Blaue Bildschirme an Flughafen-Anzeigetafeln, ausgefallene Check-in-Schalter, verschobene Operationen, Supermarktkassen außer Betrieb: Der vergangene Freitag, der 19. Juli, wird vielen in Erinnerung bleiben. Auslöser war kein Hackerangriff, sondern ein fehlerhaftes Update der Sicherheitssoftware Falcon von CrowdStrike. Viele Kunden fragen uns seitdem, welche Lehren man aus dem CrowdStrike-Ausfall ziehen sollte, auch wenn der eigene Betrieb gar nicht betroffen war. Die kurze Antwort: einige, und die meisten kosten wenig.
Was ist passiert?
CrowdStrike hat in der Nacht auf Freitag eine Konfigurationsdatei für seinen Windows-Sensor verteilt. Diese Datei enthielt einen Fehler, der Windows-Rechner beim Laden in einen Absturz mit Bluescreen schickte, und zwar immer wieder beim Neustart. Microsoft schätzt die Zahl der betroffenen Windows-Geräte auf rund 8,5 Millionen. Das ist zwar nur ein kleiner Teil aller Windows-Rechner, aber es traf genau die Systeme großer Organisationen, an denen viel hängt. Mac- und Linux-Systeme waren nicht betroffen.
Die Lösung war im Prinzip einfach, in der Praxis aber mühsam: Jeder betroffene Rechner musste im abgesicherten Modus oder über die Wiederherstellungsumgebung gestartet werden, dann wurde die fehlerhafte Datei gelöscht. Das geht nicht per Fernwartung, wenn das Gerät nicht mehr hochfährt. Und wenn die Festplatte mit BitLocker verschlüsselt ist, braucht man vorher den Wiederherstellungsschlüssel. Genau hier haben viele IT-Abteilungen Stunden verloren.
Die wichtigsten Lehren aus dem CrowdStrike-Ausfall
1. Auch Sicherheitssoftware ist ein Risiko
Virenschutz und Endpoint-Security arbeiten tief im Betriebssystem. Das ist nötig, damit sie Angriffe erkennen. Es bedeutet aber auch: Ein Fehler dort kann das ganze System lahmlegen. Das ist kein Argument gegen Sicherheitssoftware, wohl aber eines für einen bewussten Umgang mit Updates und für einen Plan B.
2. Gestaffelte Updates, wo immer möglich
Bei Windows-Updates, Firmware und Fachanwendungen können Sie oft steuern, wann welche Geräte aktualisiert werden. Bewährt hat sich ein Ring-Modell: erst ein paar Testgeräte, nach einigen Tagen der Rest. Bei den Inhaltsupdates von Sicherheitssoftware hat man darauf oft keinen Einfluss. Umso wichtiger ist es, die übrigen Updates sauber zu staffeln, damit nicht alles gleichzeitig kippt.
3. BitLocker-Schlüssel griffbereit, aber nicht nur digital
Viele Betriebe verschlüsseln ihre Notebooks, was richtig ist. Aber wo liegen die Wiederherstellungsschlüssel? Wenn sie nur auf einem Server stehen, der selbst nicht mehr startet, oder im Postfach eines Kollegen im Urlaub, wird es eng. Prüfen Sie diese Woche:
- Sind für alle verschlüsselten Geräte die Wiederherstellungsschlüssel zentral hinterlegt?
- Kommen Sie an diese Schlüssel auch dann, wenn Ihre Rechner und Server ausgefallen sind?
- Wissen mindestens zwei Personen, wie man darauf zugreift?
4. Ein Notfallplan auf Papier
Wer nur digitale Notfallpläne hat, steht im Ernstfall vor einem Rätsel. Ein paar ausgedruckte Seiten im Büro und zuhause beim Geschäftsführer reichen oft schon: Ansprechpartner, Telefonnummern des IT-Dienstleisters, Zugangswege, Prioritäten.
5. Abhängigkeiten kennen
Viele kleinere Betriebe waren indirekt betroffen: Der Lieferant konnte nicht liefern, die Bank hatte Störungen, der Flug zum Kundentermin fiel aus. Fragen Sie sich, welche Dienstleister für Sie unverzichtbar sind und was Sie tun, wenn einer davon einen Tag ausfällt.
Checkliste: Sind Sie vorbereitet?
| Frage | Ja / Nein |
|---|---|
| Gibt es eine aktuelle Liste aller Rechner, Server und wichtigen Programme? | |
| Sind BitLocker-Wiederherstellungsschlüssel zentral und unabhängig vom Netz erreichbar? | |
| Werden Updates gestaffelt verteilt, zuerst auf Testgeräte? | |
| Gibt es einen ausgedruckten Notfallplan mit Ansprechpartnern? | |
| Kann jemand vor Ort einen Rechner im abgesicherten Modus starten? | |
| Gibt es mindestens ein funktionierendes Ersatzgerät? | |
| Sind die wichtigsten Abläufe auch kurzzeitig ohne IT möglich (z. B. Notkasse, Telefonliste)? |
Jedes „Nein“ ist ein Hinweis, wo Sie nachbessern sollten. Das meiste davon ist in einem Nachmittag erledigt. Besonders der Punkt „vor Ort“ wird oft übersehen: Wenn der IT-Dienstleister nur per Fernwartung arbeitet, hilft das wenig, solange die Rechner nicht hochfahren. Klären Sie, wer im Notfall persönlich vorbeikommt, oder ob eine Person im Betrieb mit einer kurzen Anleitung am Telefon die nötigen Schritte selbst erledigen kann.
Vorsicht vor Trittbrettfahrern
Kaum war der Ausfall in den Nachrichten, tauchten die ersten betrügerischen E-Mails und Webseiten auf, die angebliche „Fix-Tools“ oder Hilfe von vermeintlichen CrowdStrike-Mitarbeitern anboten. Auch das Bundesamt für Sicherheit in der Informationstechnik hat vor solchen Trittbrettfahrern gewarnt. Unsere Regel: Laden Sie keine Werkzeuge von unbekannten Quellen herunter und reagieren Sie nicht auf unaufgeforderte Hilfsangebote per E-Mail oder Telefon. Echte Informationen gibt es auf den offiziellen Seiten der Hersteller und beim BSI.
Unsere ehrliche Einschätzung
Hundertprozentigen Schutz gegen so einen Fall gibt es nicht. Auch der beste IT-Dienstleister kann einen Fehler im Code eines Herstellers nicht verhindern. Was man aber sehr wohl beeinflussen kann, ist die Zeit bis zur Wiederherstellung. Ob Ihr Betrieb nach drei Stunden oder nach drei Tagen wieder arbeitet, entscheidet sich nicht am Tag des Ausfalls, sondern in den Wochen davor: Dokumentation, Schlüssel, Notfallplan, Ersatzgeräte, Ansprechpartner.
Viele Betriebe, die wir betreuen, haben am Freitag gar nichts gemerkt, weil sie die betroffene Software nicht einsetzen. Das ist Glück, kein Verdienst. Nutzen Sie die Gelegenheit, den eigenen Notfallplan einmal aus der Schublade zu holen, oder ihn überhaupt erst anzulegen.
Wir helfen Ihnen gerne
Sie möchten wissen, wie schnell Ihr Betrieb nach einem großen IT-Ausfall wieder arbeitsfähig wäre? Die Mittelstandsoptimierer prüfen mit Ihnen Update-Strategie, Verschlüsselung und Notfallplan und erstellen eine kompakte Notfallmappe, die auch ohne Strom und Netz funktioniert. Sprechen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
