Backup ist nicht gleich Schutz

„Wir haben ja ein Backup" ist die häufigste Antwort auf die Frage nach dem Ransomware-Schutz. Sie ist auch fast immer wahr. Nur beantwortet sie die Frage nicht — denn eine Sicherung, die Ihr Netz erreichen kann, kann auch die Schadsoftware erreichen.

Moderne Verschlüsselungsangriffe laufen nicht sofort los. Sie sitzen Tage bis Wochen im Netz und suchen zwei Dinge: die Zugangsdaten mit den meisten Rechten und das Backup. Erst wenn beides gefunden ist, wird verschlüsselt. Das Backup zuerst.

Die typische Sicherung im Mittelstand läuft auf ein NAS im selben Netz, angemeldet mit einem Dienstkonto, das überall Zugriff hat. Das ist bequem, funktioniert jahrelang tadellos — und ist aus Sicht des Angreifers kein Hindernis, sondern eine Abkürzung. Er muss die Daten nicht suchen; das Backup hat sie bereits eingesammelt und an einer Stelle abgelegt.

Drei Muster begegnen uns dabei immer wieder. Das Backup-Ziel ist ein Netzlaufwerk, das der Server erreicht — was der Server erreicht, erreicht auch die Schadsoftware auf dem Server. Die Sicherung läuft mit Administratorrechten, womit sich nicht nur schreiben, sondern auch löschen lässt. Und die alten Stände werden überschrieben, sodass nach zwei, drei Durchläufen auch die brauchbaren Versionen weg sind — was besonders bitter ist, weil eine Verschlüsselung oft erst Tage später auffällt.

Dass ein Sicherungsstand beim Schreiben mit einer Sperrfrist versehen wird und sich bis zu deren Ablauf durch niemanden mehr ändern oder löschen lässt. Nicht durch die Schadsoftware, nicht durch ein gekapertes Administratorkonto, und auch nicht durch uns.

Das dreht die Logik um: Der Angreifer muss nicht mehr ausgesperrt werden, damit die Sicherung überlebt. Sie überlebt auch dann, wenn er drin ist. Das ist der eigentliche Unterschied zwischen einer Sicherung und einem Schutz.

Der zweite Baustein ist unspektakulärer, aber genauso wichtig: eine Kopie außer Haus. Gegen Feuer, Wasser und Diebstahl hilft der beste Stand im Serverschrank nichts.

• Kann ein Angreifer mit Administratorrechten Ihre Sicherungsstände löschen?
• Liegt eine aktuelle Kopie außerhalb des Gebäudes — nachweislich, nicht als Absicht?
• Wie viele Tage kommen Sie zurück? Verschlüsselung fällt selten am selben Tag auf.
• Wann wurde zuletzt eine Wiederherstellung getestet? Nicht die Sicherung, die Rückholung.
• Wie lange dauert eine vollständige Wiederherstellung?

Die letzten beiden werden am seltensten gestellt und entscheiden im Ernstfall über den Schaden. Wenn die Antwort auf die letzte Frage „eine Woche" lautet, ist das keine technische Feststellung mehr, sondern eine Geschäftsentscheidung.

Bei der Bestandsaufnahme in einem Produktionsbetrieb liefen die Sicherungen seit Jahren grün. Alle Jobs erfolgreich, keine Fehlermeldung, ordentliche Protokolle.

Beim Rückhol-Test zeigte sich, dass ein zentraler Datenbestand zwar in der Auswahl stand, aber wegen eines seit Monaten gesperrten Dienstkontos still übersprungen wurde — vermerkt als Warnung im Protokoll, nicht als Fehler. Der Job blieb grün. Aufgefallen wäre das erst bei der Wiederherstellung, also im schlechtestmöglichen Moment.

Seitdem gilt bei uns: Eine Sicherung ist geprüft, wenn etwas zurückgeholt wurde. Nicht, wenn die Ampel grün ist. Das klingt nach Kleinigkeit und ist der Unterschied zwischen einer Sicherung und der Annahme, eine zu haben.

Vor einigen Jahren wäre die Antwort ja gewesen. Heute nicht mehr: Der Aufwand steckt in der einmaligen Einrichtung, der laufende Anteil ist eine überschaubare monatliche Position — in aller Regel deutlich unter dem, was ein einziger Ausfalltag kostet.

Die ehrliche Rechnung geht ohnehin andersherum. Nicht: Was darf die Sicherung kosten? Sondern: Wie viele Tage kann Ihr Betrieb ohne Zugriff auf seine Daten arbeiten? Diese Zahl bestimmt, was die Sicherung leisten muss. Alles andere ist Technik, die sich daran ausrichtet.

Wo das im Gesamtbild steht, haben wir auf der Übersicht zur IT-Sicherheit im Mittelstand einsortiert.

Und wenn Sie wissen wollen, wo Sie stehen: Wir sehen uns Ihre bestehende Sicherung an und beantworten die fünf Fragen von oben mit Ihnen gemeinsam. Umstellen muss dafür niemand etwas.