Ein Backup ist eine der wichtigsten Schutzmaßnahmen gegen Datenverlust. Doch im Jahr 2026 reicht es nicht mehr aus, einfach regelmäßig eine Kopie der Unternehmensdaten zu erstellen.
Der Grund ist einfach: Ransomware kann nicht nur Produktionsdaten verschlüsseln, sondern auch versuchen, erreichbare Backups zu löschen, zu verschlüsseln oder unbrauchbar zu machen. Genau deshalb empfiehlt die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA), kritische Backups offline und verschlüsselt aufzubewahren, sie gegen Veränderungen zu schützen und ihre Wiederherstellbarkeit regelmäßig zu testen.
Für Unternehmen verändert das die zentrale Frage. Es geht nicht mehr nur darum, ob ein Backup vorhanden ist, sondern darum, ob es einen Ransomware-Angriff tatsächlich übersteht und anschließend zuverlässig wiederhergestellt werden kann.
Warum klassische Backups im Ernstfall an ihre Grenzen kommen
Ein typisches Backup-Konzept sieht zunächst beruhigend aus: Die Daten werden regelmäßig gesichert und auf einem NAS, einem Backup-Server oder einem anderen Speichersystem abgelegt.
Das Problem entsteht, wenn Backup und Produktionsumgebung zu eng miteinander verbunden sind.
Gelingt es einem Angreifer, administrative Zugänge zu kompromittieren, kann er unter Umständen auch auf Backup-Systeme zugreifen. Sind die Sicherungen dauerhaft online und veränderbar, können sie ebenfalls zum Angriffsziel werden.
CISA weist ausdrücklich darauf hin, dass Ransomware-Varianten versuchen können, erreichbare Backups zu finden und zu löschen oder zu verschlüsseln, um eine Wiederherstellung zu verhindern.
Ein erfolgreich abgeschlossener Backup-Job bedeutet deshalb noch lange nicht, dass ein Unternehmen im Ernstfall geschützt ist.
Backup ist nicht gleich Recovery
Eine funktionierende Datensicherung besteht aus mehreren Komponenten.
Ein Unternehmen sollte mindestens fünf Fragen beantworten können:
- Werden die wichtigen Daten tatsächlich vollständig gesichert?
- Sind mehrere unabhängige Kopien vorhanden?
- Kann ein Angreifer die Backups löschen oder verändern?
- Gibt es eine Kopie außerhalb der produktiven Umgebung?
- Wurde die Wiederherstellung tatsächlich getestet?
Gerade der letzte Punkt wird häufig unterschätzt.
Ein Backup, das theoretisch vorhanden ist, aber im Notfall nicht wiederhergestellt werden kann, erfüllt seinen eigentlichen Zweck nicht.
Deshalb sollte eine moderne Backup-Strategie nicht bei der erfolgreichen Sicherung enden. Recovery muss ein fester Bestandteil des Konzepts sein.
Was bedeutet Immutable Backup?
Eine wichtige Schutzschicht gegen Ransomware ist die sogenannte Immutability.
Ein Immutable Backup kann während eines definierten Schutzzeitraums nicht einfach verändert oder gelöscht werden. Bei entsprechenden Storage-Technologien wird beispielsweise verhindert, dass Backup-Daten innerhalb dieser Periode überschrieben oder entfernt werden.
Veeam beschreibt Immutable Backups als einen wichtigen Bestandteil einer modernen Strategie gegen Ransomware. Dabei kommen unter anderem WORM-basierte Speichermechanismen zum Einsatz.
Für Unternehmen bedeutet das:
Selbst wenn ein Angreifer Zugriff auf Teile der IT-Infrastruktur erhält, ist eine geschützte Backup-Kopie nicht automatisch genauso angreifbar wie die Produktionsdaten.
Das macht Immutability allerdings nicht zu einer vollständigen Sicherheitslösung. Sie ist eine zusätzliche Schutzschicht innerhalb eines umfassenderen Backup- und Recovery-Konzepts.
Offline-Backup und Air Gap
Neben Immutable Storage spielt die Trennung vom produktiven Netzwerk eine wichtige Rolle.
Ein Offline-Backup ist während des normalen Betriebs nicht dauerhaft erreichbar. Dadurch wird die Angriffsfläche reduziert.
Auch CISA empfiehlt Unternehmen, kritische Backups offline aufzubewahren und die Wiederherstellbarkeit regelmäßig zu testen.
Je nach Unternehmensgröße und Infrastruktur können dafür unterschiedliche Ansätze eingesetzt werden:
- Offline-Speicher
- getrennte Backup-Infrastruktur
- Air-Gapped Backups
- Immutable Object Storage
- Tape
- geografisch getrennte Backup-Kopien
Entscheidend ist nicht das Schlagwort, sondern die konkrete Architektur: Ein erfolgreicher Angriff auf die Produktionsumgebung darf nicht automatisch den Zugriff auf alle Backup-Kopien ermöglichen.
Die 3-2-1-Regel reicht nicht immer allein
Die klassische 3-2-1-Regel ist weiterhin eine wichtige Grundlage:
3 Kopien der Daten
2 unterschiedliche Speichermedien
1 Kopie an einem anderen Standort
Für den Schutz vor modernen Ransomware-Szenarien wird dieses Prinzip häufig um zusätzliche Anforderungen erweitert.
Veeam beschreibt dafür die 3-2-1-1-0-Regel:
- 3 Kopien der Daten
- 2 unterschiedliche Medientypen
- 1 Kopie außerhalb des primären Standorts
- 1 Offline- oder Immutable-Kopie
- 0 ungeprüfte Fehler bei der Backup-Verifikation
Die zusätzliche Offline- beziehungsweise Immutable-Kopie soll verhindern, dass ein Angriff gleichzeitig Produktionsdaten und sämtliche Sicherungskopien kompromittiert. Die „0“ steht für die Überprüfung der Wiederherstellbarkeit beziehungsweise Backup-Integrität.
Damit verschiebt sich der Fokus von einer reinen Backup-Strategie hin zu einer Resilienz-Strategie.
Warum regelmäßige Restore-Tests unverzichtbar sind
Viele Unternehmen kontrollieren ihre Backup-Systeme anhand einer einfachen Frage:
War der letzte Backup-Job erfolgreich?
Das ist wichtig, aber nicht ausreichend.
Ein erfolgreicher Job bestätigt zunächst nur, dass die Sicherung abgeschlossen wurde. Er beantwortet nicht automatisch die Frage, ob die Daten im Notfall tatsächlich wiederhergestellt werden können.
Deshalb sollten Unternehmen regelmäßig unterschiedliche Wiederherstellungsszenarien testen:
Einzelne Datei
Kann eine versehentlich gelöschte Datei schnell wiederhergestellt werden?
Benutzerkonto oder Postfach
Kann ein einzelnes Benutzerobjekt beziehungsweise ein geschäftskritisches Postfach wiederhergestellt werden?
Virtuelle Maschine
Kann eine komplette VM nach einem Ausfall wiederhergestellt und gestartet werden?
Kritischer Server
Wie lange dauert die Wiederherstellung eines geschäftskritischen Systems?
Größerer Cyberangriff
Was passiert, wenn mehrere Systeme gleichzeitig kompromittiert wurden?
Genau hier treffen Backup und Disaster Recovery aufeinander.
RPO und RTO werden bei Ransomware entscheidend
Ein modernes Backup-Konzept sollte deshalb nicht nur die Anzahl der Kopien definieren.
Zwei weitere Werte sind entscheidend:
RPO – Recovery Point Objective
Wie viel Datenverlust kann das Unternehmen maximal akzeptieren?
Beispiel: Bei einem RPO von vier Stunden muss eine Wiederherstellung mit einem Datenstand möglich sein, der höchstens vier Stunden alt ist.
RTO – Recovery Time Objective
Wie lange darf ein System maximal ausfallen?
Ein Unternehmen kann über hervorragende Backups verfügen und trotzdem ein Problem haben, wenn die Wiederherstellung mehrere Tage dauert, obwohl der Geschäftsbetrieb bereits nach wenigen Stunden wieder funktionieren muss.
Backup muss von der Produktionsumgebung getrennt gedacht werden
Eine der wichtigsten Veränderungen bei modernen Backup-Konzepten ist deshalb die Trennung zwischen Produktionssystem und Sicherungsinfrastruktur.
Das Backup sollte nicht einfach eine weitere Festplatte im gleichen Netzwerk sein.
Stattdessen sollte die Architektur mehrere Schutzschichten kombinieren:
Produktionsdaten → lokales Backup → separates Backup-Ziel → Immutable/Offline-Kopie → getestete Wiederherstellung
Dadurch entsteht Redundanz.
Fällt eine Ebene aus, bleibt eine weitere Wiederherstellungsmöglichkeit bestehen.
Veeam und Immutable Backup
Veeam bietet verschiedene Möglichkeiten, eine solche Architektur umzusetzen. Dazu gehören unter anderem Immutable Backups und unterschiedliche Storage- und Backup-Ziele.
Auch network4you setzt bei seinen Backup-Services auf Veeam Backup & Replication mit aktivierter Immutability, um Backup-Dateien für einen definierten Zeitraum vor Löschung und Veränderung zu schützen.
Für Unternehmen ist dabei entscheidend, dass die technische Funktion in ein Gesamtkonzept eingebettet wird.
Ein Immutable Repository ersetzt beispielsweise weder Netzwerksegmentierung noch Endpoint-Schutz, Zugriffskontrollen oder einen getesteten Disaster-Recovery-Prozess.
Was Unternehmen 2026 konkret prüfen sollten
Ein guter Zeitpunkt für die Überprüfung der eigenen Backup-Strategie ist nicht erst nach einem Sicherheitsvorfall.
Unternehmen sollten regelmäßig folgende Punkte kontrollieren:
1. Sind alle geschäftskritischen Daten erfasst?
Dazu gehören nicht nur klassische Fileserver. Auch Microsoft 365, virtuelle Maschinen, Datenbanken, Anwendungen und Cloud-Daten können Bestandteil der Backup-Strategie sein.
2. Gibt es mindestens eine geschützte Kopie?
Eine Backup-Kopie sollte nicht genauso leicht erreichbar und manipulierbar sein wie die Produktionsdaten.
3. Ist die Backup-Infrastruktur ausreichend getrennt?
Administrative Zugänge und Berechtigungen sollten so gestaltet sein, dass ein kompromittiertes Benutzerkonto nicht automatisch die gesamte Backup-Umgebung kontrollieren kann.
4. Ist Immutability aktiviert?
Wenn das verwendete Backup- und Storage-Konzept dies unterstützt, sollte geprüft werden, ob eine unveränderliche Kopie für kritische Daten sinnvoll umgesetzt werden kann.
5. Gibt es eine Offline- oder Air-Gap-Kopie?
Eine zusätzliche physisch oder logisch getrennte Kopie kann die Resilienz gegenüber einem Angriff erhöhen.
6. Werden Restore-Tests durchgeführt?
Die Wiederherstellung sollte regelmäßig praktisch getestet und dokumentiert werden.
7. Sind RPO und RTO definiert?
Ohne konkrete Wiederherstellungsziele lässt sich nur schwer beurteilen, ob die vorhandene Backup-Strategie den Anforderungen des Unternehmens entspricht.
Was passiert nach einem Ransomware-Angriff?
Im Ernstfall sollte nicht einfach sofort das letzte verfügbare Backup zurückgespielt werden.
Zunächst muss geklärt werden, welche Systeme betroffen sind und ob die Backup-Daten selbst sauber und vertrauenswürdig sind.
Ein möglicher Wiederherstellungsprozess umfasst:
- Betroffene Systeme isolieren.
- Angriffsquelle und betroffene Systeme analysieren.
- Backup-Infrastruktur schützen.
- Einen vertrauenswürdigen Wiederherstellungspunkt bestimmen.
- Wiederherstellung zunächst kontrolliert testen.
- Kritische Systeme priorisiert wiederherstellen.
- Zugangsdaten und kompromittierte Accounts überprüfen.
- Systeme nach der Wiederherstellung überwachen.
Die genaue Vorgehensweise hängt vom Angriff, der Infrastruktur und dem bestehenden Incident-Response-Plan ab.
Ein Backup-Konzept sollte regelmäßig aktualisiert werden
IT-Infrastrukturen verändern sich ständig.
Neue Cloud-Dienste, Microsoft 365, zusätzliche Server, Homeoffice-Arbeitsplätze, virtuelle Maschinen und neue Anwendungen können dazu führen, dass alte Backup-Konzepte nicht mehr vollständig sind.
Deshalb sollte die Backup-Strategie regelmäßig überprüft werden.
Besonders wichtig ist die Frage:
Wenn morgen alle Produktionssysteme verschlüsselt wären – könnten wir unseren Geschäftsbetrieb tatsächlich wiederherstellen?
Wenn diese Frage nicht eindeutig beantwortet werden kann, besteht Handlungsbedarf.
Fazit: Ransomware verändert die Anforderungen an Backups
Ein Backup bleibt eine zentrale Schutzmaßnahme gegen Datenverlust. Doch gegen moderne Ransomware reicht eine einfache Sicherungskopie allein nicht aus.
Entscheidend ist eine Kombination aus mehreren Backup-Kopien, räumlicher Trennung, Offline- oder Immutable Storage, kontrollierten Zugriffsrechten und regelmäßig getesteter Wiederherstellung. Diese Grundsätze entsprechen auch den Empfehlungen von CISA für den Schutz und die Wiederherstellung kritischer Daten.
Die wichtigste Erkenntnis für Unternehmen lautet deshalb:
Nicht die Anzahl erfolgreicher Backup-Jobs entscheidet über die Widerstandsfähigkeit gegen Ransomware, sondern die Fähigkeit, nach einem Angriff zuverlässig auf eine vertrauenswürdige Kopie zurückzugreifen.
Wer seine Backup-Infrastruktur 2026 überprüft, sollte deshalb nicht nur nach der Frage „Haben wir ein Backup?“ fragen, sondern nach dem gesamten Prozess:
Sichern → schützen → isolieren → überprüfen → wiederherstellen.
Häufige Fragen
Reicht ein tägliches Backup gegen Ransomware?
Ein tägliches Backup kann einen wichtigen Teil der Datensicherung abdecken, schützt aber nicht automatisch vor einem Angriff auf die Backup-Infrastruktur. Offline- oder Immutable-Kopien und regelmäßige Restore-Tests erhöhen die Widerstandsfähigkeit des Gesamtkonzepts.
Was bedeutet Immutable Backup?
Ein Immutable Backup ist während eines definierten Zeitraums gegen Veränderung oder Löschung geschützt. Damit kann verhindert werden, dass Backup-Daten beispielsweise durch einen kompromittierten Account oder einen Ransomware-Angriff einfach entfernt werden.
Was ist die 3-2-1-1-0-Regel?
Die Regel erweitert die klassische 3-2-1-Strategie um eine Offline- oder Immutable-Kopie und die Überprüfung der Wiederherstellbarkeit. Veeam beschreibt sie als Ansatz für eine höhere Resilienz von Backup-Umgebungen.
Wie oft sollten Backups getestet werden?
CISA empfiehlt, die Verfügbarkeit und Integrität von Backups regelmäßig zu testen. Wie häufig ein Unternehmen Restore-Tests durchführen sollte, hängt von Geschäftsanforderungen, RPO/RTO und der Kritikalität der Systeme ab.
Ist Immutable Backup ein vollständiger Schutz vor Ransomware?
Nein. Immutability schützt Backup-Kopien vor bestimmten Formen von Veränderung und Löschung, ersetzt aber keine umfassende Sicherheitsstrategie. Endpoint-Schutz, Zugriffskontrollen, Netzwerksegmentierung, Patch Management, Monitoring und Incident Response bleiben ebenfalls relevant.
