Microsoft entfernt Antivirus aus dem Windows-Kernel nach dem Crowdstrike-Ausfall im Jahr 2024

In einem bahnbrechenden Richtlinienwechsel mit jahrzehntelangen Auswirkungen auf die Cybersicherheit gestaltet Microsoft die Windows-Sicherheit grundlegend neu, indem es Antivirensoftware von Drittanbietern aus dem geschützten Kernel des Betriebssystems entfernt. Der Schritt ist eine direkte und systemische Reaktion auf den katastrophalen globalen IT-Ausfall im Jahr 2024, der durch ein einziges fehlerhaftes Update des Sicherheitsanbieters CrowdStrike ausgelöst wurde und Millionen von Computern zum Stillstand brachte.

Dieses neue Mandat ist die zentrale Säule der „Windows Resiliency Initiative“, einem Programm, das in a detailliert beschrieben wirdBeitrag auf seinem offiziellen Blog. Indem Microsoft Sicherheitsprodukte dazu zwingt, im „Benutzermodus“ wie gängige Anwendungen zu laufen, baut Microsoft eine Firewall zwischen dem Kernbetriebssystem und seinen Sicherheitspartnern auf. Ziel ist es, zu verhindern, dass ein fehlerhafter Treiber jemals wieder den systemweiten „Blue Screen of Death“ (BSOD) verursacht, der die Krise im letzten Jahr definierte. Seit Jahrzehnten wird Sicherheitssoftware umfassender, privilegierter Kernel-Zugriff gewährt, um Bedrohungen effektiv zu überwachen. Microsoft erklärt nun, dass das Risiko dieser Integration den Nutzen überwiegt.

Die Änderung priorisiert die systemweite Stabilität und verändert grundlegend ein Sicherheitsparadigma, das seit Generationen von PC-Benutzern existiert. In einer Erklärung bezeichnete David Weston, Microsofts Vizepräsident für Unternehmens- und Betriebssystemsicherheit, die Änderung als eine unvermeidliche Entwicklung. „Resilienz ist keine Option – sie ist eine strategische Notwendigkeit.“ Diese Initiative läutet eine neue Ära ein, in der Resilienz und nicht nur die Erkennung von Bedrohungen der wichtigste Maßstab für die Sicherheit des weltweit dominierenden Desktop-Betriebssystems ist.

Anatomie einer globalen Kernschmelze

Um die Schwere der Entscheidung von Microsoft zu verstehen, muss man sich die Ereignisse vom 19. Juli 2024 noch einmal vor Augen führen. An diesem Tag löste ein fehlerhaftes Update der weit verbreiteten Falcon-Sicherheitsplattform von CrowdStrike eine Kaskade von Ausfällen auf der ganzen Welt aus. Durch den Ausfall wurden wesentliche Dienste lahmgelegt, die Flotten von Fluggesellschaften mussten am Boden bleiben, der Bankbetrieb wurde unterbrochen und Mediensender wurden zum Schweigen gebracht.

Der Ausfall war besonders schädlich, da die Software von CrowdStrike überwiegend auf geschäftskritischen Servern und Workstations in großen Unternehmen und Regierungsbehörden eingesetzt wird. Das Scheitern dieser hochriskanten Systeme löste einen Dominoeffekt aus, der den weltweiten Geschäftsbetrieb lahmlegte.

Unmittelbar danach bemühte sich CrowdStrike um die Bereitstellung von Patches und die Wiederherstellung des Dienstes für die mehr als 8,5 Millionen betroffenen Geräte. Der CEO des Unternehmens, George Kurtz, gab eine herausÖffentliche Entschuldigung auf LinkedIn, mit der Aussage: „Es tut mir zutiefst leid für die Störungen, die dieser Ausfall verursacht hat, und ich entschuldige mich persönlich bei allen Betroffenen.“ Aber der Schaden war angerichtet und bereitete sowohl die Bühne für eine technische Abrechnung als auch für einen unternehmerischen Feuersturm.

Der Geist im Kernel

Frühe Spekulationen wichen schnell einer präzisen technischen Forensik. Während CrowdStrike zunächst „problematische Inhaltsdaten“ einräumte, ging es tieferPrüfung durch Microsoftwies auf einen grundlegenderen Fehler hin. Die Untersuchung, die Windows-Absturz-Dump-Berichte nutzte, ergab einen kritischen Speichersicherheitsfehler – eine „Lese-Out-of-Bounds-Zugriffsverletzung“ – im Kernel-Modus-Treiber von CrowdStrike.CSagent.sys. Kernel-Treiber arbeiten mit den höchsten Privilegien im Herzen des Betriebssystems, was bedeutet, dass jeder Fehler katastrophale Folgen haben kann.

CrowdStrikes eigene FolgeUrsachenanalyselieferte das letzte, detaillierte Detail: eine einfache Codierungsinkongruenz. Eine Komponente im Treiber war so konzipiert, dass sie 21 Dateneingaben erwartete, durch ein Update wurden jedoch nur 20 bereitgestellt, was dazu führte, dass der Treiber versuchte, von einem ungültigen Speicherort zu lesen, was sofort zum Absturz des gesamten Systems führte.

Dieser Vorfall hat zu einer schwierigen Diskussion über den Kompromiss zwischen Sicherheit und Stabilität geführt. Während das neue Mandat von Microsoft weithin angenommen wird, haben einige Sicherheitsexperten Vorsicht geäußert. Sie argumentieren, dass der Wechsel in den Benutzermodus zwar die Stabilität verbessert, aber möglicherweise die tiefe Transparenz verringert, die der Kernel-Zugriff für die Erkennung hochentwickelter Bedrohungen der nächsten Generation bietet. Im Jahr 2024 äußerte das Sicherheitsunternehmen ESET diese Bedenken und erklärte: „Es bleibt unbedingt erforderlich, dass der Kernel-Zugriff eine Option für die Nutzung durch Cybersicherheitsprodukte bleibt.“

Erfahren Sie mehr:Kernel-Panic-Fehler, wenn der Mac ständig neu startet und nicht bootet

Fallout: Billions Lost und Fingers Pointing

Die finanziellen und rufschädigenden Folgen des Ausfalls waren immens und wirken sich weiterhin auf die Technologie- und Versicherungsbranche aus. Der Kostenvoranschlag eines Versicherers ergabDie Gesamtverluste für Fortune-500-Unternehmen belaufen sich auf unglaubliche 5,4 Milliarden US-Dollar, laut einem Bericht von Axios.

Der Vorfall löste auch eine erbitterte und sehr öffentliche Unternehmensfehde aus. Microsoft kritisierte in einem Brief offen die anhaltende Erholung von Delta Air Lines und machte die „veralteten IT-Systeme“ der Fluggesellschaft sowie die Abhängigkeit von der Technologie von IBM und Amazon dafür verantwortlich. Der CEO von Delta, Ed Bastian, wehrte sich energischInterview mit CNBC. Während er sowohl von Microsoft als auch von CrowdStrike Schadensersatz forderte, stellte er die Stabilität der Microsoft-eigenen Plattform mit einem scharfen Widerhaken in Frage, der in der gesamten Branche Anklang fand: „Wann haben Sie das letzte Mal von einem großen Ausfall bei Apple gehört?“

Über die unmittelbaren finanziellen Verluste hinaus hat das Ereignis eine strategische Neubewertung des systemischen Risikos erzwungen. Die Cyber-Versicherungsbranche achtet genau auf die neuen Ausfallsicherheitsstandards von Microsoft. Die Einhaltung von Kernel-Isolationsvorschriften könnte zu einem wichtigen Faktor bei der Erstellung von Richtlinien und der Festlegung von Prämien für große Unternehmen werden und einen technischen Standard in eine finanzielle Notwendigkeit verwandeln.

Ein neues Mandat für eine widerstandsfähigere Zukunft

Fast ein Jahr nach der Krise stellt die Kernel-Eviction-Richtlinie von Microsoft eine dauerhafte Lösung dar, die aus einer schmerzhaften Lektion hervorgegangen ist. Bei dem Schritt handelt es sich nicht nur um einen Patch, sondern um eine neue Designphilosophie für das gesamte Windows-Ökosystem.

Entscheidend ist, dass die Initiative breite öffentliche Unterstützung von wichtigen Branchenakteuren erhalten hat, darunter auch von dem Unternehmen, das im Mittelpunkt des ursprünglichen Vorfalls stand. CrowdStrike hat den Wandel in einem bemerkenswerten Zeichen der Branchenkoordination angenommen.

Alex Ionescu, der Chief Technology Innovation Officer des Unternehmens, bekräftigte seine Kooperation bei der Ankündigung von Microsoft und erklärte, dass CrowdStrike „sich voll und ganz der Entwicklung eines plattformfähigen Produkts verschrieben hat“ und die neuen Funktionen bei ihrer Veröffentlichung nutzen werde. Diese Zusammenarbeit, zusammen mit der Unterstützung anderer großer Anbieter wie Bitdefender und ESET, signalisiert eine einheitliche Front bei der Einführung eines widerstandsfähigeren Modells und schließt das Kapitel einer Krise ab, die die tiefe Fragilität unserer vernetzten digitalen Welt offengelegt hat.