Backups gegen Ransomware: 3-2-1-Regel, unveränderbare Kopien und Tests

Warum viele Backups einen Ransomware-Angriff nicht überstehen

Moderne Ransomware-Angriffe beginnen selten mit der Verschlüsselung. Häufig verschaffen sich die Täter zuerst Administratorrechte und suchen dann gezielt nach Sicherungen, um sie zu löschen oder mitzuverschlüsseln. Ein Backup, das im selben Netz liegt und mit demselben Admin-Konto erreichbar ist, fällt dann gemeinsam mit den Produktivdaten aus.

Damit ein Backup einen solchen Angriff übersteht und sich danach auch zurückspielen lässt, braucht es drei Dinge: Mindestens eine Kopie ist offline oder unveränderbar, die Backup-Umgebung hat eigene, getrennte Zugangsdaten, und die Wiederherstellung wurde nachweislich getestet. Was im Ernstfall in den ersten Stunden zu tun ist, beschreibt unser Beitrag Ransomware: die ersten 24 Stunden. Hier geht es um die Vorbereitung.

Die 3-2-1-Regel und die Erweiterung 3-2-1-1-0

Die 3-2-1-Regel ist seit vielen Jahren die Grundlage von Backup-Strategien. Sie verteilt das Risiko so, dass ein einzelner Hardwaredefekt, ein Brand oder ein Bedienfehler nicht alle Kopien gleichzeitig trifft. Gegen Ransomware reicht sie allein nicht mehr aus, weil auch die externe Kopie oft online erreichbar ist. Deshalb wird heute häufig die Erweiterung 3-2-1-1-0 empfohlen.

Entscheidend ist die zweite Eins. Eine externe Kopie in der Cloud hilft wenig, wenn der Angreifer sie mit erbeuteten Zugangsdaten genauso leicht löschen kann wie die lokale. In der Praxis erfüllt oft ein und dieselbe Kopie beide Einsen: die externe Sicherung, die zusätzlich unveränderbar gespeichert wird.

Die geschützte Kopie: offline oder unveränderbar, mit eigenem Zugang

Offline-Kopie

Eine Offline-Kopie ist physisch vom Netz getrennt, etwa eine Wechselfestplatte, die nach der Sicherung abgesteckt wird, oder ein Sicherungsband, das aus dem Laufwerk entnommen wird. Man spricht auch von einem Air Gap. Über das Netzwerk ist eine solche Kopie nicht erreichbar, sie verlangt aber Disziplin: Jemand muss die Medien zuverlässig wechseln, beschriften und außer Haus lagern. Für kleinere Betriebe ist das oft ein guter und günstiger Einstieg.

Unveränderbare Kopie (Immutable Backup)

Bei einem unveränderbaren Backup bleibt der Speicher online, aber jede Sicherung wird für eine festgelegte Frist gegen Änderung und Löschung gesperrt. Das gelingt zum Beispiel mit S3-kompatiblem Objektspeicher und Object Lock oder mit gehärteten Backup-Repositorys. Wichtig ist, dass sich die Sperrfrist auch mit Administratorrechten nicht vorzeitig aufheben lässt. Prüfen Sie daher, ob Ihr Anbieter einen solchen strengen Modus bietet und ob er tatsächlich aktiviert ist.

Getrennte Zugangsdaten für die Backup-Umgebung

Viele Backups scheitern nicht an der Technik, sondern an den Zugangsdaten. Wenn das Domänen-Admin-Konto auch die Backup-Konsole öffnet, reicht ein einziges erbeutetes Konto, um Daten und Sicherungen zugleich zu zerstören. Trennen Sie die Backup-Umgebung deshalb konsequent von der übrigen IT:

• Eigene Konten für die Backup-Verwaltung verwenden, die nicht Teil der Windows-Domäne sind und mit Multi-Faktor-Authentifizierung geschützt werden.
• Den Backup-Server nach Möglichkeit nicht in die Domäne aufnehmen und nur die Netzwerkverbindungen erlauben, die er tatsächlich braucht.
• Den Schlüssel für verschlüsselte Backups getrennt aufbewahren, etwa im Passwortmanager und zusätzlich auf Papier im Safe. Ohne Schlüssel ist auch eine sorgfältig erstellte Sicherung wertlos.
• Benachrichtigungen aktivieren, wenn Sicherungen gelöscht, Aufbewahrungsfristen verkürzt oder Jobs deaktiviert werden.

RPO und RTO: Wie viel Datenverlust und Ausfallzeit vertretbar sind

Zwei Kennzahlen helfen bei der Wahl der passenden Lösung. Der RPO (Recovery Point Objective) gibt an, wie viel Datenverlust höchstens vertretbar ist, gemessen als Zeitraum. Läuft das Backup einmal pro Nacht, können bis zu 24 Stunden Arbeit verloren gehen. Wer weniger riskieren will, sichert häufiger, etwa mehrmals täglich. Der RTO (Recovery Time Objective) beschreibt, wie lange ein System höchstens ausfallen darf, bis es wieder läuft.

Legen Sie beide Werte gemeinsam mit der Geschäftsleitung pro System fest, nicht pauschal. Die Buchhaltung verträgt vielleicht einen Tag Ausfall, das Kassensystem oder die Auftragsabwicklung nur wenige Stunden. Bedenken Sie auch, dass das Zurückspielen großer Datenmengen aus der Cloud je nach Bandbreite lange dauern kann. Eine lokale Kopie für schnelle Wiederherstellungen plus eine geschützte externe Kopie ist daher oft die sinnvolle Kombination.

Was gesichert werden sollte: mehr als der Dateiserver

Bei einer Bestandsaufnahme zeigt sich oft, dass wichtige Daten auch außerhalb des klassischen Servers liegen. Diese Bereiche gehören in das Backup-Konzept:

• Server und virtuelle Maschinen: Dateiserver, Datenbanken, ERP, Buchhaltung und Anwendungsserver, idealerweise als vollständiges Image.
• Microsoft 365: Exchange-Postfächer, OneDrive, SharePoint und Teams-Dateien. Microsoft sorgt für den Betrieb der Plattform, für den Schutz Ihrer Daten vor Löschung, Verschlüsselung oder Fehlbedienung bleiben Sie selbst verantwortlich. Mehr dazu im Beitrag Microsoft 365 absichern.
• NAS-Systeme: Sie sind oft selbst der Speicherort wichtiger Daten und brauchen dann eine eigene Sicherung auf ein anderes System.
• Netzwerk- und Sicherheitsgeräte: Konfigurationen von Firewall, Switches, WLAN-Controller und Videorekorder. Ohne sie dauert der Wiederaufbau deutlich länger.
• Dokumentation: Netzwerkpläne, Notfallhandbuch und Wiederherstellungsanleitung, zusätzlich offline oder ausgedruckt.

Wiederherstellung testen und dokumentieren

Ein Backup, das nie zurückgespielt wurde, ist eine Annahme. Erst der Test zeigt, ob die Daten vollständig sind, ob der Schlüssel funktioniert und ob die Wiederherstellung in der geplanten Zeit gelingt. Ein einfacher Testplan kann so aussehen:

1. Monatlich einzelne Dateien, Ordner und ein Postfach wiederherstellen.
2. Vierteljährlich einen kompletten Server in eine isolierte Testumgebung zurückspielen und die benötigte Zeit mit dem RTO vergleichen.
3. Backup-Berichte täglich prüfen oder automatisch auswerten lassen und jeder Warnung nachgehen.
4. Ergebnis, Dauer und Probleme jedes Tests kurz protokollieren.
5. Die Wiederherstellungsanleitung nach jeder Änderung aktualisieren und eine Kopie außerhalb der IT-Systeme aufbewahren.

Häufige Fehler und wie Sie sie vermeiden

• Backup auf demselben NAS: Liegen Daten und Sicherung auf einem Gerät, verlieren Sie bei Defekt oder Verschlüsselung beides. Snapshots auf dem NAS sind nützlich, ersetzen aber keine getrennte Kopie.
• Dauerhaft angesteckte USB-Festplatte: Eine Festplatte, die ständig verbunden ist, wird bei einem Angriff mitverschlüsselt.
• Nie getestet: Fehlerhafte Jobs, fehlende Daten oder ein verlorener Schlüssel fallen sonst erst im Ernstfall auf.
• Zu kurze Aufbewahrung: Angreifer bleiben oft länger unentdeckt. Halten Sie mehrere Generationen über Wochen vor, damit ein sauberer Stand verfügbar ist.
• Ignorierte Warnmeldungen: Ein Job, der seit Wochen fehlschlägt, fällt ohne regelmäßige Kontrolle niemandem auf.

Fazit: Ein Backup ist erst fertig, wenn die Wiederherstellung gelingt

Ein Backup, das Ransomware übersteht, ist kein einzelnes Produkt, sondern das Zusammenspiel aus 3-2-1-1-0, getrennten Zugängen, klaren RPO- und RTO-Werten und regelmäßigen Tests. Wenn Sie Ihr bestehendes Konzept prüfen oder neu aufsetzen möchten, unterstützt Sie Q-entra dabei im Rahmen von Cyber Security. Mit Managed Security übernehmen wir auf Wunsch auch die laufende Backup-Kontrolle und die Wiederherstellungstests.