Achtundsiebzig Minuten, die CrowdStrike nicht bezahlt hat

Zusammenfassung

• Am 19. Juli 2024 verteilte CrowdStrike ein Falcon-Inhaltsupdate für Windows-Hosts; gestoppt wurde es erst gegen 05:27 UTC, als bereits Millionen Rechner ausgefallen waren.
• Der eigentliche Streitpunkt ist nicht die Ursache, sondern die Zuordnung: Die Schadensobergrenze in CrowdStrikes Kundebedingungen misst sich an zwölf Monaten Gebühren, und die berichtete Forderung von Delta Air Lines über 500 Millionen Dollar ist ein Anspruch gegen diese Grenze, keine Zahl, die sie hervorgebracht hat.

Der Fehler steckte nicht im Kern des Sensors. Er steckte eine Ebene darüber, in der Prüfinstanz, die jeden Rapid-Response-Content-Download abwägen soll, bevor er auf einem produktiven Rechner landet. Beim Verarbeiten des Updates für Channel File 291 lief dieser Prüfer aus dem ihm zugewiesenen Speicherbereich heraus, las an einer Stelle, die ihm nicht gehörte, und der Rechner stürzte ab. Das ist die Abfolge, die CrowdStrike in der technischen Darstellung des Vorfalls vom 19. Juli beschreibt; die Wiedergabe stützt sich auf diese Unternehmensdarstellung, deren Volltext in diesem Lauf nicht Zeile für Zeile gelesen wurde.

Die Ursachenanalyse von Channel File 291 setzt den Zeitrahmen: Freigabe gegen 04:09 UTC, Stopp oder Rücknahme gegen 05:27 UTC. Achtundsiebzig Minuten. Das klingt nach einer schnellen Reaktion, und gemessen an der Ausbreitungsgeschwindigkeit eines Content-Updates ist es das auch. Nur hilft die Rücknahme einem Rechner nichts, der bereits im Bluescreen steht. Ein Rollback verhindert, dass weitere Maschinen kippen. Er repariert keine einzige, die schon gekippt ist.

Genau hier liegt die operative Bruchlinie des Tages. Die Wiederherstellung war manuell und hostweise: Jemand musste physisch an die Maschine, in den abgesicherten Modus, die fehlerhafte Datei entfernen, neu starten. In einem Rechenzentrum mit Tausenden Servern ist das kein Handgriff, sondern eine Schichtarbeit über Tage. In einem Krankenhaus, einem Flughafenbetrieb oder einer Filiale ohne IT-Vor-Ort ist es schlicht eine Blockade. Microsoft bezifferte die Zahl der betroffenen Windows-Geräte in seinem Beitrag zur Unterstützung der Kunden auf rund 8,5 Millionen und ordnete das als weniger als ein Prozent aller Windows-Rechner ein. Diese Zahl zählt Geräte. Sie zählt keine Unternehmen, keine ausgefallenen Flüge, keine Umsatzeinbußen und keine ersatzfähigen Schäden.

Deshalb ist die Frage nach dem wirtschaftlichen Umfang des Vorfalls ohne den Vertrag nicht beantwortbar. Der Schaden entstand zuerst beim Kunden — das ist die Reihenfolge, in der ein Ausfall materiell wird. Erst danach wird über eine Vereinbarung entschieden, wer ihn trägt. Zwischen dem Betrieb, der den Ausfall erlitten hat, und dem Hersteller, der das Update signiert hat, steht ein Dokument, das diese Zuordnung vorwegnimmt.

CrowdStrike beschreibt in seinen Kundebedingungen eine aggregierte Haftungsobergrenze, die sich an den Gebühren bemisst, die unter dem jeweiligen Order Form gezahlt wurden oder zahlbar sind — und zwar in den zwölf Monaten unmittelbar vor dem Ereignis, das den Haftungsanspruch auslöst. Das ist eine Beschreibung der Klausel, wie die Seite sie darstellt, keine wörtliche Lesart des Klauseltextes: Die genaue Formulierung, die Abschnittsnummer und die Ausnahmen sind in diesem Lauf nicht im Original geprüft worden. Der Mechanismus ist dennoch klar genug, um ihn zu beurteilen. Die Obergrenze misst sich nicht am Ausmaß des Ausfalls. Sie misst sich an der Einkaufshistorie des Kunden.

Neben dieser Grenze steht ein separater Ausschluss für Folgeschäden und sonstige Schäden. Beide Instrumente wirken zusammen, und die Grenze allein beantwortet nicht, was ein Anspruchsteller tatsächlich erhält. Ein Haftungsdeckel kappt die Summe; ein Ausschluss nimmt ganze Schadenskategorien aus der Rechnung, bevor überhaupt gedeckelt wird. Wer nur die Obergrenze liest, liest die halbe Klausel. Wer nur den Ausschluss liest, übersieht, dass auch innerhalb des verbleibenden Rahmens eine Grenze gilt.

Auf der anderen Seite dieser Gleichung steht eine Klage. Delta Air Lines reichte am 8. August 2024 in Georgia eine Klage gegen CrowdStrike ein, die auch Vertragsverletzungen umfasst, und verlangte nach dem Bericht von Reuters über die Klage mehr als 500 Millionen Dollar. Diese Zahl ist eine Forderung, kein Urteil. Sie belegt nicht, dass die vertragliche Obergrenze ausgezahlt, angewandt oder auch nur verhandelt wurde. Sie zeigt die Distanz zwischen dem, was ein großer Kunde verlangt, und dem, was der Vertrag vorsieht, den derselbe Kunde unterzeichnet hat.

Diese Distanz ist der Kern des Falls. Ein Unternehmen hat Software eingekauft; ein anderes hat in seine Bedingungen eine Grenze geschrieben, die sich an dem bemisst, was der Kunde in zwölf Monaten dafür bezahlt hat. Der Abstand zwischen den beiden Zahlen ist weder Großzügigkeit noch Härte. Er ist das Ergebnis einer Vertragsarchitektur, die Jahre vor dem Vorfall entworfen wurde und jetzt vor Gericht auf ihre Belastbarkeit geprüft wird.

Die öffentliche Seite der Bedingungen reicht für ein abschließendes Urteil nicht aus. Welche Fassung der Kundebedingungen gilt, welches Order Form, welche ausgehandelte Änderung, welcher Schadensausschluss und welche vertragliche Ausnahme das Verhältnis zu Delta Air Lines regelte — all das lässt sich aus einer Online-Seite allein nicht feststellen. Die Entscheidung hängt an einer ausgeführten Vereinbarung, die in diesem Lauf nicht vorlag.

CrowdStrike hat zugleich Korrekturmaßnahmen angekündigt: strengere Prüfung und Tests für Rapid Response Content, phasenweise beziehungsweise gestaffelte Auslieferung, bessere Überwachung und Alarmierung sowie einen sichereren Umgang des Sensors mit fehlerhaftem Inhalt. In einem eigenen Beitrag zur Modernisierung der Tests für Rapid-Response-Content-Updates beschreibt das Unternehmen zusätzliche Prüfschichten und einen gestaffelten Rollout, der problematische Updates abfangen soll, bevor sie eine breite Kundenbasis erreichen. Das beschreibt Absicht und Konstruktion, nicht nachgewiesene Wirksamkeit: Eine unabhängige Prüfung der neuen Prüf- und Auslieferungskontrollen ist in diesem Lauf nicht auffindbar gewesen.

Der Vorfall blieb außerdem nicht auf einen Kunden beschränkt. Er zog Klagen von Fluggesellschaften und Unternehmenskunden nach sich, die Ersatz für gestörten Geschäftsbetrieb verlangen, wie Reuters berichtete. In jedem dieser Verfahren wiederholt sich dieselbe Frage in unterschiedlicher Form: welche Obergrenze, welcher Ausschluss, welche Fassung des Dokuments.

Damit ist der 19. Juli 2024 für CrowdStrike weniger ein finanzielles Ereignis als ein vertragliches. Der technische Fehler ist eingeräumt und dokumentiert. Die Verteilung des Schadens ist offen. Und die an Gebühren gekoppelte Obergrenze hebt die Haftung nicht auf, sie definiert sie um: Statt „Was hat der Ausfall gekostet?“ lautet die Frage „Wie hoch war das Abonnement in den zwölf Monaten davor?“ Die Antwort darauf steht in einer Akte, nicht in einer Pressemitteilung. Wer den Fall weiterverfolgen will, findet den Unternehmenseintrag im btw.media-Verzeichnis; das entscheidende Dokument bleibt die ausgeführte Vereinbarung.