Ransomware und Backup: Warum 3-2-1 allein nicht mehr reicht

Kurzantwort für Geschäftsführer

Die 3-2-1-Regel ist eine gute Grundlage.

Aber sie reicht nicht automatisch gegen moderne Ransomware.

Angreifer verschlüsseln heute nicht nur Daten. Sie versuchen häufig auch, Backups zu löschen, zu verschlüsseln oder unbrauchbar zu machen.

Ein Backup schützt nur dann, wenn es getrennt, geschützt, überprüft und wiederherstellbar ist.

Unternehmen sollten deshalb nicht nur fragen

Haben wir ein Backup?

Sondern

Kann ein Angreifer unser Backup erreichen?

Ist mindestens eine Kopie getrennt oder unveränderbar?

Sind Backup-Konten geschützt?

Wurde eine Wiederherstellung aus sauberem Zustand getestet?

Wer prüft die Protokolle?

Wie schnell wären wir wieder arbeitsfähig?

Warum Ransomware Backup-Strategien verändert hat

Früher wurden Backups häufig für Hardwaredefekte, versehentliches Löschen oder Datenverlust geplant.

Ransomware hat die Anforderungen verändert.

Bei einem Angriff kann nicht einfach blind zurückgespielt werden. Zuerst muss geprüft werden, welche Systeme betroffen sind, ob die Sicherung sauber ist und ob der Wiederherstellungspfad sicher ist.

Außerdem versuchen Angreifer oft, vor der Verschlüsselung Zugriff auf Backup-Systeme zu bekommen.

Deshalb reicht ein Standardbackup nicht mehr aus.

Was die 3-2-1-Regel leistet

Die 3-2-1-Regel empfiehlt mehrere Kopien, unterschiedliche Speicherorte oder Medien und eine Kopie außerhalb des Hauptsystems.

Das ist sinnvoll, weil es Risiken verteilt.

Wenn ein Server ausfällt, gibt es eine weitere Kopie.

Wenn ein Speichermedium defekt ist, gibt es eine Alternative.

Wenn der Standort betroffen ist, hilft eine externe Kopie.

Als Grundprinzip ist 3-2-1 weiterhin wertvoll.

Wo 3-2-1 an Grenzen kommt

3-2-1 sagt nicht automatisch, ob eine Kopie vor Angreifern geschützt ist.

Wenn alle Kopien mit denselben Zugangsdaten erreichbar sind, kann ein Angriff mehrere Sicherungen betreffen.

Wenn Backup-Ziele dauerhaft eingebunden sind, können sie mitverschlüsselt werden.

Wenn niemand Restore-Tests durchführt, ist unklar, ob die Kopien nutzbar sind.

Wenn Backup-Protokolle nicht geprüft werden, bleiben Fehler unbemerkt.

Darum muss 3-2-1 heute ergänzt werden.

Warum Angreifer gezielt Backups angreifen

Backups sind für Angreifer ein Hindernis.

Wenn ein Unternehmen zuverlässig wiederherstellen kann, sinkt der Druck, Lösegeld zu zahlen.

Deshalb versuchen Angreifer, Backups zu entfernen, zu verschlüsseln oder Zugangsdaten zur Backup-Verwaltung zu missbrauchen.

Besonders kritisch sind

• Backup-Konten mit zu vielen Rechten
• Backup-Systeme in derselben Domäne
• offen erreichbare Backup-Verwaltungen
• fehlende Mehrfaktor-Absicherung
• keine getrennten Rollen
• keine unveränderbaren Kopien
• fehlendes Monitoring

Backup-Ziele und Rechte trennen

Backup-Systeme sollten nicht mit denselben Rechten betrieben werden wie normale Benutzer- oder Domänenadmin-Konten.

Wichtig sind getrennte Konten, möglichst geringe Rechte und klare Rollen.

Nicht jeder Administrator sollte automatisch Backups löschen oder Aufbewahrungsregeln ändern können.

Auch Dienstkonten müssen geschützt werden.

Ein kompromittiertes Administratorkonto darf nicht automatisch bedeuten, dass alle Backups verloren sind.

Immutable, offline oder getrennte Sicherungen

Eine besonders wichtige Schutzmaßnahme sind Sicherungen, die nicht einfach verändert oder gelöscht werden können.

Das kann durch immutable Speicher, Offline-Kopien, getrennte Cloud-Speicher oder andere technische Schutzmaßnahmen umgesetzt werden.

Nicht jede Lösung passt zu jedem Unternehmen.

Aber jedes Unternehmen sollte mindestens prüfen, ob eine Backup-Kopie existiert, die ein Angreifer nicht ohne Weiteres zerstören kann.

Backup-Systeme härten

Backup-Systeme sind Sicherheitskomponenten.

Sie sollten deshalb ähnlich ernst genommen werden wie Firewalls, Server und Identitätsdienste.

Dazu gehören

• Updates
• starke Passwörter
• MFA, wenn möglich
• eingeschränkte Zugriffe
• getrennte Administrationskonten
• Protokollierung
• Alarmierung
• regelmäßige Prüfung
• Dokumentation

Ein Backup-System darf nicht das schwächste Glied der Infrastruktur sein.

Backup-Protokolle und Warnmeldungen überwachen

Ein Backup, das seit Wochen fehlschlägt, ist im Ernstfall wertlos.

Deshalb müssen Protokolle regelmäßig geprüft werden.

Wichtig ist nicht nur „Job erfolgreich“, sondern auch

• wurden alle Systeme gesichert?
• gab es Warnungen?
• wurden Daten ausgelassen?
• ist der Speicher voll?
• wurden Aufbewahrungsregeln angewendet?
• gab es ungewöhnliche Löschvorgänge?
• wurde eine externe Kopie erstellt?

Monitoring ist ein zentraler Bestandteil von Backup-Sicherheit.

Wiederherstellung aus sauberem Zustand

Nach Ransomware darf nicht einfach irgendein Backup zurückgespielt werden.

Es muss geprüft werden, ob die Sicherung sauber ist und aus welchem Zeitpunkt wiederhergestellt werden soll.

Sonst besteht die Gefahr, dass Schadsoftware, manipulierte Daten oder kompromittierte Konten erneut aktiv werden.

Wiederherstellung nach Ransomware ist deshalb immer auch Sicherheitsarbeit.

Warum Restore-Tests bei Ransomware besonders wichtig sind

Restore-Tests zeigen, ob Backups wirklich funktionieren.

Bei Ransomware ist das besonders wichtig, weil Zeitdruck entsteht.

Ein Unternehmen muss wissen

• welche Systeme zuerst wiederhergestellt werden
• wie lange es dauert
• welche Sicherung verwendet wird
• wer entscheidet
• welche Zugangsdaten notwendig sind
• wie die Umgebung geprüft wird

Ohne Tests wird im Ernstfall improvisiert.

30-60-90-Tage-Fahrplan

Erste 30 Tage

• Backup-Ziele erfassen
• Rechte und Konten prüfen
• Protokolle kontrollieren
• externe Kopien identifizieren
• Ransomware-Risiken bewerten

Bis 60 Tage

• getrennte Konten einführen
• unveränderbare oder externe Kopien prüfen
• Monitoring verbessern
• erste Restore-Tests durchführen
• Notfallkontakte dokumentieren

Bis 90 Tage

• Wiederherstellung aus sauberem Zustand testen
• Backup-Härtung abschließen
• Ablauf dokumentieren
• regelmäßige Prüfungen einführen
• Geschäftsführung berichten

Geschäftsführer-Checkliste

• Können Angreifer unsere Backups erreichen?
• Gibt es eine getrennte oder unveränderbare Kopie?
• Sind Backup-Konten geschützt?
• Werden Backup-Protokolle geprüft?
• Wurde eine Wiederherstellung getestet?
• Ist klar, welcher Stand nach Ransomware genutzt wird?
• Gibt es einen dokumentierten Ablauf?
• Wer entscheidet im Ernstfall?

Unsere Empfehlung

EDV Systeme Donner empfiehlt, 3-2-1 als Grundlage zu verwenden, aber nicht als fertige Strategie zu betrachten.

Entscheidend sind getrennte Rechte, geschützte Backup-Ziele, regelmäßige Kontrolle und praktische Wiederherstellungstests.

Für KMU sollte die Lösung verständlich, bezahlbar und betreibbar bleiben.

Fazit

Ransomware verändert die Backup-Frage.

Es reicht nicht, Daten zu sichern. Die Sicherung muss gegen Angriffe geschützt und im Ernstfall nutzbar sein.

Ein gutes Backup-Konzept beantwortet deshalb nicht nur die Frage nach der Kopie, sondern nach Wiederherstellung, Schutz, Verantwortung und Zeit.