Anzeige

Am Puls von Microsoft

Anzeige

Nach dem Ausfall: UKSH will Schadensersatz von Crowdstrike einfordern

DrWindows

Redaktion
Nach dem Ausfall: UKSH will Schadensersatz von Crowdstrike einfordern
von Kevin Kozuszek
Bluescreen durch csagent.sys


Nach den weltweiten Störungen vom Freitag, die durch ein verkorkstes Update des Sicherheitsunternehmens Crowdstrike verursacht wurden, können die betroffenen Kunden langsam wieder in einen Normalbetrieb gehen. Gleichwohl geht es nun darum, wie groß der finanzielle Schaden ist, der durch Verdienst- und Produktionsausfälle sowie weiteren Punkten entstanden ist. Mit dem Universitätsklinikum Schleswig-Holstein wagt sich jetzt ein erster Betroffener aus der Deckung.

Der Klinikbetrieb wurde in Kiel und Lübeck massiv getroffen. Insgesamt 9.000 Windows-Rechner konnten zeitweise nicht genutzt werden, insgesamt 137 Operationen (70 in Kiel, 67 in Lübeck) mussten abgesagt werden und auch die Notaufnahmen waren an beiden Standorten für mehrere Stunden (9 in Kiel, 5 in Lübeck) nicht einsatzfähig. Mittlerweile läuft seit dem heutigen Montag wieder der Normalbetrieb, allerdings mussten die IT-Fachleute zunächst den Crowdstrike-Client komplett entfernen und defekte Systemdaten reparieren, damit die betroffenen Systeme wieder funktionierten.

Obwohl man den entstandenen finanziellen Schaden aktuell prüft und anschließend Ersatzforderungen an Crowdstrike stellen will, wird man die Software weiterhin einsetzen, wie Jens Scholz, Vorstandsvorsitzender des UKSH, betont. Man orientierte sich dabei an den ausdrücklichen Empfehlungen des Bundesamts für die Sicherheit in der Informationstechnik (BSI), die Crowdstrike als bestmögliche Lösung zur Abwehr von Hackerangriffen vorsehen. Daran ändere auch dieses Qualitätsproblem der Software nichts.

Man darf gespannt sein, ob das BSI nach diesem Vorfall die Empfehlungen nun anpassen wird. Tatsache ist, dass unter anderem mit einem Krankenhaus wie dem UKSH auch unsere kritische Infrastruktur getroffen wurde, deren Schutz wir uns bekanntlich ganz besonders verschrieben haben.


Hinweis: Der Artikel wird möglicherweise nicht vollständig angezeigt, eingebettete Medien sind in dieser Vorschau beispielsweise nicht zu sehen.

Artikel im Blog lesen
 
Anzeige
DIE CROWDSTRIKE-ANGEBOTE UND CROWDSTRIKE-TOOLS SIND NICHT FEHLERTOLERANT UND NICHT FÜR DEN EINSATZ IN GEFÄHRLICHEN UMGEBUNGEN AUSGELEGT ODER VORGESEHEN, DIE EINE AUSFALLSICHERE LEISTUNG ODER EINEN AUSFALLSICHEREN BETRIEB ERFORDERN. WEDER DIE ANGEBOTE NOCH DIE CROWDSTRIKE-TOOLS SIND FÜR DEN BETRIEB VON FLUGZEUGNAVIGATION, NUKLEARANLAGEN, KOMMUNIKATIONSSYSTEMEN, WAFFENSYSTEMEN, DIREKTEN ODER INDIREKTEN LEBENSERHALTENDEN SYSTEMEN, FLUGVERKEHRSKONTROLLE ODER ANWENDUNGEN ODER ANLAGEN BESTIMMT, BEI DENEN EIN AUSFALL ZU TOD, SCHWEREN KÖRPERVERLETZUNGEN ODER SACHSCHÄDEN FÜHREN KÖNNTE.
via Fefes Blog
 
:ROFLMAO:
Also eigentlich dann für fast niemanden zu gebrauchen im kommerziellen Umfeld.

Bin gespannt was das BSI dazu sagt. Und auch generell was Microsoft dazu sagt, dass man in einem zertifizierten Treiber exekutierbaren Code über Channels nachladen kann, die das Verhalten dann anpasst (und damit dann
nicht mehr zertifizierten Code ergeben). Und warum die Parameterprüfung nicht strikter ist und das in einen
Nullpointer endet, der dann da ganze System mitreisst.

Hoffe sehr dass in Zukunft solche Praktiken untersagt werden in Treibern.
 
Zuletzt bearbeitet:
Obwohl man den entstandenen finanziellen Schaden aktuell prüft und anschließend Ersatzforderungen an Crowdstrike stellen will, wird man die Software weiterhin einsetzen, wie Jens Scholz, Vorstandsvorsitzender des UKSH, betont.
Spätestens jetzt ist der Einsatz der Software beim UKSH entgegen der ausdrücklichen Warnungen des Herstellers mindestens bedingter Vorsatz bei allen zukünftig auftretenden Folgen, die ein weiterer Ausfall der Software haben kann. Das können dann Körperverletzungsdelikte, Totschlag bis hin zu Mord sein. Denn ein bedingter Vorsatz umfaßt auch die billigende Inkaufnahme (beispielsweise aus Kostengründen), auch dann, wenn die Tatfolgen nicht angestrebt waren.
 
Microsoft kann nicht behaupten von diesem Paragraphen keine Kenntnis gehabt zu haben.

Entweder grobe Fahrlässigkeit oder billigend in Kauf genommen

In jedem Fall ist Microsoft damit mit in der Verantwortung.
 
Das steht auch so ähnlich in der Windows EULA. Faktisch wurde ja nicht das direkt dort eingesetzt wo es um Menschenleben geht, weder ist ein Flugzeug abgestürzt, noch ein Patient gestorben. Selbst wenn die Notaufnahme nicht Einsatzbereit war, ist direkt dadurch niemand zu Schaden gekommen. Denn direkt in einer Radaranlage oder in einer Beatmungsmaschine wird es nicht laufen. So wird es ausgehen. Wie gesagt, in der Windows EULA steht es ähnlich drin.

Fefe ist schon lustig...
 
Wenn Microsoft mit einem Unternehmen kooperiert, das jeglichen Einsatz in kritischen Bereichen ausschließt, hätte es keine Zusammenarbeit geben dürfen, denn die Palette der untersagten Anwendungen umfaßt direkt oder indirekt praktisch alle Anwendungsbereiche. Die juristische Seite der Mithaftung wird mit ziemlicher Sicherheit vor Gericht ausdiskutiert werden.

EOT
 
Was hat jetzt Microsoft mit dem EULA von Crowdstrike zu tun?
Kann ich dir sagen: Nichts! 😊

Wenn Microsoft mit einem Unternehmen kooperiert, das jeglichen Einsatz in kritischen Bereichen ausschließt, hätte es keine Zusammenarbeit geben dürfen, denn die Palette der untersagten Anwendungen umfaßt direkt oder indirekt praktisch alle Anwendungsbereiche. Die juristische Seite der Mithaftung wird mit ziemlicher Sicherheit vor Gericht ausdiskutiert werden.

EOT
Inwiefern ist Microsoft dafür verantwortlich wie Firmen ihre Windows Server verwenden und was darauf installiert wird? Ganz einfach: Gar nicht.

EOT
 
Vermutlich wurde die Software nicht direkt auf Intensiv und im OP eingesetzt. Insofern ist die Klinik kein absoluter Sonderfall. Auch wurde die Software gegen Geld von CrowdStrike an das Klinikum lizensiert.
Das wird spannend und am Ende werden wohl Gerichte entscheiden.

Löblich, dass sich das Klinikum über das Gefahrenpotential Gedanken macht. Leider ist es diesmal halt schief gegangen - und nicht nur bei diesem Kunden.
 
Wenn Microsoft mit einem Unternehmen kooperiert, das jeglichen Einsatz in kritischen Bereichen ausschließt, hätte es keine Zusammenarbeit geben dürfen, denn die Palette der untersagten Anwendungen umfaßt direkt oder indirekt praktisch alle
Anwendungsbereiche.

Verstehe deine Logik da nicht.

Die Firma Crowdstrike vertreibt ein Produkt für Windows, Linux und macOS. Das UKSH installiert dieses auf mindestens ihren Windows-Systemen. Freiwillig. Sie zahlen Geld dafür. An Crowdstrike.

Da haben also zwei Firmen einen Vertrag geschlossen. Crowdstrike und das UKSH. Microsoft ist nicht Teil des Vertrages. Microsoft hat das auch nicht abgesegnet.

Die juristische Seite der Mithaftung wird mit ziemlicher Sicherheit vor Gericht ausdiskutiert werden.

Klar. Zwischen dem UKSH und Crowdstrike. Denn darum ging es ja im Artikel.
 
Hoffe sehr dass in Zukunft solche Praktiken untersagt werden in Treibern.
Freiheit für alle Treiber!
Der Signaturzwang ist schon schlimm genug.

Niemand wird gezwungen solchen Schrott einzusetzen.

Das steht auch so ähnlich in der Windows EULA.
Das wollte ich noch hinzufügen, ich hatte nämlich auch im Kopf, daß sowas ähnliches in Microsofts Bedingungen steht.
 
Das Problem bei solchen Krisen ist, dass viele dumme Menschen viel dummes Zeug dazu schreiben oder vermeintlich Sensationelles aufdecken, wie in diesem lustigen Fifi-Artikel.
Man könnte in dem oben zitierten Paragraphen auch CrowdStrike durch Windows ersetzen. Das ist auch kein Hochverfügbarkeitssystem, dafür gibt es entsprechend spezialisierte Lösungen. Da steht also nur, was jedes Kind weiß.
 
Ich glaub nicht dass das SO dumm ist.

Warum: Wenn man sogar Sachschäden ausschliesst (wie ganz zum Schluß im Satz) kann man diese Software
in gar keinem Umfeld mehr einsetzen und solche weitreichenden Ausschlüsse sollten nur für gratis Software gelten dürfen (Open Source, Community Projekte oder Lizenzen für nichtkommerziellen Einsatz).

Eine gewisse Haftung sollte schon auch noch bei Softwareherstellern bleiben, wenn sie was verkaufen wollen,
sonst nehmen sie die Qualitätskontrolle zu ungenau ;).

Sowas nennt man dann Produkthaftung und wüsste nicht wieso sich Softwarehersteller da immer ausschhliessen
können sollten.
 
[ironie/sarkasmus*]Die Situation hat einen gewissen Charme. Gaube kaum, dass eine nennenswert große Anzahl von Betroffenen darüber informiert war, dass auf ihren PC ungefragt eine Third Party AV werkelt (vor denen ja immer gewarnt wurde) mit einem umfassenden Haftungsausschluss.

* um Mißverständnissen vorzubeugen
 
Zuletzt bearbeitet:
Also ich hoffe doch, dass zumindest die IT gewusst hat, das Crowdstrike installiert ist. Der normale Enduser wohl eher nicht, ist auch nicht nötig.
 
Produkthaftungspflich bei Software wir ja eh gerade neu geregelt, siehe z.B. die Zusammenfassung unten:


D.h. solche Ausschlüsse sind in vielen Staaten (wahrscheinlich EU) dann eh obsolet. bin aber kein Jurist,
die sollen sich damit genauer beschäftigen :).
 
Man kann viel von Haftungsausschluss in die AGBs schreiben, dass heisst noch lange nicht, dass das auch immer gültig ist.

Im vorliegenden Fall handelt es sich nicht um einen sporadisch auftretenden Fehler. Da jedes Gerät mit Crowdstrike betroffen war, hätte der Fehler bei einem Test sofort auffallen müssen.
Da das Update aber offensichtlich komplett ungetestet ausgerollt wurde, hat Crowdstrike hier eindeutig grob fahrlässig gehandelt - und grobe Fahrlässigkeit kann man überhaupt nicht von der Haftung ausschließen.
 
Anzeige
Oben