Backups vor Ransomware schützen: Warum die Sicherung das erste Angriffsziel ist

Ein Backup gilt als letzte Rückfallebene. Wenn die produktive IT ausfällt, verschlüsselt oder gelöscht wird, soll die Datensicherung den Betrieb retten. Genau auf diese Annahme haben sich Angreifer eingestellt. Moderne Ransomware trifft das Backup heute oft zuerst.

Für Geschäftsführer und IT-Verantwortliche verschiebt das die entscheidende Frage: Es geht nicht mehr nur darum, ob ein Backup existiert, sondern ob es einem gezielten Angriff standhält. Wer Backups vor Ransomware schützen will, muss verstehen, wie diese Angriffe ablaufen und was eine Sicherung wirklich widerstandsfähig macht.

Warum Angreifer zuerst das Backup ins Visier nehmen

Daten sind das Rückgrat jedes Unternehmens. Kunden- und Projektdaten, Buchhaltung, Angebote und Verträge, die komplette Firmenhistorie liegt digital vor. Für Cyber-Kriminelle ist das ein Hebel, und dieser Hebel wirkt am stärksten, wenn es keine Möglichkeit gibt, die Daten wiederherzustellen.

Deshalb hat sich das Vorgehen verändert. Bevor die eigentlichen Unternehmensdaten verschlüsselt werden, versuchen Angreifer, vorhandene Backups zu löschen oder ebenfalls zu verschlüsseln. Das Kalkül dahinter ist einfach: Ist die produktive IT betroffen und der Rückgriff auf die Sicherung nicht mehr möglich, lassen sich die unternehmensrelevanten Daten nicht wiederherstellen. Der wirtschaftliche Druck, ein Lösegeld zu zahlen, ist dann maximal. Im schlimmsten Fall steht schlagartig die Handlungsfähigkeit des gesamten Unternehmens auf dem Spiel.

Ohne eine geschützte Sicherung sind die Unternehmensdaten damit doppelt gefährdet: einmal durch den eigentlichen Angriff und ein zweites Mal, weil die Rückfallebene fehlt. Genau hier liegt der blinde Fleck vieler ansonsten solide aufgestellter Betriebe.

Ein vorhandenes Backup ist noch kein geschütztes Backup

In vielen Unternehmen läuft eine Datensicherung zuverlässig im Hintergrund. Das vermittelt Sicherheit, ist aber nur die halbe Miete. Entscheidend ist, ob ein Angreifer das Backup überhaupt erreichen kann.

Liegt die Sicherung dauerhaft im selben Netzwerk und ist über dieselben Zugänge erreichbar wie die produktiven Systeme, dann teilt sie im Angriffsfall deren Schicksal. Wer sich einmal Administratorrechte verschafft hat, kann verbundene Backups oft genauso löschen wie die Originaldaten.

Wichtig: Ein ransomware-sicheres Backup unterscheidet sich deshalb nicht in erster Linie durch die Software oder das Speichermedium, sondern durch eine einfache Eigenschaft: Der Angreifer darf es nicht verändern oder löschen können.

Was ein ransomware-sicheres Backup ausmacht

Damit eine Sicherung einem Angriff standhält, kommt es auf wenige, aber wichtige Prinzipien an:

• • Isolierte Kopie: Mindestens eine Sicherung ist vom produktiven Netz getrennt. Das kann physisch geschehen, etwa über ein Air Gap Backup auf einem Medium, das nach der Sicherung getrennt aufbewahrt wird, oder logisch über eine strikt abgeschottete Umgebung. Was nicht erreichbar ist, kann auch nicht verschlüsselt werden.
  • Unveränderbarkeit: Eine Kopie ist für eine festgelegte Aufbewahrungsfrist weder änderbar noch löschbar, auch nicht mit Administratorrechten. Selbst ein übernommenes Konto kann diese Sicherung dann nicht antasten.
  • Getrennte Zugänge: Die Verwaltung der Backups ist von den übrigen Systemen entkoppelt und zusätzlich abgesichert. Ein einzelnes erbeutetes Passwort öffnet so nicht gleich alle Türen.
  • Getestete Wiederherstellung: Eine Sicherung ist nur so gut wie die Rücksicherung, die daraus gelingt. Regelmäßige Tests zeigen, ob sich Daten im Ernstfall tatsächlich und in vertretbarer Zeit zurückspielen lassen.

Wie viele Kopien auf wie vielen Medien und Standorten sinnvoll sind, fasst die bewährte 3-2-1 Backup Regel zusammen. Sie bildet das Fundament, reicht gegen Ransomware aber nur mit einer zusätzlich isolierten oder unveränderbaren Kopie aus. Wie sich eine Wiederherstellung im Ernstfall organisieren lässt und welche Systeme dabei Vorrang haben, beschreiben wir im Beitrag zum IT-Notfallplan.

Schützt ein Cloud-Backup vor Ransomware?

Cloud-Backups gelten als moderne und bequeme Lösung. Die Frage, ob ein Cloud-Backup vor Ransomware schützt, lässt sich aber nicht pauschal mit Ja beantworten. Eine Sicherung in der Cloud kann gut geschützt sein, wenn sie unveränderbar abgelegt und vom Produktivsystem getrennt ist. Sie kann aber genauso angreifbar sein wie ein lokaler Ordner, wenn sie dauerhaft online erreichbar und mit denselben Zugangsdaten bedienbar ist.

Für Entscheider sind daher zwei Fragen wichtiger als das Etikett „Cloud“: Ist die Sicherung wirklich isoliert und unveränderbar? Und wer kontrolliert die Infrastruktur, auf der die Daten liegen? Gerade bei sensiblen Unternehmensdaten spielt es eine Rolle, ob ein Anbieter die Speicherung transparent macht und nach den Vorgaben der DSGVO in deutschen oder europäischen Rechenzentren arbeitet.

Die richtige Ransomware-Backup-Strategie ist eine Führungsaufgabe

Eine tragfähige Ransomware-Backup-Strategie ist keine rein technische Detailfrage, sondern eine unternehmerische Entscheidung. Sie legt fest, wie viel Datenverlust im Ernstfall verkraftbar ist, wie schnell kritische Systeme wieder laufen müssen und wer im Notfall welche Verantwortung trägt. Diese Fragen gehören auf die Ebene der Geschäftsführung, weil sie unmittelbar die Handlungsfähigkeit des Betriebs betreffen.

Praktisch heißt das: einmal sauber prüfen, wo die Sicherungen liegen, wer darauf zugreifen kann, ob eine isolierte oder unveränderbare Kopie existiert und wann zuletzt eine Rücksicherung erfolgreich getestet wurde. 

Wer diese Punkte kennt, trifft eine fundierte Entscheidung, statt sich auf ein ungeprüftes „Es läuft ja ein Backup“ zu verlassen.