Am 19. Juli 2024 ging an vielen Orten nichts mehr. Rechner stürzten ab. Viele starteten nicht mehr. Der Grund war kein Angriff. Es war ein Update.
Ein fehlerhaftes Update einer Sicherheitssoftware des Herstellers CrowdStrike brachte nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) geschätzt 8,5 Millionen Windows-Geräte weltweit zum Absturz. Nach ersten Schätzungen war von Versicherungsschäden in Höhe von 1,5 Milliarden Dollar die Rede.
Vier Wochen später ist der Vorfall aus den Schlagzeilen. Die Lehre daraus sollte es nicht sein. Denn sie betrifft nicht nur Unternehmen. Sie betrifft deine Notfallliquidität. Also das Geld, an das du herankommst, wenn Systeme ausfallen. Das ist eine Kernfrage der Krisenvorsorge für dein Vermögen.
Was das BSI jetzt verlangt
Das BSI hat am 29. Juli 2024 einen Katalog von Folgemaßnahmen vorgelegt. Er ist in drei Stufen gegliedert.
Bis spätestens 15. August 2024 sollte die Betroffenheit in Deutschland analysiert werden. Laut CrowdStrike waren mit Stand 25. Juli bereits 97 Prozent aller Systeme mit Windows-Sensoren wieder online.
Bis spätestens 30. September 2024 will das BSI den abschließenden Ursachenbericht auswerten und das Testkonzept des Herstellers prüfen. Dazu gehört auch, Organisationen für die grundsätzlichen Betriebsrisiken zu sensibilisieren. Und es geht um die Schaffung ausreichender betrieblicher Redundanzen für kritische Einsatzszenarien.
Bis spätestens 31. Dezember 2024 soll eine Zusammenarbeit mit CrowdStrike und Microsoft stehen. Das Ziel: Ein System soll auch bei schweren Fehlern mindestens in einem eingeschränkten Modus starten können.
Langfristig will das BSI Sicherheitskomponenten, die weniger tief in das Betriebssystem eingreifen. So sollen die Folgen künftiger Softwarefehler kleiner werden.
Am 8. August starteten BSI und der Digitalverband Bitkom außerdem eine Umfrage unter betroffenen Unternehmen. Sie läuft bis zum 21. August. Bitkom-Präsident Ralf Wintergerst sagte dazu: „Unternehmen brauchen Notfallpläne, müssen redundante Systeme aufbauen und regelmäßig Backups anlegen.“
Das Stichwort heißt Redundanz
Schau dir die Maßnahmen genau an. Ein Wort taucht immer wieder auf, direkt oder indirekt: Redundanz. Ein zweiter Weg, wenn der erste ausfällt.
Das BSI verlangt ihn für Organisationen und ihre kritischen Einsatzszenarien. Der Bitkom-Präsident verlangt ihn für die Wirtschaft. Die Frage ist: Hast du ihn für dein eigenes Geld?
Prüf deine eigene Aufstellung. Oft sieht sie so aus: ein Girokonto, eine Karte, vielleicht eine zweite Karte bei derselben Bank. Alles läuft über dieselbe Kette aus Software, Netzen und Rechenzentren. Wenn ein Glied reißt, reißt alles.
Der 19. Juli hat gezeigt, wie schnell das gehen kann. Ein einziges Update. Kein Angriff, kein Krieg, keine Naturkatastrophe. Nur ein fehlerhaftes Update, das auf Millionen Rechnern gleichzeitig ankam.
Wie abhängig du vom Kartensystem bist
Die Bundesbank hat am 1. Juli 2024 ihre neue Studie zum Zahlungsverhalten in Deutschland vorgestellt. Sie beruht auf einer Befragung aus dem Herbst 2023.
Die Ergebnisse zeigen einen klaren Trend. Bargeld wurde noch bei 51 Prozent aller Transaktionen genutzt. Zwei Jahre zuvor waren es 58 Prozent. Die Debitkarte kam auf 27 Prozent der Bezahlvorgänge.
Beim Umsatz ist das Bild schon umgekehrt. Die Debitkarte lag bei 32 Prozent der Ausgaben, Bargeld bei 26 Prozent.
Und noch eine Zahl ist wichtig. 15 Prozent der Befragten fanden es ziemlich oder sehr schwierig, zu einem Geldautomaten oder Bankschalter zu kommen. 2021 waren es 6 Prozent.
Das heißt: Der Alltag hängt immer stärker an Systemen, die du nicht kontrollierst. Und der Weg zum Bargeld wird länger. Beides zusammen macht dich im Ausfall verwundbarer als noch vor wenigen Jahren.
Was der Gesetzgeber selbst schon einplant
Hier wird es interessant. Die EU hat am 31. Mai 2024 eine neue Verordnung gegen Geldwäsche beschlossen. Veröffentlicht wurde sie am 19. Juni 2024 als Verordnung (EU) 2024/1624.
Sie enthält eine EU-weite Obergrenze für Barzahlungen. Händler und Dienstleister dürfen Barzahlungen nur noch bis 10.000 Euro annehmen oder leisten. Die Mitgliedstaaten dürfen niedrigere Grenzen festlegen. Die Verordnung gilt ab dem 10. Juli 2027.
Bemerkenswert ist ein Absatz in derselben Vorschrift. Er regelt den Fall, dass unbares Geld aufgrund höherer Gewalt auf nationaler Ebene nicht mehr als Zahlungsmittel verfügbar ist. Dann darf ein Mitgliedstaat die Obergrenze vorübergehend aussetzen. Er muss die Kommission aber sofort unterrichten. Und hält die Kommission die Aussetzung nicht für gerechtfertigt, kann sie die sofortige Aufhebung verlangen.
Lies das zweimal. Der Gesetzgeber rechnet selbst damit, dass elektronisches Geld ausfallen kann. Und er behält sich trotzdem vor, zu entscheiden, wie viel Bargeld du dann einsetzen darf. Die Entscheidung darüber liegt nicht bei dir. Sie liegt bei deinem Staat, und am Ende bei der Kommission in Brüssel.
Eine Befugnis, die im Gesetz steht, kann jederzeit genutzt werden.
Auch die Ausweichwege werden enger
Dieselbe Verordnung schließt noch eine zweite Tür. Kreditinstitute dürfen danach keine anonymen Schließfächer mehr führen, ebenso wenig anonyme Konten oder anonyme Sparbücher. Bei bestehenden anonymen Schließfächern müssen die Institute vor jeder weiteren Nutzung Inhaber und Begünstigte prüfen. So steht es in Artikel 79 der Verordnung (EU) 2024/1624.
Für sich genommen ist jede dieser Regeln begründbar. Zusammen ergeben sie ein Bild. Bargeld wird im Alltag seltener, der Weg zum Automaten länger, große Barzahlungen werden gedeckelt, und auch das Schließfach wird vollständig einer Person zugeordnet. Jeder Schritt verlagert ein Stück Kontrolle vom Bürger zum System.
Das ist genau die Richtung, in der ein Ausfall wie am 19. Juli am meisten weh tut. Je weniger Wege außerhalb des Systems bleiben, desto härter trifft dich jede Störung im System. Ob sie technisch ist oder politisch, spielt für dein Konto keine Rolle.
Was Notfallliquidität für dich heißt
Übertrag die Logik des BSI auf dein Privatvermögen. Dann ergeben sich vier Ebenen.
Bargeld zu Hause
Ein Vorrat an Bargeld ist die einfachste Form von Redundanz. Er braucht keinen Strom, kein Netz und keine Software. Er funktioniert auch, wenn das Kassenterminal ausfällt.
Wie viel sinnvoll ist, hängt von deinem Haushalt ab. Rechne mit den laufenden Ausgaben, die du ohne Karte bestreiten müsstest, und zwar nicht nur für einen Tag. Halte kleine Scheine bereit, damit du auch ohne Wechselgeld zahlen kannst.
Konten bei mehr als einer Bank
Eine zweite Bank ist nur dann eine echte Reserve, wenn sie nicht an denselben Systemen hängt wie die erste. Und ab einer gewissen Höhe zählt auch die Einlagensicherung. Sie schützt in Deutschland 100.000 Euro je Kunde und Bank. Was darüber liegt, ist gesetzlich nicht abgesichert.
Ein Zugriffsweg außerhalb der EU
Die dritte Ebene ist die wichtigste für größere Vermögen. Ein Konto außerhalb der EU hängt nicht an denselben Rechenzentren, nicht an derselben Aufsicht und nicht an denselben Notfallregeln wie dein Konto zu Hause. Fällt das heimische System aus, oder wird es politisch eingeschränkt, bleibt dir ein zweiter Weg.
Welche Jurisdiktionen dafür infrage kommen und worin sie sich unterscheiden, zeigen wir unter Nicht-EU-Bankkonten. Entscheidend ist nicht das exotischste Land. Entscheidend ist, dass du den Zugang schon hast, bevor du ihn brauchst.
Zugänge, die ohne deinen Rechner funktionieren
Eine Lücke fällt erst im Ausfall auf. Viele Konten lassen sich heute nur noch über eine App oder einen bestimmten Rechner freigeben. Die Bestätigung kommt auf das Handy, die Zugangsdaten liegen im Passwortspeicher.
Was passiert, wenn genau dieses Gerät nicht startet? Oder wenn der Dienst dahinter ausfällt? Dann hast du zwar Geld, aber keinen Schlüssel.
Deshalb gehört zur Notfallliquidität auch eine Liste auf Papier. Welche Konten es gibt, bei welcher Bank, mit welcher Telefonnummer für den Notfall. Welche Vollmachten bestehen. Wo ein zweites Gerät für die Freigabe liegt. Sicher verwahrt, aber erreichbar. Das kostet einen Nachmittag und erspart dir im Ernstfall Tage.
Wenn du ein Unternehmen führst
Für Unternehmer kommt eine Ebene hinzu. Löhne, Lieferanten und Steuern laufen über das Firmenkonto. Fällt der Zugriff darauf aus, steht nicht nur dein Privatleben still, sondern dein Betrieb.
Die Frage ist dieselbe wie im Privaten, nur mit größeren Beträgen. Gibt es ein zweites Geschäftskonto, das an einem anderen System hängt? Und wer darf darüber verfügen, wenn du selbst nicht erreichbar bist? Ein Notfallplan, den nur du bedienen kannst, ist kein Notfallplan. Er ist ein Einzelrisiko mit schönem Namen.
Physische Werte außerhalb des Bankensystems
Die vierte Ebene ist die langsamste, aber die robusteste. Physisches Metall braucht keine Software. Es braucht keine Bank, solange es nicht bei einer Bank liegt. Es ist nicht für die ersten Tage eines Ausfalls gedacht. Es ist für den Fall gedacht, dass ein Ausfall zur Dauerkrise wird. Wie du Gold und Silber so hältst, dass du im Ernstfall darüber verfügen kannst, beschreiben wir im Bereich Edelmetalle.
Warum ein technischer Fehler ein Vermögensthema ist
Der 19. Juli war ein IT-Problem. Nach ein paar Tagen lief alles wieder. Und doch betrifft er dein Vermögen.
Denn der Fehler hat die Struktur sichtbar gemacht. Eine Handvoll Hersteller sitzt mit ihrer Software tief in Millionen Rechnern. Banken, Flughäfen, Krankenhäuser, Behörden. Das BSI selbst will genau das ändern. Es will Komponenten, die weniger tiefgreifende Eingriffsrechte in die Betriebssysteme brauchen. Das zeigt: Die heutige Architektur ist zu zentral.
Dein Geld liegt in derselben Architektur. Es ist heute fast vollständig digital. Es wird von wenigen Instituten verwaltet, über wenige Netze bewegt und von wenigen Behörden beaufsichtigt. Jede dieser Stellen ist ein Punkt, an dem etwas schiefgehen kann. Technisch oder politisch.
Konzentration ist bequem, bis sie ausfällt. Dann ist sie das Problem.
Unternehmen lernen das gerade auf die harte Tour. Sie sollen Notfallpläne schreiben, Backups anlegen und Ausweichsysteme bereithalten. Für dein privates Vermögen gilt nichts anderes. Nur schreibt dir niemand vor, es zu tun. Und niemand prüft, ob du es getan hast.
Die Zeitachse des BSI zeigt, wie lange so etwas nachwirkt. Der Ausfall kam am 19. Juli. Sechs Tage später, am 25. Juli, waren laut CrowdStrike 97 Prozent der Systeme mit Windows-Sensoren wieder online. Die Analyse der Betroffenheit in Deutschland war bis zum 15. August angesetzt, die Auswertung des Ursachenberichts läuft bis zum 30. September, die Zusammenarbeit mit CrowdStrike und Microsoft für einen eingeschränkten Startmodus bis zum 31. Dezember 2024. Der Fehler selbst war nach ein paar Tagen behoben. Die Antwort darauf braucht mehr als fünf Monate. Die Reserve, die im Ausfall hilft, muss also vorher stehen. Für dein Geld heißt das: Bargeld zu Hause, ein zweites Konto an einem anderen System, ein Zugriffsweg außerhalb der EU und physisches Metall richtest du ein, solange alles läuft, und nicht erst, wenn die Karte am Terminal abgelehnt wird.
Die drei Fragen für deine Notfallliquidität
Stell dir drei Fragen. Ehrlich, ohne Zahlen im Kopf zu schönen.
- Wenn morgen früh kein Kartenzahlungssystem in Deutschland funktioniert: Wie lange kommst du mit dem aus, was du zu Hause hast?
- Wenn deine Hausbank für eine Woche keinen Zugriff erlaubt: Welches andere Konto kannst du sofort nutzen, und hängt es an einem anderen System?
- Wenn sich die Krise über Monate zieht: Welcher Teil deines Vermögens liegt außerhalb des Bankensystems und außerhalb der EU?
Wer alle drei Fragen beantworten kann, hat das, was das BSI von Unternehmen verlangt: einen Notfallplan mit Redundanz. Wer bei einer davon passen muss, weiß, wo die Lücke ist.
Das Gute ist: Diese Lücke schließt du in ruhigen Zeiten mit wenig Aufwand. In der Krise kostet derselbe Schritt ein Vielfaches, wenn er dann überhaupt noch möglich ist.