsys-Daten

Auf ihrer Leak-Seite im Darknet hat die Gruppe D1R Mitte Juli 2026 einen Eintrag zu Bosch veröffentlicht. Die Angreifer behaupten, sensible technische Entwicklungsunterlagen des Stuttgarter Konzerns erbeutet zu haben – und setzen dem Unternehmen eine Frist von elf Tagen, um Kontakt aufzunehmen und zu verhandeln, bevor die Daten angeblich vollständig veröffentlicht werden.

Das Besondere: D1R spricht ausdrücklich nicht von einem direkten Einbruch in die Bosch-IT. Die Daten stammen nach Darstellung der Täter aus einem zuvor kompromittierten Umfeld des US-Softwareanbieters Synopsys. Man habe zunächst gestohlene Synopsys-Datenbestände analysiert, verschiedene Zielsysteme über eine Datei namens TARGETLIST.txt abgeglichen und dabei Bosch-bezogene Informationen entdeckt. Als besonders wertvollen Fund bezeichnen die Täter die angebliche Implementierung eines Bosch-CAN-Moduls.

Bosch ist dabei nicht der einzige prominente Name auf der Liste: In separaten Einträgen führt D1R auch Synopsys selbst sowie den britischen Chipdesigner ARM – jeweils mit derselben Elf-Tage-Frist. Ein Leck füttert das nächste.

Wichtig: Weder Bosch noch Synopsys haben sich öffentlich zu Echtheit, Umfang oder Auswirkungen der Daten geäußert. Sicherheitsmedien wie Cybernews haben beide Unternehmen um Stellungnahme gebeten – eine unabhängige Verifikation steht aus.

Als vermeintlichen Beleg veröffentlichte D1R unter anderem einen Verzeichnisbaum der angeblich gestohlenen Dateien sowie einen Screenshot, der die erste Seite eines CAN-Benutzerhandbuchs zeigen soll. In der Dateiliste tauchen laut Sicherheitsforschern zahlreiche .vhd-Dateien auf. Diese Endung deutet auf VHDL-Quellcode hin – eine Hardware-Beschreibungssprache, mit der digitale Schaltungen entworfen werden. Sollten solche Dateien echt und relevant sein, ließen sich daraus im ungünstigsten Fall Rückschlüsse auf proprietäre Hardware-Entwicklung ziehen.

Das ist die entscheidende Einschränkung: „sollten", „angeblich", „ließen sich". Ein Verzeichnisbaum und ein Screenshot sind kein Nachweis dafür, dass tatsächlich verwertbarer, sicherheitskritischer oder aktueller Quellcode vorliegt. Erpressergruppen haben ein handfestes Interesse daran, ihre Beute wertvoller erscheinen zu lassen, als sie ist – der psychologische Druck ist Teil des Geschäftsmodells.

Synopsys (Nasdaq: SNPS) mit Sitz im kalifornischen Sunnyvale gehört zu den bedeutendsten Softwarehäusern der Welt, das die breite Öffentlichkeit kaum kennt. Das Unternehmen ist einer der globalen Marktführer im Bereich Electronic Design Automation (EDA) – also jener Software, mit der praktisch jeder moderne Halbleiter entworfen, simuliert und verifiziert wird.

• Im Geschäftsjahr 2025 erwirtschaftete Synopsys einen Umsatz von rund 7,05 Mrd $ – ein Plus von etwa 15 % gegenüber dem Vorjahr (6,13 Mrd $).
• Im Juli 2025 schloss Synopsys die Übernahme des Simulationsspezialisten Ansys ab – ein Deal im Volumen von rund 34,9 Mrd $.
• Nach eigener Darstellung positioniert sich der Konzern als Anbieter „von Silizium bis System" in einem adressierbaren Gesamtmarkt von rund 31 Mrd $.

Genau deshalb ist ein Datenabfluss bei einem solchen Anbieter potenziell so brisant: Bei Synopsys laufen die Fäden vieler Hersteller und Zulieferer zusammen. Wenn eine einzige Kundendatenbank fällt, betrifft das im Zweifel Dutzende Konzerne gleichzeitig. Die Behauptung von D1R – ein Formularfehler statt eines aufwendigen Netzwerkangriffs – ist dabei bemerkenswert: Ein einzelner Logikfehler in einem Webformular, der eine sechsstellige Zahl von Kundendatensätzen freilegt, ist technisch keineswegs abwegig – und wäre ein klassischer Supply-Chain-Vorfall.

Bosch braucht in Deutschland kaum Vorstellung, ist in seiner Dimension aber leicht zu unterschätzen. Der 1886 in Stuttgart gegründete Konzern ist der weltweit größte Automobilzulieferer und zählt zu den wichtigsten deutschen Technologieunternehmen überhaupt.

• Umsatz 2024: rund 90,5 Mrd €; 2025 lag er bei etwa 91,0 Mrd €.
• Weltweit rund 417.900 Beschäftigte (Ende 2024), davon gut 129.800 in Deutschland.
• Der Unternehmensbereich Mobility steuerte 2024 rund 55,9 Mrd € bei.

Dass Bosch in einem Synopsys-Leak auftaucht, ist logisch: Ein Zulieferer dieser Größenordnung nutzt in der Elektronik- und Halbleiterentwicklung mit hoher Wahrscheinlichkeit Werkzeuge und Plattformen von Synopsys. Genau das macht das Szenario plausibel – und zugleich unangenehm für die gesamte Branche. Denn angegriffen wurde, wenn die Darstellung stimmt, nicht Bosch, sondern ein gemeinsamer Dienstleister. Sobald Konstruktionsdaten das eigene Haus verlassen und in externe Werkzeuge wandern, gibt ein Unternehmen einen Teil der Kontrolle über deren Schutz ab.

Am Rande: Es ist nicht das erste Mal, dass der Name Bosch in einschlägigen Kanälen kursiert. Bereits im Vorjahr behaupteten Kriminelle auf Telegram, an Daten zu rund 800 Kundennetzwerken gelangt zu sein.

Der von den Tätern hervorgehobene Begriff CAN ist mehr als ein technisches Detail – er hat symbolische Wucht. Das Controller Area Network ist ein Bussystem, über das Steuergeräte im Fahrzeug miteinander kommunizieren: Motorsteuerung, ABS, Airbag, Getriebe, Komfortelektronik, Batteriemanagement, Fahrerassistenz. CAN ist das Nervensystem des modernen Autos.

Die Pointe: Das CAN-Protokoll wurde 1983 von Bosch selbst entwickelt und gehört heute zu den weltweiten Industriestandards. Dass eine Erpressergruppe ausgerechnet mit einem „Bosch-CAN-Modul" wirbt, ist also auch ein rhetorischer Treffer – die Täter präsentieren gewissermaßen Bosch-Know-how über Bosch-Erfindung.

Und doch gilt die nötige Nüchternheit: Selbst wenn CAN-bezogene Unterlagen abgeflossen sein sollten, bedeutet das nicht automatisch, dass Fahrzeuge dadurch angreifbar werden. Das CAN-Protokoll ist ohnehin gut dokumentiert und öffentlich beschrieben; ein Benutzerhandbuch ist weit von einem funktionierenden Angriffswerkzeug entfernt. Ob unter den Daten wirklich sicherheitsrelevantes, nicht-öffentliches Material steckt, lässt sich derzeit schlicht nicht unabhängig überprüfen.

Der Vorfall – bestätigt oder nicht – passt in ein Muster, das sich in den vergangenen Jahren verschärft hat. Immer häufiger geraten nicht die großen Konzerne selbst zuerst ins Visier, sondern ihre Zulieferer der digitalen Wertschöpfung: Softwarelieferanten, Cloud-Dienstleister, Entwicklungsplattformen, IT-Dienstleister, externe Entwicklungshäuser.

Die Logik dahinter ist für Angreifer effizient: Ein erfolgreicher Zugriff auf einen zentralen Dienstleister kann Auswirkungen auf viele Kunden gleichzeitig haben. Statt einzeln in gut gesicherte Großkonzerne einzubrechen, sucht man den einen schwach gesicherten Knoten, an dem viele Fäden zusammenlaufen. Gerade die Automobilbranche mit ihren tief verschachtelten Lieferketten ist für solche indirekten Angriffe besonders anfällig.

Für Entscheiderinnen und Entscheider in Deutschland ist das keine ferne US-Geschichte. Die NIS2-Richtlinie macht die Sicherheit der Lieferkette ausdrücklich zur Chefsache und verpflichtet betroffene Unternehmen, auch ihre Dienstleister in die Pflicht zu nehmen. Und sobald personenbezogene Daten – etwa Namen und Kontaktdaten von Firmenkunden – ins Netz geraten, greifen zusätzlich die Meldepflichten der DSGVO.

• Lieferanten strukturiert bewerten: systematische Sicherheitsprüfungen von Dienstleistern mit Zugriff auf Konstruktions- oder Kundendaten – statt einmaliger Vertrauensvorschüsse.
• Datensparsamkeit erzwingen: externen Werkzeugen nur die Daten übergeben, die sie wirklich brauchen – und nicht mehr.
• Zugriffe minimieren: granulare Berechtigungen auf Projektdaten, Trennung sensibler Entwicklungsbestände, Verschlüsselung dort, wo es zählt.
• Verträge nachschärfen: feste Melde- und Reaktionsfristen bei Vorfällen vertraglich verankern.
• Früh warnen lassen: Darknet- und Leak-Monitoring auf die eigene Domain und Marke ansetzen, um zu reagieren, bevor eine Erpresserfrist läuft.
• Für den Ernstfall proben: Incident-Response-Pläne, die explizit den Fall „Angriff über einen Dritten" abdecken – inklusive Kommunikation.