Eine belastbare Sicherungsstrategie gegen Ransomware besteht nicht aus einem einzelnen Backup-Produkt, sondern aus mehreren voneinander getrennten Wiederherstellungswegen. Mindestens eine Sicherungskopie muss für Angreifer und kompromittierte Administratorkonten unerreichbar oder unveränderbar sein. Ebenso wichtig sind getrennte Zugangsdaten, überwachte Sicherungsläufe und regelmäßig geprüfte Wiederherstellungen. Erst wenn sich Dateien, Server und zentrale Identitätsdienste innerhalb der benötigten Zeit zurückholen lassen, schützt das Backup den Geschäftsbetrieb tatsächlich.
Als Planungsmodell eignet sich die 3-2-1-1-0-Regel: drei Datenkopien auf zwei unterschiedlichen Speicherarten, eine Kopie außerhalb des Hauptstandorts, eine weitere offline oder unveränderlich und null ungeklärte Fehler nach der Prüfung. Die Zahlen sind kein Selbstzweck. Sie zwingen dazu, Ausfälle des Produktivsystems, des lokalen Standorts und der administrativen Vertrauenskette getrennt zu betrachten.
Warum eine normale Sicherung im Firmennetz nicht genügt
Ransomware verschlüsselt nicht zwingend nur sichtbare Dokumente auf einem Windows-PC. Nach einer erfolgreichen Ausbreitung können auch Netzfreigaben, verbundene Sicherungslaufwerke, NAS-Systeme und erreichbare Backup-Repositories betroffen sein. Besitzt der Angreifer administrative Rechte, kann er unter Umständen Sicherungsaufträge manipulieren, Aufbewahrungszeiten verkürzen oder Wiederherstellungspunkte löschen.
Ein täglich ausgeführtes Backup ist daher noch kein belastbarer Schutz. Entscheidend ist die Frage, ob dieselbe kompromittierte Identität sowohl die Produktivdaten als auch sämtliche Sicherungskopien verändern kann. Lautet die Antwort ja, besteht trotz erfolgreicher Sicherungsprotokolle ein gemeinsamer Ausfallpunkt.
Auch die Windows-Schattenkopien über den Volumeschattenkopie-Dienst sind keine unabhängige Sicherung. Sie erleichtern bestimmte lokale Wiederherstellungen, liegen aber gewöhnlich im Einflussbereich des betroffenen Systems. Ein Angreifer mit ausreichenden Rechten oder ein schwerer Datenträgerfehler kann diesen Rückweg beseitigen. Schattenkopien dürfen eine getrennte Datensicherung ergänzen, aber nicht ersetzen.
Die Schutzarchitektur aus vier Sicherungsebenen
Für Windows-PCs, Server und Unternehmensanwendungen ist eine gestaffelte Architektur sinnvoll. Jede Ebene deckt einen anderen Schadensfall ab und erhält eine eigene administrative Grenze.
1. Schnelle lokale Wiederherstellung
Eine lokale Sicherung ermöglicht kurze Wiederanlaufzeiten bei versehentlich gelöschten Dateien, einem defekten Datenträger oder einem ausgefallenen Server. Sie kann auf einem dedizierten Repository oder einer dafür vorgesehenen Backup-Appliance liegen. Dieses Ziel sollte nicht als gewöhnliches Netzlaufwerk dauerhaft für Benutzer und Arbeitsstationen beschreibbar sein.
Die lokale Kopie ist schnell, aber nicht die letzte Verteidigungslinie. Wird der Standort beschädigt oder die Sicherungsverwaltung übernommen, kann sie ausfallen. Ihr Zweck ist Geschwindigkeit, nicht die alleinige Absicherung gegen einen vollständigen Sicherheitsvorfall.
2. Unveränderbare Sicherung
Eine unveränderbare Kopie lässt sich während einer festgelegten Aufbewahrungsdauer nicht regulär überschreiben oder löschen. Je nach Plattform wird diese Eigenschaft durch Objektsperren, festgeschriebene Aufbewahrungsmodi oder ein gehärtetes Repository umgesetzt. Die Einstellung muss auf der Speicherseite erzwungen werden. Ein schreibgeschütztes Kontrollkästchen in einer Backup-Anwendung genügt nicht, wenn ein übergeordnetes Speicherkonto die Daten trotzdem entfernen kann.
Unveränderbarkeit schützt allerdings nur die bereits gesicherten Wiederherstellungspunkte. Zu kurze Aufbewahrungszeiträume, unbemerkte Sicherungsfehler oder bereits vor der Sicherung verschlüsselte Daten bleiben problematisch. Diese Ebene braucht daher eine zweite zeitliche Perspektive mit mehreren Generationen.
3. Offline- oder logisch isolierte Kopie
Eine Offline-Sicherung besitzt während des normalen Betriebs keinen beschreibbaren Pfad aus dem Unternehmensnetz. Das kann ein korrekt gewechselter Datenträger sein, der anschließend physisch getrennt und sicher gelagert wird. Eine logisch isolierte Kopie kann ebenfalls geeignet sein, wenn Anmeldung, Verwaltung, Netzwerkpfad und Löschberechtigung vom Produktivnetz getrennt sind.
Ein nur ausgeschaltetes NAS ist nicht automatisch ein verlässlicher Air Gap. Bleiben Verwaltungszugang, Zugangsdaten und Netzkonfiguration identisch, entsteht beim erneuten Einschalten derselbe Vertrauenspfad. Entscheidend ist die kontrollierte Trennung und nicht allein der Betriebszustand des Geräts.
4. Kopie außerhalb des Hauptstandorts
Eine externe Kopie deckt Brand, Wasserschaden, Diebstahl und einen größeren Standortausfall ab. Cloud-Speicher kann diese Rolle übernehmen, sofern Mandant, Berechtigungen, Aufbewahrung und Löschschutz passend eingerichtet sind. Alternativ ist ein zweiter, administrativ getrennter Standort möglich.
Eine bloße Synchronisierung ist kein Ersatz für versionierte Sicherungen. Werden verschlüsselte oder gelöschte Dateien sofort repliziert, erreicht der Schaden auch das Ziel. Die externe Ebene benötigt eigenständige Wiederherstellungspunkte und eine Aufbewahrung, die ältere, noch intakte Datenstände erhält.
3-2-1-1-0 auf Windows-Systeme übertragen
Die Regel lässt sich für eine typische Windows-Umgebung als Entscheidungsraster verwenden. Die Produktivdaten auf Arbeitsstationen, Dateiservern oder Anwendungsservern bilden die erste Kopie. Eine lokale Sicherung auf einem dedizierten Ziel ist die zweite. Eine räumlich getrennte Sicherung bildet die dritte Kopie. Mindestens ein Ziel verwendet eine andere Speicher- oder Zugriffstechnik, und mindestens eine Kopie ist offline oder unveränderbar.
- Drei Kopien: Produktivbestand plus zwei eigenständige Sicherungskopien.
- Zwei Speicherarten: Keine vollständige Abhängigkeit von einem einzigen Gerät, Dateisystem, Speicherdienst oder Verwaltungsweg.
- Eine externe Kopie: Wiederherstellung trotz Verlust des primären Standorts.
- Eine isolierte Kopie: Schutz vor Löschung oder Veränderung durch kompromittierte Konten.
- Null ungeklärte Fehler: Sicherungsjobs, Integritätsprüfungen und Wiederherstellungstests enden ohne übersehene Warnungen.
Die Regel garantiert keine erfolgreiche Wiederherstellung. Sie ist ein Architekturrahmen. Ein verschlüsseltes, aber nicht entschlüsselbares Backup, ein unbekanntes Kennwort oder eine unvollständige Anwendungsdatenbank erfüllt möglicherweise die Kopienzahl und scheitert trotzdem im Notfall.
RPO und RTO bestimmen Umfang und Taktung
Zwei Zielwerte entscheiden darüber, wie häufig gesichert werden muss und wie schnell die Wiederherstellung ablaufen soll. Das Recovery Point Objective, kurz RPO, bezeichnet den maximal hinnehmbaren Datenverlust gemessen in Zeit. Ein RPO von vier Stunden bedeutet, dass im Störungsfall höchstens die Änderungen der vergangenen vier Stunden fehlen sollen. Das Recovery Time Objective, kurz RTO, beschreibt die angestrebte Zeit bis zur Wiederaufnahme der benötigten Funktion.
Diese Werte sollten nicht pauschal für das gesamte Unternehmen festgelegt werden. Ein Dateiserver mit Vertragsdokumenten, ein Verzeichnisdienst, eine Produktionsdatenbank und ein selten verwendetes Archiv haben unterschiedliche Anforderungen. Je kürzer RPO und RTO ausfallen, desto höher sind gewöhnlich Aufwand, Speicherbedarf und Anforderungen an Automatisierung sowie Ersatzsysteme.
Eine sinnvolle Priorisierung beginnt bei den Geschäftsprozessen:
- Ermittle, welche Anwendung oder Datenquelle einen kritischen Prozess trägt.
- Lege fest, wie viel Datenverlust dieser Prozess organisatorisch verkraftet.
- Bestimme die maximal tolerierbare Unterbrechung.
- Ordne Abhängigkeiten wie Active Directory, DNS, Zertifikate, Datenbanken und Dateifreigaben zu.
- Wähle Sicherungsrhythmus, Aufbewahrung und Wiederherstellungstechnik anhand dieser Vorgaben.
Ein tägliches Backup kann für ein Archiv ausreichen, während eine laufend veränderte Datenbank häufigere anwendungskonsistente Sicherungen benötigt. Das RPO darf nicht mit der Aufbewahrungsdauer verwechselt werden: Häufige Sicherungen begrenzen den zeitlichen Datenverlust, mehrere Generationen ermöglichen den Rücksprung vor einen länger unentdeckten Angriff.
Identitäten und Backup-Verwaltung vom Windows-Netz trennen
Die wichtigste technische Grenze verläuft zwischen Produktivverwaltung und Sicherungsverwaltung. Domänen-Administratorkonten sollten nicht automatisch Zugriff auf alle Backup-Ziele und deren Löschfunktionen besitzen. Umgekehrt sollte das Konto des Sicherungsdienstes keine unnötigen Rechte auf Arbeitsstationen und Servern erhalten.
- Verwende separate Administratorkonten für Backup-Konsole, Speicherziel und Produktivumgebung.
- Schütze interaktive Anmeldungen an der Sicherungsverwaltung mit Mehrfaktor-Authentifizierung, sofern die Plattform dies unterstützt.
- Nutze für Sicherungsdienste eigene Dienstkonten mit möglichst eng begrenzten Rechten.
- Bewahre Wiederherstellungsschlüssel, Notfallzugänge und Verfahrensunterlagen außerhalb der betroffenen Windows-Domäne auf.
- Beschränke Verwaltungszugriffe auf definierte Geräte oder ein separates Verwaltungsnetz.
- Protokolliere Änderungen an Aufbewahrung, Sicherungszielen, Konten und Löschregeln.
Die Trennung muss auch im Notbetrieb funktionieren. Liegen Kennwörter, Verschlüsselungsschlüssel und Wiederanlaufplan ausschließlich auf einem verschlüsselten Dateiserver, sind sie im entscheidenden Moment nicht verfügbar. Eine geschützte Offline-Kopie der notwendigen Zugangsinformationen gehört deshalb zum Wiederherstellungskonzept.
Nicht nur Dateien sichern: Abhängigkeiten erfassen
Unternehmensdaten lassen sich oft erst zusammen mit ihrer Anwendung sinnvoll verwenden. Das Kopieren einzelner Datenbankdateien im laufenden Betrieb kann einen technisch vorhandenen, aber inkonsistenten Stand erzeugen. Sicherungssoftware muss die jeweilige Anwendung unterstützen oder einen dokumentierten konsistenten Export verwenden.
Für Windows-Infrastrukturen sind insbesondere Systemzustand, Verzeichnisdienste, Zertifikatsdienste, virtuelle Maschinen, Anwendungsdatenbanken und Konfigurationen zu bewerten. Bei Active Directory reicht es nicht, nur einen beliebigen Domänencontroller als virtuelle Maschine zu kopieren. Der Wiederherstellungsplan muss berücksichtigen, welche Rollen und abhängigen Dienste für Anmeldung, Namensauflösung und Verwaltung benötigt werden.
Cloud-Dienste brauchen ebenfalls eine bewusste Entscheidung. Papierkorb, Versionsverlauf und Aufbewahrungsfunktionen eines Dienstes können nützlich sein, sind aber nicht automatisch eine unabhängige Sicherung unter eigener Kontrolle. Prüfe für Microsoft 365 und andere Plattformen getrennt, welche Datenarten erfasst werden, wie lange Versionen verfügbar bleiben, wer sie löschen kann und ob eine Wiederherstellung ganzer Strukturen möglich ist.
Aufbewahrung gegen spät entdeckte Angriffe planen
Ransomware kann einer sichtbaren Verschlüsselung eine längere Phase der Ausspähung vorausgehen lassen. Werden ausschließlich wenige kurzfristige Sicherungspunkte aufbewahrt, enthalten möglicherweise alle noch vorhandenen Generationen manipulierte Dateien oder kompromittierte Konfigurationen. Eine gestaffelte Aufbewahrung mit kurzfristigen, wöchentlichen und längerfristigen Ständen vergrößert den nutzbaren Rückblick.
Die passende Dauer hängt von Änderungsrate, Erkennungszeit, gesetzlichen Vorgaben, Speicherbudget und Wiederherstellungsbedarf ab. Ein pauschaler Zeitraum wäre für unterschiedliche Unternehmen nicht belastbar. Entscheidend ist, dass alte Generationen nicht allein durch den kompromittierten Sicherungsserver verkürzt oder gelöscht werden können. Änderungen an der Aufbewahrung sollten eine zusätzliche Freigabe, Verzögerung oder speicherseitige Sperre auslösen.
Der Restore-Test entscheidet über die Qualität
Ein grüner Sicherungsstatus beweist nur, dass ein Auftrag nach den Regeln der Software beendet wurde. Ein Restore-Test prüft dagegen, ob die benötigten Daten lesbar, vollständig und innerhalb des vorgesehenen RTO wieder nutzbar sind. Dabei sollten nicht nur einzelne Dateien, sondern regelmäßig auch vollständige Systeme oder Anwendungen in einer isolierten Umgebung wiederhergestellt werden.
Ein belastbarer Test erfasst mindestens den ausgewählten Wiederherstellungspunkt, die benötigte Zeit, aufgetretene Fehler, fehlende Abhängigkeiten und die fachliche Prüfung der Daten. Bei einer Datenbank genügt es nicht, dass Dateien extrahiert wurden; die Anwendung muss den wiederhergestellten Bestand öffnen und konsistent verarbeiten können. Bei einem Windows-Server gehören Startfähigkeit, Dienste, Freigaben und Berechtigungen zur Kontrolle.
Automatische Integritätsprüfungen sind hilfreich, ersetzen aber keinen organisatorischen Wiederanlauf. Der Test muss zeigen, dass verantwortliche Personen Zugang zur Sicherung haben, die Reihenfolge der Systeme kennen und auch bei ausgefallener Domäne oder nicht verfügbarem Hauptstandort handeln können.
Entscheidungsfolge für die Auswahl der Strategie
Die folgende Reihenfolge verhindert, dass ein Unternehmen zuerst ein Produkt kauft und erst später seine Wiederherstellungsziele definiert:
- Daten und Dienste klassifizieren: Ordne jedem geschäftskritischen Prozess seine Windows-Server, Endgeräte, Cloud-Daten und technischen Abhängigkeiten zu.
- RPO und RTO festlegen: Bestimme Datenverlust und Ausfallzeit je Schutzklasse, nicht als einen einzigen Wert für alle Systeme.
- Angreiferpfade prüfen: Ermittle, welche Konten Produktivdaten, Backup-Konsole, Repository und Aufbewahrungsregeln verändern können.
- Kopien verteilen: Plane lokale, externe und isolierte Wiederherstellungspunkte mit mehreren Generationen.
- Schlüssel und Notfallzugänge absichern: Sorge dafür, dass Verschlüsselungsschutz nicht zum eigenen Wiederherstellungshindernis wird.
- Wiederanlauf proben: Miss echte Wiederherstellungszeiten und passe Architektur oder Zielwerte an, wenn das RTO verfehlt wird.
Wenn alle Sicherungen mit einem Domänenkonto löschbar sind, muss zuerst die administrative Trennung verbessert werden. Wenn eine isolierte Kopie vorhanden ist, der Restore aber das RTO deutlich überschreitet, wird zusätzlich eine schnelle lokale Wiederherstellungsebene benötigt. Wenn Tests zwar technisch gelingen, aber ältere saubere Stände fehlen, ist die Aufbewahrungsstaffel zu kurz. Diese drei Befunde verlangen unterschiedliche Maßnahmen und sollten nicht durch den Kauf weiterer Speicherkapazität miteinander vermischt werden.
Warnsignale bei bestehenden Backup-Konzepten
Bestimmte Merkmale zeigen, dass eine Sicherungsumgebung bei einem Ransomware-Vorfall wahrscheinlich keinen eigenständigen Rückweg bietet:
- Das Backup-Ziel ist dauerhaft als beschreibbare Freigabe an vielen Windows-Systemen eingebunden.
- Dasselbe Administratorkonto verwaltet Domäne, Backup-Server und Speicherplattform.
- Synchronisierung wird als einzige externe Kopie betrachtet.
- Alle Wiederherstellungspunkte besitzen nur eine kurze, identische Aufbewahrung.
- Erfolgs-E-Mails werden kontrolliert, Wiederherstellungen aber nicht durchgeführt.
- Verschlüsselungsschlüssel und Notfallanleitung liegen nur innerhalb der geschützten Umgebung.
- Cloud-Daten gelten ohne Prüfung von Löschrechten, Versionierung und Exportmöglichkeiten als automatisch gesichert.
- Niemand kennt die Reihenfolge, in der Identitätsdienst, Netzwerkdienste, Anwendungen und Dateidaten zurückkehren müssen.
Schon ein einzelnes Warnsignal bedeutet nicht zwangsläufig, dass das gesamte Konzept unbrauchbar ist. Es benennt jedoch eine überprüfbare Schwachstelle. Vorrang haben gemeinsame Ausfallpunkte, durch die ein Konto oder ein Angriffspfad alle Kopien erreichen kann.
Woran sich eine tragfähige Sicherungsstrategie erkennen lässt
Eine wirksame Ransomware-Absicherung verbindet schnelle lokale Restores mit einer externen und einer isolierten Kopie. Sie trennt Backup-Identitäten von der Windows-Produktivumgebung, erhält mehrere zeitlich gestaffelte Generationen und bezieht Anwendungen sowie zentrale Infrastruktur ein. Ihre Qualität wird nicht an der Zahl gespeicherter Terabyte gemessen, sondern an nachgewiesenen Wiederherstellungen innerhalb der vereinbarten RPO- und RTO-Ziele.
Die wichtigste Abschlussprüfung ist einfach: Kann ein kompromittiertes Administratorkonto alle Sicherungen löschen, ist die Architektur noch nicht ausreichend getrennt. Bleibt mindestens ein geprüfter, sauberer Wiederherstellungsweg erhalten und ist sein Ablauf dokumentiert, besitzt das Unternehmen eine realistische Grundlage für den Wiederanlauf nach einem Ransomware-Angriff.
