piwik no script img

IT-Störung sorgt weltweit für ProblemeAbgesagte OPs, gestrichene Flüge

In zahlreichen Ländern gibt es massive Computer-Probleme. Der Berliner Flughafen BER musste am Freitagmorgen praktisch dichtmachen.

Berlin, 19. Juli: gestrandete Fluggäste nach Computerausfällen am Flughafen BER Foto: Nadja Wohlleben/reuters

Berlin taz | Weltweit sind Computersysteme von Unternehmen und öffentlichen Stellen von Ausfällen betroffen, die Ursache ist mutmaßlich ein Fehler bei einem Softwareupdate. So musste unter anderem der Berliner Flughafen BER am Freitagvormittag seinen Betrieb stark einschränken und auch an zahlreichen anderen Flughäfen in Deutschland und Europa kam es zu Verspätungen, Ausfällen und Problemen beim Check-In.

In den USA und Australien gab es am Vormittag ebenfalls zahlreiche Ausfälle im Flugverkehr. Probleme meldete zudem die Londoner Börse und die Uniklinik Schleswig-Holstein: Das Krankenhaus sagte Operationen ab, die nicht zeitkritisch waren, und schloss ihre Ambulanzen – eine Notversorgung wurde aber aufrechterhalten. Auch der IT-Dienstleister Südwestfalen-IT, der Kommunen in NRW betreut, meldete Probleme. Besonders betroffen von den Auswirkungen des IT-Problems scheint Australien zu sein: Laut dem Sydney Morning Herald berief die Regierung eine Krisensitzung ein.

Jill Slay, Lehrstuhlinhaberin für Cybersicherheit an der University of South Australia sagte gegenüber dem Nachrichtensender CNN, die „globalen Auswirkungen“ des Ausfalls seien „enorm“. Bei der Spurensuche nach der Ursache gerieten schnell zwei Unternehmen ins Visier: Der IT-Konzern Microsoft und der IT-Sicherheitsdienstleiter Crowdstrike.

„Wir sind uns bewusst, dass es ein Problem bezüglich Windows-Geräten gibt, Ursache ist ein Update von einem Drittanbieter“, teilte ein Microsoft-Sprecher auf Anfrage mit. Das Unternehmen gehe davon aus, dass in Kürze eine Lösung gefunden sei.

Offenbar kein Cyber-Angriff

Eine Sprecherin von Crowdstrike stellte gegenüber der taz klar: „Es handelt sich nicht um einen Sicherheitsvorfall oder einen Cyber-Angriff.“ Ursache der Probleme sei ein Fehler in einem Update für Windows. Mac- oder Linux-Hosts seien nicht betroffen. Das Problem sei identifiziert und eine technische Lösung bereitgestellt worden.

Es ist nicht das erste Mal, dass Software-Probleme bei einem Dienstleister für großflächige Ausfälle sorgen. So führte vor drei Jahren eine Cyber-Attacke auf den US-amerikanischen IT-Dienstleister Kaseya zu Problemen in einer Reihe von Unternehmen. In Schweden musste eine Supermarktkette nahezu alle Läden schließen, weil das Kassensystem ausfiel.

taz lesen kann jede:r

Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen

Mehr zum Thema

32 Kommentare

 / 
  • @UVW

    So ist es. Wer sich nur ein wenig auskennt schaut zu und schüttelt den Kopf.

    Ihr zweiter Punkt ist noch einmal hervorzuheben: es ist ja nicht die erste "Sicherheitssoftware" -- mensch erinnert sich vielleicht auf die Ransomware-Attacke, die über Solarwinds verteilt wurde und (u.a.) einen beträchtlichen Teil der Supermärkte in Schweden für ein paar Tage K.O. schlug [1].

    Pikanterweis war CrowdStrike einer derer, die den damaligen Hack untersucht hat [2]. Man bleibt unter sich...

    Was hilft? In Menschen investieren. Nicht in Gadgets.

    Wissen in der Firma aufbauen (auch und gerade *jenseits* der "Spezi-Crew"!).

    Sicherheit, wie Bruce Schneier sagt, ist ein Prozess, nicht ein Produkt.

    [1] en.wikipedia.org/w...pply_chain_attacks



    [2] www.zdnet.com/arti...pply-chain-attack/

    • @tomás zerolo:

      Soll das heißen, die IT Firma in der Sie arbeiten, überprüft jede Zeile Code neuer Software, die rein kommt?

      Sicher nicht! Kann sich niemand leisten. Software wird auf Vertrauensbasis implementiert. Im Vertrauen darauf, dass der Code ausreichend zuvor getestet wurde.

      Das "Gadget" wird dann auch von ihrer Firma benutzt ohne weiter in den Code einzutauchen.

  • Über zahlreiche "zivile Ausfälle" wird ausführlich berichtet, aber es gibt vielleicht auch Auswirkungen, die als Nachricht nicht für die Öffentlichkeit bestimmt sind.



    Dabei denke ich u.a an;



    www.tagesschau.de/...r-auftrag-101.html

  • Die Zutaten:

    - Ein notorisch fehlerhaftes Betriebssystem und zugehörige Anwendungen: Windows, Outlook, Azure. Okay, keine SW ist fehlerfrei. Aber da ist bei MS noch sehr viel Luft nach oben.

    - wegen Compliance-Bullshit (statt echter Security, und weil es "alle so machen") der Einsatz irgendeiner "Sicherheits"-SW, die aber genauso ranzig gepflegt und ausgeliefert wird wie das zu schützende System, und die Angriffsfläche nur vergrößert.

    - kein Risiko, für beide Konzerne nicht. MS hat keins, weil die halbe Welt abhängig ist, und beide, weil es keine Produkthaftung für derlei kritische SW gibt.

    • @uvw:

      Und schon wieder jemand mit einem etwas merkwürdigen Verständnis von Softwareentwicklung. Der einzige richtige Halbsatz ist: "keine SW ist fehlerfrei." Ja, stimmt, gilt aber auch für Linux, Unix, Android, iOS etc.



      Rein statistisch betrachtet ist die Gefahr solcher Ausfälle größer, je verbreiteter die Softwareprodukte sind. Warum haben sich MS-Produkte weltweit durchgesetzt? Weil sie trotz aller Fehler früher verfügbar und besser waren als die meisten Konkurrenzprodukte. Linux hat sich auf dem Desktop jahrzehntelang nicht durchgesetzt, weil Linux-Entwickler ideologisch an der Kommandozeile festhielten und die GUI wie ein ungeliebter Fremdkörper behandelt wurde. Unix war für Desktops lange gar nicht verfügbar und ist es jetzt kaum noch, VMS gibt's praktisch nur noch im Museumsshop.



      Wer sich intensiv mit MS-Windows auseinandergesetzt hat, wird schnell feststellen, dass es unglaublich viele Funktionalitäten und Möglichkeiten bietet und dass es eine große Zahl von Entwicklungswerkzeugen gibt, die es für externe Softwareentwickler jahrzehntelang attraktiv gemacht haben. Darüber hinaus lief auch ziemlich alte Software auf neuen Versionen problemlos, was Kosten reduzierte.

  • @AUREGO

    Nicht wirklich. In unserer IT-Firma war alles normal.

    Die meiste Infrastruktur ist Gnu/Linux, die Workstations halbe-halbe.

    Wer sich ohne Not (und trotz hinreichender Hinweise) in solche Hände begibt... sollte endlich mal dazulernen.

    Aber was soll's. Wie Mutter Courage werden sie den Tod ihres liebsten Kindes beweinen... um dann weiter dem Krieg hinterherzuziehen.

    • @tomás zerolo:

      Dann wäre ihre IT Firma ja auch ein offenes Scheunnentor gewesen für den SSH Hack vor kuzem www.heise.de/news/...ungen-9671317.html

      Das pikante daran: man musste nur das Vertrauen einer einzigen verantwortlichen Person erschleichen.

      Linux ist vor allem deswegen sicherer, weil es im Backend verwendet wird, wo die Interaktion mit Menschen weitestgehend fehlt.

      Vergleiche müssen, wenn sie denn sinnvoll sind, auf Basis von Server-Betriebssystemen durchgeführt werden. Einfach mal Desktop-WINDOWS mit Linux zu vergleichen ist unredlich.

    • @tomás zerolo:

      Die Frage ist, was Sie in Ihrer IT-Firma konkret tun. Wahrscheinlich müssen Sie sich auf Ihren Gnu/Linux-Systemen nicht täglich mit Excel, Word, Powerpoint und pdf-Formularen herumschlagen. Ab einem bestimmten Level ist es anstrengend, kein MS-Windows zu haben.

    • @tomás zerolo:

      Ein fehlerhaftes CrowdStrike Kernel-Module hätte unter Linux die gleiche Auswirkung: der Boot-Prozess wäre gehindert und ein manueller Eingriff wäre nötig. Unter Windows: Im abgesicherten Modus hochfahren, Datei löschen, neu starten. Es braucht dazu das Admin-Passwort und geringfügige IT-Kenntnisse. Letztere sind bei der Nutzung von Linux Systemen ohnehin unabdingbar. Es liegt also weniger am Betriebssystem als an der nutzenden Zielgruppe, die nur Buttons klicken kann und sonst nichts.

      • @Koch:

        Mag sein das es einfach zu beheben war. Aber halt auch zeitintensiv, diese Prozedur muss dir jedes einzelne Gerät durchgeführt werden.



        Und mal ganz im Ernst, ja, Fehler passieren aber mit dem Update das OS zu bricken ist schon ne Leistung. Selbst bei minimaler Qualitätssicherung sollte das bemerkt werden.

  • Und da im Produkthaftungsgesetz Software von jeder Haftung ausgeschlossen ist gehen die Geschädigten zumindest in D leer aus.

    • @Bolzkopf:

      Unterm Strich haben Sie recht. Die Produkthaftung wäre aber dem Grunde nach auch bei Software gegeben. Einziges Problem: Z.B. bei Flugausfall haftet die Airline nicht, weil sie den Ausfall der von ihr gekauften Software (in diesem Fall der CrowdStrike Falcon) als höhere Gewalt (#Neuland) einstuft, sich mit dieser Begründung aus der Haftung stiehlt und sich nicht gezwungen sieht, den Hersteller des gekauften Produkts ihrerseits in die Pflicht zu nehmen, um etwaige Regressforderungen an die Quelle des Problems weiterzuleiten. Gleiches gilt übrigens auch für Schäden beim Online-Banking. Der Kunde ist grundsätzlich selbst schuld (also in der Beweislast), wenn das Konto (bzw. die Bank-App) gehackt wurde.

  • und ihr alle könnt etwas tun, um auch resilienter zu werden:

    Weg von Microsoft und anderen Monopolen! Hinzu freier und vor allem offener Software, die nach etablierten offenen Standards entwickelt und verteilt wird!

    In dem Fall kam die fehlerhafte Software zwar nicht von Microsoft, aber die Art der (zu schnellen) Verteilung, ohne Test und Korrekturmöglichkeit, hat doch sehr mit Prozessen des Microsoftkonzerns zu tun! Dazu kommt, dass zu viele Menschen diesen Monopolisten nutzen und dabei von diesem ausgenutzt werden (gegängelt, ausspioniert). Nutzt endlich Alternativen! Bleibt dabei Vielfältig!

    • @realnessuno:

      Glauben Sie bloß nicht, "offene Software, die nach etablierten offenen Standards entwickelt und verteilt wird", enthalte weniger Fehler! In der Vergangenheit wurden schon einige grobe Fehlern in Linux und Unix beseitigt, ohne dass die Weltöffentlichkeit informiert wurde. Man sollte aber nicht glauben, diese Systeme seien fehlerfrei oder als Angriffsziele uninteressant.



      Der Hass und Neid auf Microsoft, weil es mit seinen Produkten und ohne quelloffene Software - aus gutem Grund - eine Menge Geld verdient, ist eher ideologischer Natur.

    • @realnessuno:

      Weg von Microsoft, super, mache ich als ITler sofort mit.

      Was Sie aber leider nicht bedenken ist, wie soll der normale Anwender im Büro, in der Produktion damit umgehen?

      Wer bezahlt den die Schulung, für die "Insellösung" wenn jedes Unternehmen sein eigenes z.B. ERP Programm hat?

      Neue Sachbearbeiter die Wochen brauchen, um mit den für sie neuen Programmen zu arbeiten und dann nach und während Probezeit das Unternehmen verlassen hatten.



      Alles schon erlebt.

      Deshalb ist Ihr Vorschlag sicherheitstechnisch richtig, aber volkswirtschaftlich eher nicht umsetzbar.

      • @weather2018:

        Es liegt meistens nicht an den Systemen selbst, dass Angriffe erfolgreich sind. Je größer die Marktdurchdringung eines Systems ist, desto eher lohnt sich dort ein Angriff. Insofern wäre ich vorsichtig, Linux und Unix für rein technisch weniger angreifbar zu halten. Wenn man in ein Unternehmen eindringen will, gibt es dafür sehr vielfältige Möglichkeiten, die zu einem großen Teil auf Social Engineering beruhen.

      • @weather2018:

        "Wer bezahlt den die Schulung, für die "Insellösung" wenn jedes Unternehmen sein eigenes z.B. ERP Programm hat?"

        Kann gar nicht so schlimm sein, in Zeiten als ich noch Windows nutzen musste, war sogar jede neue MS-Word-Version eine Konjunkturspritze für die Schulungsindustrie.

        • @0 Substanz:

          Nur das die meisten MS-Produkte mittlerweile kennen.

          Schauen Sie einfach in Bewerbungsunterlagen im Bereich Büro, Sachbearbeitung an.



          Bei dem Punkt vorhandene Computerkenntnisse



          steht bei den meisten "nur" Word, Excel, Windows.

          Und by the way, für das Programm das Sie jetzt statt Windows, Word nutzen, würde keine Schulung benötigt?



          Oder wäre das dann nicht, eine Konjunkturspritze für Unternehmen, die dann z.B. Libre-Office etc. schulen?

  • Die Bundes- und Landesbehörden setzen trotzdem weiter auf proprietäre Software von Microsoft. Hat nicht bei dem Cypersicherheitsgipfel letztes Jahr jemand festgestellt, dass man für größtmögliches Chaos keinen Angriff von außen braucht, sondern es reicht wenn die Verbindung nach Redmond gestört ist.

    • @Axel Schäfer:

      Ja, weil der ganze Rest noch schlechter funktioniert. So einfach ist das.



      Cybersecurity ist wichtig, trägt aber nichts zur Produktivität bei.

  • Haben wir da etwa wieder einen Single Point of Failure identifiziert?

    • @Aurego:

      ja: Für Schäden aus minderwertigen Softwareprodukten (Steigerung: Schlangenöl-Industrie) haftet der Hersteller nicht, das übernimmt gefälligst der Steuerzahler.

      Wann kommt die Produkthaftung für Software?

      • @Thorsten Gorch:

        So wie Sie sich das vorstellen, funktioniert das nicht.



        Wegen eines Fehlers, der immer und überall auftreten kann, eine Software als "minderwertig" zu bezeichnen, zeugt von übersteigerter Hybris. Schreiben Sie die perfekte Software doch einfach selbst! Ich fürchte aber, dass viel mehr als "Hello World!" dabei nicht herauskommt.

        • @Aurego:

          Nicht nur wegen eines (wie man jetzt weiß sehr simplen) Fehlers, sondern auch wegen anscheinend mangelhaften Tests (wenn so viele Systeme betroffen sind hätte das in der Qualitätskontrolle erkannt werden müssen) sondern der auch als "Feature" verkaufte Unsinn alles sofort und überall auszurollen. Ja, da bräuchte ich nicht mal unbedingt gut coden zu können um zu sehen das nicht nur die SW sondern das Gesamtkonzept Unsinn, also minderwertig ist.

          Und nein, diese Kategorie von Fehler - mangelhafte SW, fehlerhafte QA und kein staged deployment - sollte nicht "immer und überall" auftreten. Wozu gibt es eigentlich ISO Normen (in diesem Fall ISO2000)?

          • @Thorsten Gorch:

            Gehe ich recht in der Annahme, dass Ihre Erfahrungen aus der täglichen Arbeit in Softwareunternehmen überschaubar sind?



            Shit happens! Ist halt so. Und manchmal landet der Shit auch beim Kunden.



            Natürlich ist es inzwischen praktisch unmöglich, jede Softwareänderung für alle potentiell betroffenen Konfigurationen zu testen. Crowdstrike jetzt die Verwendung von C++ anzukreiden, obwohl der Fehler eigentlich auf ein systemisches Problem (Null point exception u. ä. führt zum Absturz) zurückzuführen ist, das seit Jahrzehnten vorhanden ist, ist jetzt auch nicht hilfreich, denn bestimmte Kernel-nahe Software muss extrem schnell sein und alles dürfen, was die CPU hergibt. Daher nimmt man für bestimmte Dinge eher C++ als z. B. Java.

            • @Aurego:

              Mal ernsthaft, du rantest hier die ganze Zeit, stellst die Kompetenz anderer in Frage und haust sowas raus?

              Sowas wäre bei den Firmen für die ich bisher gearbeitet nicht passiert, nicht auf dem Level.



              Klar landen Fehler beim Kunden, aber Kundensysteme abzuschießen, zu bricken und dafür zu sorgen das alles zu Fuss gefixt werden muss?



              Magst du mir mal die Branche verraten wo du arbeitest? Das würde mich echt interessieren.

              • @El Fred:

                Ach Gottchen ja, ich weiß. MIR passiert so etwas natürlich nicht, nur den anderen Dödeln - logisch.

                Ich arbeite übrigens für einen dieser US-amerikanischen Hightech-Giganten, die dieses Spiel erfunden haben.

      • @Thorsten Gorch:

        Produkthaftung fuer Software? Der ganze Cloud-KI-Kram ist doch nur deshalb so erfolgreich, weil die Anzugstraeger in den oberen Etagen die Verantwortung outsourcen wollen.

  • Hier etwas Werbung von deren Webseite:



    >>Branchenweite Anerkennung: CrowdStrike wurde von Forrester für seine „dominante Endgeräteschutz-Lösung“ ausgezeichnet.

  • Es ist immer wieder erheiternd, wenn "Security"-Dienstleister, in diesem Fall ein "Antivirenprodukt der naechsten Generation", die eigentlichen Sicherheitsprobleme sind.



    Aber immer noch harmlos gegenueber dem Cloud-Microservice-Hype.

  • Ein typischer Fall nicht-robuster, viel zu großer Systeme.



    Das Zauberwort heißt ökologische Systembetrachtung kleinerer interdependenter aber in ihrem Kern selbstständiger Systeme

    Viele Zeitgenossen meinen ja heutzutage, als Besitzer eines Handys bereits IT-affin oder gar ein "digital native" zu sein, der auf jegliche kritische Stimme an dem enormen Zuwachs von IT in unserem Alltag als "technikfeindlich" schimpfen darf.

    Nichts könnte falscher sein. Technische Avantgarde ist eher, wer um der Tücken dieser inzwischen omnipräsenten Technik weiß und sich dementsprechend verhält und das Handy auch einmal in der Büchse der Pandora belässt. Bzgl der Anwendung in essentieller Infrastruktur sei auf Spliff - Computer Sind Doof von 1982 verwiesen. Denn merke, was schief gehen kann, geht auch mal schief.

    • @Werner2:

      Die Welt funktioniert aber nur mit solchen großen Systemen. Das liegt an vielen verschiedenen Faktoren, aber vor allem an den Kosten.