Was bisher geschehen ist: Am 19. Juli wurde ein fehlerhaftes Update für CrowdStrikes Security-Software Falcon ausgesandt. Dieses legte Computer weltweit durch eine Neustartschleife und Blue Screens lahm. Betroffenen waren eine Vielzahl von Sektoren, darunter auch der Gesundheitssektor. Der größte direkte Leidtragende war jedoch die Luftfahrt. Indirekt trifft es vor allem gemeinnützige Organisationen die Opfer von Phishing-Attacken werden. Dies ergeben Daten von Akamai. Auch in Deutschland haben Cyberkriminelle ihr Unwesen getrieben.

Schuld, aber nicht (voll)schuldig?

Kurz nach der Panne hat CrowdStrike sowohl die Situation erläutert als auch versucht, Hilfe zu leisten. Jetzt behauptet das Cybersecurity-Unternehmen allerdings, dass die Führung von Delta Air Lines auf ein Hilfsangebot im vergangenen Monat nicht reagiert hat.

Dieser Vorwurf wurde durch die Anwälte des Technologieunternehmens am 4. August schriftlich bekräftigt. Dort heißt es, dass CrowdStrike-CEO George Kurtz mehrmals versucht habe, mit Delta-CEO Ed Bastian Kontakt bezüglich der Situation Kontakt aufzunehmen.

"Der CEO von CrowdStrike hat sich persönlich an den CEO von Delta gewandt, um Unterstützung vor Ort anzubieten, aber keine Antwort erhalten", zitiert die Financial Times aus dem Schreiben.

In einer separaten E-Mail an Delta Airlines betont CrowdStrike allerdings auch die Hoffnung, dass man "kooperativ an einer Lösung" arbeiten werden.

Delta-CEO teilt in Interview aus

Die Fluggesellschaft war weltweit am stärksten von dem Update-Fehler betroffen. Die Zahl der gestrichenen Flüge schwankt allerdings, so spricht Delta selber von über 5.000. Das Nachrichtenmagazin Bloomberg wiederum nennt über 5.500 Ausfälle. Die Nachrichtenagentur Reuters meldet sogar mehr als 6.000 Flüge, die über einen Zeitraum von sechs Tagen ausfielen. Dies zeigt allerdings deutlich, welches Ausmaß die Update-Panne hatte, unabhängig der genauen Zahlen.

Delta habe noch nicht auf den Brief von CrowdStrike reagiert, so ein Sprecher des Unternehmens. Er verwies aber auf Ed Bastians frühere Kommentare gegenüber dem Fernsehsender CNBC. Dort nannte der CEO rechtliche Schritte, um finanzielle Entschädigung in Bezug auf entgangene Einnahmen, Entschädigungen für Passagiere und Rufschädigung zu erhalten.

Geld und noch viel mehr

Der Ausfall hätte Kosten in Höhe von "einer halben Milliarde Dollar in fünf Tagen" verursacht. Dazu gehörten "entgangene Einnahmen, aber auch zig Millionen Dollar pro Tag für Entschädigungen und Hotelkosten", so der Delta-CEO. Solche Verluste würden Schadenersatzforderungen notwendig machen, erklärte Bastian.

Er kündigte auch an, dass Delta nach dem Ausfall eine eigene technische Neubewertung vornehme - und deutete mögliche Änderungen bei künftigen IT-Investitionen an.

Auch Microsoft gerät in Deltas Visier

Doch es geht nicht nur um CrowdStrike, sondern auch um Microsoft. CEO Bastian bezeichnete den Vorfall als Verletzung des "privilegierten Zugangs zum Delta-Ökosystem", den der Tech-Riese habe. Als Konsequenz werde Delta seine Abhängigkeit von der "verwundbarsten Plattform" der Technologiebranche überdenken. Er stellte auch die Frage, wann es das letzte Mal einen größeren Ausfall bei Apple gegeben habe.

Die Fluggesellschaft zeigte sich zudem enttäuscht über das Verhalten von Microsoft. "Microsoft hat uns nichts angeboten - keine kostenlose Beratung, um uns zu helfen", so der CEO. Dieser Vorwurf wiege besonders schwer, da Deltas IT-Umgebung "bei weitem die am engsten mit Microsoft und CrowdStrike verwobene in der Branche" sei, erklärte Bastian. Zudem investiere Delta "hunderte Millionen Dollar in Redundanz".

Privilegien verpflichten zur Pfuschvermeidung

Im CNBC-Interview prangerte der CEO von Delta auch das mangelhafte Validierungsverfahren von CrowdStrike an. Es sei unmöglich, ungetestete Software mit privilegiertem Zugang in einen geschäftskritischen 24-Stunden-Betrieb zu bringen.

In Bezug auf Microsoft und CrowdStrike wies Bastian zudem darauf hin, dass beide Unternehmen aus finanziellen Gründen nicht bereit seien, eine gute Partnerschaft einzugehen. Dies liege daran, dass beide die größten Konkurrenten im Bereich der Cybersicherheit seien und daher keine reibungslose Zusammenarbeit anstreben würden.

Die ersten Konsequenzen

Nach dem weitreichenden Ausfall gehört Delta Airlines zu den ersten Unternehmen, die sowohl von CrowdStrike als auch von Microsoft eine Entschädigung fordern. Microsoft hat mittlerweile zumindest angekündigt, den Zugriff auf Kernel-Ebene für Softwareanwendungen zu überprüfen.

Mögliche Schadenersatzansprüche von Delta gegen CrowdStrike wurden jedoch bereits in dem eingangs erwähnten Schreiben durch den Rechtsbeistand von Delta adressiert. So heißt es dort: "Jegliche Haftung von CrowdStrike ist vertraglich auf einen Betrag im einstelligen Millionenbereich begrenzt". Die weitere Entwicklung bleibt abzuwarten.