Konsequenzen der IT-Störung: Nach dem Crash ist davor

Flugausfälle und verschobene OPs – nach einer großflächigen IT-Störung laufen die Systeme wieder an. Ex­per­t:in­nen fordern Konsequenzen.

Aufgrund einer weltweiten IT-Panne war auch am Flughafen Zürich der Flugbetrieb stark eingeschränkt Foto: picture alliance/dpa/KEYSTONE | Gaetan Bally

Berlin taz | Nach der großflächen IT-Störung am Freitag, die durch ein fehlerhaftes Update ausgelöst wurde, hat sich die Lage wieder weitgehend normalisiert. Das teilte das Bundesamt für Sicherheit in der Informationstechnik (BSI) am Wochenende mit.

BSI-Präsidentin Claudia Plattner kündigte dennoch Konsequenzen an: „Es gibt ein paar Stellen und Hebel, an denen wir etwas tun können und auch müssen“, sagte sie dem Fernsehsender Phoenix. So gehe es etwa darum, bei Herstellern noch deutlicher auf die Qualität ihrer Produkte zu schauen. Eine absolute Sicherheit könne es zwar nicht geben, aber der Vorfall habe gezeigt, dass es entlang der Lieferkette noch Verbesserungsbedarf gebe.

Ein fehlerhaftes Update des IT-Sicherheitsanbieters Crowdstrike für Microsoft-Produkte, die von Unternehmen genutzt werden, hatte am Freitag zu zahlreichen Computerausfällen weltweit geführt. Besonders betroffen waren Airlines und Flughäfen – in den USA und auch in Europa und Australien fielen zahlreiche Flüge aus. Crowdstrike stellte noch am Freitag einen Fix, also eine Lösung, zur Fehlerbehebung bereit.

Im Laufe des Wochenendes wurden die meisten Systeme so wieder repariert. Airlines und Flughäfen meldeten eine Rückkehr in den Regelbetrieb. Die Uniklinik Schleswig-Holstein, die am Freitag alle nicht zeitkritischen Operationen abgesagt hatte, gab nun an, ihre Systeme sukzessive wieder hochzufahren. Man rechne damit, spätestens am Montag wieder in den normalen Betrieb überzugehen. Microsoft zufolge betraf das fehlerhafte Update 8,5 Millionen Windows-Systeme – das entspreche weniger als einem Prozent. Crowdstrike-Chef George Kurtz betonte, dass es sich nicht um einen Angriff gehandelt habe, und entschuldigte sich für den Fehler.

Konstantin von Notz, stellvertretender Fraktionsvorsitzender der Grünen, kritisierte Mängel in der IT-Sicherheitspolitik der Bundesregierung: „Dass es bis heute kein Kritis-Dachgesetz gibt, ist ein massives Versäumnis.“ Das Gesetz soll dafür sorgen, dass kritische Infrastrukturen, etwa in den Bereichen Energieversorgung, Gesundheit und Telekommunikation, besser geschützt sind.

Comments

[Captain DXB]

Es ist schon lustig das ausgerechnet mal wieder der BER betroffen war und andere Flughäfen nicht. Ganz offensichtlich sind mal wieder fundamentale Richtlinien - auch aus dem BSI Grundschutz nicht eingehalten worden.

Wer seine kritischen Systeme automatisch - von welcher Firma auch immer - über Nacht ohne Prüfung updaten lässt und das Update vorher wenigstens einem Smoke Test unterzieht handelt grob fahrlässig.

Aber natürlich ist hier auch das BSI gefragt: Es kann doch wohl nicht sein, das andere Länder bei uns per Knopfdruck das Licht ausschalten können. Vielleicht sollte man weniger der bunten Werbung von Cisco, Microsoft und - ja auch CrowdStrike glauben und besser auf Open Source, die eigenen Stärken und vor allem auf Schulungen setzten. Das hat ja in der letzten Zeit nicht mal bei den Generälen Bundeswehr funktioniert…

Und zu der hier zitierten Haftung: Die ist selbstverständlich in den Verträgen ausgeschlossen. Es bleibt die Frage von wem - und warum so etwas unterschrieben wurde… Die Antwort darauf dürfte wie immer eher einsilbig ausfallen…

[Bolzkopf]

Wenn ich mal irrtümlich in der Steuererklärung ein Komma an der falschen Stelle mache oder auf dem Tacho falsch hingeschaut habe oder das Rotlicht nicht wahrnahm muss ich trotzdem eine Strafe bezahlen. Denn Irrtum schützt ja nicht vor Strafe.

Und Strafen stehen um Strafgesetzbuch.



Z.B in §303b:



Wer eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, dadurch erheblich stört, dass er eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.

Drei Jahre!



Aber halt:



Handelt es sich um eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, ist die Strafe Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe.

Und der 303 setzt nicht Vorsatz vorraus !!!!

Aber ich bin sicher, dass Justitia kurz mal einen Krankenschein reinreichen wird und jemand anders schnell mal an ihrer Waage zupft.

[Eisbär]

@Bolzkopf:

"Und der 303 setzt nicht Vorsatz vorraus !!!! (sic)"

Doch. Úberdies auch 303b, den Sie offenbar meinten.

An welchem Zünglein beliebt's weiter zu zupfen, bevor Justitia die Waage in die Hand nimmt?

[Offebacher]

Herr von Notz ist nicht mehr in der Opposition, sondern in der Regierung. Warum legt er bzw. seine Partei dann nicht einen Vorschlag für ein Kritis-Dachgesetz vor?

Abgesehen davon, wenn man alles der Cloud anvertraut (Programme und Daten), ist man auf die Cloud auch angewiesen - fällt die aus, ist man angeschmiert. Deswegen gibt es auch verteilte Clustersysteme, fällt ein Rechenzentrum aus, sollte auf die Spiegelrechner in einem anderen, auch räumlich getrennten Rechenzentrum umgeschaltet werden können. Allerdings sollten die Rechenzentrumsbetreiber auch nicht immer alles gleichzeitig updaten, sonst fallen bei einem Fehler wie jetzt von Cloudstrike sowohl Primärrechner als auch Spiegelrechner aus.

[Martin Rees]

Da kommt noch bestimmt ein "Boost", bevor was geändert wird in den Abläufen, könnte man denken.



In der Medizin unken Tätige gelegentlich: 'Gesetz der Duplizität' ungewollter Ereignisse oder Fälle.



Allgemein gilt gerne als Referenz:



www.deutschlandfun...wird-auch-100.html

[tux0r]

> Crowdstrike-Chef George Kurtz betonte, dass es sich nicht um einen Angriff gehandelt habe, und entschuldigte sich für den Fehler.

Personelle Konsequenzen gibt es also weder bei den betroffenen Unternehmen, deren Schlipsträger sich so eine Müllsoftware aufschwatzen lassen, noch bei Crowdstrike. Niemand ist überrascht.

[64137 (Profil gelöscht)]

@tux0r:

Wenn ein(e) Ingenieur(in) eine Brücke falsch berechnet, die dann zusammenstürzt - oder auch nur nach 5 Jahren marode ist - dann sieht das etwas anders aus: Dann wird zwar -vielleicht- eine Versicherung für die Brücke bezahlen - die Schäden durch das Fehlen der Brücke bleiben aber "leistungsfrei". Und Knast gibt's auch nur, wenn Vorsatz oder extrem fahrlässiges Verhalten im konkreten Detail zweifelsfrei auf Personen zurück geführt werden können.



Bei Crowdstrike (was für ein Name(!)) wird es wohl nicht einmal eine solche Untersuchung geben.