Ein vielschichtiger Ansatz für die Cyber-Resilienz

Ransomware-Angriffe sind in der heutigen Bedrohungslandschaft unvermeidlich geworden und stellen für alle Unternehmen ein großes Problem dar. Tatsächlich haben Ransomware-Vorfälle in der ersten Hälfte des Jahres 2025 dramatisch zugenommen, was zu einem Anstieg von 49 % im Vergleich zum gleichen Zeitraum im Jahr 2024 geführt hat. Da Unternehmen heute mit immer raffinierteren Bedrohungen konfrontiert sind, die darauf abzielen, Daten zu verschlüsseln, den Betrieb lahmzulegen und Wiederherstellungsprozesse auszunutzen, lassen diese Zahlen keine Anzeichen für eine Verlangsamung erkennen.

Der Einsatz wird immer höher, und es wird immer deutlicher, dass im Katastrophenfall ein einfaches Backup nicht ausreicht. Unternehmen können keine reaktive Sicherheitsstrategie verfolgen und dabei hoffen, erfolgreich zu funktionieren. Sie benötigen unveränderliche Daten, eine intelligente Erkennung von Bedrohungen, eine saubere Wiederherstellung und das Testen von Recovery-Plänen sowie Schutz rund um die Uhr.

Commvault bietet ein tief integriertes, mehrschichtiges Framework zur Abwehr von Ransomware, bei dem Sicherheit, Geschwindigkeit und Vertrauen im Vordergrund stehen. Durch die Kombination modernster Mechanismen zur Erkennung, Isolierung und Recovery bei Bedrohungen mit Informationen von Partnern trägt Commvault zur Cyber-Resilienz bei. Dieser Artikel befasst sich mit vier Komponenten der Ransomware-Abwehrstrategie von Commvault: Datenintegrität, Echtzeit-Bedrohungsscan, validierte Wiederherstellung und intelligente Wiederherstellungsautomatisierung. Zusammen bilden diese Funktionen eine umfassende und zuverlässige Antwort auf eine der hartnäckigsten Herausforderungen, mit denen moderne IT-Teams zu kämpfen haben.

Datenintegrität: Die erste Verteidigungslinie

Datenunveränderlichkeit ist ein wesentlicher Bestandteil jeder erfolgreichen Ransomware-Abwehrstrategie. In einer Welt, in der Ransomware zunehmend nicht nur Produktionssysteme, sondern auch die Backup-Infrastruktur selbst ins Visier nimmt, ist Unveränderlichkeit ein entscheidender Schutzmechanismus. Commvault nutzt die Datenunveränderlichkeit mit einer Reihe von Funktionen, die darauf ausgelegt sind, Ihre Daten manipulationssicher zu halten. Dies wird durch unveränderlichen Speicher, mehrschichtige Zugriffskontrollen und durchgesetzte Autorisierungsprotokolle erreicht.

Hier ein genauerer Blick auf die Funktionen von Commvault zur Datenunveränderlichkeit:

• Unveränderlicher Speicher: Commvault verfolgt einen mehrschichtigen Ansatz zur Datenunveränderlichkeit. Dabei kombiniert das Unternehmen eigene Kontrollen auf Softwareebene mit hardwaregestützten und cloudbasierten WORM-Technologien (Write-Once, Read-Many). Retention Lock (früher WORM Copy) verhindert das vorzeitige Löschen oder das Ablaufen von Backups, selbst durch Administratoren, und schützt vor Maßnahmen wie dem Entfernen von Speicherrichtlinien oder dem Löschen von Speicherbibliotheken. Dies ist eine wichtige Schutzmaßnahme gegen missbräuchlich handelnde Administratoren oder böswillige Angreifer.
  In ähnlicher Weise lässt sich Commvault für hardwaregestützte Unveränderlichkeit in Speicherplattformen integrieren, die die branchenübliche S3 Object Lock-API unterstützen. S3 Object Lock arbeitet in zwei Hauptmodi: Governance und Compliance. Während der Governance-Modus vor versehentlichem Löschen schützt und administrative Flexibilität bewahrt, eignet er sich in erster Linie für interne Kontrollen. Der strengere Compliance-Modus hingegen erzwingt unumstößliche Aufbewahrungsfristen und ist darauf ausgelegt, strenge regulatorische Anforderungen wie SEC Rule 17a-4, FINRA und HIPAA 12 zu erfüllen.
  Wenn Commvault Sicherungsdaten auf ein „Object Lock“-fähiges Ziel schreibt, wie beispielsweise einen AWS S3-Bucket oder einen Zadara-Objektspeicher, legt es den Metadaten-Zeitstempel „Object-Lock-Retain-Until-Date“ fest. Jeder API-Aufruf zum Ändern oder Löschen des Objekts vor diesem Datum wird vom Speichersystem abgelehnt, unabhängig von den Benutzerberechtigungen. Commvault fügt der in der Software konfigurierten WORM-Sperr-Aufbewahrungsfrist zudem standardmäßig eine 7-tägige Nachfrist hinzu.
  Schließlich bietet Commvault auf Commvault Grid, der skalierbaren integrierten Appliance von Commvault, durchgängige Unveränderlichkeit mithilfe von „Retention Lock“, einem gehärteten Betriebssystem und einem unveränderlichen Dateisystem. Dieser integrierte Stack ist für die Einhaltung von SEC 17a zertifiziert und stellt somit eine leistungsstarke All-in-One-Lösung für unveränderlichen Speicher dar.

• Commvault AirGap: Der Air-Gap-Schutz wird durch eine von Commvault verwaltete, logisch isolierte Backup-Umgebung bereitgestellt, die Daten verschlüsselt, vom Produktionsnetzwerk trennt und Datenlecks verhindert. Diese Funktion ist für Commvault SaaS standardmäßig aktiviert und trägt dazu bei, dass Daten auch dann geschützt bleiben, wenn Produktionssysteme kompromittiert werden.

• Zero-Trust-Durchsetzung: Commvault wendet strenge Zero-Trust-Prinzipien auf die Backup-Infrastruktur an, und zwar durch rollenbasierte Zugriffskontrolle, Multi-Faktor-Authentifizierung und privilegiertes Zugriffsmanagement. Diese Ebenen begrenzen das Risiko und erzwingen einen Zugriff mit minimalen Berechtigungen, wodurch die Auswirkungen kompromittierter Anmeldedaten reduziert werden.

• Mehrpersonenautorisierung: Um böswillige oder versehentliche Änderungen an Schutzrichtlinien zu verhindern, erzwingt Commvault Quorum-basierte Genehmigungen für sensible Vorgänge. Dadurch wird verhindert, dass ein einzelner Administrator geschützte Daten ohne Aufsicht deaktivieren oder löschen kann.

Echtzeit-Bedrohungsinformationen: Proaktive Erkennung und Eindämmung

Der „Threat Scan“ von Commvault ist ein Eckpfeiler der Ransomware-Abwehr. Schädliche Dateien und Programme können sich in Backups einschleichen und dort verborgen bleiben, bis sich die perfekte Gelegenheit für einen Angriff bietet. Die Echtzeit-Bedrohungserkennung von Commvault wurde daher entwickelt, um Bedrohungen in jeder Phase zu identifizieren: während der Sicherung, nach der Sicherung und vor der Wiederherstellung.

Commvault ist zudem der einzige Anbieter von Cyber-Resilienz-Lösungen mit integrierten Täuschungsfunktionen wie Threatwise und Canary-Dateien. Diese Tools können Warnmeldungen auslösen, während ein Angreifer Erkundungen durchführt und noch bevor die Ransomware die Backup-Daten überhaupt erreicht. Die Echtzeit-Bedrohungserkennung wird durch diese leistungsstarken Funktionen ermöglicht:

• Inline-, Vor- und Nach-Backup-Scans: Während der „Threat Scan“ erst nach dem Backup durchgeführt wird, überwacht Commvault bereits während der Inline- und Vor-Backup-Phasen aktiv auf Anzeichen von Ransomware. Dazu gehört die Suche nach Änderungen bei Attributen wie MIME-Typ, Backup-Größe und dem Wachstum bestimmter Dateiendungen, die auf Ransomware-Aktivitäten hindeuten.
  Mit diesem umfassenden Ansatz werden Daten – unabhängig davon, ob sie gerade übertragen, neu gespeichert oder wiederhergestellt werden – kontinuierlich auf versteckte oder ruhende Bedrohungen überprüft. Dies ermöglicht eine frühzeitige Erkennung und hilft, blinde Flecken zu beseitigen.

• Signaturbasierte und KI/ML-Erkennung: Commvault nutzt das Anti-Malware-SDK von Avira, eine branchenweit weit verbreitete und vertrauenswürdige OEM-Engine, um seine Abwehrfähigkeiten erheblich zu verbessern. Diese Engine umfasst mehrere Erkennungsschichten, die zusammen einen umfassenden Sicherheitsansatz bieten.
  Bei der signaturbasierten Überprüfung werden Datei-Hashes mit der umfangreichen Malware-Signaturdatenbank von Avira abgeglichen. Die Aktualisierung erfolgt alle 24 Stunden, um die Engine hinsichtlich neu auftretender Bedrohungen auf dem neuesten Stand zu halten. Diese Datenbank wird alle 24 Stunden automatisch über eine sichere Verbindung zu den Update-Servern von Avira aktualisiert und bietet so Schutz vor den neuesten katalogisierten Bedrohungen.
  Ebenso nutzt die Avira-Engine bei Malware, die noch nicht in der Signaturdatenbank enthalten ist, heuristische Verfahren, um die Codestruktur, das Verhalten und die Merkmale einer Datei zu analysieren. Dadurch kann sie Varianten bekannter Malware-Familien und anderen verdächtigen Code identifizieren, auch ohne exakte Signaturübereinstimmung.
  Schließlich wertet „Machine Learning“ (MicroVision™), das lokale ML-Modell von Avira, eine breite Palette von Code-Attributen und Anomalien aus, um bisher unbekannte Bedrohungen zu identifizieren. Dies ist besonders wirksam gegen Zero-Day-Malware, für die keine bekannte Signatur vorliegt, die jedoch Anzeichen für böswilliges Verhalten aufweist.

• Entropie- und MIME-Mismatch-Analyse: Commvault nutzt Modelle zur Verschlüsselungserkennung, die aus mehreren statistischen Features bestehen, um verschlüsselte oder getarnte Dateien zu identifizieren. Eines dieser Features ist die Entropie, die den Grad der Zufälligkeit in Daten auf binärer Ebene misst. Eine hohe Entropie kann auf eine Verschlüsselung durch Ransomware hindeuten, ist jedoch nur eine von mehreren Eigenschaften, die im Verschlüsselungserkennungsmodell von Commvault verwendet werden.
  Parallel dazu kennzeichnet die Erkennung von MIME-Diskrepanzen Dateien, deren Inhalt nicht dem erwarteten Dateityp entspricht, wie beispielsweise ein als PDF getarntes Skript. Diese Techniken helfen dabei, schlummernde Bedrohungen aufzudecken, die andernfalls möglicherweise unbemerkt bleiben würden.

• Anomalieerkennung: Commvault überwacht kontinuierlich Verhaltensabweichungen. Ungewöhnliche Spitzen beim Backup-Volumen oder Veränderungen in den Datenmustern werden als Warnzeichen gewertet. Sobald solche Anomalien festgestellt werden, können sie umgehend untersucht werden, was zu einer frühzeitigen Eindämmung beiträgt.

• Integration von Partnersignalen: Commvault verbessert seine Erkennungsfunktionen durch die Einbindung externer Sicherheitspartner. Wenn beispielsweise CrowdStrike Malware auf einem Endpunkt entdeckt, können von Commvault geschützte Kunden im Dashboard unter „Threat Indicators“ (Bedrohungsindikatoren) Informationen zu Kompromittierungsindikatoren einsehen, um Maßnahmen wie Bedrohungsscans oder Datenwiederherstellung einzuleiten.

Umfassende Wiederherstellung: isoliert, validiert und automatisiert

Da Ransomware immer komplexer und schneller wird, ist eine saubere Recovery unerlässlich. Bei Ransomware kann die Recovery der falschen Version zu einer erneuten Infektion, zu Betriebsausfällen oder zu Verstößen gegen Compliance-Vorgaben führen. Zudem kann dies dem Vertrauen in das Unternehmen, seiner Glaubwürdigkeit und seinem langfristigen Erfolg schaden. Commvault begegnet diesen Risiken mit einer Reihe validierter Recovery-Optionen, die nicht nur dabei helfen, saubere Daten wiederherzustellen, sondern auch deren Sicherheit überprüfen, bevor sie überhaupt in Produktionssysteme gelangen.

Die „Cleanroom Recovery“ von Commvault schafft eine sichere, isolierte Recovery-Umgebung zum Testen und Validieren von Sicherungsdaten vor deren Rückführung. Diese Konfiguration eignet sich ideal für die Durchführung von Malware-Scans, ohne eine Ausbreitung auf die Produktion zu riskieren. Darüber hinaus werden „Cleanrooms“ bedarfsgerecht in der Cloud bereitgestellt, wodurch keine dedizierte Infrastruktur erforderlich ist.

Innerhalb des Cleanrooms unterstützt Commvault eine Vielzahl von Workloads, darunter virtuelle Maschinen, Dateisysteme und Active Directory. Diese Flexibilität ermöglicht es Teams, Live-Umgebungen zu simulieren und die Betriebsbereitschaft umfassend zu überprüfen. „Cleanroom Recovery“ – die Ransomware-Abwehr von Commvault:

• Automatisierte Wiederherstellungs-Workflows: Commvault automatisiert den gesamten Wiederherstellungszyklus, von der Identifizierung sauberer Zeitpunkte bis zur endgültigen Wiederherstellung der Workloads. Diese Workflows reduzieren den manuellen Aufwand, sorgen für Konsistenz und helfen Teams dabei, anspruchsvolle Wiederherstellungsziele zu erreichen.

• „Pave and Repave“: Für Systeme, die auf Betriebssystemebene kompromittiert wurden, unterstützt Commvault „Pave and Repave“-Funktionen. Bei diesem Ansatz werden Rechner mithilfe sauberer Betriebssystem-Images wiederhergestellt und anschließend mit den Kundendaten aus dem Backup überlagert. Das Ergebnis ist ein vollständig neu aufgebautes System, das frei von Malware auf Betriebssystemebene oder Manipulationen ist.

• Fehlerhafte Datei-Indizierung: Während des Scans markiert Commvault alle infizierten oder verdächtigen Dateiversionen als „fehlerhaft“. Diese Markierungen werden bei der Wiederherstellung automatisch berücksichtigt, sodass die Plattform ohne manuelle Überprüfung saubere Wiederherstellungspunkte auswählen kann.

Auto Recovery – operative Intelligenz: Schnell, koordiniert und skalierbar

Eine einwandfreie Recovery mag zwar der wichtigste Aspekt sein, doch auch eine schnelle Recovery hat Priorität. Die Auto Recovery-Funktionen von Commvault ermöglichen es Unternehmen, Systeme in großem Maßstab schnell, zuverlässig und mit minimalem manuellem Aufwand wiederherzustellen. Diese Funktionen kombinieren intelligente Orchestrierung, integriertes Scannen und Echtzeit-Transparenz, um die Recovery-Resilienz zu steigern. Hier finden Sie eine detaillierte Analyse der automatisierten Operational-Intelligence-Lösungen von Commvault:

• Automatische Wiederherstellungsorchestrierung: Commvault erkennt automatisch den letzten fehlerfreien Wiederherstellungspunkt und initiiert Wiederherstellungsworkflows auf der Grundlage vordefinierter Richtlinien. Diese orchestrierten Prozesse machen Schluss mit Spekulationen und tragen dazu bei, die Zeit zu verkürzen, die nach einem Angriff benötigt wird, um Systeme wieder online zu bringen. Der vollständig automatisierte Wiederherstellungsprozess von Commvault umfasst automatisierte Schritte, die hier detailliert beschrieben werden.

• Threat Scan: Wiederhergestellte Workloads werden im Rahmen des Wiederherstellungs-Workflows gescannt, bevor sie wieder in die Produktion zurückgeführt werden. Dieser Prozess erhöht die Zuverlässigkeit der wiederhergestellten Daten, indem er dazu beiträgt, sie frei von versteckter Malware oder verbleibenden Bedrohungen zu halten.

• Berichte zur Validierung der Wiederherstellung: Bei jedem Wiederherstellungsvorgang wird ein detaillierter Bericht erstellt, der die Scan-Ergebnisse, gemeldete Anomalien und alle ergriffenen Korrekturmaßnahmen enthält. Diese Berichte bieten Sicherheitsteams wertvolle Einblicke in die wiederhergestellten Daten und die Gründe dafür.

• Security IQ: Das Security IQ bietet Echtzeit-Einblicke in Ransomware-Risiken, Datenrisiken und die allgemeine Wiederherstellungsbereitschaft. Es hilft Administratoren dabei, kritische Schwachstellen zu identifizieren, Verbesserungen zu verfolgen und bei Bedarf auf Änderungen zu reagieren.

Ransomware-Resilienz, wenn es darauf ankommt

Die Ransomware-Abwehrarchitektur von Commvault ist ein intelligentes, mehrschichtiges Ökosystem. Vom Zeitpunkt der Datensicherung bis zur Wiederherstellung sind alle Ebenen geschützt, validiert und wiederherstellbar. Mit einem umfassenden Design, das alle Aspekte der Ransomware-Abwehr abdeckt, bietet Commvault Ihrem Unternehmen Sicherheit, Vertrauen und Widerstandsfähigkeit.