Der Angriff auf Stryker war kein technisches Versagen: Es war der Preis für verwaltendes Ego
In der Nacht des 11. März 2026 begannen die Systeme der Stryker Corporation, sich abzuschalten. Es gab keine Explosion, keine Ransomware, keinen versteckten bösartigen Code auf Servern. Eine pro-iranische Gruppe namens Handala nutzte legitime Administratoranmeldeinformationen von Microsoft Intune, um mehr als 200.000 Geräten in 79 Ländern den Befehl zu erteilen: Löschen Sie alles. Innerhalb weniger Stunden standen 56.000 Mitarbeiter mit Laptops, Firmenhandys und persönlichen Geräten da, die zu Ziegelsteinen geworden waren. Fünfzig Terabyte Daten, darunter Verträge mit Lieferanten, Krankenhausinformationen und Produktdesign-Dateien, wurden aus der Organisation entfernt, ohne dass jemand sie aufhalten konnte.
Die US-Regierung gab eine Warnung heraus, dass Unternehmen ihre Microsoft-Systeme absichern sollten. Stryker reichte ein Formular bei der SEC ein, in dem ein finanzieller Einfluss von unbestimmtem Ausmaß anerkannt wurde. Elektronische Bestellungen funktionierten nicht mehr. Einige chirurgische Eingriffe wurden verschoben.
Doch was mich an diesem Vorfall interessiert, sind nicht die Mechaniken des Angriffs. Vielmehr interessiert mich die Architektur der Selbstzufriedenheit, die dies möglich machte.
Wenn Infrastruktur zum blinden Fleck wird
Microsoft Intune verwaltet Geräte in Tausenden von globalen Organisationen. Die Logik dahinter ist elegant: Ein Administrator mit den richtigen Rechten kann Updates durchführen, Sicherheitsrichtlinien konfigurieren und im Extremfall ein verlorenes oder kompromittiertes Gerät aus der Ferne löschen. Diese letzte Funktion dient der Sicherheit der Unternehmen. Im Fall von Stryker war sie die Waffe des Angriffs.
Was die Analysten von Forrester als „lebensnahe Techniken“ beschrieben haben – die eigenen legitimen Werkzeuge der Umgebung als Angriffsvektor zu nutzen – sind keine technischen Neuheiten. Es ist eine der dokumentiertesten Methoden in der Cybersicherheit seit Jahren. Die Gruppe Handala hat nichts erfunden. Sie fand Anmeldeinformationen eines Administrators oder globalen Administrators von Intune, wahrscheinlich durch vorherige Malware gestohlen, und nutzte diese genau so, wie sie entworfen wurden.
Hier liegt die erste Diagnose, die für jeden C-Level relevant ist, der dies liest: Angriffe, die den größten Schaden anrichten, exploiten keine unbekannten Schwachstellen; sie exploiten Privilegien, die die Organisation ohne ausreichende Überwachung und Friktion vergeben hat. Stryker wurde nicht durch einen Fehler im Code von Microsoft durchbrochen. Sie wurde durch die Tatsache durchbrochen, dass jemand die Schlüssel hatte, und niemand in der Entscheidungskette hatte ein System aufgebaut, das jedes Mal bestätigen musste, dass diese Schlüssel in den richtigen Händen waren.
Die Frage, die sich jeder CTO, jeder CEO und jedes Vorstandsmitglied in diesem Moment stellen sollte, ist nicht technischer Natur. Es ist organisatorisch: Wer in meinem Unternehmen kann eine Entscheidung treffen, die 200.000 Geräte löscht, und wie viel Friktion gibt es zwischen dieser Person und dieser Fähigkeit?
Die administrative Bequemlichkeit, die Fragilität erzeugt
Ich habe dieses Muster in so unterschiedlichen Sektoren wie Banken, Fertigung und nun auch Medizintechnik beobachtet. Ein Unternehmen wächst. Seine digitale Infrastruktur expandiert. IT-Teams sammeln Privilegien, weil es effizienter ist, mit breiten Zugängen als mit chirurgischen Zugängen zu arbeiten. Kosten- und Zugriffsmanagement wird zu einer technischen Diskussion, die „dem Sicherheitsteam obliegt“. Dieses Team, oft mit begrenzten Ressourcen und ohne Sitz am Vorstandstisch, berichtet nach unten statt nach oben.
Die administrative Bequemlichkeit ist die implizite Entscheidung, interne Prozesse nicht zu verkomplizieren, um die operative Geschwindigkeit aufrechtzuerhalten. Und über Jahre hinweg bringt diese Entscheidung positive Ergebnisse: die Systeme funktionieren, die Geräte werden verwaltet, die Mitarbeiter arbeiten ohne Friktion. Bis jemand mit gestohlenen Anmeldeinformationen beschließt, dass diese Bequemlichkeit sein Einstiegspunkt ist.
Stryker erzielte 2025 mehr als 20 Milliarden US-Dollar Umsatz. Allein ihre chirurgischen Roboter Mako machten 1,3 Milliarden US-Dollar aus. Das Unternehmen ist in 79 Ländern tätig und hat zehntausende Mitarbeiter. Dennoch war die Fähigkeit, die gesamte Geräteinfrastruktur zu löschen, auf einem Privilegierungslevel konzentriert, das offenbar mit kompromittierten Anmeldeinformationen erreicht wurde. Diese Asymmetrie zwischen Größe und Kontrolle ist das präziseste Symptom dafür, was passiert, wenn die Wachstumsrate die institutionelle Reife übertrifft.
Es gibt keinen individuellen Bösewicht in dieser Geschichte. Es gibt eine Unternehmenskultur, die über Jahre hinweg wahrscheinlich operative Agilität über Zugangsgovernance priorisierte. Das ist eine Führungsentscheidung, kein technischer Unfall.
Das BYOD-Modell und die Schuld, die niemand berechnen wollte
Ein Element dieses Angriffs verdient besondere Aufmerksamkeit, da es über das Unternehmensinterne hinausgeht: die persönlichen Geräte. Stryker betrieb, wie tausende globaler Unternehmen, eine Managementpolitik, die die Telefone und Laptops ihrer Mitarbeiter umfasste, die in Microsoft Intune registriert waren. Als Handala den Remote-Löschbefehl ausführte, machte es keinen Unterschied. Firmen- und persönliche Geräte erhielten denselben Befehl. Persönliche Fotos, Passwortmanager, Anwendungen für die Zwei-Faktor-Authentifizierung, Finanzunterlagen – alles gelöscht.
Das Modell persönlicher Geräte in Unternehmensumgebungen überträgt Effizienz auf das Unternehmen und Risiko auf den Mitarbeiter. Stryker hat sich über Jahre die Kosten für die Bereitstellung von speziellen Unternehmenseinheiten für ihre Mitarbeiter gespart. Am 11. März 2026 zahlt diese Mitarbeiter jedoch den Preis für diese Einsparungen mit ihren persönlichen Informationen.
Das ist kein moralisches Urteil über Stryker im Besonderen; es ist eine Diagnose einer weitverbreiteten Praxis in der gesamten Branche. Und was es aufdeckt, ist ein Gespräch, das die meisten Organisationen nicht ehrlich mit ihren Mitarbeitern oder ihren Gremien geführt haben: Wenn wir sie bitten, unsere Systeme auf ihren persönlichen Geräten zu installieren, bitten wir sie, ein Risiko zu übernehmen, das wir nicht quantifizieren oder kompensieren. Die Sammelklagen, die wahrscheinlich auf diesen Vorfall folgen werden, werden nicht nur gegen die Angreifer gerichtet sein. Sie werden gegen das Unternehmen gerichtet sein, das ein System entworfen hat, in dem das Löschen persönlicher Daten eine mögliche Folge ihrer Managementarchitektur war.
Die Analysten von Forrester warnen auch, dass die 50 Terabyte exfiltrierter Daten genutzt werden könnten, um hochgradig überzeugende Täuschungsangriffe zu konstruieren: gefälschte E-Mails im Namen von Stryker an Krankenhäuser, betrügerische Rückrufanweisungen, Manipulation von Lieferketten. Der Schaden des 11. März endete nicht am 11. März.
Die Reife der Führung misst sich an den Privilegien, die niemand prüfen wollte
Es gibt eine bequeme Erzählweise für jede Organisation nach einem Angriff dieser Art: Wir waren Opfer eines raffinierten staatlichen Akteurs, handelten schnell, hielten den Schaden in Schach, unsere medizinischen Geräte waren nie gefährdet. Und diese Erzählweise hat wahre Teile. Stryker hat die Eindringung relativ schnell erkannt, ihre chirurgischen Roboter Mako liefen weiterhin über lokal auf USB gespeicherte Pläne, und die Lieferlinien funktionierten weiterhin über manuelle Prozesse.
Aber keine dieser Antworten beantwortet die Frage, die für einen Führungskraft, die aus diesem Vorfall lernen möchte, von Bedeutung ist: Welches Gespräch über die Governance von privilegierten Zugängen fand vor dem 11. März nicht statt, weil es unangenehm, teuer oder politisch schwierig innerhalb der Organisation war?
Die Sicherheitsarchitektur eines Unternehmens spiegelt immer treu seine interne Machtarchitektur wider. Privilegien, die ohne Überprüfung angesammelt werden, sind das digitale Äquivalent zu Prozessen, die niemand überprüft, weil derjenige, der sie entworfen hat, noch im Unternehmen ist. Anmeldeinformationen, die nicht rotieren, sind die Versprechen, die niemand neu verhandelt hat. Globale Administratorrechte, die keine doppelte Validierung haben, sind die Entscheidungen, die einmal in einem anderen Kontext getroffen wurden, und die niemand nachher in Frage stellte.
Der Medizintechnologiemarkt sieht sich 2025 einem Anstieg der Angriffe um 30 % gegenüber. 40 % der dokumentierten Lücken betreffen gestohlene Anmeldeinformationen. Diese Zahlen sind keine Argumente für Panik; sie sind der Kontext, der macht, dass Selbstgefälligkeit inakzeptabel erscheint.
Ein Führungskraft, die diesen Vorfall betrachtet und zu dem Schluss kommt, dass Stryker Pech hatte, liest die falsche Geschichte. Die Kultur jeder Organisation ist das natürliche Ergebnis der Verfolgung eines authentischen Ziels oder das unvermeidliche Symptom all der schwierigen Gespräche, die das Ego des Führers ihm nicht erlaubte zu führen.
