Blue Screen of Death Crowdstrike-Panne: Wie weit geht die Haftung des Softwareherstellers?

Jeder Windows-Benutzer kennt den berüchtigten „Blue Screen of Death“ (BSoD): Ein kritischer Systemfehler verursacht einen Totalausfall des Computers. Was bei dem Privatbenutzer zu Frust führt, kann für große Organisationen katastrophal sein. Wer muss dafür haften?

Auf den Bildschirmen von 8,5 Millionen Computern zeigte ein BSoD am 19. Juli 2024, dass nichts mehr ging. Weltweit waren Behörden, Banken, Flughäfen, Krankenhäuser und Unternehmen aller Größen und Branchen von dem Ausfall betroffen. (Bei der Deutschen Bahn dagegen liefen die IT-Systeme nach eigener Auskunft reibungslos.)

Der Crowdstrike-Ausfall

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte den Ausfall zunächst als „3 / Orange“ ein: „Die IT-Bedrohungslage ist geschäftskritisch. Massive Beeinträchtigung des Regelbetriebs.“ Doch entgegen ersten Vermutungen hatte kein Hackerangriff die Ausfälle verursacht, sondern ein Fehler in einem Routine-Update der Sicherheitssoftware „Falcon“. Der Hersteller Crowdstrike konnte den Kunden schnell eine Umgehungslösung zur Verfügung stellen, damit die Computer nach einigen Stunden intensiver Arbeit der IT-Abteilungen wieder in Betrieb genommen werden konnten. Trotzdem stellte der IT-Sicherheitsforscher Troy Hunt auf der Plattform X fest: „I don’t think it’s too early to call it: this will be the largest IT outage in history.“ Die Wirtschaftsweise Veronika Grimm schätzte vorläufig, dass der Crowdstrike-Ausfall weltweit einen Milliardenschaden anrichtete.