Startseite > Security > So hart traf der CrowdStrike-Ausfall die deutsche Wirtschaft

In vielen Betrieben ging gar nichts mehr

So hart traf der CrowdStrike-Ausfall die deutsche Wirtschaft

25. September 2024, 7:30 Uhr | Michaela Wurm

Vor zwei Monaten löste ein fehlerhaftes Update des Cybersecurity-Anbieters CrowdStrike einen IT-Supergau aus. Gestrichene Flüge, ausgefallene Server und PCs waren die Folge. Fast die Hälfte der betroffenen Unternehmen musste zeitweise den Betrieb einstellen, wie die Bilanz von Bitkom und BSI zeigt.

Gestrichene Flüge, ausgefallene Computer, geschlossene Supermärkte, nicht erreichbare Behörden – und viele Unternehmen, die ihre Beschäftigten nach Hause schicken mussten – am 19. Juli 2024 ging vielerorts nichts mehr. Ein fehlerhaftes Update einer Cybersicherheitslösung des Unternehmens CrowdStrike hatte weltweit zu zahlreichen IT-Ausfällen geführt (connect professional berichtete).

Nach Schätzungen von Microsoft waren weltweit rund 8,5 Millionen Windows-Geräte betroffen.

Matchmaker+ Anbieter zum Thema

zu Matchmaker+

Welche Folgen das für deutsche Unternehmen hatte, haben das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Digitalverband Bitkom in einer Befragung von 331 betroffenen Unternehmen ermittelt. Die Studie zeigt laut Bitkom ein aussagekräftiges Stimmungsbild und wie abhängig Firmen von einer funktionierenden IT-Infrastruktur sind. „Die IT-Ausfälle und ihre Folgen zeigen, welche herausragende Bedeutung digitale Technologien für unsere Wirtschaft und Gesellschaft haben“, betont Bitkom-Präsident Ralf Wintergerst. „Diesmal ist es glimpflich ausgegangen, auch dank der gemeinsamen Anstrengungen von Wirtschaft und Behörden, mit Unterstützung von CrowdStrike und Microsoft. Es muss aber ein Warnschuss für uns sein. Wir müssen unsere Cybersicherheit dringend weiter verbessern und brauchen entsprechendes eigenes Know-how in Unternehmen und Behörden – nur so können wir uns vor unbeabsichtigten Ausfällen oder gezielten Angriffen besser schützen und digital souveräner werden.“

Es gibt keinen 100-prozentigen Schutz

62 Prozent der betroffenen Unternehmen litten laut Studie unter direkten Folgen, wie dem Ausfall der eigenen PCs oder Server. 48 Prozent spürten indirekte Auswirkungen, weil zum Beispiel Zulieferer, Kunden oder Geschäftspartner betroffen waren. Knapp die Hälfte der direkt oder indirekt betroffenen Unternehmen (48 Prozent) musste daraufhin vorübergehend den Betrieb einstellen – im Schnitt für 10 Stunden. Rund drei Viertel (73 Prozent) bezeichnen rückblickend die entstandenen Probleme und Störungen als gravierend für die deutsche Wirtschaft. Zugleich sind zwei Drittel (64 Prozent) mit Blick auf das eigene Unternehmen aber auch sicher: Ein solcher Vorfall lässt sich nicht vollständig verhindern.

„Es wird auch in Zukunft keinen 100-prozentigen Schutz vor IT-Sicherheitsvorfällen geben“, so BSI-Präsidentin Claudia Plattner. „Trotzdem wollen wir so nah wie möglich an die 100 Prozent heran“. Dazu sei das BSI in engem Austausch mit CrowdStrike, Microsoft und weiteren Software-Herstellern, damit diese die Qualität ihrer Software und ihrer Softwareupdates verbesserten. „Aber auch Unternehmen müssen und können mit präventiven Maßnahmen ihre Resilienz erhöhen, damit sie widerstandsfähiger gegen IT-Sicherheitsvorfälle werden“, betont Plattner. Dazu sei es wichtig, den Anwendern die größtmögliche Kontrolle über Updateprozesse zu geben. Darüber hinaus müssten eingeübte IT-Notfallkonzepte wichtiger Bestandteil jeder Krisenvorsorge sein.

Firmen konnten Leistungen nicht erbringen

Bei den direkt betroffenen Unternehmen wurden im Schnitt 32 Prozent der PCs und Notebooks sowie 51 Prozent der Server in Mitleidenschaft gezogen. Dadurch kam es vor allem zu Systemabstürzen (83 Prozent), Anwendungen konnten nicht genutzt werden (64 Prozent) und Daten waren nicht verfügbar (58 Prozent). 40 Prozent der Unternehmen sind so Schäden in der Zusammenarbeit mit Kunden entstanden, etwa weil Leistungen nicht erbracht werden konnten, weitere 13 Prozent konnten oder wollten dazu keine Angaben machen. Im Schnitt dauerte es zwei Tage, bis die Störungen wieder vollständig behoben waren. Ein Fünftel der direkt betroffenen Unternehmen (20 Prozent) litt aber 3 Tage und länger unter den Folgen.

Die überwiegende Mehrheit der direkt betroffenen Firmen musste mit den Problemen alleine zurecht kommen. 74 Prozent gaben in der Umfrage an, dass sie die entstandenen Probleme selbst behoben haben. Nur 15 Prozent bekamen Unterstützung von externen IT-Dienstleistern, 9 Prozent direkt von CrowdStrike und 4 Prozent von Microsoft.

Ähnlich sieht es bei der Informationspolitik der involvierten Anbieter aus. Ihre ersten Informationen zur IT-Panne haben jeweils knapp ein Viertel der Unternehmen über Social Media (23 Prozent) und von CrowdStrike direkt (22 Prozent) erhalten. 17 Prozent wurden zuerst über die Presse informiert, 10 Prozent von externen Dienstleistern und jeweils 2 Prozent von Microsoft beziehungweise Behörden.

Eine Mehrheit von 62 Prozent der direkt oder indirekt betroffenen Unternehmen hatte einen Notfallplan für solche IT-Ausfälle vorbereitet – und der hat zumeist gegriffen. Bei 19 Prozent der betroffenen Unternehmen mit Notfallplan haben die Abläufe sehr gut funktioniert, bei 45 Prozent eher gut. Umgekehrt hat bei 12 Prozent der Plan eher nicht funktioniert, nur bei 2 Prozent hat er gar nicht funktioniert. Bei rund einem Fünftel (22 Prozent) kam der Notfallplan nicht zum Einsatz.