Was man aus IT-Vorfällen lernen sollte News-Analyse: Der Crowdstrike-Vorfall war ein Weckruf

Anbieter zum Thema

Insider Research

netfiles GmbH

Wenn es weltweit zu IT-Ausfällen kommt, ist die Aufregung groß. Nachdem die Sofortmaßnahmen nach dem Vorfall umgesetzt sind, sollte man das Geschehen analysieren und Schlüsse ziehen für den eigenen IT-Betrieb. Die Frage lautet nun: Wie steht es wirklich um die Cyber-Resilienz? Bisher offensichtlich nicht gut, auch bei kritischen Einrichtungen (KRITIS) nicht.

Es geht nicht nur um Crowdstrike oder Microsoft

Ein von Crowdstrike veröffentlichtes fehlerhaftes Update führte bekanntlich zu massiven globalen IT-Ausfällen. Über 8,5 Millionen Windows-Geräte waren betroffen. Wenn man sich die Vielzahl an Schlagzeilen und Meldungen in den letzten Tagen ansieht, könnte man den Eindruck bekommen, die weltweiten IT-Probleme hätten zwei Ursachen: Crowdstrike und Microsoft. Die wirklichen Ursachen liegen aber an anderer Stelle, Schuldzuweisungen bringen hier also nicht wirklich viel. Insbesondere lag es offensichtlich nicht an Microsoft selbst, sondern das Crowdstrike-Update war für Microsoft-basierte Geräte.

So erklärte der CEO von Crowdstrike: „Der Ausfall wurde durch einen Defekt in einem Falcon-Inhaltsupdate für Windows-Hosts verursacht. Mac- und Linux-Hosts sind nicht betroffen. Dies war kein Cyberangriff“. Inzwischen hat Crowdstrike einen ausführlichen, vorläufigen Post Incident Review (PIR) veröffentlicht, aus dem man viel lernen kann. Und Lernen sollte nicht etwa nur Crowdstrike selbst.

IT-Security ist eine kritische Komponente

Wie wichtig etwas ist, erkennt man immer dann, wenn es Probleme damit gibt. IT-Sicherheitslösungen haben eine enorme Bedeutung in der Digitalisierung und benötigen sehr hohe Systemberechtigungen für ihre Aufgaben. Kommt es bei den IT-Sicherheitslösungen zu Störungen, kann sich das auf die komplette, ansonsten geschützte IT auswirken. Das zeigte sich leider sehr klar und anschaulich bei dem Update von Crowdstrike. Wenn ein Neustart des Microsoft-Betriebssystems eingeleitet wird und dieser Neustart nicht klappt, dann steht die entsprechende IT. Genau das ist passiert.

Wie kritisch solche IT-Vorfälle sein können, zeigt auch das Statement des BSI (Bundesamt für Sicherheit in der Informationstechnik): „Weltweit kommt es derzeit zu IT-Ausfällen in zahlreichen Branchen. Auch in Deutschland gibt es betroffene Unternehmen, darunter Betreiber Kritischer Infrastrukturen.“

Offensichtlich waren auch Systeme von KRITIS-Betreibern von diesen Störungen und Ausfällen betroffen. Deshalb sollte man den Crowdstrike-Vorfall als deutlichen Weckruf verstehen. Dabei geht es nicht darum, bestimmte Betriebssysteme oder Sicherheitslösungen in Zukunft zu vermeiden, es geht vielmehr darum, die Forderung nach Cyber-Resilienz ernst zu nehmen.

So schreibt das BSI: „Der Sachverhalt kann exemplarisch für die Schäden angesehen werden, die eintreten können, wenn die Anforderungen des Bausteins OPS.1.1.3 Patch- und Änderungsmanagement aus dem IT-Grundschutz Kompendium nicht umgesetzt werden.“

Der IT-Vorfall muss nun wachrütteln

Aus gutem Grund nennt die EU-Agentur für Cybersicherheit ENISA die ungepatchten Systeme als eine der größten Cyberbedrohungen, man sollte hier auch die fehlerhaft gepatchten Systeme hinzuzählen. Bevor ein Update veröffentlicht wird, muss getestet werden. Bei Crowdstrike wurde ein Fehler übersehen: „Aufgrund eines Fehlers im Content Validator bestand eine der beiden Vorlageninstanzen die Validierung, obwohl sie problematische Inhaltsdaten enthielt.“

Crowdstrike empfiehlt nun unter anderem: „Verbessern Sie das Testen von Rapid-Response-Inhalten durch die Verwendung von Testarten wie Tests durch lokale Entwickler, Inhaltsaktualisierungs- und Rollbacktests, Stresstests, Fuzzing und Fehlerinjektion, Stabilitätsprüfung, Testen der Inhaltsschnittstelle. Fügen Sie dem Content Validator für Rapid Response Content zusätzliche Validierungsprüfungen hinzu. Eine neue Prüfung ist in Bearbeitung, um zu verhindern, dass diese Art von problematischem Inhalt in Zukunft bereitgestellt wird. Verbessern Sie die vorhandene Fehlerbehandlung im Content Interpreter.“

Dies betrifft die Anbieterseite, aber auch auf Anwenderseite zeigen sich Probleme, die angegangen werden müssen.

Die Cyber-Resilienz muss gestärkt werden

Offensichtlich kann ein Fehler bei dem Update einer Software mit hohen Berechtigungen zu Ausfällen und Störungen führen. Widerstandsfähigkeit, also Cyber-Resilienz, bedeutet, dass man auch auf solche Störungen reagieren kann, und zwar geordnet und zeitnah. Man muss sich schnell erholen können, um den IT-Betrieb wieder aufzunehmen.

Notfallpläne müssen nicht nur vorhanden sein, wenn es zu einer Cyberattacke mit Ransomware kommt, sondern eben auch, wenn ein Update fehlerhaft war und der IT-Betrieb gestört ist. Das gilt für alle Unternehmen und Einrichtungen, ganz besonders aber für KRITIS-Betreiber. Gerade dort muss es den berühmten „Plan B“ geben, wenn „Plan A“ ausgefallen ist.

Der Crowdstrike-Vorfall zeigt somit, wie wichtig Cyber-Resilienz ist und warum das Ziel nicht nur Schutz vor Cyberattacken lauten darf.

NIS2: Lieferkette und kritische IT-Dienstleistungen

Der Crowdstrike-Vorfall zeigt aber noch etwas: Es gibt sehr gute Gründe, warum die NIS2-Richtlinie Forderungen zur Lieferkette enthält und warum besonders wichtige Einrichtungen im Bereich digitale Infrastrukturen besonders hohen Anforderungen unterliegen.

Dazu sagte eco-Vorstand und IT-Sicherheitsexperte Norbert Pohlmann: „In unseren IT-Systemen und -Infrastrukturen wird zunehmend mehr Software von Drittanbietern genutzt. Damit lässt sich zwar die Geschwindigkeit der Digitalisierung erhöhen, aber gleichzeitig steigen damit auch die Abhängigkeit und Risiken werden größer, wie das aktuelle Beispiel zeigt. Aus diesem Grund müssen Anwenderfirmen ihre Abhängigkeit von Software-Zulieferern klar identifizieren und deren IT-Sicherheit deutlich mehr in den Fokus stellen.“

Wer also bisher nach Argumenten suchte, warum NIS2 bestimmte Vorgaben erweitert und verschärft, sollte nun fündig geworden sein.

Achtung: Wie immer in Situationen, in denen Verunsicherung herrscht und Hilfe und Unterstützung gesucht wird, nutzen Cyberkriminelle auch diesen Vorfall für ihre Attacken aus: „Derweil nutzen Cyberkriminelle die Vorfälle für unterschiedliche Formen von Phishing, Scam oder Fake-Webseiten aus. Auch inoffizieller Code wurde in Umlauf gebracht“. Das BSI empfiehlt ausdrücklich, technische Informationen ausschließlich von offiziellen Crowdstrike-Quellen zu beziehen.

(ID:50108880)