Weltweite Systemausfälle Zwei von drei Unternehmen sagen: Folgen einer „CrowdStrike-Panne“ sind unvermeidlich

Anbieter zum Thema

Bitkom e.V.

MicroConsult Academy GmbH

emlix GmbH

Zwei Monate nach den durch ein fehlerhaftes Update der IT-Firma CrowdStrike ausgelösten weltweiten Systemausfällen haben das BSI und Branchenverband Bitkom Ergebnisse einer Umfrage in der deutschen Wirtschaft zu den Vorfällen veröffentlicht. Das Ergebnis: Mehr als die Hälfte der Unternehmen war in einer Form betroffen - und Störungen aus solchen Vorfällen werden immer zu spüren sein.

Gestrichene Flüge, ausgefallene Server, still liegender Betrieb: Die weltweite CrowdStrike-Panne vom 19. Juli 2024, die durch ein fehlerhaftes Update der Falcon-Software des Unternehmens ausgelöst wurde, hat auch die deutsche Wirtschaft hart getroffen. Welche Folgen die Panne für Unternehmen in Deutschland hatte, haben jetzt das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Digitalverband Bitkom in einer gemeinsamen Befragung von 331 von den Ausfällen betroffenen Unternehmen ermittelt.

Die Untersuchung ist nicht repräsentativ, gibt aber ein aussagekräftiges Stimmungsbild. Demnach 62 Prozent der damals betroffenen Unternehmen litten unter direkten Folgen, wie dem Ausfall der eigenen PCs oder Server. 48 Prozent spürten indirekte Auswirkungen, weil zum Beispiel Zulieferer, Kunden oder Geschäftspartner betroffen waren. Knapp die Hälfte der direkt oder indirekt betroffenen Unternehmen (48 Prozent) musste daraufhin vorübergehend den Betrieb einstellen – im Schnitt für 10 Stunden.

Trotz Notfallplänen glauben zwei Drittel, dass sich solche Vorfälle nie ganz vermeiden lassen

Rund drei Viertel (73 Prozent) bezeichnen rückblickend die entstandenen Probleme und Störungen als gravierend für die deutsche Wirtschaft. Zugleich sind zwei Drittel (64 Prozent) mit Blick auf das eigene Unternehmen aber auch sicher: Ein solcher Vorfall lässt sich nicht vollständig verhindern.

„Es wird auch in Zukunft keinen 100-prozentigen Schutz vor IT-Sicherheitsvorfällen geben,“ sagt BSI-Präsidentin Claudia Plattner. „Trotzdem wollen wir so nah wie möglich an die 100 Prozent heran.“ Dazu stehe das BSI in engem Austausch mit CrowdStrike, Microsoft und weiteren global agierenden Software-Herstellern, damit diese die Qualität ihrer Software und ihrer Softwareupdates verbessern.

Aber auch Unternehmen selbst, die Software von anderen Anbietern einsetzen, müssen und können mit präventiven Maßnahmen ihre Resilienz erhöhen, damit sie widerstandsfähiger gegen IT-Sicherheitsvorfälle werden. „Dazu ist es wichtig, den Anwenderinnen und Anwendern die größtmögliche Kontrolle über Updateprozesse zu geben,“ sagt Plattner. Darüber hinaus zeigten die vorliegenden Umfrageergebnisse, dass eingeübte IT-Notfallkonzepte ein wichtiger Bestandteil jeder Krisenvorsorge sein müssen.

Jedes fünfte Unternehmen spürte die Folgen für drei Tage oder länger

Bei den direkt betroffenen Unternehmen wurden im Schnitt 32 Prozent der PCs und Notebooks sowie 51 Prozent der Server in Mitleidenschaft gezogen. Dadurch kam es vor allem zu Systemabstürzen (83 Prozent), Anwendungen konnten nicht genutzt werden (64 Prozent) und Daten waren nicht verfügbar (58 Prozent). 40 Prozent der Unternehmen sind so Schäden in der Zusammenarbeit mit Kunden entstanden, etwa weil Leistungen nicht erbracht werden konnten, weitere 13 Prozent konnten oder wollten dazu keine Angaben machen.

Im Schnitt dauerte es zwei Tage, bis die Störungen wieder vollständig behoben waren. Ein Fünftel der direkt betroffenen Unternehmen (20 Prozent) litt aber 3 Tage und länger unter den Folgen.

Wer Notfallpläne besaß kam glimpflicher davon

Die direkt betroffenen Unternehmen haben sich zumeist (74 Prozent) selbst geholfen, um die entstandenen Probleme zu beheben. 15 Prozent bekamen Unterstützung von externen IT-Dienstleistern, 9 Prozent direkt von CrowdStrike und 4 Prozent von Microsoft. Ihre ersten Informationen zur IT-Panne haben jeweils knapp ein Viertel der Unternehmen über Social Media (23 Prozent) und von CrowdStrike direkt (22 Prozent) erhalten. 17 Prozent wurden zuerst über die Presse informiert, 10 Prozent von externen Dienstleistern und jeweils 2 Prozent von Microsoft bzw. Behörden.

Eine Mehrheit von 62 Prozent der direkt oder indirekt betroffenen Unternehmen hatte einen Notfallplan für solche IT-Ausfälle vorbereitet – und der hat zumeist gegriffen. Bei 19 Prozent der betroffenen Unternehmen mit Notfallplan haben die Abläufe sehr gut funktioniert, bei 45 Prozent eher gut. Umgekehrt hat bei 12 Prozent der Plan eher nicht funktioniert, nur bei 2 Prozent hat er gar nicht funktioniert. Bei rund einem Fünftel (22 Prozent) kam der Notfallplan nicht zum Einsatz.

Unternehmen reagieren: Bessere Notfallpläne, Schulungen und IT-Anpassungen

Aus den Erfahrungen mit CrowdStrike ziehen die Unternehmen, die direkt oder indirekt betroffen waren, ihre Schlüsse und wollen sich besser aufstellen. Zwei Drittel (66 Prozent) wollen einen IT-Notfallplan entwickeln bzw. den bestehenden nachbessern oder haben das sogar bereits getan. Mehr als die Hälfte (55 Prozent) plant Schulungen oder hat diese schon durchgeführt, ebenso viele wollen das Patch-Management ihrer Software verbessern oder haben dies bereits umgestellt (55 Prozent).

Auch andere technische Maßnahmen stehen auf der To-Do-Liste der Unternehmen, etwa regelmäßiger Updates einspielen (52 Prozent), Backup-Systeme einführen oder verbessern (49 Prozent), die Netzwerke stärker segmentieren (49 Prozent) sowie Redundanzen in der IT aufbauen (48 Prozent). Ein Fünftel (20 Prozent) wird die Kriterien bei der Auswahl von IT-Sicherheitsanbietern anpassen, 4 Prozent haben als Konsequenz den IT-Sicherheitsanbieter gewechselt, 6 Prozent planen dies.

„Die IT-Ausfälle und ihre Folgen zeigen, welche herausragende Bedeutung digitale Technologien für unsere Wirtschaft und Gesellschaft haben,“ sagt Bitkom-Präsident Dr. Ralf Wintergerst. Bei dem Vorfall im Juli sei es tatsächlich letztlich glimpflich ausgegangen - nicht zuletzt, weil Wirtschaft und Behörden, mit Unterstützung von CrowdStrike und Microsoft., schnell reagiert und tatkräftig zusammengearbeitet hätten. „Es muss aber ein Warnschuss für uns sein," mahnt der Bitkom-Präsident. „Wir müssen unsere Cybersicherheit dringend weiter verbessern und brauchen entsprechendes eigenes Know-how in Unternehmen und Behörden – nur so können wir uns vor unbeabsichtigten Ausfällen oder gezielten Angriffen besser schützen und digital souveräner werden.“

(sg)

Test & Qualität

Cybersecurity durch optimal verteilte statische Codeanalyse