Datensicherung gegen Ransomware: sechs Entscheidungen der Geschäftsführung

Edouard Jacques

Managing Director, Cyber Culture

"Wir haben ein Backup" ist die häufigste Antwort, wenn wir nach dem Schutz vor Ransomware fragen. Sie ist selten falsch, aber oft unvollständig. Entscheidend ist, ob die Sicherung einen Angreifer mit Administratorrechten übersteht und ob sich daraus in der Zeit wiederherstellen lässt, die Ihr Betrieb verkraftet. Dieser Beitrag zeigt, woran Backups im Ernstfall scheitern und welche sechs Entscheidungen dafür bei der Geschäftsführung liegen.

Warum Backups bei Ransomware-Angriffen oft ausfallen

Das BSI nennt das Backup die wichtigste Schutzmaßnahme gegen Ransomware. Im selben Dokument steht die Kehrseite: Angreifer suchen inzwischen mit den zuvor erbeuteten Administratorrechten gezielt nach allen Datensicherungen und verschlüsseln sie mit. Ein NAS, das als Laufwerk eingebunden ist, oder eine Backup-Software, an der man sich mit dem normalen Domänenkonto anmeldet, hält dem nicht stand.

Dazu kommen drei weitere Schwachstellen, die in der Praxis immer wieder auftauchen:

• Die Täter waren schon Wochen im Netz. Die jüngsten Sicherungen enthalten dann bereits ihre Hintertüren, und ältere Stände wurden längst überschrieben.
• Die Wiederherstellung wurde nie im Ganzen geprobt. Das BSI berichtet von Fällen, in denen beim Zurückspielen komplexe Abhängigkeiten, etwa in virtualisierten Umgebungen, zu weiteren Ausfällen führten.
• Wichtiges fehlt in der Sicherung: Postfächer und Dateien in Microsoft 365, Konfigurationen von Firewall und Switches, Lizenzschlüssel oder die Dokumentation, die man für den Wiederaufbau braucht.

Sechs Entscheidungen, die bei der Geschäftsführung liegen

Die technische Umsetzung ist Sache der IT. Welche Ausfälle und Verluste Ihr Unternehmen hinnehmen kann, ist eine Geschäftsentscheidung. Ohne diese Vorgaben richtet die IT das Backup nach Gefühl ein.

1. Wie viel Datenverlust ist tragbar?

Fachleute sprechen vom Recovery Point Objective (RPO): Wie weit darf der letzte brauchbare Stand zurückliegen? Bei einer nächtlichen Sicherung des ERP-Systems gehen im schlimmsten Fall alle Buchungen eines Arbeitstages verloren und müssen aus Belegen nachgetragen werden. Für die Auftragsabwicklung kann das zu viel sein, für das Archiv ist es unkritisch. Legen Sie den Wert je Systemgruppe fest, nicht pauschal.

2. Wie schnell muss was wieder laufen?

Das Recovery Time Objective (RTO) beschreibt, nach welcher Zeit ein System wieder verfügbar sein muss. Hier hilft Ehrlichkeit. Das BSI nennt für eine vollständige Kompromittierung Erfahrungswerte von zwei bis vier Wochen, in denen große Teile des Betriebs eingeschränkt sind. Ihre Aufgabe ist eine Prioritätenliste: Welche drei Prozesse müssen zuerst wieder funktionieren, und welche Systeme brauchen sie dafür? Was kostet ein Tag ohne diese Prozesse, beschreibt unsere Seite 3 Tage Stillstand: was das kostet.

3. Was gehört alles ins Backup?

Fileserver und Datenbanken sind meist abgedeckt. Lücken entstehen bei allem, was außerhalb des Serverraums liegt oder als selbstverständlich gilt. Prüfen Sie gemeinsam mit der IT diese Liste:

• Cloud-Dienste wie Microsoft 365: Papierkorb und Versionsverlauf sind zeitlich begrenzt und liegen im selben Mandanten, sie ersetzen keine unabhängige Kopie.
• Datenbanken in einem konsistenten Zustand, nicht nur als Dateikopie im laufenden Betrieb.
• Das Active Directory, ohne das sich niemand anmelden kann.
• Konfigurationen von Firewall, Switches, Telefonanlage und Maschinensteuerungen.
• Notfallzugänge, Lizenzschlüssel und die Wiederanlaufdokumentation selbst, die im Ernstfall nicht auf dem verschlüsselten Fileserver liegen dürfen.

4. Wo liegt die Kopie, die keiner löschen kann?

Das BSI empfiehlt, mindestens eine Kopie offline zu sichern, also nach dem Sicherungslauf vom Netz zu trennen, und Kopien an verschiedenen Orten aufzubewahren. Im Unternehmen heißt das konkret: Band im Tresor, ein Speicher mit Löschsperre für einen festen Zeitraum oder ein Cloud-Ziel, das vom eigenen Netz und von den eigenen Administratorkonten getrennt ist. Die Zugänge zur Backup-Verwaltung sind eigene Konten mit zweitem Faktor.

Das BSI schlägt dafür einen einfachen Test vor: Ein Domänen-Administrator versucht, auf die getrennte Kopie zuzugreifen. Gelingt ihm das, ist sie nicht getrennt.

5. Wie oft wird die Wiederherstellung geübt?

Ein Backup ohne Wiederherstellungstest ist eine Annahme. Bewährt haben sich drei Stufen: monatlich einzelne Dateien und Postfächer zurückholen, mindestens einmal im Jahr einen kompletten Server samt Anwendung in einer abgeschotteten Umgebung wiederherstellen und den Wiederanlauf aller Systeme, den sogenannten Schwarzstart, planen und üben, wie es auch das BSI empfiehlt. Messen Sie dabei die Zeit. Die gemessene Dauer gehört neben das Ziel aus Entscheidung 2.

6. Wer ist verantwortlich, und wie erfahren Sie davon?

Fehlgeschlagene Sicherungsläufe fallen oft erst auf, wenn man das Backup braucht. Legen Sie eine verantwortliche Person fest, auch wenn der Betrieb bei einem IT-Dienstleister liegt. Lassen Sie sich vierteljährlich vier Angaben berichten: Anteil erfolgreicher Sicherungen, Datum und Dauer des letzten großen Wiederherstellungstests, Ergebnis des Zugriffstests auf die getrennte Kopie und offene Lücken aus der Liste unter Punkt 3.

Bei Dienstleistern lohnt ein Blick in den Vertrag. Sind Wiederherstellungstests enthalten? Wer haftet, wenn die Sicherung nicht funktioniert? Wie schnell steht im Ernstfall jemand zur Verfügung?

Was ein Backup nicht leistet

Bei den meisten Ransomware-Angriffen werden Daten vor der Verschlüsselung gestohlen. Laut BKA war das 2025 bei rund drei Vierteln der angezeigten Fälle so. Gegen die Drohung mit der Veröffentlichung hilft keine Datensicherung. Das BSI gibt dazu einen nüchternen Rat: Nur was gespeichert ist, kann abfließen. Alte Kundendatenbanken, längst abgeschlossene Projekte und Bewerbungsunterlagen von vor fünf Jahren sind im Ernstfall Erpressungsmaterial. Ein Löschkonzept gehört deshalb zur Datensicherung dazu.

Ein Backup ersetzt auch keinen Notfallplan. Wer im Ernstfall entscheidet, in welcher Reihenfolge Systeme zurückkommen und wie Sie mit Kunden kommunizieren, steht in keiner Sicherung. Wie der Wiederanlauf nach einem Angriff abläuft, beschreibt unser Beitrag Nach Ransomware wieder arbeitsfähig. Die übrigen Schutzmaßnahmen, die neben dem Backup nötig sind, finden Sie im Mindestprogramm gegen Ransomware.

Der erste Schritt

Fragen Sie Ihre IT-Leitung oder Ihren IT-Dienstleister nach drei Dingen: dem Protokoll des letzten vollständigen Wiederherstellungstests, der Liste der gesicherten Systeme und Cloud-Dienste und dem Ergebnis des Zugriffstests auf die getrennte Kopie. Fehlt eines davon, wissen Sie, wo Sie ansetzen. Ob Plan und Sicherung unter Zeitdruck tragen, zeigt am verlässlichsten eine Notfallübung.

Für die Frage, wie viel Aufwand angemessen ist, brauchen Sie eine Vorstellung vom Schaden eines Ausfalls. Der Schadenskalkulator unten rechnet das mit Ihren eigenen Werten durch.