Im Jahr 2025 geriet der beliebte Texteditor Notepad++ ins Visier einer komplexen Supply-Chain-Attacke. Angreifer kompromittierten nicht den Quellcode des Projekts, sondern die Infrastruktur des früheren Hosting-Providers von notepad-plus-plus.org, um ausgewählten Nutzern manipulierte Updates unterzuschieben. Am 2. Februar 2026 veröffentlichte Projektgründer Don Ho die Ergebnisse der Untersuchung, die den Umfang, die Technik und den Zeitraum des Vorfalls präzise nachzeichnen.
Supply-Chain-Angriff auf Notepad++: Ablauf und technische Details
Die bösartige Aktivität begann nach aktuellem Erkenntnisstand im Juni 2025 und blieb bis Dezember unentdeckt. Entscheidend ist: Die Kompromittierung erfolgte nicht im Code von Notepad++ selbst, sondern auf Ebene der Hosting-Infrastruktur. Damit handelt es sich um ein typisches Beispiel für eine Attacke auf die Software-Lieferkette, bei der das Umfeld des Produkts angegriffen wird – in diesem Fall der Update-Server.
Der Update-Mechanismus von Notepad++ kommunizierte per HTTP mit einem Skript /update/getDownloadUrl.php. Angreifer konnten einzelne HTTP-Anfragen abfangen und gezielt auf eigene Server umleiten. Dort stellten sie gefälschte Update-Manifeste bereit, die statt legitimer Installationspakete auf maliziöse Setupdateien verwiesen. Die Manipulation erfolgte selektiv und traf nur einen Teil der Nutzer. Diese gezielte, „rauscharme“ Vorgehensweise reduzierte die Chance, dass Sicherheitsteams ungewöhnliche Muster in breiten Telemetriedaten erkennen.
Funktion der eingeschleusten Malware: Aufklärung vor dem eigentlichen Angriff
Die über die gefälschten Updates ausgelieferte Malware war bewusst schlank gehalten und diente vor allem der Initialaufklärung im Zielsystem. Nach der Installation führte sie Standardbefehle wie netstat, systeminfo, tasklist und whoami aus. So sammelten die Angreifer Informationen über Netzwerkverbindungen, Betriebssystemkonfiguration, laufende Prozesse und die aktuell angemeldete Benutzeridentität.
Die gesammelten Daten wurden lokal in einer Datei abgelegt und anschließend mit Hilfe des Tools curl an den temporären File-Hosting-Dienst temp[.]sh exfiltriert. Dieses Muster entspricht dem ersten Stadium gezielter Angriffe (APT): Zunächst wird der Wert des kompromittierten Systems eingeschätzt, bevor weitere, aufwendigere Angriffsschritte folgen. Branchenberichte – etwa von ENISA, Mandiant oder Microsoft – beschreiben solche mehrstufigen, leisen Operationen seit Jahren als typisches Vorgehen staatlich unterstützter Gruppen.
Rolle des Hosting-Providers und Zeitachse der Kompromittierung
Nach Angaben des ehemaligen Hosting-Providers war der Server, auf dem Website und Update-Infrastruktur von Notepad++ betrieben wurden, bis spätestens 2. September 2025 kompromittiert. An diesem Tag wurden Kernel und Firmware im Rahmen planmäßiger Wartungsarbeiten aktualisiert. In den Logdaten fehlen ab diesem Zeitpunkt die zuvor beobachteten verdächtigen Zugriffsmuster auf den Server selbst – ein Indiz dafür, dass die Angreifer den unmittelbaren Systemzugriff verloren.
Gleichzeitig hielten die Angreifer jedoch weiterhin Zugriff auf interne Dienste der Hosting-Umgebung und konnten so bis zum 2. Dezember 2025 selektiv Anfragen an /update/getDownloadUrl.php umleiten. Auffällig: Laut Logauswertung gibt es keine Hinweise darauf, dass andere Kunden des Providers auf demselben Server angegriffen wurden. Der Fokus lag ausschließlich auf notepad-plus-plus.org und dessen Update-Mechanismus. Incident-Response-Spezialisten gehen davon aus, dass die praktische Angriffsphase bereits um den 10. November 2025 weitgehend beendet war; der Zeitraum der Kompromittierung der Gesamtinfrastruktur wird plausibel mit Juni bis Dezember 2025 eingegrenzt.
Mögliche APT-Urheber und Einordnung in bekannte Angriffsstrategien
Mehrere voneinander unabhängige Sicherheitsexperten führen technische Indikatoren, das Opferprofil und Verhaltensmuster zusammen und kommen zu der Einschätzung, dass mit hoher Wahrscheinlichkeit eine chinesische, staatsnahe APT-Gruppe hinter dem Angriff steht. Für diese Attribution sprechen insbesondere der gezielte Charakter der Operation, die bewusst niedrige Sichtbarkeit durch selektive Update-Manipulation sowie die Tatsache, dass betroffene Organisationen geschäftliche Interessen in Ostasien hatten.
Der Fall fügt sich in ein bekanntes Muster ein: Staatlich unterstützte APT-Akteure nutzen seit Jahren Supply-Chain-Angriffe, um über vertrauenswürdige Software unauffällig in Unternehmensnetzwerke einzudringen – prominente Beispiele sind die SolarWinds- oder CCleaner-Vorfälle. Öffentliche Bedrohungsanalysen internationaler Behörden und Sicherheitsunternehmen zeigen übereinstimmend, dass Angriffe auf die Software-Lieferkette zu den wirksamsten und am schwersten zu erkennenden Angriffsmethoden gehören, da Nutzer Updates etablierter Produkte in der Regel als vertrauenswürdig einstufen.
Reaktion der Notepad++-Entwickler: Härtung des Update-Prozesses
Nachdem Ende 2025 erste Hinweise auf manipulierte Updates aufkamen, reagierten die Entwickler von Notepad++ zügig mit technischen Gegenmaßnahmen. Mit Version 8.8.8 wurde der Download der Updates ausschließlich auf GitHub umgestellt. Dadurch entfiel ein Teil der Angriffsfläche auf Seiten des Hosting-Providers, da die Binärpakete nun direkt aus einer besser abgesicherten Plattform bezogen werden.
Am 9. Dezember folgte Version 8.8.9 mit deutlich verschärften Sicherheitsmechanismen. Die integrierte Update-Komponente WinGup überprüft seither sowohl die digitale Signatur des Installationspakets als auch das zugehörige Entwicklerzertifikat. Zusätzlich werden die XML-Antworten des Update-Servers mit XMLDSig kryptografisch signiert. Damit wird nicht nur der ausführbare Code, sondern auch die Integrität und Authentizität der Metadaten sichergestellt.
Parallel wurde die Website von Notepad++ zu einem neuen Hosting-Provider mit höheren Sicherheitsstandards und strengeren organisatorischen Prozessen migriert. Für eine kommende Version 8.9.2 ist geplant, die Signatur- und Zertifikatsprüfung zu einem unverzichtbaren, nicht deaktivierbaren Bestandteil des Update-Prozesses zu machen. Der Autor des Projekts empfiehlt Anwendern bereits jetzt, mindestens Version 8.9.1 manuell zu installieren, um alle wesentlichen Schutzverbesserungen zu erhalten.
Lehren für Unternehmen: Updates als sicherheitskritische Infrastruktur behandeln
Der Notepad++-Vorfall macht deutlich, dass selbst weitverbreitete und etablierte Tools zu einem Vektor für Angriffe auf Unternehmensnetze werden können, wenn ihre Lieferkette angegriffen wird. Der Mechanismus zur Softwareaktualisierung ist damit kein bloßes Komfortfeature, sondern ein sicherheitskritischer Bestandteil der IT-Infrastruktur, der denselben Schutzansprüchen genügen muss wie Firewalls oder Identity-Management-Systeme.
Aus Expertensicht sollten Organisationen insbesondere folgende Maßnahmen priorisieren: konsequente Nutzung und Überprüfung von Code-Signing-Signaturen bei Updates; Einschränkung oder Verzögerung automatischer Updates auf kritischen Systemen, um eine Vorabprüfung zu ermöglichen; Monitoring und Filterung ausgehender Verbindungen zu wenig bekannten Diensten wie temporären File-Hostern; sowie ein strukturiertes Vendor- und Hosting-Risikomanagement, das Audits, Anforderungen an aussagekräftige Logdaten und klare Reaktionsprozesse im Falle von Kompromittierungen umfasst.
Der Fall Notepad++ zeigt eindrücklich, dass Widerstandsfähigkeit gegen Supply-Chain-Attacken nur im Zusammenspiel von Entwicklern, Hosting-Providern und Anwenderorganisationen erreicht werden kann. Wer heute seine Update-Infrastruktur systematisch härtet, Signaturen prüft, Netzwerkverkehr auf Anomalien überwacht und Sicherheitsmeldungen zu eingesetzter Software aktiv verfolgt, erschwert Angreifern leise, zielgerichtete Operationen erheblich – und reduziert das Risiko, dass das nächste „vertrauenswürdige“ Update zum Einfallstor in die eigene Infrastruktur wird.
