Ein fehlerhaftes CrowdStrike-Update verursachte bei 8,5 Mio. Windows-PCs einen Blue Screen – die größte IT-Störung aller Zeiten

Am 19. Juli 2024 spielte das Cybersicherheitsunternehmen CrowdStrike ein routinemäßiges Konfigurationsupdate für seine Falcon-Sensor-Software aus, die auf Firmenrechnern tief im Windows-Betriebssystem auf Kernel-Ebene läuft. Das Update veränderte eine Datei – Channel File 291, zuständig für die Prüfung benannter Pipes –, die einen Defekt enthielt, der einen Out-of-Bounds-Speicherzugriff (Lesen außerhalb des zulässigen Speicherbereichs) verursachte. Statt kontrolliert zu scheitern, löste der Sensor einen ungültigen Seitenfehler aus, der Windows mit einem Blue Screen of Death und einer Boot-Schleife abstürzen ließ.

Da der Falcon-Sensor auf so vielen Firmensystemen mit hohen Privilegien läuft, breitete sich der Fehler nahezu augenblicklich aus. Microsoft schätzte später, dass etwa 8,5 Millionen Windows-Geräte betroffen waren – weniger als ein Prozent aller Windows-Rechner, aber ein großer Anteil derjenigen, die Unternehmen betreiben. Fluggesellschaften stellten Tausende Flüge ein, Krankenhäuser griffen wieder auf Papier zurück, und Banken, Rundfunkanstalten, Einzelhändler und Behörden fielen weltweit aus. CrowdStrike hatte mehr als 24.000 Kunden, darunter rund 60 % der Fortune 500.

CrowdStrike machte die fehlerhafte Datei innerhalb von etwa einer Stunde rückgängig, und CEO George Kurtz bestätigte, dass es sich um einen Unfall und nicht um einen Angriff handelte. Doch bereits abgestürzte Rechner konnten den Fix nicht automatisch herunterladen: IT-Mitarbeiter mussten jeden einzelnen im abgesicherten Modus neu starten und die fehlerhafte Datei manuell löschen, ein Vorgang, der auf Rechnern mit BitLocker-Festplattenverschlüsselung zusätzlich erschwert wurde. Die vollständige Wiederherstellung dauerte Tage. Der weltweite finanzielle Schaden wurde auf Milliarden von Dollar geschätzt, was ihn zur größten Störung in der Geschichte der Informationstechnik machte.

Die Datei wurde innerhalb einer Stunde zurückgenommen, doch abgestürzte Rechner mussten manuell im abgesicherten Modus repariert werden, sodass die Wiederherstellung Tage dauerte und die Verluste 5 Mrd. $ überstiegen.

Das Inhaltsupdate wurde nicht ausreichend validiert, bevor es an die gesamte installierte Basis auf einmal ausgeliefert wurde, ohne gestaffelte oder Canary-Einführung.

Der Sensor läuft auf Kernel-Ebene, sodass ein Fehler in ihm das gesamte Betriebssystem zum Absturz brachte, statt eingegrenzt zu werden.

Die Software von CrowdStrike bot Kunden keine Möglichkeit, Inhaltsupdates zu verzögern oder gestaffelt einzuspielen, sodass jeder Rechner die fehlerhafte Datei sofort erhielt.

Die Wiederherstellung erforderte manuelle Eingriffe an jedem einzelnen Rechner, sodass die Störung noch lange anhielt, nachdem der Fix bereits existierte.

Software, die auf Kernel-Ebene läuft, kann den Rechner lahmlegen, den sie schützen soll. Zunächst an eine kleine Canary-Gruppe ausrollen, Inhaltsupdates wie Code validieren und ein fehlerhaftes Update sicher scheitern lassen – nicht fatal.

CrowdStrike entschuldigte sich, entschädigte betroffene Kunden und stellte die Art und Weise um, wie es Inhaltsupdates testet und staffelt, indem es Canary-Ringe und Kundenkontrolle über den Zeitpunkt des Ausrollens einführte. Der Vorfall entfachte erneut die Debatte über die Fragilität, ein einzelnes Sicherheitsprodukt auf Kernel-Ebene über die kritische Infrastruktur der Welt laufen zu lassen, sowie über Microsofts Entscheidung, solcher Software tiefen Kernel-Zugriff unter Windows zu gewähren. Delta Air Lines, eines der am schwersten betroffenen Unternehmen, meldete Verluste in Höhe von Hunderten Millionen Dollar. „CrowdStrike-Störung“ wurde zum Synonym dafür, wie ein einziges fehlerhaftes Update die Welt zum Stillstand bringen kann.