Am Freitag, 19 Juli 2024, ab 04:09 Koordinierte Weltzeit UTC, war rund um den Globus auf den Bildschirmen von schätzungsweise 8,5 Millionen Windows-Geräten nur noch der «Blue Screen of Death» zu sehen. Experten sprechen vom «grössten informationstechnologischen(IT)-Ausfall aller Zeiten». Weitreichende Störungen gab es im Flugverkehr bei Banken, Versicherungen, Supermärkten, Spitälern, Stromverteilern, Fernseh- und Radiosendern sowie vielen anderen kritischen Infrastruktureinrichtungen. Der bislang nur in Fachkreisen bekannte Pannenverursacher CrowdStrike erhielt an der weltgrössten Hackerkonferenz «Def Con» in Las Vegas den «Pwnie Award For The Most Epic Fail». Mit seiner juristischen Schlacht gegen hohe Schadenersatzforderungen wird CrowdStrike noch lange in den Schlagzeilen bleiben.

Grösster Fehlschlag im Bereich der Cybersicherheit

An der weltgrössten Hackerkonferenz «DefCon» vom 8. bis 11. August 2024 in Las Vegas wurde der «Pwnie Award For The Most Epic Fail» dem CrowdStrike-Präsidenten Michael Sentonas persönlich übergeben. Mit diesem Preis wird jährlich der «Grösste Fehlschlag im Bereich der Cybersicherheit» ausgezeichnet. CrowdStrike erhielt die Auszeichnung aufgrund seines fehlerhaften Software-Updates, das am 19. Juli 2024 zu einem der grössten IT-Ausfälle der Geschichte führte: Weltweit gab es Störungen im Flugverkehr bei Banken, Versicherungen, Supermärkten, Spitälern, Stromverteilern, Fernseh- und Radiosendern sowie vielen anderen kritischen Infrastruktureinrichtungen.

CrowdStrike-Präsident gibt Fehler zu

CrowdStrike-Präsident Michael Sentonas zeigte in Las Vegas in seiner Dankesrede für die Preisverleihung Grösse, indem er die gesamte Verantwortung für den fatalen Cybervorfall übernahm. Er betonte, dass das Anerkennen von Fehlern ein wichtiger Teil der Unternehmensphilosophie von CrowdStrike sei. Die heuer vergebene «Pwnie Award For The Most Epic Fail»-Trophäe ist eine überdimensionale Version des sonst üblichen Pwnie-Preises. Die Trophäe soll laut Michael Sentonas im Hauptquartier von CrowdStrike prominent aufgestellt werden. Sie soll die Mitarbeitenden von CrowdStrike jeden Tag daran erinnern, dass Riesenfehler passieren können, dass solche Fehler aber mit unermüdlichem Einsatz unbedingt vermieden werden müssen.

Der Gesamtschaden wird auf mindestens zehn Milliarden US-Dollar geschätzt

Aktuellen Schätzungen zufolge beläuft sich der weltweite Schaden des CrowdStrike-Vorfalls auf mindestens zehn Milliarden US-Dollar. Laut Experten werden Cybersecurity-Versicherungen höchstens einen Fünftel des Schaden tragen. Der Rest des Schadens wird entweder schweigend übernommen oder in Gerichtsauseinandersetzungen münden. Von CrowdStrike-Aktionären gibt es bereits eine Sammelklage. Zudem erwägen Flugpassagiere, Fluggesellschaften und viele andere Geschädigte mithilfe von spezialisierten Anwälten Schadenersatzklagen. Eine wichtige Rolle werden dabei die Haftungsausschlüsse in den Allgemeinen Geschäftsbedingungen von CrowdStrike spielen. Eines ist sicher: In den USA wird der CrowdStrike-Vorfall zu jahrelangen gerichtlichen Auseinandersetzungen führen. Auf beiden Seiten werden die besten Anwaltskanzleien gegeneinander kämpfen. Zur Abklärung der Gemengelage werden zuerst ein oder mehrere Musterverfahren angestrengt. Je nach deren Ausganglage zeichnet sich dann ab, wie ein Vergleich aussehen muss, der die kostspieligen Verfahren zu Ende bringt.

Wendepunkt in der Geschichte der Cybersicherheit

Neben den gerichtlichen Auseinandersetzung könnten die Auswirkungen des CrowdStrike-Vorfalls eine Welle von Innovationen in der Cybersicherheitsbranche auslösen: Unternehmen müssen nach neuen Wegen suchen, um ähnliche Vorfälle zu verhindern. Dies könnte zu einer verstärkten Nachfrage nach fortschrittlicheren Sicherheitslösungen und einer Zunahme von Forschung und Entwicklung im Bereich der Cybersicherheit führen. Möglicherweise gibt es auch eine Konsolidierung im Cybersicherheitsmarkt, weil kleinere Anbieter nicht in der Lage sein werden, mit den steigenden Anforderungen Schritt zu halten. Überdies könnte der CrowdStrike-Vorfall die Art und Weise verändern, wie Unternehmen Software-Updates durchführen und testen. Dabei wird die Qualitätssicherung und das Risikomanagement künftig mit Sicherheit eine grössere Rolle spielen. Dies könnte zu einer Verlangsamung der Update-Zyklen führen, aber auch zu einer erhöhten Zuverlässigkeit und Sicherheit der Software.

Insgesamt wird der CrowdStrike-Vorfall als ein Wendepunkt in die Geschichte der Cybersicherheit eingehen: Die Branche wird wegen des CrowdStrike-Vorfalls dazu gezwungen, ihre Praktiken grundsätzlich zu überdenken und zu verbessern. Denn nur so kann das Vertrauen der Öffentlichkeit und der Kunden in die digitale Infrastruktur zurückerlangt werden.