Im Werkzeugkasten der Industrie liegt ein Schraubenschlüssel, der da nicht hingehört. Nicht spektakulär, nicht blinkend, kein Fernzugriff mit Nebelmaschine. Eher so ein Seitengangproblem: Man sucht ein Teil, greift daneben, und plötzlich steht der Aufzug in einer Etage, für die niemand den Schlüssel ausgeben wollte.
CISA hat am 21. Juli 2026 die ICS-Advisory ICSA-26-202-05 zu Siemens IAM Client veröffentlicht. Im dazugehörigen CSAF-Datensatz steht CVE-2025-40945: ein untrusted search path im IAM Client SDK kann einem lokal authentifizierten Nutzer möglicherweise eine Rechteausweitung erlauben. CVSS 3.1: 6.7, also mittel, aber mit der schönen Werkstattnote C:H/I:H/A:H. Wenn es knirscht, dann gleich an Vertraulichkeit, Integrität und Verfügbarkeit.
Kein Weltuntergang, eher ein falsch geparkter Werkzeugwagen
Der Angriffsvektor ist lokal, die Rechteanforderung hoch, Benutzerinteraktion laut CVSS nicht nötig. Das ist kein offenes Scheunentor im Internet. Es ist eher der Moment, in dem eine bereits eingelassene Person im Maschinenraum den Suchpfad so ausnutzt, dass die Software ein falsches Stück Werkzeug für ein vertrauenswürdiges hält. Genau diese Sorte Fehler ist unscheinbar genug, um zwischen Patchnotiz und Kaffeemaschine durchzurutschen.
Die lange Liste auf dem Werktisch
Betroffen ist nicht nur ein einzelner Kasten. CISA listet Siemens-Softwarefamilien rund um COMOS, Designcenter NX, Simcenter 3D/Femap/Nastran/STAR-CCM+, Solid Edge, Teamcenter Visualization sowie Tecnomatix Plant Simulation und Process Simulate in bestimmten Versionen. Also genau jene digitale Werkstatt, in der Entwürfe, Simulationen und Produktionsplanung gerne so tun, als wären sie sauber beschriftete Schubladen.
Siemens stellt für die betroffenen Produktlinien Updates bereit; der CSAF-Datensatz nennt konkrete Zielversionen und Support-Links. Für Betreiber heißt das: nicht nur „irgendwann patchen“, sondern prüfen, wo der IAM Client SDK im eigenen Engineering-Zoo steckt. Der Zoo hat erfahrungsgemäß mehr Gehege als das Inventarblatt zugibt.
Suchpfade sind Bürokratie mit Zahnrädern
Suchpfadfehler sind so trocken, dass selbst die Serverraumluft kurz hustet. Aber sie treffen einen wunden Punkt: Software vertraut oft darauf, an der richtigen Stelle nach dem richtigen Bauteil zu greifen. Wenn die Reihenfolge, der Ort oder die Herkunft nicht sauber kontrolliert wird, reicht manchmal ein falsches Teil im richtigen Schatten.
Die Blechpresse empfiehlt daher kein Panikläuten, sondern das gute alte Klemmbrett mit Ölrand: betroffene Siemens-Produkte identifizieren, Versionsstände gegen die Advisory prüfen, Updates planen, lokale Zugriffsrechte eng halten und Suchpfad-/DLL-Ladeorte nicht als Deko behandeln. Der Schraubenschlüssel ist klein. Der Aufzug, den er auslöst, ist es nicht zwingend.