Cyber-Resilienz wird zunehmend daran gemessen, was geschieht, nachdem Angreifer eingedrungen sind. Unternehmen haben massiv in Prävention, Erkennung und Reaktion investiert, doch Ransomware, die Ausnutzung von Sicherheitslücken, der Missbrauch von Zugangsdaten, Fehlkonfigurationen in der Cloud und Kompromittierungen durch Dritte beeinträchtigen weiterhin den Betrieb.

Für viele Teams besteht die Herausforderung bei der Recovery nicht mehr nur darin, ob Backups vorhanden sind. Es geht vielmehr darum, ob diese Backups fehlerfrei, geschützt und validiert sind und ob sie bereit sind, kritische Dienste wiederherzustellen, wenn Produktionssystemen nicht mehr vertraut werden kann.

Diese Unterscheidung ist wichtig, da Cyberangriffe weiterhin sowohl Datenrisiken als auch Betriebsstörungen verursachen. Laut dem „Verizon 2026 Data Breach Investigations Report“ war Ransomware an 48 % der Sicherheitsvorfälle beteiligt – ein Anstieg gegenüber 44 % im Vorjahr. Der Bericht stellte zudem fest, dass die Ausnutzung von Schwachstellen zum häufigsten Erstzugangsvektor für Sicherheitsvorfälle geworden ist und auf 31 % angestiegen ist, während der Missbrauch von Anmeldedaten auf 13 % gesunken ist.

Maßnahmen für Cloud-Backup and Recovery müssen den gesamten Prozess von der Erkennung bis zur Wiederherstellung abdecken. Dies beginnt mit der Identifizierung verdächtiger Aktivitäten, bevor kompromittierte Daten wiederhergestellt werden. Es setzt sich fort mit geschützten, unveränderlichen Wiederherstellungspunkten, die den Teams brauchbare Wiederherstellungsoptionen bieten, wenn Produktionssysteme nicht mehr als vertrauenswürdig gelten.

Anschließend benötigen Unternehmen eine Möglichkeit, zu überprüfen, welche Wiederherstellungspunkte sicher sind, und kritische Workloads in der richtigen Reihenfolge wiederherzustellen. Das Ergebnis ist eine Recovery-Strategie, die Teams dabei hilft, mit größerer Sicherheit von der Incident-Response zur operativen Wiederherstellung überzugehen.

Warum sind Cloud-Backup and Recovery eine Strategie für Cyber-Resilienz?

Herkömmliche Backup-Strategien wurden entwickelt, um Unternehmen bei der Recovery nach Hardwareausfällen, versehentlichem Löschen und lokalen Ausfällen zu unterstützen. Diese Anwendungsfälle sind nach wie vor wichtig, doch die heutigen Anforderungen an die Recovery sind umfassender.

Cyberangriffe können Produktions-Workloads, Identitätssysteme, Cloud-Konfigurationen, SaaS-Anwendungen und Backup-Umgebungen gleichzeitig beeinträchtigen. In solchen Fällen geht es bei der Recovery nicht nur darum, eine Kopie der Daten wiederherzustellen. Es geht darum, festzustellen, welchen Systemen vertraut werden kann, welche Wiederherstellungspunkte noch intakt sind und welche Dienste zuerst wiederhergestellt werden müssen.

Aus diesem Grund sind Cloud-Backup and Recovery zu einem entscheidenden Bestandteil der Cyber-Resilienz geworden. Eine moderne Strategie sollte Teams dabei unterstützen, verdächtige Aktivitäten zu erkennen, Wiederherstellungsdaten zu schützen, die Integrität der Backups zu überprüfen und kritische Abläufe in einer kontrollierten Reihenfolge wiederherzustellen. Sie sollte zudem regelmäßige Tests fördern, da ein Recovery-Plan, der nicht erprobt wurde, bei einem tatsächlichen Vorfall möglicherweise nicht wie erwartet funktioniert.

Dies markiert einen Wandel vom Backup als „Versicherungspolice“ hin zur Wiederherstellbarkeit als operative Fähigkeit. Gespeicherte Kopien sind nach wie vor wichtig, aber sie sind nur ein Teil der Recovery-Gleichung. Teams müssen zudem darauf vertrauen können, dass die Recovery-Daten nicht verändert wurden, dass die Recovery-Abläufe getestet wurden und dass das Unternehmen weiß, welche Dienste zuerst wiederhergestellt werden müssen.

Cloud-Backup and Recovery lassen sich leichter verstehen, wenn man sie als Lebenszyklus betrachtet. Die folgenden fünf Phasen zeigen, wie Unternehmen von der frühzeitigen Erkennung von Bedrohungen über eine validierte Recovery-Phase bis hin zur langfristigen Verbesserung der Ausfallsicherheit gelangen können.

Phase 1: Bedrohungen erkennen, bevor sich das Risiko für die Recovery ausweitet

Recovery beginnt bereits vor der Wiederinbetriebnahme der Systeme. Bei einem Cybervorfall besteht die oberste Priorität darin, festzustellen, ob verdächtige Aktivitäten Produktionsdaten, Sicherungsdaten oder beides betroffen haben.

Wenn Teams die Wiederherstellung von einem kompromittierten Wiederherstellungspunkt aus durchführen, können sie beschädigte Dateien, Malware-Reste oder unbefugte Änderungen zurück in die Umgebung einbringen. Dieses Risk macht die Erkennung von Bedrohungen zu einem wichtigen Bestandteil des Cloud-Backup and Recovery – und nicht nur zu einer Aufgabe des Sicherheitsbetriebs.

Moderne Recovery-Strategien sollten Einblicke in ungewöhnliche Aktivitäten über Workloads, Backup-Umgebungen und Wiederherstellungspunkte hinweg bieten. Teams müssen möglicherweise Anzeichen wie die folgenden untersuchen:

• Ungewöhnliches Verschlüsselungsverhalten
• Plötzliche Spitzen bei Löschvorgängen
• Unerwartete Änderungen an Berechtigungen
• Ungewöhnliche Backup-Muster
• Indikatoren für Malware

Diese Anzeichen können Teams dabei helfen, zu erkennen, wohin sich ein Angriff möglicherweise ausgebreitet hat und welche Daten vor der Wiederherstellung einer zusätzlichen Überprüfung bedürfen.

Der Zeitpunkt ist ein weiterer entscheidender Faktor. Der „2025 Digital Defense Report“ von Microsoft ergab, dass die meisten vom Detection and Response Team (DART) untersuchten Angriffe nur von kurzer Dauer waren. Das bedeutet, dass Recovery-Teams möglicherweise nicht über Wochen verfügen, um das gesamte Ausmaß der Kompromittierung zu erfassen, bevor Angreifer sich seitlich ausbreiten, auf sensible Daten zugreifen, Dienste stören oder versuchen, Backup-Systeme zu beeinträchtigen. Der Erkennungskontext kann Teams dabei helfen, nicht jeden Wiederherstellungspunkt als gleichermaßen vertrauenswürdig einzustufen.

Die Erkennung von Bedrohungen beseitigt das Recovery-Risiko nicht von selbst. Sie trägt jedoch dazu bei, einen fundierteren Recovery-Prozess zu gestalten. Wenn verdächtige Aktivitäten frühzeitig erkannt werden, können Unternehmen betroffene Systeme isolieren, die betroffenen Daten untersuchen und vermeiden, dass Recovery-Punkte zurückgesetzt werden, die dieselbe Bedrohung erneut einbringen könnten.

Dies bietet Sicherheits-, IT- und Recovery-teams einen klareren Ausgangspunkt für die nächste Phase: den Schutz unbefallener Wiederherstellungspunkte, bevor Angreifer diese verändern oder entfernen können.

Phase 2: Schutz intakter Recovery-Punkte vor Angriffen

Bei einem Cybervorfall sind Backups nicht nur gespeicherte Kopien. Sie sind Teil des Recovery-Prozesses, was bedeutet, dass Angreifer versuchen könnten, sie zu stören. Wenn Backup-Daten verändert, verschlüsselt, gelöscht oder unzugänglich gemacht werden, verliert das Unternehmen möglicherweise eine seiner besten Möglichkeiten, den Betrieb wiederherzustellen, ohne auf kompromittierte Produktionssysteme zurückgreifen zu müssen.

Deshalb benötigen intakte Wiederherstellungspunkte einen mehrschichtigen Schutz. Ein unveränderlicher und unauslöschbarer Backup-Speicher kann dazu beitragen, Daten über einen festgelegten Aufbewahrungszeitraum hinweg zu sichern. Externe oder isolierte Kopien tragen dazu bei, eine Trennung von der Produktionsumgebung zu gewährleisten. Verschlüsselung, Zugriffskontrollen und rollenbasierte Berechtigungen helfen dabei, den Kreis der Personen einzuschränken, die auf Backup-Einstellungen zugreifen oder diese ändern können. Zusammen erschweren diese Schutzmaßnahmen es Angreifern, die Daten zu beeinträchtigen, die Teams während der Wiederherstellung möglicherweise am dringendsten benötigen.

Das Ziel ist es, die Wahlmöglichkeiten bei der Recovery zu bewahren. Der Verizon-Bericht aus dem Jahr 2026 ergab, dass 69 % der Ransomware-Opfer in seinem Datensatz das Lösegeld nicht zahlten – ein Anstieg gegenüber 65 % im Vorjahr. Der Bericht stellt zudem fest, dass die durchschnittlichen Lösegeldzahlungen weiter zurückgingen, was er zum Teil auf verbesserte Abwehrmaßnahmen und eine erhöhte Widerstandsfähigkeit der Opfer zurückführt. Teams benötigen einwandfreie Backups, auf die sie tatsächlich zurückgreifen können, damit die Zahlung eines Lösegelds nicht der einzige Weg zurück zum Geschäftsbetrieb ist.

Die bekannte 3-2-1-Backup-Regel bietet nach wie vor eine nützliche Grundlage: Bewahren Sie drei Kopien der Daten auf zwei verschiedenen Medien oder Plattformen auf, wobei mindestens eine Kopie extern oder isoliert gespeichert sein sollte. Moderne Cloud-Backup- und Recovery-Strategien erweitern dieses Modell häufig um unveränderlichen Speicher, Air-Gap-Lösungen, richtlinienbasierte Aufbewahrungsfristen und replizierte Kopien in Cloud- oder Hybridumgebungen.

Mit geschützten Wiederherstellungspunkten können Teams ihre Wiederherstellungsoptionen eingrenzen und mit einem klareren Überblick darüber, was wiederhergestellt werden kann, zur Validierung übergehen.

Schritt 3: Überprüfen, welche Backups für die Wiederherstellung bereitstehen

Über Backups zu verfügen bedeutet nicht automatisch, dass man für die Recovery bereit ist. Bevor Teams Produktionssysteme wiederherstellen, müssen sie wissen, welche Wiederherstellungspunkte verwendbar sind, welche Workloads betroffen waren und welche Abhängigkeiten ebenfalls wiederhergestellt werden müssen.

Ein aktuelles Backup enthält zwar möglicherweise die neuesten Geschäftsdaten, kann aber auch beschädigte Dateien, unbefugte Änderungen oder Spuren von Malware enthalten. Ein älteres Backup ist vielleicht „sauberer“, kann aber zu einem größeren Datenverlust führen. Durch die Überprüfung können Teams diese Abwägung anhand von Fakten statt auf der Grundlage von Vermutungen treffen.

Diese Arbeit beginnt mit der Abgrenzung des Vorfalls. Sicherheits- und IT-Teams müssen verstehen, wann verdächtige Aktivitäten begannen, welche Systeme betroffen waren und ob Identitätsdienste, Datenbanken, Dateifreigaben, SaaS-Anwendungen oder Cloud-Konfigurationen betroffen waren.

Außerdem müssen sie bestätigen, ob der Recovery-Punkt die Anwendung als Ganzes unterstützt und nicht nur die zugrunde liegenden Daten. Eine Datenbank-Recovery kann beispielsweise davon abhängen, dass Anwendungsserver, Berechtigungen, Verschlüsselungsschlüssel, Netzwerkrouten und Identitätsdienste alle in ordnungsgemäßem Zustand verfügbar sind.

Isolierte Recovery-Umgebungen können Teams dabei helfen, diese Bedingungen zu testen, bevor die Daten in der Produktionsumgebung wiederhergestellt werden. In einer kontrollierten Umgebung können Teams sicher:

• ausgewählte Recovery-Punkte scannen,
• Dateiänderungen überprüfen
• den Start der Anwendung bestätigen
• den Benutzerzugriff testen;
• zu prüfen, ob abhängige Systeme sich wie erwartet verhalten.

Die Validierung sollte auch in die Recovery-Reihenfolge einfließen. Teams müssen möglicherweise zuerst Identitätsdienste wiederherstellen, dann die Kerninfrastruktur, anschließend geschäftskritische Anwendungen und schließlich unterstützende Workloads.

Durch das Testen von Recovery-Punkten vor der Wiederherstellung können sie ihre Optionen eingrenzen und entscheiden, welche Systeme wieder in Betrieb genommen werden können, welche einer weiteren Überprüfung bedürfen und welche isoliert bleiben sollten, bis der Risk-Grad besser verstanden ist.

In der nächsten Phase wird diese Entscheidung in die Tat umgesetzt: Die Systeme, Anwendungen und Daten, die das Unternehmen am dringendsten benötigt, werden wiederhergestellt.

Phase 4: Wiederherstellung kritischer Abläufe in der richtigen Reihenfolge

Ein Wiederherstellungsplan beginnt mit dem minimal funktionsfähigen Betriebszustand des Unternehmens. Das bedeutet, dass die Personen, Systeme, Anwendungen, Daten und Kommunikationskanäle identifiziert werden müssen, die das Unternehmen benötigt, um während einer Störung auf einer grundlegenden Ebene zu funktionieren.

Für manche Organisationen kann dies mit Identitätsdiensten und der Mitarbeiterkommunikation beginnen. Bei anderen stehen möglicherweise kundenorientierte Anwendungen, Zahlungssysteme, klinische Systeme, Fertigungsprozesse oder Logistikplattformen im Vordergrund. Die Reihenfolge sollte die geschäftlichen Auswirkungen widerspiegeln und nicht nur der technischen Machbarkeit folgen.

Abhängigkeiten sind der Punkt, an dem viele Wiederherstellungspläne komplizierter werden. Eine Anwendung mag zwar als „kritisch“ eingestuft sein, ist aber dennoch von Identitätsdiensten, DNS, Netzwerkkonnektivität, Datenbanken, Speicher, Verschlüsselungsschlüsseln, APIs und Überwachungssystemen abhängig. Wenn diese Komponenten nicht im korrekten Zustand wiederhergestellt werden, geht die Anwendung zwar wieder online, bleibt aber unbrauchbar. Deshalb benötigen Recovery-Teams eine Abhängigkeitskartierung bereits vor einem Vorfall und nicht erst währenddessen.

Runbooks und orchestrierte Workflows helfen dabei, diese Entscheidungen in wiederholbare Schritte umzuwandeln. Sie können festlegen, wer die Wiederherstellung genehmigt, welche Umgebung verwendet werden soll, welche Prüfungen vor der Wiederherstellung des Produktionszugangs erfolgen müssen und wann die nächste Systemebene online gehen kann. Dies ist wichtig, wenn Sicherheits-, Infrastruktur-, Anwendungs-, Cloud- und Geschäftsteams gleichzeitig zusammenarbeiten.

Auch die Recovery-Prozesse benötigen Kontrollpunkte. Nach der Recovery jeder größeren Arbeitslast sollten die Teams sicherstellen, dass sich Benutzer authentifizieren können, Daten verfügbar sind, Integrationen funktionieren und die Überwachung eingerichtet ist. Diese Überprüfungen helfen dabei, Probleme zu erkennen, bevor die Recovery auf die nächste Systemebene ausgeweitet wird.

Geschwindigkeit ist nach wie vor wichtig, aber Kontrolle ist ebenso entscheidend. Ein schnelles Recovery-Verfahren kann zusätzlichen Aufwand verursachen, wenn falsche Daten wiederhergestellt werden, Zugriffskontrollen fehlen oder eine Anwendung ohne die für ihren Betrieb erforderlichen Systeme wiederhergestellt wird. Der bessere Ansatz besteht darin, das Recovery-Verfahren schrittweise durchzuführen, sicherzustellen, dass jeder kritische Dienst funktioniert, und das Recovery dann weiter auszudehnen, sobald sich die Umgebung stabilisiert hat.

Phase 5: Die Erkenntnisse aus der Recovery in eine stärkere Kontinuität umsetzen

Sobald kritische Dienste wiederhergestellt sind, müssen die Teams noch verstehen, was funktioniert hat, was sie ausgebremst hat und wo der Recovery-Plan nicht der Realität entsprach. Diese Nachbereitung ist es, die Cloud-Backup- und Recovery-Maßnahmen von einer reaktiven Maßnahme in eine kontinuierliche Resilienzpraxis verwandelt.

Der erste Schritt besteht darin, die Recovery selbst zu überprüfen. Die Teams sollten sich Fragen stellen wie:

• Wie schnell haben die Teams verdächtige Aktivitäten erkannt?
• Ließen sich einwandfreie Recovery-Punkte leicht identifizieren?
• Welche Validierungsschritte dauerten länger als erwartet?
• Wo kam es zu Verzögerungen bei den Wiederherstellungsabläufen?
• Waren die richtigen Personen zum richtigen Zeitpunkt beteiligt?

Diese Antworten können Lücken aufdecken, die nicht immer technischer Natur sind. Die Recovery kann erfolgreich verlaufen und dennoch Probleme bei der Entscheidungsfindung, der Kommunikation, bei Genehmigungen oder beim Übergang zwischen Teams aufdecken.

Diese Erkenntnisse sollten direkt in die nächste Version des Recovery-Plans einfließen. Wenn eine kritische Anwendung von einem System abhängig war, das nicht dokumentiert war, sollte die Abhängigkeitskarte aktualisiert werden. Wenn Zugriffskontrollen die Wiederherstellung verlangsamten, sollte der Genehmigungsprozess geklärt werden. Wenn bei Wiederherstellungstests eine wichtige Arbeitslast übersehen wurde, sollte diese in die nächste Übung aufgenommen werden. Wenn Führungskräften der Überblick darüber fehlte, was wiederhergestellt wurde und was noch offline war, sollten die Berichts- und Eskalationswege verbessert werden.

Regelmäßige Tests bilden die Grundlage für diese Arbeit. Tabletop-Übungen, isolierte Wiederherstellungen, reine Recovery-Tests und die Validierung der cloudübergreifenden Recovery helfen den Teams, Probleme zu erkennen, bevor ein echter Vorfall sie dazu zwingt, unter Druck zu lernen. Sie liefern den Führungskräften zudem bessere Anhaltspunkte dafür, wo das Unternehmen bereit ist und wo noch Handlungsbedarf besteht.

Langfristig ist das Ziel ein Recovery-Programm, das nach jedem Test und jedem Vorfall präziser wird. Die Teams sind besser vorbereitet, die Recovery-Schritte werden besser verstanden, und das Unternehmen verfügt über einen klareren Weg, um den wesentlichen Betrieb auch bei Störungen aufrechtzuerhalten.

Cloud-Recovery als Grundlage für die geschäftliche Ausfallsicherheit

 Cloud-Backup and Recovery spielen heute eine größere Rolle als die herkömmliche Datensicherung allein. Es handelt sich um einen zusammenhängenden Prozess, der die Erkennung von Recovery-Risiken, den Schutz von Backup-Daten, die Validierung einwandfreier Wiederherstellungsoptionen und die Wiederherstellung kritischer Dienste umfasst, wenn Produktionsumgebungen nicht mehr als zuverlässig angesehen werden können.

Bei einem Cybervorfall dürfen diese Aktivitäten nicht als separate Arbeitsschritte ablaufen. Der Bedrohungskontext sollte bestimmen, welche Backups überprüft werden. Der Backup-Schutz sollte die Recovery-Optionen bewahren, die die Teams möglicherweise benötigen. Die Validierung sollte feststellen, was zur Wiederherstellung bereit ist. Die Wiederherstellung sollte die Dienste, auf die das Unternehmen angewiesen ist, in einer kontrollierten Reihenfolge wiederherstellen.

Ein Backup, dem man nicht vertrauen kann, das nicht getestet wurde oder das nicht zum richtigen Zeitpunkt wiederhergestellt werden kann, liefert dem Unternehmen möglicherweise nicht das benötigte Ergebnis. Ein Wiederherstellungsprozess, der Identitäten, Anwendungsabhängigkeiten oder geschäftliche Prioritäten außer Acht lässt, kann dazu führen, dass Systeme zwar technisch wiederhergestellt, operativ jedoch unvollständig sind.

Die größere Chance besteht darin, Recovery als einen fortlaufenden Prozess zur Stärkung der Ausfallsicherheit zu betrachten. Das bedeutet, Pläne vor einem Vorfall zu testen, Abhängigkeitskarten bei Änderungen der Umgebungen zu aktualisieren und jede Übung oder jedes Recovery-Ereignis zu nutzen, um die nächste Reaktion zu verbessern.

Unternehmen, die sich schneller erholen, sind nicht unbedingt diejenigen mit den meisten Datenkopien. Es ist unerlässlich zu wissen, welche Daten nutzbar sind, welche Dienste am wichtigsten sind und wie man sie unter Druck wiederherstellt.

Die Herausforderung besteht darin, die Readiness zur Wiederherstellung genauso operativ zu gestalten wie die Erkennung und Reaktion. Cloud-Backup and Recovery bieten eine praktische Grundlage für diese Arbeit, wenn sie als kontinuierlicher Prozess von der Risikoerkennung bis zur Wiederherstellung des Geschäftsbetriebs betrachtet werden.

Unternehmen sollten diese Kompetenz aufbauen, um besser darauf vorbereitet zu sein, einwandfreie Daten wiederherzustellen, kritische Dienste wieder in Betrieb zu nehmen und den Geschäftsbetrieb aufrechtzuerhalten, wenn es zu Störungen kommt.