Nicht jeder große IT-Ausfall ist ein Cyberangriff

Am 19. Juli 2024 führte ein fehlerhaftes Inhaltsupdate des Sicherheitsanbieters CrowdStrike zu Abstürzen von Windows-Systemen. CrowdStrike stellte ausdrücklich klar, dass es sich nicht um einen Cyberangriff handelte. Microsoft schätzte damals, dass rund 8,5 Millionen Windows-Geräte betroffen waren. Das waren weniger als ein Prozent aller Windows-Systeme, die gesellschaftlichen und wirtschaftlichen Auswirkungen waren dennoch weltweit sichtbar.

Der Fall ist für Informationssicherheit relevant, obwohl kein Angreifer beteiligt war. Verfügbarkeit kann durch Angriff, Fehlkonfiguration, defektes Update oder den Ausfall eines Dienstes verloren gehen. Für den Betrieb ist die Ursache zunächst zweitrangig: Systeme funktionieren nicht, Leistungen fallen aus und Wiederherstellung wird nötig. Eine Risikoanalyse, die nur böswillige Täter kennt, betrachtet deshalb nur einen Teil der Realität.

CrowdStrike veröffentlichte anschließend eine technische Ursachenanalyse und beschrieb Änderungen an Prüfung und Rollout. Für Kunden bleibt eine zweite Ebene: Wie schnell konnten betroffene Geräte wiederhergestellt werden? Waren Schlüssel, lokale Zugänge, Wiederherstellungsmedien und ausreichend Personal verfügbar? Ein zentral verwaltetes Werkzeug ist effizient. Wenn es ausfällt, ist dieselbe Zentralität plötzlich sehr gründlich.

Südwestfalen-IT: Ein Dienstleister, viele Kommunen

Ende Oktober 2023 traf ein Ransomware-Angriff den kommunalen IT-Dienstleister Südwestfalen-IT. Der BSI-Lagebericht 2024 ordnete den Vorfall als Beispiel für weitreichende Folgen in einer Lieferkette ein. Zahlreiche kommunale Verwaltungen konnten über längere Zeit digitale Leistungen nicht oder nur eingeschränkt anbieten. Die Wiederherstellung war keine Angelegenheit eines Wochenendes.

Das Beispiel zeigt, wie gemeinsame Infrastruktur Effizienz schafft und Risiken bündelt. Eine Kommune kann intern vernünftig organisiert sein und trotzdem von einem zentralen Dienstleister abhängen. Das bedeutet nicht, dass jede Leistung doppelt betrieben werden muss. Es bedeutet, dass kritische Abhängigkeiten, Notbetrieb, Ansprechpartner und Wiederanlaufreihenfolge bekannt sein sollten.

Auch Kommunikation gehört zur Resilienz. Wenn normale E-Mail, Telefonverzeichnisse oder Fachverfahren nicht verfügbar sind, brauchen Organisationen alternative Kanäle. Bürger, Beschäftigte und Partner benötigen klare Informationen darüber, was funktioniert und was nicht. Schweigen verhindert selten Gerüchte. Es führt nur dazu, dass andere die Lücke füllen.

MOVEit: Eine Schwachstelle wirkt über viele Organisationen

Im Mai 2023 begann die Gruppe Cl0p, eine zuvor unbekannte Schwachstelle in MOVEit Transfer auszunutzen. Die Software dient dem verwalteten Dateiaustausch und war bei zahlreichen Organisationen sowie Dienstleistern im Einsatz. CISA und FBI warnten im Juni 2023 vor der aktiven Ausnutzung von CVE-2023-34362. Täter konnten auf Daten zugreifen und sie stehlen. Die Kampagne zeigte, wie eine Schwachstelle in einem verbreiteten Produkt viele voneinander unabhängige Betroffene erzeugt.

Patches waren notwendig, aber der Fall verlangte mehr: Systeme identifizieren, Zugriffe prüfen, Spuren auswerten, betroffene Daten bestimmen und mögliche Meldepflichten bewerten. Besonders schwierig wird es, wenn die Software nicht selbst betrieben wird, sondern tief in einer Dienstleistung steckt. Dann muss der Kunde wissen, dass sie verwendet wird und welche seiner Daten betroffen sein können.

Eine Software-Stückliste allein löst das Problem nicht, sie verbessert aber die Ausgangslage. Gleiches gilt für ein aktuelles Dienstleisterverzeichnis und klare Sicherheitskontakte. Im Vorfall zählt Geschwindigkeit. Erst dann herauszufinden, welcher Vertrag zu welchem System gehört, ist eine vermeidbare Form der Beschäftigung.

Was die drei Fälle gemeinsam haben

Die Ursachen waren verschieden: ein fehlerhaftes Update, ein Ransomware-Angriff auf einen zentralen Dienstleister und die massenhafte Ausnutzung einer Schwachstelle. Gemeinsam war die Wirkung über Abhängigkeiten. Viele Organisationen nutzten denselben Baustein oder dieselbe Leistung. Dadurch konnte ein einzelner Vorfall in kurzer Zeit eine große Reichweite entwickeln.

  • Kritische Geschäftsleistungen mit ihren Systemen und Dienstleistern verbinden.
  • Änderungen gestuft ausrollen und für wichtige Systeme Rückfallmöglichkeiten vorsehen.
  • Verträge um Sicherheitskontakte, Meldezeiten und Unterstützung im Vorfall ergänzen.
  • Inventar, Berechtigungen und eingesetzte Software so pflegen, dass Betroffenheit schnell prüfbar ist.
  • Notbetrieb und Wiederherstellung praktisch üben, nicht nur schriftlich beschreiben.
  • Alternative Kommunikationswege bereithalten und Verantwortlichkeiten klären.

Diese Maßnahmen beseitigen Abhängigkeiten nicht. Das wäre in einer vernetzten Wirtschaft auch kein realistisches Ziel. Sie machen Abhängigkeiten sichtbar und beherrschbarer. Entscheidend ist die Frage, ob ein Unternehmen den Ausfall eines Bausteins bemerkt, begrenzen und für eine vertretbare Zeit überbrücken kann.

Konsequenzen für die Praxis

Ein guter Einstieg ist eine Übersicht der zehn wichtigsten externen und internen Abhängigkeiten. Für jede wird geklärt: Welche Leistung hängt daran? Wie lange darf sie ausfallen? Wer entscheidet im Vorfall? Welche Daten und Zugänge sind betroffen? Gibt es eine Alternative oder wenigstens einen manuellen Notbetrieb? Die Antworten müssen nicht perfekt sein. Sie müssen ehrlich genug sein, damit daraus Entscheidungen entstehen.

Anschließend werden Lücken nach möglicher Schadwirkung priorisiert. Ein nicht dokumentierter Rückfallweg für ein zentrales Produktionssystem ist wichtiger als eine fehlende Formulierung in einer Richtlinie. Sicherheit wird nicht dadurch besser, dass alles gleichzeitig dringend ist. Sie wird besser, wenn das Wichtigste zuerst geklärt und später erneut geprüft wird.

Kurz gesagt

CrowdStrike, Südwestfalen-IT und MOVEit zeigen drei unterschiedliche Wege zu einer ähnlichen Wirkung: Abhängigkeiten übertragen Störungen über Organisationsgrenzen hinweg. Unternehmen sollten deshalb nicht nur Angriffe verhindern, sondern auch sichere Änderungen, Lieferketten, Notbetrieb und Wiederherstellung planen. Alles hängt mit allem zusammen. Das ist keine besonders elegante Erkenntnis, aber eine nützliche Grundlage für Informationssicherheit.

Quellen und weiterführende Informationen

Zuletzt fachlich geprüft:

Passend zum Thema