… ist klar im Vorteil. Frischester Beleg für diese lebensnahe Wahrheit ist der globale „Cybervorfall“ am 19.7.2024: CrowdStrike verteilte global ein Softwareupdate, das Millionen von Windows-Rechnern zum Absturz brachte. Wirklich unangenehm an der fehlerhaften Software war und ist, dass sie vor Ort, am PC des Geschehens, deaktiviert und entfernt werden muss. Damit dürfte der finanzielle Schaden, der durch den Ausfall der Rechner verursacht wurde, vom finanziellen Aufwand, der für die Behebung des Schadens nötig ist, vielleicht sogar übertroffen werden.
Mehr als finanziellen Schaden muss man aber auch nicht befürchten, denn in weiser Einschätzung der eigenen Fähigkeiten hat CrowdStrike in seinen Geschäftsbedingungen (www.crowdstrike.com/terms-and-conditions-de) auch einen Vorbehalt eingebaut, der Seinesgleichen sucht:
ES GIBT KEINE GEWÄHRLEISTUNG, DASS DIE ANGEBOTE ODER CROWDSTRIKE-TOOLS FEHLERFREI SIND ODER DASS SIE OHNE UNTERBRECHUNG FUNKTIONIEREN ODER BESTIMMTE ZWECKE ODER BEDÜRFNISSE DES KUNDEN ERFÜLLEN. DIE CROWDSTRIKE-ANGEBOTE UND CROWDSTRIKE-TOOLS SIND NICHT FEHLERTOLERANT UND NICHT FÜR DEN EINSATZ IN GEFÄHRLICHEN UMGE-BUNGEN AUSGELEGT ODER VORGESEHEN, DIE EINE AUSFALLSICHERE LEISTUNG ODER EINEN AUSFALLSICHEREN BETRIEB ERFORDERN. WEDER DIE ANGEBOTE NOCH DIE CROWDSTRIKE-TOOLS SIND FÜR DEN BETRIEB VON FLUGZEUGNAVIGATION, NUKLEARANLAGEN, KOMMUNIKATIONSSYSTEMEN, WAFFENSYSTEMEN, DIREKTEN ODER INDIREKTEN LEBENSERHALTENDEN SYSTEMEN, FLUGVERKEHRSKONTROLLE ODER ANWENDUNGEN ODER ANLAGEN BESTIMMT, BEI DENEN EIN AUSFALL ZU TOD, SCHWEREN KÖRPERVERLETZUNGEN ODER SACHSCHÄDEN FÜHREN KÖNNTE.
Der Kunde stimmt zu, dass es in der Verantwortung des Kunden liegt, die sichere Nutzung eines CrowdStrike-Angebots und der CrowdStrike-Tools in solchen Anwendungen und Installationen zu gewährleisten.
Das ist einmal eine Ansage! Wenn der Anbieter sich im Klaren ist, dass seine Software vor allem Umsatz bringen soll, eigene Fehler üble Folgen haben und damit teuer werden könnten, dann ist er gewiss von seinen Juristen gut beraten, jegliche Haftung möglichst weit von sich zu schieben. Ob den Kunden dieses Unternehmens dieser Passus gegenwärtig war, ist dem Sicherheits-Berater nicht bekannt. Da CrowdStrike-Software aber vor allem in großen Unternehmen eingesetzt wird, ist durchaus die Frage erlaubt, ob diese Geschäftsbedingungen in die Nähe von juristisch bewanderten Mitarbeitern gelangt sind und deren Stirnrunzeln Beachtung fand.
Der geradezu demütige Hinweis in den AGB lässt sich aber spätestens jetzt so auslegen, dass die Crowdstrike-Produkte in KRITIS-regulierten Unternehmen (und in näherer Zukunft auch in allen Unternehmen, die nach NIS-2 und DORA-Regeln agieren) höchstens auf Rechnern weit abseits der kritischen Prozesse und Leistungen genutzt werden dürfen.
Auf kritischer IT wäre der Einsatz nur dann zu verantworten, wenn vor dem produktiven Einsatz ein ausführlicher Test in einer aussagefähigen Testumgebung durchgeführt würde. Das allerdings würde den Einsatz einer Sicherheitssoftware, die verspricht, auch ganz aktuelle Erkenntnisse aus der Analyse neuer Schwachstellen und Vorfälle zur Erkennung und Eindämmung von sicherheitsrelevanten Ereignissen zu nutzen, ein wenig ad absurdum führen.
Da der Sicherheits-Berater stets bemüht ist, konstruktiv zu sein, sei noch ein Hinweis an CrowdStrike erlaubt. Dort wirbt man mit der Selbstauskunft:
„Bei CrowdStrike ist KI mehr als eine Funktion – sie steckt in unserer DNA. Mit Modellen, die täglich mit Billionen von Datenpunkten trainiert werden, können wir Bedrohungen vorhersagen und stoppen.“
Es sollte heutzutage KI-Modelle geben, die mit guter Trefferquote Anfängerfehler in Programmquellen finden. Folgt Eurer DNA und lasst Eure KI NULL-Pointer in C++ Programmquellen vorhersagen. Oder anders ausgedrückt: Noch besser wäre es, wenn ein kundiges Team in Eurem Hause sich mit Qualitätssicherung befasste!
