Am 19. Juli 2024 veröffentlichte das US‑amerikanische Cybersecurity-Unternehmen CrowdStrike ein fehlerhaftes Update für seine Falcon-Sensor-Sicherheits­software, das weltweit zu massiven IT‑Ausfällen führte. Das Update verursachte Abstürze bei etwa 8,5 Millionen Windows-Systemen, was erhebliche Störungen in verschiedenen Branchen verursachte, insbesondere bei Fluggesellschaften, Banken und Krankenhäusern.

Infolge eines Logikfehlers kam es durch das fehlerhaft Update zu einem Absturz und bei einem Neustart des Systems zu einem sog. Bluescreen of Death, wodurch es Nutzern nicht möglich war, das System ordnungsgemäß hochzufahren.¹ Obwohl CrowdStrike schnell reagierte und einen Fix bereitstellte,² mussten viele betroffene Systeme manuell repariert werden. Dies verlängerte den Ausfall teilweise um Tage.

Die finanziellen Schäden wurden auf mindestens USD 10 Milliarden geschätzt.³ Aufsehen­erregend waren insbesondere die Konsequenzen für die US‑amerikanische Airline Delta Air. Dort führte der Ausfall dazu, dass 7.000 Flüge annulliert werden mussten, wovon 1,3 Millionen Passagiere betroffen waren. Den daraus resultierenden Schaden, der auf über USD 500 Millionen beziffert wird, macht Delta Air nun mit einer Klage vor einem Gericht im US‑Bundesstaat Georgia gegen CrowdStrike geltend.⁴

Welche Versicherung könnte Deckung bieten?

Die geltend gemachten Schäden könnten über die Berufs­haftpflicht­versicherung (PI/E&O) oder die Manager-Haftpflicht­versicherung (D&O) von CrowdStrike gedeckt sein. Auch eine Cyberversicherung mit Third-Party-Versicherungs­schutz könnte getriggert werden, sofern CrowdStrike eine solche abge­schlossen hat.

Voraussetzung hierfür ist, dass CrowdStrike für die entstandenen Schäden haftet. Dies ist fraglich, da CrowdStrike die Haftung für Schäden, die durch den Gebrauch der Software in kritischen Umgebungen, die eine Fehlertoleranz von null erfordern, in den Allgemeinen Geschäftsbedingungen ausschließt:⁵

„Alle Produkte, produktbezogene Dienste oder Professional Services (CrowdStrike-Angebote) sowie die CrowdStrike-Tools sind nicht fehlertolerant und wurden nicht für den Einsatz in gefährlichen Umgebungen entwickelt und vorgesehen, in denen eine fehlerfreie Leistung oder Funktionsweise erforderlich ist. Weder die CrowdStrike-Angebote noch die CrowdStrike-Tools sind für den Einsatz in den folgenden Bereichen zugelassen: Flugzeugnavigation, Kernkraftanlagen, Kommunikations­systeme, Waffensysteme, direkte oder indirekte Lebens­erhaltungs­systeme, Waffensysteme, direkte oder indirekte Lebens­erhaltungs­systeme, Flugverkehrskontrolle und jegliche andere Nutzungen oder Anlagen, bei denen ein Ausfall zum Tod, zu schweren Körperverletzungen oder zu Sachschäden führen könnte. Der Kunde stimmt zu, dass es in seiner Verantwortung liegt, die sichere Nutzung der CrowdStrike-Angebote und der CrowdStrike-Tools in derartigen Anwendungen und Installationen sicherzustellen.“⁶

Insbesondere ausgeschlossen ist damit eine Haftung für den Einsatz in der Flugzeugnavigation, in Kommunikations­systemen, in lebenserhaltenden Systemen oder in der Flugsicherung. Krankenhäuser oder die Luftfahrt dürften sich somit nicht auf Programme mit CrowdStrike-Software verlassen.

Daneben besteht die Möglichkeit, dass die Schäden zumindest teilweise auch von den Geschädigten selbst begünstigt wurden, was wiederum zu einer Mithaftung führen würde. So ist es denkbar, dass bspw. eine langsame Reaktion der Geschädigten auf den Ausfall oder veraltete Technologie die Verzögerungen bei der Wiederaufnahme des Betriebs maßgeblich mitverursacht haben.⁷

Haftung nach der EU‑Produkthaftungs­richtlinie?

Die am 18. November 2024 im Amtsblatt der Europäischen Union veröffentlichte neue Produkt­haftungs­richtlinie der EU (RL 2024/2853)⁸ kommt zeitlich zu spät, um Geltung für diesen Fall zu entfalten. Im Übrigen sind hierdurch nur natürliche Personen anspruchsberechtigt. Bemerkenswert ist jedoch, dass nach Art. 4 RL 2024/2853 nun auch Software unter den Produktbegriff im Sinne der Richtlinie fallen soll, und der Anwendungsbereich entsprechende Software-Updates umfasst. Die Richtlinie ist nach Art. 2 Abs. 1 RL 20024/2853 erst ab dem 9. Dezember 2026 anwendbar.

Deckung der Schäden durch Versicherungen der Geschädigten?

Unabhängig davon, ob CrowdStrike selbst oder eine dort vorhandene Versicherung die Schäden übernehmen, besteht die Möglichkeit, dass eine Deckung durch Versicherungen der Geschädigten besteht.

In diesem Zusammenhang ist eine Deckung durch eine selbstständige Cyber­versicherung denkbar. Diese müsste das hier in Rede stehende Ereignis – das fehlerhafte Update von CrowdStrike – decken. Legt man die GDV-Musterbedingungen für die Cyberversicherung (AVB Cyber) zugrunde, dürfte es schon an einem „Eingriff in das informations­verarbeitende System des Versicherungsnehmers“ nach A1‑2.4, 3. Var. AVB Cyber fehlen.⁹ Darunter versteht man Vorfälle der unbefugten Nutzung der IT‑Systeme, z. B. einen Hackerangriff oder auch die Sabotage versicherter IT durch Mitarbeiter. Hierzu gehört auch die Fehlbedienung der Systeme.¹⁰ Werden die Schäden allerdings nicht durch eine Person, sondern unmittelbar durch eine fehlerhafte Software verursacht, ist dies kein Eingriff im Sinne der Bedingungen. Selbst wenn jedoch ein Eingriff angenommen würde, wäre der Unterbrechungs­schaden durch Software­fehler nach den A4‑1.2 lit. d) AVB Cyber ausgeschlossen.¹¹ Der dort ebenfalls normierte Rückausschluss für „relevante Sicherheits­updates“ könnte greifen, sofern das „Sicherheits­update speziell die Sicherheits­lücken jener Software schließen soll, auf die es sich bezieht und wenn es nach den vom VN verwendeten Systemen oder der von ihm verwendeten Software von Bedeutung ist, weil gerade dort eine Sicherheits­lücke besteht oder aufgrund objektiver Anhaltspunkte zu vermuten ist“.¹² CrowdStrike stellt eine Reihe von Sicherheits­softwareprodukten für Unternehmen her, die Computer vor Cyberangriffen schützen sollen, und verteilt hierzu regelmäßig Patches an seine Kunden, damit deren Computer gegen neue Bedrohungen gewappnet sind. Auch Sicherheits­updates sollten zunächst auf Verträglichkeit hin überprüft werden – das ist ein Ausfluss des Patch-Managements nach A1‑16.1 lit. d) AVB Cyber.¹³

Ob der Ausschluss nach A4‑1.2 lit. d) AVB Cyber greift, ist folglich eine Frage, über die zu entscheiden sein wird. Bei der Beantwortung dieser Frage ist zu berücksichtigen, dass die GDV-Muster­bedingungen erst seit etwa einem Jahr (Februar 2024) existieren.¹⁴ Bereits vorher bestehende Versicherungs­verträge haben ggf. abweichende Formulierungen in ihren Bedingungen. Insbesondere größere Unternehmen werden bei den Verhandlungen mit Cyber­versicherern Wert darauf gelegt haben, auch Schäden, die nicht durch Hacker verursacht wurden („non-malicous acts“) – wozu auch fehlerhafte Sicherheits­updates gehören – miteinzubeziehen.¹⁵

Neben der klassischen Cyber­versicherung könnte eine Deckung über eine Betriebs­unterbrechungs­police bestehen. Potenzielle Cyberrisiken können im Rahmen einer herkömmlichen Sachversicherungs­police gedeckt sein, die das Cyberrisiko möglicherweise nicht explizit ausschließt (sog. Silent Cyber).¹⁶ Hier ist jedoch zu bedenken, dass die Erstversicherer die Bedingungen – spätestens nach der Covid-Pandemie – dahingehend konkretisiert haben, dass Voraussetzung für eine Deckung ein Sach­substanz­schaden ist, der Unterbrechungs­schaden also auf einem Sachschaden beruht.¹⁷ Daten stellen jedoch keine Sache dar, weshalb eine Deckung über die Betriebs­unterbrechungs­versicherung ausgeschlossen sein dürfte.¹⁸

Fazit

Ob Schäden, die durch das fehlerhafte Update verursacht wurden, von einer Police gedeckt sind, hängt maßgeblich von der individuellen Ausgestaltung der Verträge ab. So kann eine Cyber­versicherung, die nicht nur auf Angriffe durch Hacker zielt, auch Deckung für Softwarefehler bieten. Dies wird jedoch eher die Ausnahme sein. Auch eine Deckung über Sachversicherungen dürfte nicht gegeben sein.

Ob die Schäden über eine von CrowdStrike abgeschlossene Versicherung ersetzt werden können, hängt entscheidend von der Haftungsfrage ab. Hier hat CrowdStrike einerseits mit dem beschriebenen Haftungs­ausschluss vorgesorgt und andererseits gute Argumente für ein Mitverschulden der Verwender der Software auf seiner Seite.

Fest steht, dass ein solcher Vorfall mit diesen massiven Auswirkungen jederzeit auch durch einen klassischen Cyberangriff ausgelöst werden kann. Führt man sich vor Augen, dass im Juli lediglich 1 % der Systeme, die Microsoft verwenden, betroffen waren, stellt sich die Frage, ob und inwieweit solche Vorfälle überhaupt deckungs­fähig sind.¹⁹