Backup nach 3-2-1: Die Kopie, die Angreifer nicht erreichen
Ransomware-Gruppen wissen, dass ein funktionierendes Backup ihre Erpressung wertlos macht. Deshalb suchen sie es zuerst. Ob ein Angriff mit einem Wochenende Wiederherstellung endet oder mit einer Lösegeldverhandlung, entscheidet sich an vier Fragen: Gibt es eine Kopie, die vom Netz aus nicht löschbar ist? Sind die Backup-Zugänge getrennt? Wurde die Wiederherstellung getestet? Und wie lange hat sie gedauert?
- 3-2-1 drei Kopien, zwei Medien, eine offline oder unveränderlich
- 1 Kopie, die mit gestohlenen Admin-Rechten nicht löschbar ist
- jährlich vollständiger Wiederherstellungstest kritischer Systeme, mit Zeitmessung
- § 30 BSIG verlangt Backup-Management und Wiederherstellung
3-2-1 erklärt
Die Regel ist alt, einfach und wird trotzdem in den meisten Umgebungen an mindestens einer Stelle verletzt. Meist an der Eins.
- 3
Drei Kopien der Daten
Die Produktivdaten und mindestens zwei Sicherungen. Eine Sicherung allein hilft nicht, wenn der Backup-Server selbst ausfällt oder verschlüsselt wird. Replikation zwischen zwei Speichersystemen ist keine Sicherung: Ein Fehler oder eine Verschlüsselung wird mitrepliziert.
- 2
Zwei unterschiedliche Medien
Unterschiedliche Technik oder Speicherorte, etwa Backup-Server und Objektspeicher, Band oder ein zweiter Standort. Ein einzelner Defekt, ein Fehler in der Backup-Software oder ein Angriff darf nicht beide Kopien gleichzeitig treffen.
- 1
Eine Kopie offline oder unveränderlich
Physisch getrennt vom Netz, etwa Band im Tresor oder ausgehängte Platte, oder logisch durch Unveränderlichkeit für eine feste Frist. Diese Kopie kann niemand mit gestohlenen Administratorrechten löschen, verschlüsseln oder überschreiben. Sie ist die Versicherung gegen die Erpressung.
Häufige Ergänzung: 3-2-1-1-0, mit einer zusätzlichen Kopie, die offline oder unveränderlich ist, und null Fehlern im Wiederherstellungstest. Die Null ist der Punkt, an dem die meisten Backup-Konzepte bisher nicht geprüft wurden.
Was Angreifer mit Ihren Backups vorhaben
Bevor verschlüsselt wird, vergehen oft Tage oder Wochen. In dieser Zeit kümmern sich Angreifer gezielt um die Backups, weil sie wissen, dass die Lösegeldforderung sonst ins Leere geht.
-
Backup-Server finden
Backup-Software, Backup-Server und Speicherziele sind im Netz leicht zu erkennen. Mit Domänen-Administratorrechten, die der Angreifer in der Ausbreitungsphase erlangt hat, ist der Zugriff auf einen Backup-Server, der Mitglied der Domäne ist, eine Formsache.
-
Sicherungen löschen oder verkürzen
Backup-Jobs werden deaktiviert, Aufbewahrungsfristen auf wenige Tage gesetzt, Sicherungen gelöscht, Snapshots entfernt. Manchmal Wochen vor der Verschlüsselung, damit zum Zeitpunkt des Angriffs kein brauchbarer Stand mehr existiert.
-
Backups verschlüsseln
Was nicht gelöscht werden kann, wird mitverschlüsselt: Backup-Dateien auf Netzfreigaben, Backup-Speicher, der mit denselben Zugangsdaten erreichbar ist, Replikate am zweiten Standort. Die Verschlüsselung der Backups läuft oft vor der Verschlüsselung der Produktivsysteme.
-
Wiederherstellung sabotieren
Zugangsdaten zum Backup-System ändern, Verschlüsselungsschlüssel der Backup-Software löschen, Dokumentation entfernen. Das Ziel: Selbst wenn eine Kopie übrig bleibt, soll die Wiederherstellung so lange dauern, dass Zahlen billiger erscheint.
Daraus folgt: Ein Alarm bei Löschung von Sicherungen, Änderung von Aufbewahrungsfristen oder Deaktivierung von Backup-Jobs gehört zu den wichtigsten Erkennungsregeln überhaupt. Er zeigt einen Angriff oft Tage vor der Verschlüsselung.
Varianten für die geschützte Kopie
Offline oder unveränderlich: Beide Wege führen zum Ziel, mit unterschiedlichen Kosten, Wiederherstellungszeiten und Fallstricken.
| Variante | Schutzwirkung | Worauf zu achten ist |
|---|---|---|
| Band mit Auslagerung | Physisch getrennt, nicht über das Netz erreichbar, langlebig, günstig je Terabyte. | Regelmäßiger Wechsel und Transport, Lagerung an einem zweiten Ort, funktionsfähiges Laufwerk für die Wiederherstellung, längere Wiederherstellungszeit einplanen. |
| Ausgehängte Wechseldatenträger | Getrennt, sobald ausgehängt; einfach umzusetzen für kleine Umgebungen. | Nur so lange geschützt, wie der Datenträger tatsächlich getrennt ist. Rotation über mehrere Datenträger, damit nie der einzige Stand am Netz hängt. |
| Unveränderlicher Objektspeicher | Objekte können für eine feste Frist weder gelöscht noch überschrieben werden, auch nicht vom Administrator. Schnell wiederherstellbar. | Eigene Zugangsdaten mit MFA außerhalb des Verzeichnisdienstes, Frist länger als die typische Verweildauer von Angreifern, Kosten für Speicher und Abruf kalkulieren. |
| Gehärtetes Backup-Repository | Speicher, der nur über die Backup-Software beschrieben wird, mit Unveränderlichkeit auf Dateisystemebene und ohne Domänenmitgliedschaft. | Kein Zugriff über Standardprotokolle, keine Domänenkonten, eigene Administration, Patch-Stand des Repositorys überwachen. |
| Replikation an zweiten Standort | Schutz gegen Standortausfall, schneller Zugriff. | Allein keine Offline-Kopie: Löschungen und Verschlüsselungen werden mitrepliziert. Nur in Kombination mit Unveränderlichkeit oder Snapshots mit Aufbewahrungssperre. |
Backup-Zugänge vom Rest des Netzes trennen
Die meisten Backup-Systeme werden nicht durch Sicherheitslücken kompromittiert, sondern mit regulären Administratorrechten, die der Angreifer im Netz gestohlen hat.
-
Eigene Konten, keine Domänenkonten
Backup-Software, Backup-Server und Speicherziel werden mit Konten verwaltet, die nicht im Verzeichnisdienst liegen. Ein kompromittierter Domänen-Administrator darf am Backup-System nichts ausrichten können.
-
MFA für alle Backup-Zugänge
Konsole der Backup-Software, Speicherziel, Cloud-Konto und Hypervisor-Zugriff verlangen einen zweiten Faktor. Löschungen und Änderungen an Aufbewahrungsfristen sollten eine zusätzliche Freigabe erfordern, wo die Software das anbietet.
-
Backup-Netz segmentieren
Backup-Server und Speicher liegen in einem eigenen Netzsegment, das nur die nötigen Verbindungen zulässt: Backup-Traffic hinein, Verwaltung nur von einer gehärteten Administrationsstation. Keine Netzfreigaben, die von Arbeitsplätzen erreichbar sind.
-
Keine Zugangsdaten im Klartext
Zugangsdaten für Backup und Wiederherstellung liegen im Notfalltresor, nicht in Skripten, Wikis oder auf dem Dateiserver. Verschlüsselungsschlüssel der Backup-Software sind separat gesichert, offline.
-
Alarm bei Eingriffen
Löschung von Sicherungen, Verkürzung von Aufbewahrungsfristen, Deaktivierung von Jobs, neue Backup-Administratoren, fehlgeschlagene Anmeldungen: Jeder dieser Vorgänge löst einen Alarm aus, der auch außerhalb der Bürozeiten jemanden erreicht.
-
Vier-Augen-Prinzip für Löschungen
Wo die Software es unterstützt, benötigen Löschungen und Änderungen an der Unveränderlichkeit die Freigabe einer zweiten Person. Wo nicht, ersetzt die Unveränderlichkeitsfrist das Prinzip technisch.
Der Test zählt, nicht die Sicherung
Ein Backup, das nie wiederhergestellt wurde, ist eine Hoffnung. Der Wiederherstellungstest macht daraus eine gemessene Zahl, die mit dem RTO verglichen werden kann.
-
System auswählen
Ein kritisches System aus der Business-Impact-Analyse, im Wechsel, sodass über die Jahre alle kritischen Systeme getestet werden. Der Verzeichnisdienst und die zentrale Datenbank stehen am Anfang, weil alles andere von ihnen abhängt.
-
Ausgangslage festlegen
Der Test simuliert den Ernstfall: Produktivsystem und Online-Backup gelten als verloren, wiederhergestellt wird aus der Offline- oder unveränderlichen Kopie auf Ersatzhardware oder in eine isolierte Umgebung. Zugangsdaten kommen aus dem Notfalltresor, nicht aus dem Gedächtnis des Administrators.
-
Zeit messen
Die Stoppuhr läuft ab Testbeginn und stoppt, wenn der Fachbereich bestätigt, dass das System benutzbar ist. Gemessen wird alles: Medien suchen, Zugangsdaten beschaffen, Anleitung finden, Wiederherstellung, Konfiguration, Prüfung.
-
Mit RTO und RPO vergleichen
Die gemessene Dauer wird dem RTO gegenübergestellt, das Alter des wiederhergestellten Stands dem RPO. Liegt der Test über dem RTO, ist entweder das Backup-Konzept oder die Kennzahl zu korrigieren. Beides ist ein Befund.
-
Protokollieren
Datum, System, Quelle der Kopie, Beteiligte, gemessene Dauer, Alter des Stands, Probleme, Maßnahmen mit Verantwortlichen und Terminen. Das Protokoll ist der Nachweis gegenüber BSI, Auditor und Versicherer.
| Test | Rhythmus | Was geprüft wird |
|---|---|---|
| Stichprobe einzelner Dateien oder Datenbanken | Monatlich | Ob die Sicherung lesbar ist und der Stand dem erwarteten Datum entspricht. |
| Vollständige Wiederherstellung eines kritischen Systems | Mindestens jährlich, besser quartalsweise im Wechsel | Dauer bis zur Benutzbarkeit, Vollständigkeit, Abhängigkeiten, Verfügbarkeit von Zugangsdaten und Anleitungen. |
| Wiederherstellung aus der Offline- oder unveränderlichen Kopie | Jährlich | Ob die geschützte Kopie tatsächlich nutzbar ist: Laufwerk, Zugangsdaten, Schlüssel, Abrufzeit aus dem Objektspeicher. |
| Wiederanlauf mehrerer Systeme in Reihenfolge | Alle ein bis zwei Jahre, als technische Wiederanlaufübung | Ob die Wiederanlaufreihenfolge stimmt und die Gesamtzeit für die kritischen Prozesse unter der maximal tolerierbaren Ausfallzeit liegt. |
Hält Ihr Backup einem Ransomware-Angriff stand?
Jedes Nein ist ein Punkt, an dem ein Angriff zur Erpressung wird statt zum Wiederherstellungsfall.
- Es gibt mindestens eine Kopie, die vom Produktivnetz aus weder gelöscht noch überschrieben werden kann, auch nicht mit Domänen-Administratorrechten.
- Die Unveränderlichkeitsfrist ist länger als die typische Verweildauer von Angreifern vor der Verschlüsselung.
- Backup-Software, Backup-Server und Speicherziel werden mit eigenen Konten außerhalb des Verzeichnisdienstes verwaltet, mit MFA.
- Löschung von Sicherungen und Änderung von Aufbewahrungsfristen lösen einen Alarm aus, der auch nachts jemanden erreicht.
- Zugangsdaten und Verschlüsselungsschlüssel für die Wiederherstellung liegen im Notfalltresor, offline verfügbar.
- In den letzten zwölf Monaten wurde ein kritisches System vollständig wiederhergestellt, und die Dauer ist protokolliert.
- Die gemessene Dauer liegt unter dem RTO, das die Fachbereiche festgelegt haben.
- Die Wiederanlaufreihenfolge der kritischen Systeme ist dokumentiert und wurde geprüft.
Zu Backups gegen Ransomware
Reicht ein Backup in der Cloud als Offline-Kopie?
Nur, wenn es vom kompromittierten Netz aus nicht gelöscht oder überschrieben werden kann. Ein Cloud-Speicher, der mit denselben Zugangsdaten wie das Backup-System erreichbar ist, wird beim Angriff mit gelöscht. Erforderlich sind eigene Zugangsdaten mit MFA, die nicht im Verzeichnisdienst liegen, und eine Unveränderlichkeitsfunktion, die Löschungen für eine feste Frist verhindert, auch durch den eigenen Administrator.
Wie lange soll die unveränderliche Frist sein?
Länger als die Zeit, die ein Angreifer typischerweise unbemerkt im Netz verbringt, bevor er verschlüsselt. Angriffe laufen häufig über Tage bis Wochen. Eine Frist von wenigen Tagen reicht daher nicht; üblich sind mehrere Wochen für die täglichen Sicherungen und länger für Monatsstände. Die Frist wird zusammen mit dem RPO aus der Business-Impact-Analyse und der Aufbewahrungspflicht festgelegt.
Wir sichern alles. Warum trotzdem eine Reihenfolge festlegen?
Weil im Ernstfall nicht alles gleichzeitig wiederhergestellt werden kann und Systeme voneinander abhängen: Ohne Verzeichnisdienst kein Login, ohne Datenbank keine Anwendung, ohne Netz nichts. Die Reihenfolge stammt aus der Business-Impact-Analyse und wird im Wiederherstellungstest geprüft. Wer sie im Ernstfall improvisiert, verliert Tage.
Was bedeutet 'Wiederherstellungstest mit Zeitmessung' konkret?
Ein kritisches System wird aus dem Backup vollständig auf Ersatzhardware oder in eine isolierte Umgebung wiederhergestellt, bis der Fachbereich bestätigt, dass es benutzbar ist. Gemessen wird die Zeit vom Start bis zur Freigabe, inklusive Suche nach Medien, Zugangsdaten und Anleitungen. Diese Zahl wird mit dem RTO verglichen und im Protokoll festgehalten. Ein Test, der nur prüft, ob die Sicherung fehlerfrei durchgelaufen ist, ist kein Wiederherstellungstest.
Sind Backups nach NIS2 vorgeschrieben?
Ja. § 30 BSIG nennt Backup-Management und Wiederherstellung nach einem Notfall ausdrücklich als Maßnahmen zur Aufrechterhaltung des Betriebs. Verlangt werden angemessene Maßnahmen nach dem Stand der Technik; dazu gehören heute eine gegen Löschung geschützte Kopie und der Nachweis, dass die Wiederherstellung getestet wurde. Das Testprotokoll ist der Nachweis, den das BSI, ein Auditor oder ein Versicherer sehen will.
Vertiefung zur Ransomware-Prävention
-
MFA und Zugangsschutz
Multi-Faktor-Authentifizierung überall, phishing-resistente Verfahren wie FIDO2, Least Privilege, Admin-Trennung, Dienstleisterzugänge und Passwortrichtlinie.
-
Phishing und Awareness
Phishing als häufigster Einstieg, SPF, DKIM und DMARC, ein Meldeweg für Mitarbeitende und Trainings mit Simulationen als Nachweis nach NIS2.
-
Ransomware-Prävention im Überblick
Bedrohungslage, Angriffskette, die zehn Maßnahmen, Bezug zu NIS2 und Cyberversicherung und der Reifegrad-Check auf der Startseite.
Tobias Mogk
Würde Ihr Backup einen Angriff überstehen?
Im kostenlosen Erstgespräch gehen wir Ihr Backup-Konzept anhand der Checkliste durch: geschützte Kopie, Zugänge, Alarme, Testrhythmus. Sie erhalten eine ehrliche Einschätzung und die Maßnahme mit dem größten Hebel.
- Prüfung der Offline- oder unveränderlichen Kopie
- Trennung der Backup-Zugänge vom Verzeichnisdienst
- Planung eines Wiederherstellungstests mit Zeitmessung und Protokoll
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen