Backups, die einen Ransomware-Angriff überleben: 3-2-1, unveränderbar, ausgelagert

Problem

Fast jede Organisation macht Backups. Trotzdem zahlen Unternehmen weiter Lösegeld, weil ihre Backups im Ernstfall wertlos waren. Der Grund ist unbequem: Moderne Ransomware (Erpressungs-Schadsoftware, die Daten verschlüsselt und gegen Zahlung wieder freigeben will) sucht heute gezielt nach Ihren Backups. Sie verschlüsselt, löscht oder beschädigt jede Sicherung, die vom angegriffenen Netz aus erreichbar ist - und das ist oft die Mehrheit.

Das typische Muster: Ein Backup-Server hängt im selben Netzwerk wie die Produktivsysteme, eingebunden mit denselben Zugangsdaten. Die Angreifer bewegen sich nach dem ersten Einbruch wochenlang unbemerkt durch das Netz (man nennt das laterale Bewegung), erlangen Administratorrechte und löschen erst die Sicherungen, dann verschlüsseln sie die Live-Daten. Wenn der Erpresserbrief erscheint, ist auch das Backup schon weg.

Ein Backup, das ein Angreifer mit Ihren Anmeldedaten erreichen und verändern kann, ist kein Sicherheitsnetz. Es ist nur eine zweite Kopie im selben brennenden Haus.

Für wen ist das? Für IT-Verantwortliche, die ihre Backups gegen Ransomware absichern wollen.

Kurze Antwort

Ein ransomware-resilientes Backup ist nicht einfach eine zweite Kopie, sondern eine Kopie, die ein Angreifer selbst mit Administratorrechten nicht erreichen kann. Es folgt vier Prinzipien:

• 3-2-1-Regel: mindestens 3 Kopien Ihrer Daten, auf 2 verschiedenen Medientypen, davon 1 ausgelagert (räumlich getrennt).
• Mindestens eine Kopie ist unveränderbar oder offline: nach dem Schreiben für eine festgelegte Frist von niemandem änder- oder löschbar - auch nicht vom Administrator, auch nicht mit gestohlenen Zugangsdaten.
• Getrennte Zugangsdaten und Verschlüsselung: Das Backup-System nutzt eigene, isolierte Konten; die Sicherungen sind verschlüsselt.
• Getesteter Restore: Ein Restore (Wiederherstellung), den Sie nie geprobt haben, ist kein Backup, sondern eine Hoffnung. Sie üben den Ernstfall regelmäßig.
• Erweiterung 3-2-1-1-0: Die zusätzliche 1 steht für eine unveränderbare oder ausgelagerte Offline-Kopie, die 0 für null Fehler beim regelmäßigen Restore-Test.

Tiefgang

Die 3-2-1-Regel im Detail

Die Regel ist bewusst simpel, damit sie auch unter Stress hält.

Drei Kopien bedeutet: Ihre Live-Daten plus zwei Sicherungen. Warum zwei? Weil ein einzelnes Backup denselben stillen Defekt oder dieselbe Schadsoftware enthalten kann wie das Original. Zwei unabhängige Sicherungen senken die Wahrscheinlichkeit, dass alle gleichzeitig versagen, drastisch.

Zwei verschiedene Medientypen heißt: nicht beide Kopien auf demselben Speichersystem oder derselben Technologie. Liegt alles auf einem einzigen NAS (Network Attached Storage, ein im Netzwerk eingebundener Festplattenspeicher), reißt ein Defekt oder ein Verschlüsselungsangriff dieses Geräts beide Kopien mit. Sinnvoll sind etwa eine Kopie auf schnellem Plattenspeicher und eine zweite auf einem andersartigen Ziel wie Bandlaufwerk (Tape), Objektspeicher in der Cloud oder einem getrennten, gehärteten System.

Eine Kopie ausgelagert bedeutet räumliche Trennung. Ein Backup im selben Serverraum hilft nicht bei Brand, Wasserschaden, Diebstahl - oder bei einem Angreifer, der das gesamte lokale Netz kontrolliert. Offsite kann ein zweites Rechenzentrum sein, ein Objektspeicher bei einem anderen Anbieter oder physisch ausgelagerte Datenträger.

Warum mindestens eine Kopie unveränderbar sein muss

Das ist der Kern der Ransomware-Resilienz. Eine unveränderbare Sicherung (englisch immutable) lässt sich nach dem Schreiben für einen vorab definierten Zeitraum nicht mehr ändern oder löschen. Das technische Prinzip dahinter heißt WORM (Write Once Read Many, einmal schreiben, beliebig oft lesen). Selbst ein Angreifer mit voll kompromittierten Administratorrechten kann eine WORM-geschützte Kopie innerhalb der Sperrfrist nicht antasten.

Umgesetzt wird das auf zwei Wegen:

• Immutable Storage: Der Speicher selbst verweigert das Löschen vor Ablauf der Frist. Viele Objektspeicher bieten dafür einen Object Lock genannten Mechanismus an.
• Offline beziehungsweise air-gapped: Das Medium ist schlicht nicht erreichbar - etwa ein ausgeworfenes Band oder eine getrennte Platte. Was physisch nicht am Netz hängt, kann auch nicht über das Netz verschlüsselt werden. Air Gap (Luftspalt) meint genau diese physische oder logische Trennung.

Entscheidend ist: Die Sperre muss auch für Ihr eigenes Administrationskonto gelten. Wenn ein einziger gestohlener Zugang reicht, um die Aufbewahrungsfrist zu verkürzen oder die Sperre aufzuheben, ist die Unveränderbarkeit wertlos.

Getrennte Zugangsdaten, Monitoring und Verschlüsselung

Drei flankierende Maßnahmen entscheiden in der Praxis über Erfolg oder Misserfolg:

Getrennte Zugangsdaten: Das Backup-System darf nicht mit denselben Konten erreichbar sein wie die Produktion. Eigenes, isoliertes Identitätssystem, eigene Passwörter, Mehr-Faktor-Authentifizierung (Anmeldung mit zusätzlichem Faktor neben dem Passwort). Wer die Produktion übernimmt, soll damit eben nicht automatisch die Backups übernehmen.

Monitoring und Alerting (laufende Überwachung mit Alarmierung): Backups laufen oft monatelang scheinbar problemlos - bis im Ernstfall auffällt, dass sie seit Wochen leer oder fehlerhaft sind. Sie brauchen aktive Überwachung mit Alarm: Wurde die Sicherung erfolgreich abgeschlossen? Stimmt die Datenmenge? Schlägt plötzlich eine ungewöhnlich große Änderungsmenge auf (ein mögliches Anzeichen laufender Verschlüsselung)?

Verschlüsselung der Backups: Sicherungen enthalten genau die Daten, die Angreifer stehlen und veröffentlichen wollen (eine als doppelte Erpressung bekannte Taktik). Verschlüsseln Sie die Backups, sowohl bei der Übertragung als auch im Ruhezustand. Achten Sie darauf, dass der Schlüssel getrennt und sicher verwahrt wird - ein Backup, dessen Schlüssel mitverschlüsselt wurde, können Sie nicht mehr öffnen.

RTO, RPO und der getestete Restore

Hier trennt sich Theorie von Realität. Zwei Kennzahlen bestimmen, was Ihr Backup im Ernstfall taugt:

• RPO (Recovery Point Objective, deutsch maximal tolerierbarer Datenverlust): Wie viele Daten dürfen Sie maximal verlieren, gemessen in Zeit? Ein RPO von einer Stunde heißt: Sie sichern so oft, dass im schlimmsten Fall die Arbeit einer Stunde fehlt.
• RTO (Recovery Time Objective, deutsch maximal tolerierbare Wiederanlaufzeit): Wie lange darf es dauern, bis der Betrieb nach einem Ausfall wieder läuft?

Beide Zahlen sind wertlos, wenn Sie die Wiederherstellung nie geprobt haben. Sehr viele Organisationen entdecken erst im Schadensfall, dass das Backup-Format nicht lesbar ist, der Wiederherstellungsschlüssel fehlt, die Reihenfolge der Systeme unklar ist oder der Restore schlicht dreimal so lange dauert wie gedacht.

Deshalb gehören Restore-Übungen fest in den Kalender: regelmäßig eine echte Wiederherstellung auf ein isoliertes System, mit Prüfung der Datenintegrität. Genau das meint die 0 in 3-2-1-1-0 - null Fehler beim Restore-Test. Erst ein nachweislich erfolgreich zurückgespieltes Backup ist ein Backup.

Pflicht statt Kür: NIS-2 und DORA

Wiederherstellbarkeit ist längst nicht mehr nur Best Practice, sondern für viele Organisationen rechtliche Pflicht. Die EU-Richtlinie NIS-2 (Network and Information Security, zweite Fassung) verlangt von betroffenen Unternehmen unter anderem Konzepte für Backup-Management und Betriebskontinuität. Für den Finanzsektor fordert DORA (Digital Operational Resilience Act, EU-Verordnung zur digitalen Betriebsstabilität) ausdrücklich Wiederherstellungsverfahren und deren regelmäßige Erprobung. Wer Wiederherstellbarkeit nicht nachweisen kann, hat unabhängig vom technischen Schaden auch ein Compliance-Problem (Pflicht zur Einhaltung gesetzlicher und vertraglicher Vorgaben).

Das BSI IT-Grundschutz und die NIST-Leitlinien liefern dazu konkrete, frei verfügbare Vorgaben. Den Gesetzestext zu NIS-2 und DORA finden Sie über EUR-Lex.

Abgelehnte Alternativen und Mythen

"RAID ist ein Backup." Nein. RAID (Redundant Array of Independent Disks, ein Verbund mehrerer Festplatten) schützt vor dem Ausfall einzelner Platten. Es schützt nicht vor versehentlichem Löschen, vor Schadsoftware oder vor Verschlüsselung: Was gelöscht oder verschlüsselt wird, ist sofort auf allen Platten weg. RAID erhöht die Verfügbarkeit, ersetzt aber keine Sicherung.

"Cloud-Sync ist ein Backup." Synchronisationsdienste spiegeln Änderungen sofort in beide Richtungen. Verschlüsselt Ransomware Ihre lokalen Dateien, synchronisiert der Dienst die kaputten Versionen brav in die Cloud und überschreibt die gesunden. Versionierung mit ausreichend langer Aufbewahrung kann helfen, aber bloßes Spiegeln ist kein Backup, sondern ein zweiter Angriffspunkt.

"Ein Snapshot reicht." Snapshots (Momentaufnahmen des Speicherzustands) sind schnell und nützlich für kurzfristige Rücksprünge. Aber sie liegen meist auf demselben System wie die Originaldaten und lassen sich oft mit denselben Administratorrechten löschen. Ein Angreifer mit erhöhten Rechten räumt die Snapshots zuerst ab. Ein Snapshot ist eine Komfortfunktion, keine ausgelagerte, unveränderbare Sicherung.

"Wir haben doch ein Backup-System, das genügt." Ein nie getesteter Restore ist der häufigste stille Totalausfall. Ohne Übung wissen Sie nicht, ob Sie wiederherstellen können - Sie hoffen es nur.

Was Sie jetzt tun sollten

1. Erreichbarkeit prüfen: Stellen Sie fest, welche Ihrer aktuellen Sicherungen ein Angreifer mit Produktions-Administratorrechten löschen könnte. Jede solche Kopie zählt im Ernstfall nicht als Schutz.
2. Eine unveränderbare oder offline Kopie schaffen: Richten Sie mindestens eine Sicherung mit Object Lock, WORM oder echtem Air Gap ein - mit einer Sperrfrist, die länger ist als die typische unbemerkte Verweildauer eines Angreifers.
3. Backup-Konten entkoppeln: Geben Sie dem Backup-System eigene, isolierte Zugangsdaten mit Mehr-Faktor-Authentifizierung, getrennt von der Produktion.
4. Restore-Übung terminieren: Tragen Sie einen wiederkehrenden Termin ein, an dem Sie auf ein isoliertes System zurückspielen und die Datenintegrität prüfen. Notieren Sie die tatsächlich benötigte Zeit und vergleichen Sie sie mit Ihrem RTO.
5. Schlüsselverwahrung sichern: Vergewissern Sie sich, dass der Verschlüsselungsschlüssel getrennt vom Backup, sicher und seinerseits wiederherstellbar verwahrt ist.

Wie Dernium hier hilft

Ehrlich gesagt: Dernium verkauft kein Backup-Produkt. Dieser Beitrag ist ein reines Erklärstück, kein Verkaufstext. Wir sichern allerdings unsere eigene Plattform nach genau den hier beschriebenen Prinzipien - mit unveränderbaren, räumlich ausgelagerten und regelmäßig getesteten Sicherungen.

Wofür der Backup-Gedanke trotzdem in unser Portfolio spielt: Eine ransomware-resiliente Sicherung ist nur ein Baustein. Sie greift im Rahmen einer geordneten Reaktion auf den Vorfall - dazu hilft unser Incident-Response-Playbook. Und wo Ihre Backup-Daten liegen und welchem Recht der Anbieter unterliegt, ist eine Frage der digitalen Souveränität, die wir im Beitrag Deutsche Jurisdiktion vs CLOUD Act aufgreifen.

Offene Punkte

• Aufbewahrungsfristen: Wie lange unveränderbare Kopien gesperrt bleiben müssen, hängt davon ab, wie lange Angreifer typischerweise unbemerkt im Netz sind. Wochenlange Verweildauern sind real - eine Sperrfrist von wenigen Tagen kann zu kurz sein.
• Kosten gegen Resilienz: Mehr Kopien, längere Unveränderbarkeit und häufigere Tests kosten Speicher und Zeit. Die richtige Balance hängt von Ihrem RPO, RTO und der Kritikalität der Daten ab.
• Test-Tiefe: Ein erfolgreicher Datei-Restore ist nicht dasselbe wie ein vollständig wiederhergestellter, funktionierender Betrieb. Wie realistisch Restore-Übungen sein müssen, bleibt eine Abwägung zwischen Aufwand und Aussagekraft.
• Schlüsselverwaltung: Verschlüsselte Backups sind nur so gut wie die getrennte, sichere und ihrerseits wiederherstellbare Verwahrung der Schlüssel - ein eigenes Thema für einen künftigen Beitrag.

Häufige Fragen

Reicht es nicht, ein Backup einfach in die Cloud zu legen?

Nur, wenn diese Cloud-Kopie auch wirklich unveränderbar oder getrennt ist. Ein gewöhnlicher Cloud-Speicher, der mit denselben Zugangsdaten erreichbar ist wie Ihre Produktion, lässt sich von einem Angreifer ebenso löschen wie ein lokaler Server. Aktivieren Sie eine Funktion wie Object Lock, die das Löschen vor Ablauf einer Frist verhindert, und nutzen Sie eigene Backup-Zugangsdaten. Erst dann ist die Cloud-Kopie eine echte Resilienz-Schicht und nicht nur ein weiterer Angriffspunkt.

Wie oft sollte ich einen Restore testen?

Mindestens einmal pro Jahr, bei kritischen Systemen besser quartalsweise. Wichtig ist weniger die exakte Frequenz als die Regelmäßigkeit und Ehrlichkeit des Tests: eine echte Wiederherstellung auf ein isoliertes System, mit Prüfung, ob die Daten lesbar und vollständig sind und ob der Betrieb damit tatsächlich wieder laufen würde. Notieren Sie die benötigte Zeit, damit Sie wissen, ob Ihr RTO (maximal tolerierbare Wiederanlaufzeit) realistisch ist.

Was bedeutet "air-gapped" konkret im Alltag?

Air-gapped (mit Luftspalt) heißt, dass das Backup-Medium physisch oder logisch nicht erreichbar ist, solange es nicht gerade beschrieben wird. Klassisch ist ein Magnetband, das nach der Sicherung aus dem Laufwerk genommen und getrennt gelagert wird. Auch eine externe Platte, die nur während des Backups angeschlossen ist, oder ein Zielsystem, das nur in einem kurzen Zeitfenster Verbindungen annimmt, erfüllen das Prinzip. Was nicht dauerhaft am Netz hängt, kann auch nicht über das Netz verschlüsselt werden.

Muss ich als kleines Unternehmen NIS-2 oder DORA beachten?

Das hängt von Branche und Größe ab. NIS-2 erfasst viele mittlere und größere Unternehmen in als wichtig oder wesentlich eingestuften Sektoren; DORA gilt für den Finanzsektor und dessen IT-Dienstleister. Auch wenn Sie nicht direkt erfasst sind, kann die Pflicht über Vertragspartner durchschlagen, die Nachweise von Ihnen verlangen. Unabhängig davon sind die geforderten Maßnahmen - Backup-Management und getestete Wiederherstellung - schlicht gute Praxis, die im Ernstfall den Unterschied macht.

Schützt mich Verschlüsselung allein schon vor Ransomware?

Nein. Verschlüsselung schützt davor, dass gestohlene Backup-Daten gelesen und veröffentlicht werden (die sogenannte doppelte Erpressung). Sie verhindert aber nicht, dass ein Angreifer Ihre Sicherungen löscht oder selbst verschlüsselt. Gegen das Löschen hilft nur Unveränderbarkeit oder eine Offline-Kopie. Verschlüsselung und Unveränderbarkeit sind zwei verschiedene Schutzziele, und Sie brauchen beide.