Erste Zahlen und weitere Details zum großen CrowdStrike Ausfall

[DMW007]

Bei vielen Katastrophen in der IT ist erst hinterher klar geworden, dass sie noch deutlich verheerender waren, als zunächst bekannt. CrowdStrike ist dabei keine Ausnahme: Das Fehlerhafte Update hat weltweit 8,5 Millionen Windows-PCs lahm gelegt - diese Zahl ist eine erste Schätzung von Microsoft. Indirekt verrät der Konzern damit auch, dass es höchstens 850 Millionen aktive Windows-Systeme gibt. Die 8,5 Millionen sollen nämlich weniger als 1% der Windows-Nutzer ausmachen. Die offiziellen Anleitungen um das Problem zu beheben sorgen für Erheiterung: 15 Neustarts sollen helfen, sagt Microsoft. Weniger lustig dürften manche Betroffene die AGB von CrowdStrike sehen. Sie schließen verschiedene Nutzungsszenarien explizit aus und das Unternehmen möchte grundsätzlich gerne keine Haftung für ihre Software übernehmen. Der verursachte Schaden dürfte im Bereich mehrerer Milliarden liegen und damit den Gewinn des Konzerns überschreiten.

Ein weiteres häufig wiederkehrendes Muster bei Softwareproblemen: Es handelt sich nicht um den ersten Fall und zuvor warten viele vor möglichen Gefahren. Als Marktführer macht CrowdStrike auch in diesem Punkt mit: Im April 2024 haben sie ein ähnliches kaputtes Update auf die neueste Debian Version ausgerollt. Der Schaden war kleiner, weil er nur diese Distribution in der damals aktuellsten Version betraf. Dennoch gab es betroffene mit größeren Umgebungen voller PCs, die wegen CrowdStrike nicht mehr starteten. Sie kritisieren, das Unternehmen habe sie Wochenlang im Regen stehen gelassen. In jedem Falle haben sie diese katastrophalen Mängel nicht zum Anlass genommen, um eine angemessene Qualitätssicherung einzuführen. Diese unter insgesamt 6 neuen Details zum wohl größten Ausfall der IT findest du hier: Zum kompletten Beitrag im U-Labs Portal

[U-Labs YouTube]

Antwort von @Killerspieler0815:
Das kann eine katastrophale Kettenreaktion werden ... alias "Ordo ab Chao"

[DMW007]

Sagt mir nichts. Wo genau siehst du das Risiko? Generell ist das bei einem größeren IT-Ausfall möglich. Gerade weil es hier um viele Unternehmen und eingebettete Systeme geht. Es gibt schon länger ähnliche Überlegungen zu einem längeren, flächendeckenden Stromausfall. Ich habe die genauen Zahlen nicht mehr im Kopf. Das Fazit war jedenfalls: Nach spätestens ein paar Tagen bricht die Zivilisation zusammen und jeder kämpft ums Überleben, ähnlich wie die Urzeitmenschen. Mit IT-Systemen sind wir wohl noch verwundbarer, was das angeht. Von der relativen Menge her war das ja vergleichsweise wenig: 1% von lediglich den Windows-Systemen. Selbst dort waren 99% nicht betroffen und GNU/Linux (die gerade im Server-Bereich einen weit höheren Marktanteil als MS Windows haben) fehlen da noch komplett...

[U-Labs YouTube]

Antwort von @Toern24:
Die Einstellung zum Kunden ist fragwürdig. Keine Aufmerksamkeit für das Linux Problem, keine Verantwortung für das Windows-Problem ..... Die Kunden sollten sich überlegen ob sie dem richtigen Service vertrauen ......

[DMW007]

Ich hatte ja die Hoffnung, dass nach der Aktion auch der letzte aufwacht. Bis ich gestern vom Uniklinikum Schleswig-Holstein gelesen habe: Die hätten gerne Schadensersatz von CrowdStrike. Ob von denen jemand mal in die AGB geschaut hat? Wohl eher nicht. Aber der Knaller: Sie wollen weiterhin CrowdStrike nutzen, weil es das BSI empfehle... Das bringt es auf den Punkt, was in vielen IT Umgebungen schief läuft: Man vertraut blind solchen Empfehlungen und schiebt die Schuld auf andere. So kann man bequem den Kopf aus der Schlinge ziehen, im Sinne der Sache ist das halt nicht. Leider kommt man damit auch noch ziemlich gut durch. Genau so, wie alles zu z.B. MS in die Cloud schieben. Wenn die wieder mal gehackt oder down sind, trinkt man gemütlich Kaffee und sagt "Ich würde ja sehr gerne etwas tun, leider kann ich nicht, weil alles bei MS läuft".

Zur Erinnerung: Die waren für Klinken relativ stark getroffen worden mit 9.000 unbrauchbaren Computern und rund 140 abgesagten Operationen. Patienten konnten nicht ein- und ausschecken usw. Nur um dringende Notfälle kümmerte man sich, wenn es gar nicht anders ging. Es fehlte also nicht viel, bis das Menschenleben bedroht hätte.

So lange man mit solchen Ausreden durch kommt, sehe ich keine Besserung. Das zieht sich ja durch die gesamte Branche durch: CrowdStrike schiebt die Schuld auf MS und will die Kunden mit 10$ Gutscheinen entschädigen - kein Witz. Die liefern mindestens noch Stoff für einen dritten Teil, über den man sogar lachen könnte, wenn da nicht Infrastruktur dran hängen würde, auf die wir alle mal angewiesen sein könnten...

[U-Labs YouTube]

Antwort von @stephanw6946:
Das passiert wenn man seine IT in fremde Hände legt. Outsourcing ist eben nicht die Lösung der IT. Das ist die Lösung des Management um wieder einige Mitarbeiter zu sparen um den Profit zu steigern.

[U-Labs YouTube]

Antwort von @Drake16081980:
EULA's/AGB's stehen nicht über dem Gesetz. Nach meinem Rechtsverständniss würde die Klausel einer gerichtlichen Prüfung nicht standhalten. Nach dem Debakel wird nur keiner der Unternehmen das Geld für einen Prozess in die Hand nehmen.

[DMW007]

Es mag sein, dass die AGB zumindest in Teilen für ungültig erklärt werden. Hier liegt aber das Problem: Betroffene müssten klagen und das wahrscheinlich durch alle möglichen Instanzen. CrowdStrike wird vieles dafür tun, keinen Präzedenzfall zu schaffen. Damit könnten sonst andere Kunden leichter ihren Anspruch durchsetzen. Vom Optimum entfernt ist das alles. Angemessen wäre, dass CrowdStrike sich bei seinen Kunden meldet und die ihre Schäden geltend machen können. Wird aber natürlich nicht freiwillig passieren, sondern eher das Gegenteil.

Ein ähnliches Problem gibt es bei The Crew 1. Ein 10 Jahre altes Spiel, welches Ubisoft bei mindestens 12 Millionen Käufern schlichtweg abgeschaltet sowie unbrauchbar gemacht hat. Das wird von einigen als illegal erachtet, weil der Käufer eine dauerhafte Nutzungslizenz erworben hat und beim Kauf nicht klar darauf hingewiesen wurde, dass Ubisoft die evtl. mal zurück zieht. Ubisoft weigert sich natürlich, irgendwas frei zu schalten (obwohl sie vor einigen Jahren das in dem Szenario sogar versprochen hatten) oder Geld zurück zu erstatten. Theoretisch würde hier mindestens den Käufern im Gewährleistungszeitraum oder einer anderen angemessenen Frist ein Schadensersatz zu stehen. So lange keiner gegen einen der größten Spielekonzerne klagt, lässt sich all das nicht durchsetzen. Die Ressourcen hat der 0815 Kunde (der hier auch noch privat ist), natürlich nicht.

Das Uniklinikum Schleswig-Holstein ist was CrowdStrike angeht hardcore drauf: Sie wollen das weiter nutzen, aber den Konzern auf Schadensersatz verklagen. Ich bin sehr gespannt, was bei den Klagen heraus kommt und würde es begrüßen, wenn ein Gericht endlich mal solche AGB zerreißt. Es wird höchste Zeit für ein Signal, dass man nicht Milliarden mit proprietärer Software verdienen kann, die grob fahrlässig das Gegenteil vom beworbenen macht und wiederum Milliardenschäden verursacht.

[U-Labs YouTube]

Antwort von @SB-cz9vo:
AGBs mit der gleichen Haftung wie vom Drogendealer ist doch das Beste. Gibt es noch andere Gewerbe neben der Softwareentwicklung, die solche Nullhaftungen bieten?
Auch wenn mir solche Praktiken schon vorher bekannt waren, ist es mit einem solchen Beispiel in Farbe und zum Anfassen (oder in die Tastatur beißen, wer betroffen ist) doch noch mal beeindruckender.
Die geringe Abstrafung an der Börse oder erwartete 5% Abwanderung halte ich für einen Indikator des miesen Kurzzeitgedächtnisses von hohen Managern. Wer zweimal in kurzer Folge auf die gleiche Weise ins Klo greift, hat offensichtlich seine Arbeitsprozesse nicht im Griff.
Das Security Patches schnell zum Kunden müssen, ist klar. Diese vorher per Automatik auf eine Gruppe von Testmaschinen zu schicken und zu sehen, ob diese in einem Testzyklus verrecken ist eine vergleichsweise minimale Verzögerung und deckt die meisten bösen Fehler bereits ab.

[DMW007]

Der nächste Witz ist ja: Das kaputte Update war nicht mal ein Sicherheitspatch. Der soll anscheinend bloß ein Performance-Problem fixen. Damit fällt auch der letzte Grashalm weg, mit dem sich ein derartiges Versagen auch nur ansatzweise rechtfertigen ließe...