Ein Backup-Job läuft erfolgreich durch. Die Konsole zeigt grünes Licht. Die Daten sind gesichert.
Bis zu dem Moment, in dem ein Cyberangriff stattfindet.
Dann stellt sich plötzlich heraus, dass das Backup zwar vorhanden ist, aber nicht schnell genug wiederhergestellt werden kann. Oder dass der Angreifer auch Zugriff auf die Sicherungskopien hatte. Oder dass wichtige Systeme überhaupt nicht Bestandteil der Backup-Strategie waren.
Genau deshalb ist ein erfolgreicher Backup-Job noch kein Beweis für eine funktionierende Recovery-Strategie.
CISA empfiehlt Unternehmen unter anderem, kritische Backups offline und verschlüsselt aufzubewahren sowie die Verfügbarkeit und Integrität der Sicherungen regelmäßig in einem Disaster-Recovery-Szenario zu testen.
Hier sind sieben typische Fehler, die Unternehmen häufig erst dann erkennen, wenn die Wiederherstellung wirklich benötigt wird.
1. Der Backup-Job ist erfolgreich – aber niemand testet den Restore
Das ist einer der häufigsten Denkfehler.
Ein Backup-System meldet:
„Job erfolgreich abgeschlossen.“
Damit ist zunächst nur bestätigt, dass der Sicherungsvorgang erfolgreich durchgeführt wurde. Es ist damit noch nicht automatisch bewiesen, dass eine Datei, eine virtuelle Maschine oder ein kompletter Server im Ernstfall wiederhergestellt werden kann.
Ein Restore-Test beantwortet dagegen die entscheidende Frage:
Funktioniert die Wiederherstellung tatsächlich?
CISA empfiehlt ausdrücklich, Backup- und Restore-Verfahren regelmäßig zu testen.
Dabei sollte nicht nur eine einzelne Datei wiederhergestellt werden. Je nach Infrastruktur können unterschiedliche Szenarien sinnvoll sein:
- Wiederherstellung einzelner Dateien
- Wiederherstellung eines Benutzerkontos
- Restore einer virtuellen Maschine
- Wiederherstellung einer Datenbank
- Wiederherstellung eines Servers
- Wiederanlauf kritischer Anwendungen
Erst ein dokumentierter Restore-Test zeigt, ob die Backup-Strategie im Ernstfall wirklich funktioniert.
2. Alle Backup-Kopien sind vom gleichen Netzwerk abhängig
Ein weiteres Problem entsteht, wenn Produktionssysteme und Backup-Infrastruktur zu eng miteinander verbunden sind.
Ein Angreifer, der administrative Zugänge kompromittiert, kann versuchen, sich innerhalb der Umgebung weiterzubewegen. Sind Backup-Systeme aus derselben kompromittierten Umgebung heraus erreichbar und veränderbar, können auch die Sicherungskopien zum Angriffsziel werden.
CISA weist darauf hin, dass Ransomware-Varianten versuchen können, erreichbare Backups zu finden und anschließend zu löschen oder zu verschlüsseln.
Deshalb sollte mindestens eine Backup-Kopie so geschützt sein, dass ein Angriff auf die Produktionsumgebung nicht automatisch auch diese Kopie kompromittiert.
Das kann beispielsweise durch Offline-Backups, getrennte Backup-Infrastrukturen oder Immutable Storage umgesetzt werden.
3. Es gibt kein Immutable Backup
Eine normale Backup-Kopie kann – abhängig von Storage und Berechtigungen – unter Umständen gelöscht oder verändert werden.
Bei einem Immutable Backup wird die Sicherung für einen definierten Zeitraum gegen Veränderung oder Löschung geschützt.
Das ist besonders relevant bei Ransomware-Angriffen.
Wenn ein Angreifer Administratorrechte erlangt, kann eine normale Backup-Kopie unter Umständen ebenfalls gefährdet sein. Eine unveränderliche Kopie bildet dagegen eine zusätzliche Schutzschicht.
CISA empfiehlt ausdrücklich, Backup-Daten unter anderem gegen Veränderung und Löschung zu schützen und nennt Immutable Backups als Bestandteil entsprechender Schutzmaßnahmen.
Wichtig ist allerdings: Immutability allein ersetzt keine vollständige Backup- und Security-Strategie.
Auch ein Immutable Backup muss erreichbar, korrekt konfiguriert und im Ernstfall wiederherstellbar sein.
4. Das Unternehmen sichert nicht alle kritischen Daten
„Unser Server wird gesichert“ klingt zunächst beruhigend.
Aber welche Daten liegen tatsächlich auf diesem Server?
Und welche geschäftskritischen Informationen befinden sich außerhalb der klassischen Serverumgebung?
Moderne IT-Landschaften bestehen häufig aus einer Kombination aus:
- virtuellen Maschinen
- physischen Servern
- Microsoft 365
- SharePoint
- OneDrive
- Datenbanken
- SaaS-Anwendungen
- Fileservern
- Cloud-Workloads
- Endgeräten
Eine Backup-Strategie, die nur einen Teil dieser Umgebung berücksichtigt, kann im Krisenfall Lücken hinterlassen.
Deshalb sollte regelmäßig eine Backup-Inventur durchgeführt werden.
Für jedes geschäftskritische System sollte klar sein:
Was wird gesichert, wie häufig wird gesichert, wie lange wird es aufbewahrt und wie wird es wiederhergestellt?
5. Das Backup existiert – aber die Zugangsdaten sind nicht ausreichend geschützt
Backup-Systeme benötigen privilegierte Zugänge.
Genau diese Zugänge sind deshalb besonders schützenswert.
Wenn ein Angreifer Zugriff auf ein privilegiertes Backup-Konto erhält, kann er unter Umständen versuchen, Sicherungen zu löschen, Konfigurationen zu verändern oder die Backup-Infrastruktur zu manipulieren.
Eine moderne Backup-Strategie sollte deshalb auch die administrativen Zugriffsrechte berücksichtigen.
Dazu gehören beispielsweise:
- möglichst wenige privilegierte Konten
- starke Authentifizierung
- getrennte administrative Zugänge
- minimale Berechtigungen
- regelmäßige Überprüfung von Accounts
- Schutz der Backup-Management-Systeme
Die Backup-Infrastruktur sollte nicht wie ein gewöhnlicher Fileserver behandelt werden.
Sie ist selbst ein kritischer Bestandteil der Sicherheitsarchitektur.
6. RPO und RTO sind nicht definiert
Ein Backup kann technisch funktionieren und trotzdem nicht zu den geschäftlichen Anforderungen passen.
Der Grund: Niemand hat festgelegt, wie viel Datenverlust und wie lange Ausfallzeit akzeptabel sind.
Hier kommen zwei wichtige Werte ins Spiel.
RPO – Recovery Point Objective
Das RPO beschreibt, wie viel Datenverlust maximal akzeptiert werden kann.
Beispiel:
Ein Unternehmen definiert ein RPO von vier Stunden. Dann darf der wiederhergestellte Datenstand im definierten Szenario höchstens vier Stunden vom aktuellen Zustand entfernt sein.
RTO – Recovery Time Objective
Das RTO beschreibt, wie schnell ein System nach einem Ausfall wieder verfügbar sein muss.
Ein Beispiel:
Ein kritischer Server muss innerhalb von vier Stunden wieder verfügbar sein.
Dann reicht es nicht aus, lediglich eine Backup-Kopie zu besitzen. Der gesamte Wiederherstellungsprozess muss innerhalb dieses Zeitfensters funktionieren.
Backup-Strategie und Geschäftsanforderungen müssen deshalb zusammenpassen.
7. Das Unternehmen hat ein Backup – aber keinen Recovery-Plan
Der vielleicht größte Fehler besteht darin, Backup und Disaster Recovery als dasselbe Thema zu betrachten.
Ein Backup beantwortet die Frage:
„Haben wir eine Kopie unserer Daten?“
Ein Recovery-Konzept beantwortet dagegen:
„Wie bekommen wir unseren Geschäftsbetrieb nach einem schweren Ausfall wieder zum Laufen?“
Dafür braucht es klare Abläufe.
Zum Beispiel:
- Angriff erkennen und betroffene Systeme isolieren.
- Backup-Infrastruktur schützen.
- Betroffene Systeme analysieren.
- Einen vertrauenswürdigen Restore Point bestimmen.
- Kritische Systeme priorisieren.
- Wiederherstellung kontrolliert durchführen.
- Systeme überprüfen.
- Geschäftsbetrieb schrittweise wieder aufnehmen.
Ohne definierten Ablauf kann selbst ein technisch gutes Backup-System im Krisenfall zu langsam oder unübersichtlich sein.
Warum „3-2-1“ allein nicht die ganze Antwort ist
Die klassische 3-2-1-Regel bleibt eine wichtige Grundlage für Backup-Strategien:
3 Kopien der Daten, 2 unterschiedliche Medien und 1 Kopie außerhalb des primären Standorts.
Für Ransomware-Szenarien reicht die reine Anzahl der Kopien jedoch nicht als alleinige Bewertung.
Entscheidend ist auch:
- Ist eine Kopie offline?
- Ist eine Kopie immutable?
- Kann ein kompromittierter Administrator sie löschen?
- Sind die Daten verschlüsselt?
- Wird die Integrität überprüft?
- Wurde die Wiederherstellung getestet?
Genau deshalb sollte ein Unternehmen nicht nur zählen, wie viele Backups existieren, sondern prüfen, wie unabhängig und widerstandsfähig diese Kopien tatsächlich sind.
CISA empfiehlt für kritische Daten unter anderem offline gespeicherte Backups sowie regelmäßige Tests der Wiederherstellung.
Der wichtigste Test: „Was passiert morgen?“
Eine einfache Übung kann Schwachstellen schnell sichtbar machen.
Stellen Sie sich folgende Situation vor:
Am Montagmorgen sind alle wichtigen Server verschlüsselt.
Dann sollten IT-Verantwortliche innerhalb weniger Minuten beantworten können:
- Wo befindet sich die letzte saubere Backup-Kopie?
- Ist sie vor Veränderung geschützt?
- Wer darf die Wiederherstellung starten?
- Welche Systeme werden zuerst wiederhergestellt?
- Wie lange dauert der Restore?
- Welche Daten können maximal verloren sein?
- Wo befindet sich die Dokumentation?
- Wer entscheidet über die Rückkehr in den Produktivbetrieb?
Wenn mehrere dieser Fragen unbeantwortet bleiben, liegt das Problem möglicherweise nicht beim Backup-Job selbst, sondern beim gesamten Recovery-Konzept.
So lässt sich die Backup-Strategie überprüfen
Unternehmen können ihre Umgebung anhand einer einfachen Checkliste überprüfen.
Backup
Sind alle geschäftskritischen Systeme erfasst?
Schutz
Gibt es mindestens eine Offline- oder Immutable-Kopie?
Zugriff
Sind Backup-Systeme und administrative Konten ausreichend geschützt?
Aufbewahrung
Sind die Retention-Zeiten an die geschäftlichen Anforderungen angepasst?
Überprüfung
Wird die Integrität der Sicherungen regelmäßig kontrolliert?
Restore
Werden Wiederherstellungen praktisch getestet?
Recovery
Sind RPO, RTO und Wiederherstellungsreihenfolge dokumentiert?
Dokumentation
Kann auch ein anderer Administrator den Recovery-Prozess durchführen?
Backup und Ransomware-Schutz gehören zusammen
Ein modernes Backup-Konzept sollte nicht isoliert betrachtet werden.
Es ist eine von mehreren Schutzschichten innerhalb der IT-Sicherheit.
Dazu gehören unter anderem:
Prävention → Erkennung → Isolation → Backup → Recovery
Je besser diese Bereiche zusammenspielen, desto weniger hängt die Wiederherstellung von einer einzigen technischen Maßnahme ab.
Gerade bei Ransomware ist das entscheidend, weil ein Angriff nicht nur Daten verschlüsseln kann, sondern auch versucht werden kann, die Wiederherstellungsmöglichkeiten eines Unternehmens zu beeinträchtigen.
Was Unternehmen jetzt tun sollten
Unternehmen müssen nicht auf den nächsten Cyberangriff warten, um ihre Backup-Strategie zu überprüfen.
Ein sinnvoller erster Schritt ist ein Recovery Readiness Check:
- Alle kritischen Systeme und Daten erfassen.
- Aktuelle Backup-Jobs überprüfen.
- Backup-Kopien auf Unabhängigkeit prüfen.
- Immutable- oder Offline-Kopien kontrollieren.
- Administrative Zugänge überprüfen.
- RPO und RTO definieren.
- Einen Restore-Test durchführen.
- Ergebnisse dokumentieren.
- Schwachstellen priorisieren.
- Recovery-Prozess regelmäßig wiederholen.
Damit wird aus einem einfachen Backup ein planbarer Wiederherstellungsprozess.
Fazit
Die meisten Backup-Probleme entstehen nicht unbedingt dadurch, dass überhaupt keine Sicherung vorhanden ist.
Problematisch wird es, wenn Unternehmen erst während eines Cyberangriffs feststellen, dass der Restore nie getestet wurde, alle Kopien erreichbar sind, wichtige Systeme fehlen, die Zugangskontrolle nicht ausreicht oder niemand genau weiß, wie die Wiederherstellung ablaufen soll.
Ein grüner Backup-Status ist deshalb nur ein Teil der Geschichte.
Entscheidend ist die Frage:
Kann das Unternehmen nach einem erfolgreichen Cyberangriff auf eine vertrauenswürdige Backup-Kopie zurückgreifen und seinen Geschäftsbetrieb innerhalb der definierten Anforderungen wiederherstellen?
Wenn die Antwort darauf nicht eindeutig „ja“ lautet, sollte die Backup- und Recovery-Strategie überprüft werden.
