Umfrage gestartet: BSI und Bitkom wollen Schaden durch Crowdstrike-Ausfall ermitteln
Weltweit kam es am 19. Juli zu massiven Ausfällen, als ein fehlerhaftes Crowdstrike-Update rund 8,5 Millionen Windows-Systeme zum Absturz brachten. Wie hoch die konkreten Schäden sind, lässt sich jedoch nur schwer beziffern. Der IT-Verband Bitkom und das BSI starten daher nun eine Umfrage.
Generell mangele es an objektiven Daten. In den USA war bereits kurz nach dem Ausfall von Versicherungsschäden in Höhe von 1,5 Milliarden US-Dollar die Rede, die Spannweite der Schätzungen sind aber generell enorm. Analysten berechneten Summen, die bis in den zweistelligen Milliarden-Bereich gehen. Wie es um die deutsche Wirtschaft bestellt ist, lässt sich derweil nicht sagen.
Studie soll Licht ins Dunkel bringen
Daher starten der Bitkom und das Bundesamt für Sicherheit in der Informationstechnik (BSI) nun gemeinsam eine Studie. Diese soll helfen, die Dimension der Schäden zu erfassen. „Mit der Studie wollen wir herausfinden, wie die deutsche Wirtschaft aufgestellt ist und wie gravierend die Auswirkungen der IT-Systemausfälle infolge des Crowdstrike-Updates sind“, sagt Bitkom-Präsident Ralf Wintergerst.
Die Umfrage lässt sich online ausfüllen und richtet sich an alle Unternehmen in Deutschland, die von den Systemausfällen am 19. Juli betroffen waren. Das gilt sowohl für direkte als auch indirekte Folgen, die etwa entstehen, wenn Lieferketten gestört oder Geschäftspartner beeinträchtigt sind. Abgefragt werden dabei sowohl Art und Umfang der Störungen als auch die unmittelbaren Folgen wie etwa die temporäre Einstellung des Geschäftsbetriebs. Zusätzlich will man erfassen, welcher Aufwand notwendig war, um den IT-Betrieb wieder herzustellen, und eine Schätzung der finanziellen Schäden zusammentragen.
Durchgeführt wird die Studie von Bitkom Research im Auftrag des BSI und des Bitkom.
Delta Airlines will Schadensersatz
Nicht nur die Höhe der Schäden ist unklar. Ebenso strittig ist, wer für diese aufkommen soll. In den USA spricht allein Delta Airlines von Kosten in Höhe von 350 bis 500 Millionen US-Dollar. Fluggesellschaften zählten zu den Brachen mit harten Einschnitten. Laut Online-Radardiensten kam der Flugverkehr über den USA am 19. Juli zeitweise zum Erliegen.
Für diese Schäden sollen nun Microsoft und Crowdstrike aufkommen, erklärte Delta-Airlines-CEO Ed Bastian letzte Woche im Interview mit CNBC. In dem Gespräch sparte er auch nicht mit Kritik an Microsoft. Der Konzern betreibe wahrscheinlich die „anfälligste Plattform“, so Bastian, der zusätzlich die Frage stellte: „Wann haben Sie zuletzt von einem großen Ausfall bei Apple gehört?“
Der Hype um generative KI habe die Bewertungen der Tech-Konzerne befeuert, diese hätten nun den Anspruch, die Zukunft zu bauen. Dadurch dürften sie aber nicht den Status Quo außer Acht lassen, die Anbieter müssten laut Bastian „sicherstellten, dass sie die Gegenwart befestigen“.
Microsoft versucht, Schuld auf die EU abzuschieben
Microsoft nennt derweil EU-Vorgaben als Grund für Schwachstellen in der Architektur. 2009 habe sich der Konzern mit den europäischen Wettbewerbshütern darauf verständigt, dass Anbieter von IT-Sicherheitslösungen denselben Zugang zum Windows-Kernel wie Microsoft erhalten. Daher könne Microsoft aus rechtlichen Gründen sein Betriebssystem nicht so abschotten, wie es bei Apple der Fall wäre, erklärte ein Microsoft-Sprecher dem Wall Street Journal.
Die EU-Kommission bestreitet diese Sichtweise, berichtet The Verge. Es stehe Microsoft – im Rahmen des EU-Rechts – frei, das Geschäftsmodell und die Sicherheitsinfrastruktur so anzupassen, dass man auf Bedrohungen reagieren kann.
Klagen von allen Seiten
Crowdstrike ist derweil nicht nur mit Klagen von betroffenen Microsoft-Kunden konfrontiert. Auch Aktionäre des Unternehmens ziehen vor Gericht. Der Vorwurf ist: Aussagen von George Kurtz im März dieses Jahres seien irreführend gewesen, er beschrieb die Crowdstrike-Software als „validiert, getestet und zertifiziert“.
Mittlerweile macht das Unternehmen einen Bug in einer Test-Software für den Ausfall verantwortlich, diese habe das fehlerhafte Update nicht identifiziert. Anfang der Woche hat Crowdstrike auch eine Root Cause Analysis veröffentlicht.
Fabian und 
Jan-Frederik