CrowdStrike & Co.: Wenn Sicherheitssoftware zum Compliance-Risiko wird

Cyberangriffe nehmen zu, NIS-2 verschärft die Anforderungen an Unternehmen und IT-Abteilungen rüsten technisch auf. EDR- und XDR-Lösungen wie CrowdStrike Falcon, Microsoft Defender oder SentinelOne sollen Angriffe möglichst früh erkennen und eindämmen.

Für die Geschäftsleitung klingt die Entscheidung häufig zunächst einfach: Die IT empfiehlt eine etablierte Sicherheitslösung, der Anbieter ist auf Cybersecurity spezialisiert und das Produkt soll das Unternehmen sicherer machen. Aber ganz so einfach ist es nicht.

Moderne Sicherheitssoftware erhält regelmäßig weitreichende Zugriffsrechte auf die IT-Infrastruktur. Sie überwacht Endgeräte und Prozesse, verarbeitet Telemetriedaten, erhält Updates und kann – abhängig von Produkt und Konfiguration – Prozesse blockieren oder Systeme isolieren. Damit reduziert die Software einerseits Cyberrisiken. Andererseits entsteht durch ihren Einsatz eine neue technische und wirtschaftliche Abhängigkeit.

Die praktische Frage für Geschäftsführer lautet deshalb: Was sollte ich prüfen, bevor ich eine solche Sicherheitslösung freigebe?

1. Was passiert, wenn die Sicherheitssoftware selbst ausfällt?

Diese Frage wird bei der Beschaffung leicht übersehen. Wie relevant sie ist, zeigte der 19. Juli 2024. Ein fehlerhaftes CrowdStrike-Update führte weltweit zum Ausfall von rund 8,5 Millionen Windows-Systemen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellte hierzu fest, es habe sich nicht um einen Cyberangriff, sondern um „mangelnde Qualitätssicherung des Herstellers“ gehandelt. Im Anschluss vereinbarte das BSI mit CrowdStrike Maßnahmen, die unter anderem die Betriebsstabilität bei kurzfristig notwendigen Softwareupdates verbessern sollten.[1] Für einen Geschäftsführer ist dabei weniger interessant, wer den Programmierfehler verursacht hat. Entscheidend ist:

Was würde ein vergleichbarer Fehler bei uns auslösen?

Fallen einzelne Arbeitsplätze für einige Stunden aus oder steht die Produktion? Sind Kassensysteme, Logistik, Kommunikation oder Kundenportale betroffen? Wie schnell lassen sich Systeme wiederherstellen? Gibt es Backups, Rollback-Möglichkeiten oder ausreichend unabhängige Systeme? Diese Fragen gehören jedenfalls bei Unternehmen, die als besonders wichtige oder wichtige Einrichtungen dem BSIG unterfallen, zum Cyberrisikomanagement.

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Das Gesetz nennt ausdrücklich unter anderem Business Continuity einschließlich Backup und Wiederherstellung, die Sicherheit der Lieferkette sowie Sicherheitsmaßnahmen beim Erwerb, bei der Entwicklung und bei der Wartung von IT-Systemen.[2] Voigt und Schmalenberger weisen hierzu darauf hin, dass das neue BSIG auf die Resilienz der gesamten Wertschöpfungskette zielt. Lieferantenbeziehungen, Anforderungen an Updates, Wiederherstellung und Redundanzen können damit Teil des Risikomanagements werden.[3] Das bedeutet nicht, dass jedes Unternehmen jedes Update vorab selbst testen muss. Es sollte aber wissen, was passiert, wenn ein Update schiefgeht.

2. Was übernimmt der Anbieter – und welches Risiko bleibt bei uns?

Hier lohnt sich ein Blick in den Vertrag und nicht nur in die Produktpräsentation. Die aktuellen CrowdStrike-Geschäftsbedingungen sind dafür ein gutes Beispiel. Sie enthalten entgegen gelegentlich geäußerter Behauptungen kein allgemeines Verbot des Einsatzes in kritischen Infrastrukturen. Sie enthalten aber Regelungen, die für die Risikoentscheidung eines Unternehmens durchaus interessant sind.

CrowdStrike übernimmt nach Ziff. 8.5 seiner Geschäftsbedingungen keine Gewähr dafür, dass die Systeme fehlerfrei oder unterbrechungsfrei funktionieren. Die CrowdStrike-Tools werden zudem als nicht fehlertolerant bezeichnet und sind nach den Bedingungen nicht für bestimmte Anwendungen vorgesehen, bei denen ein Ausfall besonders schwerwiegende Folgen haben kann. Genannt werden unter anderem Flugzeugnavigation, Nuklearanlagen, Kommunikations- und Waffensysteme, Lebenserhaltungssysteme und Flugsicherung. Die Verantwortung für einen sicheren Einsatz in entsprechenden Anwendungen wird dem Kunden zugewiesen.[4] Hinzu kommen Haftungsbeschränkungen. Ziff. 10 erfasst – soweit nach dem anwendbaren Recht zulässig – unter anderem Betriebsunterbrechungen, entgangene Geschäftsmöglichkeiten und verlorene Daten.[4]

Ob und in welchem Umfang solche Klauseln gegenüber einem deutschen Unternehmenskunden wirksam sind, ist eine eigene vertragsrechtliche Frage. Vorformulierte Vertragsbedingungen unterliegen auch im unternehmerischen Geschäftsverkehr insbesondere der Inhaltskontrolle nach § 307 BGB. Eine abschließende AGB-rechtliche Bewertung der CrowdStrike-Klauseln ist hier weder erforderlich noch beabsichtigt.

Für die Geschäftsleitung ist zunächst eine andere Erkenntnis wichtiger:

Ein Risiko verschwindet nicht dadurch, dass der Hersteller dafür vertraglich nicht oder nur begrenzt einstehen will.

Wenn ein Ausfall der Sicherheitssoftware erhebliche wirtschaftliche Schäden verursachen kann, die vertragliche Risikoverteilung dieses Szenario aber nicht oder nur teilweise abdeckt, verbleibt ein wirtschaftliches Risiko beim Unternehmen. Und genau deshalb gehören Vertrag und technische Risikobewertung zusammen. Auch in der IT-sicherheitsrechtlichen Literatur wird die Vertragsgestaltung als Bestandteil eines wirksamen Cyberrisikomanagements hervorgehoben. Pour Rafsendjani betont die Bedeutung vertraglicher Absicherungen und eines vertraglich abgesicherten Cyberrisikomanagements aus Sicht der Unternehmensleitung.[5] § 30 BSIG schreibt damit nicht bestimmte Haftungsklauseln für Security-Anbieter vor. Die Vertragsbedingungen können aber sichtbar machen, welche Risiken beim Unternehmen verbleiben und deshalb technisch, organisatorisch oder wirtschaftlich beherrscht werden müssen.

3. Welche Rechte bekommt die Sicherheitssoftware in unserem System?

Die nächste Frage sollte sich die Geschäftsleitung von ihrer IT erklären lassen. Eine moderne Endpoint-Security-Lösung ist kein gewöhnliches Office-Programm. Damit sie Angriffe erkennen kann, muss sie Vorgänge auf den geschützten Systemen beobachten und gegebenenfalls eingreifen können. Deshalb sollte zumindest nachvollziehbar dokumentiert sein, auf welchen Systemen die Lösung installiert wird, welche Rechte sie erhält, welche Systeme besonders kritisch sind und welche Eingriffsmöglichkeiten die Software bzw. die Plattform besitzt.

Ein Geschäftsführer muss dafür weder Quellcode lesen noch die technische Architektur eines EDR-Systems im Detail verstehen. Er sollte aber eine verständliche Antwort auf die Frage bekommen:

Was kann diese Software in unserem Netz – und was passiert im schlimmsten Fall, wenn sie fehlerhaft arbeitet?

Das neue BSIG verlangt dabei nicht, dass Unternehmen die Software ihres Security-Anbieters selbst auf Programmfehler untersuchen. Auch aus den Pflichten zum Cyberrisikomanagement lässt sich keine allgemeine Verpflichtung ableiten, eingesetzte Drittsoftware selbst zu dekompilieren oder aktiv auf Sicherheitslücken zu untersuchen.[6] Entscheidend ist vielmehr eine angemessene Risikobewertung.

4. Welche Daten verlassen unser Unternehmen?

Bei Security-Software kommt eine weitere Besonderheit hinzu. EDR- und XDR-Systeme können umfangreiche Telemetriedaten aus den überwachten Systemen verarbeiten. In der Datenschutzanlage zu den CrowdStrike-Bedingungen werden beispielsweise Informationen über Dateiausführungen, Befehle, Ressourcen, Netzwerk-Telemetrie und ausführbare Binärdateien angesprochen. Die Bedingungen gehen selbst davon aus, dass die erfassten Informationen möglicherweise personenbezogene Daten enthalten können.[4]

Damit wird aus der IT-Sicherheitsentscheidung zugleich eine Datenschutzentscheidung. Weitere Informationen zu unseren Beratungsleistungen im Datenschutz und zur IT-Sicherheit finden Sie hier. Zu klären ist insbesondere: Welche Daten werden erhoben? Welche davon werden an den Anbieter übermittelt? Wo werden sie verarbeitet? Welche weiteren Dienstleister sind beteiligt? Besteht eine Auftragsverarbeitung? Erfolgt eine Drittstaatenübermittlung? Art. 32 DSGVO verlangt dabei keine absolute Sicherheit. Der EuGH hat klargestellt, dass selbst ein erfolgreicher Cyberangriff nicht automatisch beweist, dass die Sicherheitsmaßnahmen eines Unternehmens unzureichend waren. Entscheidend ist, ob die Maßnahmen angesichts der konkreten Risiken angemessen waren. Der Verantwortliche muss die Geeignetheit seiner Maßnahmen im Streitfall darlegen können.[7]

Auch datenschutzrechtlich reicht deshalb die Begründung „Wir verwenden ein marktführendes Security-Produkt“ allein nicht aus.

5. Wie beherrschen wir das Update-Risiko?

Sicherheitssoftware muss aktuell gehalten werden. Gerade bei neu entdeckten Angriffsmethoden und Schwachstellen kann eine schnelle Aktualisierung entscheidend sein. Gleichzeitig hat der CrowdStrike-Vorfall gezeigt, welche Auswirkungen ein fehlerhaftes Update bei einer Software mit weitreichenden Systemrechten haben kann. Daraus folgt keine allgemeine rechtliche Regel, wonach jedes Security-Update zunächst vom Kunden in einer eigenen Testumgebung geprüft werden müsste.

Die praktisch wichtigere Frage lautet:

Wie beherrschen wir das Risiko eines fehlerhaften Updates?

Je nach Kritikalität der Systeme können beispielsweise gestaffelte Rollouts, Testgruppen, Rollback-Möglichkeiten, Backups, Wiederanlaufkonzepte oder technische Redundanzen in Betracht kommen. Welche Maßnahmen erforderlich und verhältnismäßig sind, hängt vom konkreten Unternehmen und dessen Risikoexposition ab. Ein Produktionsbetrieb mit hochverfügbaren Steuerungssystemen muss die Frage anders beantworten als ein kleines Dienstleistungsunternehmen, bei dem vorübergehend einzelne Arbeitsplatzrechner ausfallen können. Gerade diese Risikoorientierung entspricht der Systematik des § 30 BSIG.[2][3]

6. Wie kommen wir wieder heraus?

Eine weitere Frage wird bei der Einführung neuer Software regelmäßig erst gestellt, wenn es zu spät ist:

Wie werden wir sie wieder los?

Bei einer tief integrierten Security-Lösung ist das besonders wichtig. Unternehmen sollten bereits bei der Beschaffung wissen, wie die Software deaktiviert oder entfernt werden kann, was bei einem Anbieterwechsel geschieht, wie lange ein Wechsel dauern würde und wie währenddessen ein angemessenes Sicherheitsniveau gewährleistet werden kann. Auch das ist nicht nur eine Vertragsfrage. Je kritischer eine Lösung für den Geschäftsbetrieb wird, desto wichtiger werden Anbieterabhängigkeit, Exit-Möglichkeiten und Wiederanlauffähigkeit für die betriebliche Resilienz.

7. Was davon gehört auf den Tisch der Geschäftsleitung?

Nicht jeder Softwarevertrag muss vom Geschäftsführer persönlich geprüft werden. Für Unternehmen im Anwendungsbereich des neuen BSIG ist die grundsätzliche Verantwortungsverteilung aber deutlich: Nach § 38 BSIG müssen die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und deren Umsetzung überwachen.[8] Die technische Umsetzung kann an IT-Abteilung, CISO oder externe Dienstleister delegiert werden. Die organisatorische Verantwortung der Geschäftsleitung verschwindet dadurch nicht.

Voigt und Schmalenberger sprechen deshalb davon, dass IT-Sicherheit durch § 38 BSIG endgültig zur „Chefsache“ geworden ist. Das bedeutet nicht, dass ein Geschäftsführer die Arbeit seines CISO übernehmen muss. Er muss aber die wesentlichen Risiken und deren mögliche Auswirkungen auf das Unternehmen verstehen und sich davon überzeugen können, dass angemessen mit ihnen umgegangen wird.[3] Für eine geschäftskritische Security-Lösung sollte die Entscheidung deshalb nicht bei der Aussage enden:

„Die IT empfiehlt CrowdStrike.“

Zur Entscheidung gehören auch die Fragen: Welches Risiko soll die Lösung reduzieren? Welche neuen Abhängigkeiten schafft sie? Welche Risiken verbleiben aufgrund der Vertragsbedingungen bei uns? Was passiert bei einem fehlerhaften Update? Wie schnell können wir den Betrieb wiederherstellen? Und können wir später nachvollziehen, warum wir uns für diese Lösung und diese Absicherung entschieden haben?

Der 7-Punkte-Check vor der Freigabe

Für die Praxis lässt sich die Prüfung auf sieben Punkte verdichten:

1. Kritikalität: Welche Systeme schützt die Software und was passiert, wenn sie selbst ausfällt?
2. Berechtigungen: Wie tief greift die Lösung in unsere Systeme ein?
3. Updates: Wie werden Updates verteilt und welche Möglichkeiten bestehen bei einem fehlerhaften Update?
4. Wiederanlauf: Können wir betroffene Systeme kurzfristig wiederherstellen?
5. Vertrag: Welche Risiken übernimmt der Anbieter und welche verbleiben bei uns?
6. Daten: Welche Unternehmens- und personenbezogenen Daten erhält der Anbieter und wo werden sie verarbeitet?
7. Exit: Können wir die Lösung kontrolliert deaktivieren, ersetzen und zu einem anderen Anbieter wechseln?

Nicht jede dieser Fragen verlangt ein Gutachten. Häufig reichen belastbare Antworten der IT, eine Prüfung der wesentlichen Vertragsbedingungen und eine kurze dokumentierte Risikobewertung. Bei besonders kritischen Systemen oder Unternehmen im Anwendungsbereich des BSIG sollte die Prüfung entsprechend tiefer gehen.

Praxishilfe: Management-Check IT-Sicherheitssoftware

Wir haben die wesentlichen Prüfpunkte in einem kompakten Management-Check zusammengefasst. Die Checkliste unterstützt Geschäftsführung, IT und Datenschutz bei der strukturierten Prüfung geschäftskritischer IT-Sicherheitssoftware – von Anbieter und Vertrag über Updates und Ausfallvorsorge bis zu Datenschutz, Dokumentation und Exit.

Management-Check kostenfrei per E-Mail anfordern

Fazit: Nicht nur fragen, wie gut die Software schützt

Der CrowdStrike-Vorfall hat nicht gezeigt, dass Unternehmen auf moderne Endpoint-Security verzichten sollten. Solche Lösungen können ein wesentlicher Bestandteil eines zeitgemäßen IT-Sicherheitskonzepts sein.

Er hat etwas anderes gezeigt: Auch ein Produkt, das ein Unternehmen sicherer machen soll, kann selbst zum Auslöser eines erheblichen Betriebsrisikos werden.

NIS-2 und das neue BSIG verstärken deshalb eine Entwicklung, die ohnehin sinnvoll ist. Security-Software sollte nicht isoliert von IT-Abteilung oder Einkauf beschafft werden. Bei geschäftskritischen Lösungen gehören technische Schutzwirkung, Anbieterabhängigkeit, Update- und Ausfallrisiken, Vertragsbedingungen und Datenschutz in eine gemeinsame Risikoentscheidung.

Für Geschäftsführer lässt sich die Prüfung auf eine einfache Frage verdichten:

Was passiert mit unserem Unternehmen, wenn genau die Software ausfällt, die uns eigentlich schützen soll?

Wer darauf vor der Beschaffung eine belastbare Antwort hat, ist technisch und rechtlich einen erheblichen Schritt weiter. Solche technologie-, vertrags- und compliancerechtlichen Entscheidungen begleiten wir im Rahmen unserer Smarten Rechtsabteilung auch laufend für Unternehmen.

---

Quellen und weiterführende Literatur

[1] Bundesamt für Sicherheit in der Informationstechnik (BSI), Die Lage der IT-Sicherheit in Deutschland 2024, zum CrowdStrike-Vorfall vom 19. Juli 2024.

[2] § 30 Abs. 1 und 2 BSIG, insbesondere zu Risikomanagementmaßnahmen, Business Continuity, Lieferkettensicherheit sowie Erwerb, Entwicklung und Wartung von IT-Systemen.

[3] Voigt/Schmalenberger, Das BSI-Gesetz nach der NIS-2-Umsetzung – Überblick für die Praxis. Von der KRITIS-Regulierung zum umfassenden Cybersicherheitsrecht, CR 2026, 17 ff.

[4] CrowdStrike, CrowdStrike-Geschäftsbedingungen, insbesondere Ziff. 8.5 und 10 sowie Anlage A – Anlage für Datensicherheit und Datenschutz.

[5] Pour Rafsendjani, in: Hornung/Schallbruch, IT-Sicherheitsrecht, 2. Aufl. 2025, § 9, insbesondere Rn. 162 ff., 170 f., 218 ff.

[6] Schuster, Die Suche nach Sicherheitslücken bei Software und das Urheberrecht – Darf ein Kunde Software dekompilieren, um Sicherheitsmängel aufzudecken?, CR 2026, 561 ff.

[7] EuGH, Urt. v. 14.12.2023 – C-340/21, ECLI:EU:C:2023:986, zu Art. 24, 32 und 82 DSGVO.

[8] § 38 BSIG, insbesondere zur Umsetzungs- und Überwachungsverantwortung der Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen.