Gorodenkoff - stock.adobe.com
Die Folgen des Crowdstrike-Vorfalls für deutsche Unternehmen
Der weitreichende IT-Vorfall am 19. Juli hat auch in deutschen Unternehmen für erhebliche Folgen gesorgt. Der Geschäftsbetrieb vieler Firmen wurde direkt oder indirekt gestört.
Am 19. Juli sorgte ein Fehler von Crowdstrike für weltweit weitreichende IT-Ausfälle. Dabei waren Unternehmen der unterschiedlichsten Branchen und verschiedener Größen international betroffen. (siehe auch Weltweite IT-Ausfälle zeigen Fragilität einer Softwarewelt). Laut Microsoft sollen weltweit 8,5 Millionen Windows-Systeme betroffen gewesen sein.
Im August 2024 hatten das BSI und der Branchenverband Bitkom eine gemeinsame Umfrage gestartet, um zu ermitteln, inwiefern hiesige Unternehmen von dem Vorfall betroffen waren. Nun wurden die Ergebnisse dieser Befragung veröffentlicht. So lägen von 331 betroffenen Unternehmen Antworten vor. Dies sei nicht repräsentativ, liefere aber ein aussagekräftiges Stimmungsbild, so BSI und Bitkom.
So hätten 62 Prozent der betroffenen Unternehmen unter den direkten Folgen des Vorfalls gelitten, sprich beispielsweise dem Ausfall von eigenen PCs oder Servern. 48 Prozent der Unternehmen hätten indirekte Auswirkungen gespürt. Beispielsweise weil Zulieferer, Geschäftspartner oder Kunden betroffen gewesen seien.
Behebung der Störungen dauerte durchschnittlich 2 Tage
Bei den direkt betroffenen Unternehmen wurden im Schnitt 32 Prozent der PC und Notebooks und 51 Prozent der Server in Mitleidenschaft gezogen. Die häufigste Folge waren dabei Systemabstürze (83 Prozent). Bei 64 Prozent konnten Anwendungen nicht genutzt werden und bei 58 Prozent standen nicht alle Daten zur Verfügung. So seien bei 40 Prozent der Unternehmen Schäden in der Zusammenarbeit mit Kunden entstanden, weil beispielsweise Leistungen nicht erbracht werden konnten. Im Durchschnitt war bei Unternehmen der Betrieb zehn Stunden eingeschränkt.
Im Schnitt dauerte es zwei Tage, bis die Störungen wieder vollständig behoben worden seien. Bei einem Fünftel der Unternehmen habe man aber drei Tage und länger unter den Folgen gelitten.
Die direkt betroffenen Unternehmen hätten sich meist selbst geholfen (74 Prozent). 15 Prozent hätten Unterstützung von externen IT-Dienstleistern erhalten, 9 Prozent direkt von Crowdstrike und vier Prozent von Microsoft.
Notfallpläne und Anpassungen
Immerhin 62 Prozent der direkt oder indirekt betroffenen Unternehmen hatten einen Notfallplan für solche IT-Ausfälle in der Schublade. Meist habe dieser auch gegriffen. So berichten 19 Prozent derjenigen mit Notfallplan, dass die Abläufe gut funktioniert hätten. Bei 45 Prozent der Befragten heißt es „eher gut“. Und bei zwölf Prozent derjenigen mit Plan habe dieser eher nicht funktioniert – bei zwei Prozent sogar gar nicht.
Insgesamt nehmen viele Unternehmen den Vorfall zum Anlass sich bezüglich solcher Ereignisse besser aufzustellen. So wollen zwei Drittel der Unternehmen einen IT-Notfallplan entwickeln, den bestehenden nachbessern oder haben Letzteres bereits erledigt.
Abseits der Notfallpläne haben sich Unternehmen eine ganze Reihe an Maßnahmen auf die To-do-Liste geschrieben, was ja für die Gesamtsicherheit kein Nachteil sein muss. So planen 55 Prozent Schulungen oder hat diese bereits durchgeführt. Ebenso viele wollen ihre Herangehensweise beim Patch-Management verbessern oder haben dies bereits umgestellt. Und 52 Prozent wollen dazu übergehen, Updates regelmäßiger einzuspielen. Bei 49 Prozent geht es wohl darum Backup-Systeme einzuführen oder zu verbessern, ein ebenso großer Anteil der Unternehmen möchte seine Netzwerke stärker segmentieren. Darüber hinaus wollen 48 Prozent der Unternehmen ihre Redundanzen in der IT ausbauen. Alles in allem kein wirkliches beruhigendes Bild des Status Quo, aber mit der guten Nachricht, dass sich etwas tut.
„Es wird auch in Zukunft keinen 100-prozentigen Schutz vor IT-Sicherheitsvorfällen geben. Trotzdem wollen wir so nah wie möglich an die 100 Prozent heran. Dazu ist das BSI in engem Austausch mit Crowdstrike, Microsoft und weiteren Software-Herstellern, damit diese die Qualität ihrer Software und ihrer Software-Updates verbessern. Aber auch Unternehmen müssen und können mit präventiven Maßnahmen ihre Resilienz erhöhen, damit sie widerstandsfähiger gegen IT-Sicherheitsvorfälle werden. Dazu ist es wichtig, den Anwenderinnen und Anwendern die größtmögliche Kontrolle über Update-Prozesse zu geben. Darüber hinaus zeigen auch die vorliegenden Umfrageergebnisse, dass eingeübte IT-Notfallkonzepte wichtiger Bestandteil jeder Krisenvorsorge sein müssen!“, so BSI-Präsidentin Claudia Plattner.
Das BSI hatte noch im Juli 2024 veröffentlicht, welche Maßnahmen geplant seien und umgesetzt werden, um in Zukunft das Risiko derlei Vorfälle zu reduzieren.
