Vor zwei Jahren hat ein Update der Welt kurz erklärt, wie dünn die Schicht Zivilisation über unserer IT eigentlich ist.

Kein Cyberangriff.

Kein russischer Superhacker im Kapuzenpulli.

Kein finsteres Botnetz mit dramatischer Musik.

Ein Update.

Ein ganz normales, alltägliches, angeblich kontrolliertes Sicherheitsupdate.

Und plötzlich standen Flughäfen, Banken, Krankenhäuser, Medienhäuser, Unternehmen und Behörden da wie ein Praktikant vor SAP: betroffen, überfordert und mit sehr vielen offenen Fragen.

Am 19. Juli 2024 verteilte CrowdStrike eine fehlerhafte Konfigurationsaktualisierung für den Falcon Sensor auf Windows-Systemen. Betroffen waren Systeme mit Falcon Sensor for Windows ab Version 7.11, die zwischen 04:09 UTC und 05:27 UTC online waren und die fehlerhafte Datei erhielten. CrowdStrike bestätigte später, dass die Aktualisierung einen Logikfehler auslöste, der Windows-Systeme zum Absturz brachte. Kein Angriff. Kein Sicherheitsvorfall. Einfach ein kaputtes Update mit globalem Wirkungsradius.

Schön.

Sicherheitssoftware, die Systeme schützt, indem sie sie direkt unbenutzbar macht.

Kann man machen.

Ist dann halt sehr konsequent.

Das Ergebnis war der gute alte Blue Screen of Death. Dieser blaue Windows-Gruß aus der Abteilung „heute leider nicht“. Nur eben nicht auf einem einzelnen Bürorechner, bei dem man kurz seufzt und Kaffee holt, sondern weltweit. Windows-Maschinen gingen in Bootloops, starteten in Recovery-Umgebungen oder blieben so beleidigt liegen, dass Administratoren physisch oder per Rettungsweg ran mussten.

Und da wurde es richtig lustig.

Also nicht für die Admins.

Für die war es vermutlich eher dieser besondere Zustand zwischen Puls, Koffein, BitLocker-Schlüssel und der Erkenntnis, dass „zentral verwaltet“ manchmal bedeutet: zentral kaputt.

CrowdStrike hatte die fehlerhafte Datei zwar relativ schnell zurückgezogen. Die problematische Version hatte den Zeitstempel 04:09 UTC, die zurückgesetzte gute Version 05:27 UTC. Aber das hilft Systemen wenig, die schon im Bluescreen-Karussell festhängen und gar nicht mehr sauber hochfahren, um die korrigierte Datei zu bekommen.

Das ist ungefähr so, als würde die Feuerwehr sagen:

„Wir haben den Brand gelöscht.“

Während du noch im brennenden Haus sitzt.

Technisch korrekt.

Emotional ausbaufähig.

Viele Systeme mussten manuell repariert werden. In der Praxis hieß das: abgesicherter Modus oder Windows Recovery Environment, in den CrowdStrike-Treiberordner gehen und die Datei C-00000291*.sys löschen. Danach hoffen, dass das Ding wieder startet. CrowdStrike beschrieb genau diesen Workaround in seinem Tech Alert.

Man stelle sich das in einem großen Unternehmen vor.

Nicht ein Rechner.

Nicht zehn.

Nicht fünfzig.

Sondern hunderte, tausende, teils weltweit verteilt.

Laptops. Server. Kiosksysteme. Check-in-Terminals. Arbeitsplätze. Maschinen. Systeme, die plötzlich alle dringend persönliche Zuwendung brauchten.

Digitalisierung ist toll.

Bis jemand mit Turnschuhen durch Gebäude laufen muss, um Rechner einzeln aus der blauen Hölle zu ziehen.

Microsoft sprach damals von rund 8,5 Millionen betroffenen Windows-Geräten. Das klingt im Verhältnis zur Gesamtzahl aller Windows-Geräte vielleicht klein. Aber bei kritischer Infrastruktur, Airlines, Banken, Krankenhäusern und großen Konzernen reicht „klein“ völlig aus, um weltweit Dinge sehr groß kaputt aussehen zu lassen.

Und genau das war die eigentliche Lektion.

Nicht: „CrowdStrike hat Mist gebaut.“

Ja.

Hat es.

Offensichtlich.

Die größere Lektion war: Unsere digitale Infrastruktur ist an erstaunlich vielen Stellen eine Kette aus Vertrauen, Automatik und Hoffnung.

Ein Sicherheitsanbieter bekommt tiefen Zugriff auf Systeme.

Updates kommen schnell.

Schnell ist gut, weil Bedrohungen schnell sind.

Schnell ist schlecht, wenn schnell kaputt ist.

Und wenn ein solcher Anbieter auf Millionen Maschinen etwas ausrollt, dann ist das kein kleines Update mehr.

Das ist ein globaler Hebel.

Mit Adminrechten.

Sicherheitssoftware sitzt nicht irgendwo nett am Rand und winkt freundlich mit einem Bericht. Sie hängt tief im System. Sie überwacht Prozesse, Dateien, Verhalten, Speicher, Netzwerk. Sie muss nah ran, sonst sieht sie zu wenig. Aber genau dieses „nah ran“ macht sie gefährlich, wenn etwas schiefläuft.

Ein Fehler in einer normalen App nervt.

Ein Fehler in Sicherheitssoftware legt das System schlafen.

Mit Nachdruck.

Und dann kommt dieser wunderschöne Widerspruch der modernen IT:

Wir wollen maximale Sicherheit.

Wir wollen schnelle Reaktion.

Wir wollen automatische Updates.

Wir wollen keine Angriffsfenster.

Wir wollen keine menschliche Langsamkeit.

Wir wollen aber bitte auch, dass nie etwas schiefgeht.

Klar.

Und Drucker sollen zuverlässig funktionieren.

Man kann aus dem CrowdStrike-Ausfall wunderbar lernen, wie wichtig gestaffelte Rollouts sind. Canary Deployments. Ringe. Testgruppen. Verzögerte Freigabe. Rollback-Strategien. Monitoring. Kill-Switches. Kundenkontrolle über Update-Zeitpunkte. Und vor allem: die Demut, dass auch Sicherheitsanbieter Software schreiben und Software manchmal aus sehr großer Höhe ins Gesicht fällt.

CrowdStrike selbst schrieb, die fehlerhafte Sensor-Konfigurationsaktualisierung sei Teil der laufenden Schutzmechanismen gewesen und habe einen Logikfehler ausgelöst. Genau da steckt das ganze Drama in einem Satz: Routinebetrieb. Schutzmechanismus. Logikfehler. Weltweiter Ausfall.

Routinebetrieb ist das gefährlichste Wort in der IT.

Routinebetrieb heißt oft: Das läuft immer so.

Bis es das nicht tut.

Und dann stellt man fest, dass „immer so“ keine Sicherheitsstrategie ist, sondern eine Gewohnheit mit Glück.

Natürlich war CrowdStrike nicht allein das Problem. Der Ausfall zeigte auch, wie abhängig viele Organisationen von Windows, zentralen Endpoint-Security-Produkten, Cloud-Diensten, automatisierten Updates und engen Lieferketten sind. Persönliche Windows-PCs waren meist nicht betroffen, weil Falcon vor allem in Unternehmensumgebungen läuft. Aber genau dort hängen eben die Dinge, die im Alltag wichtig sind: Flughafenbetrieb, medizinische Systeme, Bankprozesse, Produktion, Verwaltung.

Das ist der unangenehme Teil.

Der private Gaming-PC läuft.

Aber der Flughafen nicht.

Sehr beruhigend.

Die IT-Branche liebt Redundanz.

Auf Folien.

In der Realität hängt dann doch erstaunlich viel an denselben Anbietern, denselben Betriebssystemen, denselben Agenten, denselben Cloud-Abhängigkeiten und denselben Update-Pipelines.

Und wenn eine davon hustet, bekommt die halbe Welt blaue Flecken.

Man kann natürlich sagen: Fehler passieren.

Stimmt.

Fehler passieren.

Aber manche Fehler dürfen nicht so groß werden.

Das ist der Unterschied.

Ein Tippfehler in einem Blogartikel ist peinlich.

Ein Tippfehler in einer Konfigurationsdatei für globale Sicherheitssoftware ist ein historischer IT-Ausfall mit Flughafenboden-Übernachtung.

Und genau deshalb reicht ein „Sorry“ nicht als Lernkurve.

Es braucht Prozesse, die verhindern, dass ein einzelner fehlerhafter Inhalt in wenigen Minuten weltweit so viel Schaden anrichten kann. Es braucht Update-Stufen. Es braucht bessere Tests. Es braucht Kundenoptionen. Es braucht Notfallmechanismen. Es braucht Offline-Recovery, die nicht klingt wie ein Bastelabend im abgesicherten Modus.

Vor allem braucht es weniger blinden Glauben an automatische Zentralisierung.

Denn das ist die große Krankheit moderner IT:

Alles zentralisieren.

Alles automatisieren.

Alles beschleunigen.

Alles in die Cloud.

Alles remote.

Alles live.

Alles jederzeit.

Und dann überrascht sein, wenn ein Fehler ebenfalls zentral, automatisch, schnell, cloudnah, remote, live und jederzeit einschlägt.

Skalierung funktioniert eben auch bei Katastrophen.

Sehr effizient sogar.

Zwei Jahre später bleibt CrowdStrike deshalb mehr als nur eine peinliche Panne eines Sicherheitsanbieters.

Es ist ein Mahnmal.

Ein sehr blaues.

Es zeigt, dass Sicherheit nicht nur bedeutet, Angreifer abzuwehren.

Sicherheit bedeutet auch, sich selbst nicht umzubringen.

Das klingt banal.

Ist aber offenbar erwähnenswert.

Eine Sicherheitssoftware, die Millionen Systeme gegen Angriffe schützt, muss auch gegen die eigenen Fehler abgesichert sein. Ein Updateprozess ist Teil der Sicherheitsarchitektur. Wer Updates nicht kontrolliert, testet und begrenzt ausrollt, hat keinen Schutzmechanismus. Er hat eine globale Fernbedienung mit Zittern in der Hand.

Und ja, das gilt nicht nur für CrowdStrike.

Das gilt für Microsoft.

Für Antivirus-Hersteller.

Für EDR-Anbieter.

Für Cloud-Plattformen.

Für MDM-Systeme.

Für alles, was tief in Infrastruktur greift und sich selbst für unverzichtbar hält.

Je mächtiger ein Werkzeug ist, desto wichtiger ist die Frage:

Was passiert, wenn es Mist baut?

Nicht wenn der Angreifer kommt.

Nicht wenn der Kunde falsch klickt.

Nicht wenn der Azubi das falsche Kabel zieht.

Sondern wenn das Werkzeug selbst Mist baut.

CrowdStrike 2024 war genau dieser Moment.

Die Schutzweste hat den Träger umgeworfen.

Und alle haben gesehen, wie viele Menschen dieselbe Schutzweste tragen.

Zwei Jahre später sollte man also nicht nur nostalgisch auf blaue Bildschirme zurückblicken.

Man sollte fragen:

Haben wir daraus gelernt?

Gibt es bessere Rollout-Prozesse?

Haben Unternehmen Notfallpläne?

Können kritische Systeme Updates verzögern?

Gibt es echte Testgruppen?

Sind Wiederherstellungswege geübt?

Liegen BitLocker-Schlüssel auffindbar bereit?

Sind Abhängigkeiten dokumentiert?

Oder hoffen wir einfach wieder, dass schon nichts passiert?

Hoffnung ist ein beliebtes IT-Konzept.

Leider ein schlechtes.

Der CrowdStrike-Ausfall war kein Cyberangriff.

Das macht ihn fast schlimmer.

Denn gegen Angreifer kann man sich noch mit Feindbild, Budget und dramatischen Präsentationen rüsten.

Gegen den eigenen Updateprozess braucht man Demut.

Und Demut ist in der IT selten.

Passt schlecht in PowerPoint.

Zwei Jahre später bleibt also ein ziemlich einfacher Satz:

Wer die Welt mit einem Update lahmlegen kann, muss Updates behandeln wie Sprengstoff.

Nicht wie Routine.

Nicht wie „geht schon“.

Nicht wie „haben wir immer so gemacht“.

Sondern wie das, was sie sind:

kleine Pakete mit sehr großer Macht.

Und manchmal eben mit Bluescreen.