Ein Freitag im Juli#
Freitag, 19. Juli 2024, kurz nach sechs Uhr morgens deutscher Zeit. An Flughäfen bleiben die Anzeigetafeln schwarz. Kassen in Supermärkten fallen aus, Kliniken verschieben Operationen, Fernsehsender senden Standbilder. Auf rund 8,5 Millionen Windows-Rechnern weltweit erscheint derselbe blaue Bildschirm, und wer den Rechner neu startet, bekommt ihn wieder.
Der Auslöser war ein Sicherheitsprodukt. Die Firma CrowdStrike, einer der größten Anbieter für den Schutz von Firmenrechnern, hatte in der Nacht ein Update verteilt. 78 Minuten später war es zurückgezogen. Da war der Schaden längst da: Eine einzige amerikanische Fluggesellschaft strich in den folgenden Tagen mehrere tausend Flüge und bezifferte ihren Verlust auf rund eine halbe Milliarde Dollar. Ein Versicherer schätzte allein den Schaden der 500 größten US-Firmen auf über fünf Milliarden.
Die ganze Ursache passt in einen Satz#
Die Firma hat später einen Untersuchungsbericht veröffentlicht. Man muss kein Informatiker sein, um den Kern zu verstehen:
Das Programm auf den Rechnern erwartete Daten mit 20 Feldern. Das Update hatte 21 Felder.
Das Programm las das 21. Feld aus einem Speicherbereich, der ihm nicht gehörte, und stürzte ab. Weil es tief im Betriebssystem sitzt — es muss dort sitzen, um Angriffe abwehren zu können —, riss es das ganze System mit.
Ein Feld zu viel. Niemand hatte aufgeschrieben, wie viele Felder durch die Tür passen. Und niemand hatte an der Tür nachgemessen.
Bevor Sie über lachen (habe ich im ersten Moment auch)#
Der Reflex ist verständlich, aber falsch. Drei Dinge zur Ehrenrettung, weil das Thema sonst zu billig wird:
Erstens: Das Produkt ist gut. Es läuft nicht ohne Grund auf so vielen Rechnern. Es erkennt Angriffe, die Ihr Virenscanner von 2015 nie sehen würde, und es tut das, indem es nicht nur bekannte Schadprogramme abgleicht, sondern Verhalten beobachtet — ein Programm, das sich plötzlich benimmt wie ein Einbrecher, fällt auf, auch wenn niemand seinen Namen kennt.
Zweitens: Solche Programme sind nötig. Der Gedanke „dann schreibt eben vorher alles auf was erlaubt ist" hat eine Grenze. Angreifer sind erfinderisch. Niemand kann jede Weise, wie ein Rechner missbraucht werden könnte, im Voraus auflisten. Wer glaubt, Erkennung sei mit guter Planung überflüssig, hat nicht verstanden, wogegen sie arbeitet.
Drittens: Der Fehler war keine Schlamperei. Es gab ein Prüfprogramm, das jedes Update vor dem Versand kontrollierte. Es hat das Update durchgewinkt — weil es selbst einen Fehler hatte. Das war ein Prüfung an der falschen Stelle.
Und genau dort wird es interessant. Denn CrowdStrike verkauft eine bestimmte Art, über Sicherheit zu denken — und hat sie am 19. Juli auf sich selbst nicht angewendet.
Zwei Türsteher#
Stellen Sie sich zwei Türsteher vor.
- Der erste hat. so wie die Polizei, eine Fahndungsliste: Fotos von Leuten, die schon einmal Ärger gemacht haben.
- Wer auf der Liste steht, kommt nicht rein. Wer nicht drauf steht, wahrscheinlich.
- Ein moderner Türsteher dieser Art achtet zusätzlich auf Verhalten
- wer die Tür austritt oder
- sich an die Kasse schleicht, fliegt raus, auch ohne Foto.
So arbeitet der klassische Virenschutz: Es kennt das Verbotene und erkennt das Verdächtige. Alles andere darf.
2, Der zweite Türsteher hat eine Gästeliste. Wer drauf steht, kommt rein.
- Wer nicht drauf steht, nicht
- egal ob bekannt oder unbekannt,
- egal ob er sich gut benimmt.
Man muss ihn nicht kennen, um ihn abzuweisen. Das Fehlen auf der Liste reicht.
Der zweite Ansatz hat sich in der IT-Sicherheit in den letzten Jahren durchgesetzt, dort heißt er Allowlist oder Zero Trust: Statt aufzuzählen, was verboten ist, schreibt man auf, was erlaubt ist — welche Programme laufen dürfen, welche Verbindungen nach draußen gehen dürfen, wer welche Rechte hat. Alles andere ist per Definition verdächtig, auch wenn es niemand je gesehen hat.
Der Unterschied zwischen beiden Türstehern ist nicht, dass einer strenger wäre. Der Unterschied ist die Frage, was man aufschreibt:
- das Verbotene, das nie vollständig ist
- das Erlaubte, welches man vollständig aufschreiben kann, weil man selbst festlegt, was drin steht.
Was am 19. Juli fehlte, war eine Gästeliste — an der eigenen Tür#
Jetzt zurück zu den 20 Feldern.
Das Schutzprogramm auf den Rechnern war die Tür. Es konnte 20 Felder verarbeiten — das war seine Gästeliste.Aufgeschrieben war es nicht. Das Update war der Gast mit 21 Feldern. Die einzige Prüfung, die es gab, saß nicht an der Tür, sondern in der Zentrale — und die Zentrale hatte eine andere Vorstellung davon, wie breit die Tür ist.
Das ist der Punkt, an dem der Fall über IT hinausgeht. Denn dieselbe Frage — passt das, was der eine abgibt, in das, was der andere annehmen kann? — stellt sich an jeder Stelle, an der zwei Dinge zusammenarbeiten. Zwischen zwei Programmen. Zwischen Zulieferer und Werk. Zwischen der Abteilung, die verkauft, und der, die liefert. Zwischen einem Plan und den Leuten, die ihn umsetzen sollen.
Und überall wird sie gleich beantwortet: Innerhalb der eigenen Abteilung, der eigenen Firma, des eigenen Programms wird gründlich geprüft. Zwischen ihnen wird gehofft. Ein klassisches Gesetz von Conway.
Drei Fragen, die eine Gästeliste beantworten kann#
Wer das Erlaubte aufschreibt statt das Verbotene, bekommt mehr als nur einen besseren Türsteher. Er kann drei Fragen beantworten, bevor irgendetwas passiert:
1. Läuft es gerade? Nicht „ist es kaputt?", sondern: Liegt das, was tatsächlich passiert, noch innerhalb dessen, was erlaubt ist — und wie viel Abstand ist noch bis zum Rand? Ein Bremskreis, der halb ausgefallen ist, bremst das Auto trotzdem noch. Der Rand ist nah, das Ergebnis ist noch gut. Wer nur das Ergebnis prüft, sieht es nicht.
2. Kann es das überhaupt? Ein Ziel ist nur dann ein gültiges Ziel, wenn das System es in der verlangten Zeit erreichen kann. Ein Großraumflugzeug kann nicht in zwei Sekunden wenden — egal, wie laut der Auftrag ist. Wer das Erlaubte aufgeschrieben hat, sieht das vor dem Versuch.
3. Passt es zusammen? Was der eine abgibt, einschließlich seiner Schwankung, muss in das passen, was der andere verträgt. 21 in 20 passt nicht. Das ist keine Frage der Erfahrung oder des Bauchgefühls, das ist Nachmessen — am Schreibtisch, bevor der erste Rechner das Update sieht.
Am 19. Juli 2024 sind Frage 3 und Frage 2 beide durchgefallen. Die dritte, weil niemand die 20 aufgeschrieben und gegen die 21 gehalten hatte. Die zweite, weil das Update binnen Minuten weltweit an alle Rechner ging — schneller, als irgendjemand einen Fehler hätte bemerken und stoppen können. Die verlangte Geschwindigkeit lag außerhalb dessen, was die eigene Organisation an Fehlererkennung leisten konnte. Der Rand war nicht nah. Es gab keinen Rand.
Eine Fahndungsliste kann keine dieser drei Fragen beantworten. Sie weiß nur, was schon einmal schiefging.
Die Pointe: Sie haben es danach genau so gemacht#
Das Unangenehmste an dem Fall ist nicht der Absturz. Es ist, was CrowdStrike nach dem Untersuchungsbericht angekündigt hat: Das Programm prüft jetzt an der Tür, ob die Anzahl der Felder stimmt. Updates gehen zuerst an wenige Rechner, dann an mehr, dann an alle. Kunden dürfen selbst festlegen, wie schnell sie Updates bekommen.
Übersetzt: Sie haben die Gästeliste an die eigene Tür gehängt. Sie haben die Geschwindigkeit an das angepasst, was sie kontrollieren können. Sie haben genau das getan, was die zweite Denkweise von Anfang an verlangt — nur eben nach dem Schaden statt davor.
Das ist kein Vorwurf. Es ist der Beweis, dass die Maßnahmen bekannt und billig waren. Das Aufschreiben von „20 Felder" kostet eine Zeile. Was gefehlt hat, war nicht Können, sondern die Gewohnheit, den erlaubten Raum der eigenen Sachen genauso hinzuschreiben wie den der fremden.
Was das mit Ihrer Firma zu tun hat#
Sie betreiben wahrscheinlich keinen Sicherheitsdienst für 8,5 Millionen Rechner. Aber Sie haben Türen — Stellen, an denen etwas von einem Teil Ihrer Organisation in einen anderen übergeht. Und an den meisten dieser Türen hängt keine Gästeliste, sondern eine Fahndungsliste: eine Sammlung von Dingen, die schon einmal schiefgingen, und eine Hoffnung, dass der Rest schon gutgeht. Die Gästeliste ist aber das was Sie brauchen!
Drei Fragen:
- Wo ist unsere 20? Welche Stelle in unserer Firma nimmt etwas an — Aufträge, Lieferungen, Daten, Anweisungen — ohne dass irgendwo steht, wie viel und in welcher Form sie es verträgt?
- Wer prüft an der Tür? Und wer prüft nur in der Zentrale, mit einer eigenen Vorstellung davon, wie breit die Tür ist?
- Wie schnell rollen wir aus? Gibt es eine Änderung, die wir an alle gleichzeitig geben — und die wir, wenn sie falsch ist, nicht schneller stoppen können, als sie sich ausbreitet?
Wer auf eine dieser Fragen keine Antwort hat, hat keine Sicherheitslücke. Er hat etwas Grundsätzlicheres: einen Raum, den niemand ausgemessen hat. Angriffe sind nur eine Art, in so einen Raum hineinzulaufen. Ein Feld zu viel ist eine andere.
Zum Weiterlesen#
Wer den Gedanken hinter der Gästeliste vollständig sehen will — wie sich aus „das ist erlaubt" und „das ist gewollt" das Übrige berechnen lässt, statt es zu erraten, und warum das für Maschinen, Software, Abteilungen und Menschen dieselbe Rechnung ist —, findet ihn unter Erlaubter Raum. Der vorliegende Text ist ein Anwendungsfall davon; die Methode ist älter als der Vorfall.
Quellen
- CrowdStrike, Root Cause Analysis — Channel File 291 Incident, veröffentlicht 6. August 2024 (Anzahl der Eingabefelder 20 erwartet / 21 geliefert, Fehler im Prüfprogramm, angekündigte Maßnahmen).
- CrowdStrike, Preliminary Post Incident Review, 24. Juli 2024 (Zeitpunkt der Verteilung 04:09 UTC, Rücknahme 05:27 UTC).
- Microsoft, Helping our customers through the CrowdStrike outage, 20. Juli 2024 (Schätzung 8,5 Millionen betroffene Windows-Geräte).
- Delta Air Lines, öffentliche Angaben zu Flugausfällen und Schadenssumme, Juli/August 2024.
- Parametrix, Schadensschätzung für US-Fortune-500-Unternehmen, Juli 2024.
Zahlen aus Unternehmensangaben und Schätzungen sind als solche zu lesen; die Feldanzahl 20/21 und der Zeitablauf stammen aus dem Untersuchungsbericht des Herstellers selbst.